Ludzie, HR i ryzyko wewnętrzne

Sprawdzając, które urządzenia naprawdę się łączą, a nie tylko, które konta zamknięto. Offboarding zwykle usuwa konto użytkownika i odbiera laptopa, ale niezwrócony laptop, prywatny telefon z zapisanym hasłem do Wi-Fi czy zapomniane narzędzie zdalnego dostępu mogą łączyć się dalej. Warto porównać listę zwróconych urządzeń z urządzeniami widocznymi w sieci po dacie odejścia, zmienić wspólne hasła do Wi-Fi i VPN, które ta osoba znała, oraz unieważnić certyfikaty wydane jej urządzeniom. W każdym planie mapa sieci NetSenX wymienia urządzenia widoczne w monitorowanych segmentach, z nazwą, którą urządzenie ogłasza, oraz datą pierwszego i ostatniego pojawienia się. NetSenX nie wie, kto odszedł z firmy: decydują o tym HR i IT, a widok sieci pokazuje, czy drzwi naprawdę się zamknęły.

Dostępy, które ta osoba miała, a nie tylko jej konto. Krótka lista dla IT przy odejściu: wyłączyć konto w katalogu i pocztę oraz usunąć tokeny uwierzytelniania wieloskładnikowego; odebrać urządzenia służbowe i zanotować ich nazwy; zmienić wspólne hasła, które ta osoba znała, na przykład do Wi-Fi, VPN, kont administracyjnych i portali dostawców; usunąć zainstalowane przez nią narzędzia zdalnego dostępu; unieważnić certyfikaty urządzeń; po kilku dniach i po kilku tygodniach od odejścia sprawdzić, czy żadne z jej urządzeń nie pojawia się już w sieci. Tę samą listę warto stosować do wykonawców i stażystów. Trzeba też uzgodnić z HR, kto i kiedy ją uruchamia. NetSenX pomaga w ostatnim kroku: mapa sieci w każdym planie pokazuje nazwę każdego urządzenia i to, kiedy było widziane ostatnio, więc urządzenie, którego nie powinno już być, rzuca się w oczy.

Tak, jeśli połączy się z monitorowanym segmentem albo nadal działa na nim agent NetSenX. W każdym planie mapa sieci pokazuje każde urządzenie z nazwą, którą ogłasza, i datą ostatniego pojawienia się, więc laptop, który wraca po odejściu użytkownika, jest widoczny, a jeśli zacznie skanować, łączyć się regularnie z zewnętrznym serwerem lub nietypowo wysyłać dane, pojawią się alerty. Laptop używany tylko w domu lub w innej sieci, bez agenta, jest dla sensora sieciowego niewidoczny. Równolegle trzeba zamknąć inne drzwi: wyłączyć konta, unieważnić certyfikaty urządzenia i profil VPN, a jeśli firma ma narzędzie do zarządzania urządzeniami, zdalnie zablokować lub wyczyścić laptopa. Odzyskanie sprzętu i ewentualne kroki wobec osoby to sprawy dla HR i doradcy prawnego.

Częściowo: widać nietypowe wysyłki z jego komputera, a nie pliki ani osobę. W każdym planie NetSenX porównuje ruch wychodzący każdego urządzenia z jego własnymi typowymi miejscami docelowymi, wolumenami i porami dnia i zgłasza alert, gdy na przykład laptop, który zwykle wysyła niewiele, nagle w nocy przesyła kilka gigabajtów do usługi przechowywania w chmurze. Alert pokazuje urządzenie, miejsce docelowe, wolumen i czas. Nie pokazuje nazw plików ani treści, bo ruch jest szyfrowany, a NetSenX nigdy go nie odszyfrowuje, i nie widzi kopiowania na pendrive. Taki alert trzeba najpierw traktować jako zdarzenie bezpieczeństwa: laptop może być też zainfekowany. Każdy krok wobec pracownika powinien wynikać z polityki firmy, prawa i porady HR oraz prawnika, a nie z samego alertu.

