Wcześniej omówiliśmy wiele funkcji zarządczych związanych z ryzykiem wewnętrznym, w tym funkcje prewencyjne w zakresie badań przesiewowych pracowników, szkolenia uświadamiające i edukacyjne oraz ustanowienie skutecznych i egzekwowanych polityk i praktyk. Inne funkcje zarządzania wymienione w ramach wykrywania obejmowały wrażliwość na problemy i zdarzenia na krytycznej ścieżce, które wskazują na potencjalną obecność rosnącego ryzyka wewnętrznego; Podkreślono również, że niezadowolenie i nieskuteczne interwencje w rozwiązywaniu tych problemów przyczyniają się do zwiększonego potencjału działań wewnętrznych. W niniejszej sekcji podsumowano niektóre z wcześniejszych ustaleń i omówiono zalecenia dotyczące poprawy zarządzania ryzykiem wewnętrznym. Kroki, które organizacje mogą podjąć, aby ocenić swoją zdolność do zapobiegania, wykrywania i zarządzania ryzykiem wewnętrznym zostały bardziej szczegółowo opisane w artykule na temat personelu wewnętrznego i audytu bezpieczeństwa. Wysokie wskaźniki luk w polityce zatrudnienia i bezpieczeństwa, które albo prowadzą do wykorzystywania informacji poufnych, albo nie pomagają w zapobieganiu lub wykryciu, wskazują na potrzebę szerszej oceny i edukacji polityki bezpieczeństwa. Potencjał ryzyka powinien natychmiast dopasować obecną politykę i praktyki dotyczące personelu i bezpieczeństwa do wybranych rzeczywistych przypadków poufnych. Jakie, jeśli w ogóle, zasady i praktyki byłyby odpowiednie? Co by się stało, gdyby te zasady i praktyki zostały zastosowane w przypadku hakera, takim jak Carpenter, lub w przypadku właściciela, takiego jak Floyd? Fakt, że były jeszcze wyższe wskaźniki niepowodzeń we wdrażaniu i egzekwowaniu polityki, sugeruje istnienie jeszcze głębszego problemu. Czy zaangażowani pracownicy byliby w ogóle świadomi odpowiednich zasad i praktyk? W wielu z tych przypadków, obejmujących awarie wdrażania i egzekwowania, nie było środków technicznych do egzekwowania polityki, brakowało zasobów ludzkich, personel nie rozumiał znaczenia polityki lub przestępcy po prostu wykorzystali wyższą wiedzę o systemie, aby ignorować i omijać próby egzekwowania . Jednym z najważniejszych ustaleń tego badania było stwierdzenie, że istnieje „okno” na zajęcie się problemami kadrowymi dotykającymi te osoby. Chociaż wielu autorów oferowało narzędzia systemowe do wykrywania nadużyć insiderów , wyniki te wskazują, że problemy z personelem offline również zapewniają wczesne ostrzeżenie. Osoby te były podobno niezadowolone w niektórych przypadkach przez ponad rok wcześniej. na swoje ataki, a kierownictwo było świadome tych problemów personalnych na tygodnie, jeśli nie miesiące przed atakiem, jednak występowały konsekwentne problemy z interwencją. W rzeczywistości, w wielu przypadkach działania kierownictwa zaostrzyły problem. Odkrycie to wskazuje na potrzebę ulepszonych szkoleń dla kierownictwa i procedur obejmujących interwencje z osobami z grup ryzyka. Istotną częścią poprawy zarządzania niezadowolonymi pracownikami, którzy stanowią ryzyko wykorzystania informacji poufnych, powinna być bardziej dogłębna i skoordynowana ocena przypadku. Opisany na wstępie przypadek Billa jest dobrym przykładem skutecznej oceny i planowania sprawy, gdzie na jakość rozwiązania w tej sprawie złożyły się dwa kluczowe elementy interwencji firmy, w tym unikanie dalszego sabotażu i zapobieganie przemocy. . Po pierwsze, skorzystanie z usług konsultanta zewnętrznego pozwoliło spojrzeć na Billa w kontekście rówieśników, rodziny, organizacji, społeczności, a nawet kwestii społecznych i ekonomicznych odgrywających rolę w kryzysie (takich jak obniżona cena ropy naftowej wywierająca presję ekonomiczną na zakład), ponieważ siły te rozwijały się z biegiem czasu. skorzystanie z usług konsultanta zewnętrznego ułatwiło również zbadanie problemów organizacyjnych, które pomogły Billowi podążać ścieżką krytyczną, w tym trudności firmy w przestrzeganiu własnych polityk i praktyk, brak interwencji wcześniej, a także strach, jaki Bill był w stanie zaszczepić w całej firmie, aby zastraszyć kolegów i przełożonych. Zewnętrzny konsultant był również w stanie zająć się powiązaniami