Tylko takie, na jakie pozwala krajowe prawo pracy i ochrony danych, zbierane w uzasadnionym celu i proporcjonalnie do niego. Ogólnie RODO wymaga podstawy prawnej, określonego celu, minimalizacji danych i przejrzystości wobec pracowników, a wiele krajów dodaje przepisy prawa pracy o monitorowaniu i o udziale przedstawicieli pracowników. Zapisy prowadzone już dla bezpieczeństwa, na przykład alerty o nietypowych wysyłkach, można wykorzystać ponownie tylko wtedy, gdy nowy cel jest zgodny z pierwotnym i prawo na to pozwala; potajemne czytanie prywatnej korespondencji jest co do zasady niedopuszczalne. Zanim cokolwiek się zbierze, trzeba włączyć HR, inspektora ochrony danych i doradcę prawnego, udokumentować podejrzenie i podjęte kroki oraz zabezpieczać dowody rękami osób do tego przygotowanych. NetSenX pokazuje w alertach aktywność urządzeń; nie jest narzędziem do profilowania osoby.

Nie. Sensor sieciowy widzi połączenia, a nie pliki. Większość wysyłek odbywa się dziś w szyfrowanych sesjach, a NetSenX nigdy nie odszyfrowuje ruchu, więc nie odczyta nazw plików ani treści. Może natomiast pokazać, że konkretne urządzenie wysłało nietypowo dużo danych do konkretnego miejsca o konkretnej porze, w porównaniu z normalnym zachowaniem tego urządzenia. To zawęża pytanie: kiedy, z którego urządzenia i dokąd. Żeby ustalić, o które pliki chodziło, potrzebne są inne źródła: dzienniki audytu samej usługi chmurowej, logi dostępu do serwera plików, narzędzia na stacjach końcowych lub oprogramowanie DLP (zapobiegania utracie danych), każde używane w granicach prawa pracy i ochrony danych. Kopia na pendrive albo wydruk w ogóle nie przechodzą przez sieć.

Nie w przypadku NetSenX. Analizuje on metadane i kilka pól protokołów: które urządzenie połączyło się z jakim adresem i portem, kiedy, jak często i ile danych przesłano, nazwę serwera w uzgadnianiu TLS oraz odpowiedzi na zapytania DNS. Nigdy nie odszyfrowuje ruchu, więc treść e-maili, wiadomości na czatach, stron internetowych i poleceń wpisywanych w narzędzia AI pozostaje nieprzeczytana. Niektóre inne produkty odszyfrowują lub analizują treść, więc warto zadać to samo pytanie każdemu dostawcy i dostać odpowiedź na piśmie. Metadane i tak mogą być danymi osobowymi, bo nazwy urządzeń i adresy IP da się powiązać z osobą, więc obowiązuje je RODO. To rozróżnienie warto wyjaśnić pracownikom i ich przedstawicielom przed startem: precyzyjnie odpowiada na najczęstszą obawę.

Dane o urządzeniach, a nie o ludziach, choć część z nich nadal może wskazywać osobę. NetSenX zapisuje metadane połączeń z monitorowanych segmentów: wewnętrzne i zewnętrzne adresy IP, porty, czasy, wolumeny, nazwy serwerów, z którymi łączą się urządzenia (z uzgadniania TLS i odpowiedzi DNS), oraz nazwy, które urządzenia ogłaszają w sieci. Na tej podstawie tworzy alerty i mapę sieci. Nie zapisuje treści wiadomości ani plików i nigdy nie odszyfrowuje ruchu. Ponieważ laptop nazwany imieniem użytkownika albo adres przypisany do komputera jednej osoby mogą wskazywać konkretnego człowieka, te zapisy trzeba traktować jako dane osobowe: poinformować pracowników, przechowywać tylko to, co potrzebne, ograniczyć dostęp i usuwać zgodnie z harmonogramem. NetSenX przechowuje dane klientów w UE i publikuje umowę powierzenia z pełną listą podprocesorów.

Być może, zależnie od kraju i od tego, jak monitoring mógłby być wykorzystany. W Niemczech § 87 ust. 1 pkt 6 ustawy o ustroju zakładów pracy (Betriebsverfassungsgesetz) daje radzie zakładowej prawo współdecydowania o wprowadzeniu i stosowaniu urządzeń technicznych przeznaczonych do kontroli zachowania lub wydajności pracowników; wiele firm zawiera porozumienie zakładowe przed wdrożeniem narzędzi bezpieczeństwa. Inne kraje dają przedstawicielom pracowników prawo do informacji i konsultacji, a RODO pozwala prawu krajowemu na szczegółowe przepisy w kontekście zatrudnienia. W Polsce warto sprawdzić przepisy Kodeksu pracy o monitoringu i udziale związków zawodowych. Przedstawicieli pracowników trzeba włączyć wcześnie i wyjaśnić, że celem jest wykrywanie ataków na urządzenia, co jest, a co nie jest zapisywane, kto widzi alerty i jak długo dane są przechowywane. Ocena prawna należy do Ciebie.

Patrząc na to, co naprawdę łączy się z siecią, a nie na ewidencję sprzętu. Prywatne telefony, laptopy i inteligentne urządzenia często podłączają się do firmowego Wi-Fi lub wolnego gniazdka sieciowego, a nikt tego nie odnotowuje. W każdym planie mapa sieci NetSenX wymienia urządzenia widoczne w monitorowanych segmentach, z nazwą, którą każde urządzenie ogłasza, oraz datą pierwszego i ostatniego pojawienia się, więc nieznane urządzenia rzucają się w oczy; jeśli któreś skanuje sieć lub stale łączy się z nieznanym serwerem zewnętrznym, pojawia się alert. Sensor sieciowy nie powie, do kogo należy urządzenie ani czy jest dozwolone: listę trzeba porównać z ewidencją i polityką. Trwałe rozwiązanie jest strukturalne: osobna sieć gościnna dla urządzeń prywatnych i, gdzie to możliwe, kontrola dostępu do sieci biurowej.

Tak, głównie dlatego, że nikt nie wie, co na nich jest. Prywatny laptop może nie mieć ochrony stacji końcowej, mieć nieaktualne oprogramowanie, pirackie programy albo złośliwe oprogramowanie złapane w domu, a w płaskiej sieci biurowej stoi obok danych płacowych i danych klientów. Wymyka się też kontroli, gdy osoba odchodzi. Bezpieczniej: wydać laptop służbowy pierwszego dnia; jeśli się nie da, dać tymczasowy dostęp przez osobną sieć gościnną i przeglądarkę do usług chmurowych, a nie do wewnętrznych udziałów plików; wpisać zasadę do procesu onboardingu. Jeśli prywatne urządzenia jednak się łączą, warto obserwować, co robią: NetSenX w każdym planie pokazuje nowe urządzenia na mapie sieci i zgłasza alert, gdy urządzenie skanuje sieć lub stale łączy się z nieznanym serwerem zewnętrznym.

Tak, dla segmentów monitorowanych przez NetSenX. W każdym planie mapa sieci wymienia każde widoczne tam urządzenie z nazwą, którą ogłasza, oraz datą pierwszego i ostatniego pojawienia się, więc urządzenia widziane po raz pierwszy w tym miesiącu łatwo wyłowić i porównać z dokumentacją onboardingu i ewidencją sprzętu. Lista obejmuje tylko segmenty z sensorem: jeden agent na porcie lustrzanym przełącznika (SPAN) lub TAP-ie sieciowym widzi cały segment, a Wi-Fi dla gości czy oddział bez sensora pozostają poza widokiem. Nazwy urządzeń to to, co urządzenia same ogłaszają, a nie zweryfikowana tożsamość, i można je zmienić. Urządzenie, które połączyło się na krótko i nie wysłało niczego istotnego, może mieć bardzo mało szczegółów. Pełną ewidencję daje połączenie tego widoku z systemem zarządzania urządzeniami i zapisami DHCP.