politycznymi, które chroniły Billa przed konsekwencjami jego działań i zmienić priorytety firmy w tym kryzysie. Ponadto doświadczenie kliniczne konsultanta pozwoliło na ocenę ryzyka i proces planowania z uwzględnieniem osobowości Billa, alkoholizmu, depresji, ryzyka przemocy (Shaw i Post, 1997) oraz śmiertelnej choroby jego żony i prób samobójczych. Drugim kluczowym elementem oceny była koordynacja między różnymi zaangażowanymi stronami i działami, w tym operacjami, zasobami ludzkimi i bezpieczeństwem. Podczas gdy strony siedziały przy stole i porównując notatki, odkryto i udostępniono nowe informacje, opracowano lepsze planowanie awaryjne, a także uzgodniono i egzekwowano bardziej szczegółowe i dogłębne rozwiązania multidyscyplinarnych wyzwań przedstawionych przez Bill. To skoordynowane podejście zespołowe ułatwiło również potraktowanie trudności w przypadku jako symptomów większych problemów wpływających na organizację podczas przeglądu powypadkowego. Ocenę przypadku i planowanie z Billem można porównać ze sprawą Lloyda. W tej sytuacji konflikty między jego przełożonymi a kierownictwem opóźniły rozwiązanie i dały Lloydowi czas na zaplanowanie i wykonanie ataku. Lloyd miał również złożone wykształcenie medyczne i psychiatryczne, które nigdy nie było brane pod uwagę w procesie oceny i planowania. Oprócz oceny przypadku tabela 8.8 przedstawia kilka problemów związanych z procesem zawieszenia i zakończenia w takich przypadkach. Przede wszystkim po tym, jak pracownik opuścił miejsce pracy z powodu wypowiedzenia lub został umieszczony na zawieszeniu, nie udało się zablokować mu dostępu do systemu, co sprzyjało wysokiemu wskaźnikowi zdalnych ataków. Dostęp pracowników przebywających na miejscu w okresie próbnym nie był również skutecznie ograniczany ani monitorowany. Wysoki wskaźnik tych ataków po rozwiązaniu umowy wskazuje na potrzebę dokładnego przeglądu kwestii personelu i bezpieczeństwa przed zwolnieniem pracowników zagrożonych. Ponadto warto ponownie przeanalizować zasady i praktyki związane ze zdalnym dostępem. Chociaż dostęp zdalny może zwiększyć produktywność, organizacje mogą potrzebować zabezpieczeń (takich jak prawo do inspekcji na miejscu), aby zapewnić, że ten dostęp nie jest nadużywany, zwłaszcza po rozwiązaniu umowy. Zakończenie zdalnego dostępu może być również powiązane z innymi formami naruszeń personelu.
Podsumowanie
Wiele standardowych zasad i praktyk dotyczących personelu i bezpieczeństwa wymaga dostosowania do nowego środowiska zdominowanego przez IT. Standardowe praktyki zapobiegania, wykrywania i zarządzania – jeśli są stosowane – nie wydają się odpowiadać bieżącym wyzwaniom związanym z poufnymi informacjami. Nie pozwalają one na selekcję kandydatów na pracowników z nietradycyjnym doświadczeniem w zakresie ryzyka ani skuteczne wykrywanie osób zagrożonych w odpowiednim czasie. Skuteczne zasady i praktyki dotyczące personelu i bezpieczeństwa nie były również skuteczne i / lub egzekwowane w sposób ułatwiający wczesne wykrywanie ryzyka lub skuteczną interwencję w naszych przypadkach. Nasze dotychczasowe wyniki również wyraźnie wskazują, że wyprowadzenie niezadowolonego pracownika za drzwi nie gwarantuje ochrony przed atakami. Nasze podejście do zrozumienia ewolucji zagrożeń wewnętrznych w tym środowisku polega na podążaniu za zaangażowanymi ludźmi, systemami, instytucjami i społecznościami podczas ich interakcji, aby przyczyniać się do zwiększania z czasem ryzyka związanego z wykorzystaniem informacji wewnętrznych. Na ostatnim etapie badań kładziemy nacisk nie na rozwinięcie dogłębnych profili osobowości przestępcy, ale na bardziej szczegółowe, pragmatyczne zrozumienie, w jaki sposób osoby z otoczenia doświadczają jego zachowania w miejscu pracy. rosnący problem bezpieczeństwa finansowego i narodowego poprzez gromadzenie i analizowanie danych ze studiów przypadku. Stworzenie zestawu szablonów osobowości poufnych, aby pomóc badaczom, nie jest prostym zadaniem. W miarę gromadzenia większej ilości danych praktyczne zastosowanie tych wyników może stać się jaśniejsze. W dłuższej perspektywie wierzymy, że „nie ma nic bardziej praktycznego niż dobra teoria”.