Tylko tam, gdzie widać ruch laptopa: gdy działa na nim agent NetSenX albo gdy jego ruch trafia do monitorowanego segmentu, na przykład przez firmowy VPN. Komercyjny VPN lub sieć Tor wygląda jak długotrwałe szyfrowane połączenie z jednym zewnętrznym adresem zamiast zwykłej mieszanki miejsc docelowych; NetSenX pokazuje miejsca docelowe i wolumeny, a to, czy adres należy do takiej usługi, ocenia się po adresie i nazwach serwerów. Do środka tunelu nie zajrzy. Prywatny VPN bywa niegroźny, więc warto zacząć od pytania, a nie oskarżenia, i sprawdzić politykę pracy zdalnej. To, czego sensor sieciowy nie widzi, pokrywają narzędzia zarządzania urządzeniami, które wymuszają firmowy VPN, oraz logi tożsamości pokazujące, skąd przychodzą logowania.

Głównie takie, że osoba może nie być tym, za kogo się podaje, albo że jej sprzęt nie jest pod kontrolą firmy. Kandydaci z pożyczoną lub wymyśloną tożsamością bywają wykorzystywani do uzyskania legalnego dostępu do kodu, danych i systemów wewnętrznych, a laptopa, który zawsze łączy się z zagranicy przez prywatny tunel, trudno nadzorować. Ryzyko zmniejsza się przy rekrutacji i onboardingu: weryfikacja tożsamości podczas rozmowy wideo na żywo i na podstawie dokumentów, bezpośrednie sprawdzenie referencji, wysłanie zarządzanego laptopa służbowego zamiast zgody na prywatny, nadawanie dostępów stopniowo i tylko do tego, czego wymaga stanowisko, oraz wymóg uwierzytelniania wieloskładnikowego. Weryfikacja tożsamości to zadanie HR. Gdy na laptopie działa agent NetSenX, nietypowe tunele, beaconing lub duże wysyłki pojawiają się jako dowody lub alerty do przejrzenia przez IT.

Nie: monitorować urządzenia firmowe i to, co dociera do firmy, a nie dom pracownika. Sieć domowa przenosi telefony rodziny, gry i prywatny ruch, a jej obserwowanie oznaczałoby zbieranie danych osobowych, których firma nie ma powodu posiadać, co trudno uzasadnić na gruncie RODO i prawa pracy. Rozsądnie chronić można laptop służbowy i sieć firmową: ochrona stacji końcowej i zarządzanie urządzeniem na laptopie, obowiązkowy firmowy VPN do zasobów wewnętrznych i monitoring miejsca, do którego ten ruch dociera. W NetSenX laptop służbowy może mieć własnego agenta, który obserwuje połączenia tego jednego urządzenia, gdziekolwiek jest; nie monitoruje innych urządzeń w sieci domowej. Pracownikom trzeba dokładnie powiedzieć, co i dlaczego jest monitorowane na ich urządzeniu służbowym.

Obserwując, które urządzenia z nim rozmawiają, i oznaczając nowe. Serwer płacowy lub kadrowy ma zwykle małą, stałą grupę klientów: kilka komputerów w HR i finansach, system kopii zapasowych, może dostawcę usług płacowych. Gdy stacja robocza, która nigdy się z nim nie łączyła, nagle to robi, zwłaszcza o dziwnej porze lub po skanowaniu innych maszyn, trzeba to od razu sprawdzić. W każdym planie NetSenX uczy się normalnych połączeń każdego hosta i zgłasza alert o ruchu lateralnym, gdy sesje między urządzeniami nie pasują do tego wzorca, wskazując urządzenie źródłowe, docelowe i czas. Nie zarządza uprawnieniami i nie wie, kto siedział przy klawiaturze: dostęp trzeba ograniczyć kontami i regułami zapory, a z logów logowania samego serwera sprawdzić, którego konta użyto.

Zwykle systemy płacowe i kadrowe, udostępnione foldery z umowami i zwolnieniami lekarskimi, serwer katalogowy z wszystkimi kontami, serwer kopii zapasowych z kopiami wszystkiego oraz skrzynki pocztowe HR i zarządu. Warto zacząć od spisu: kto jest właścicielem każdego, które komputery i którzy dostawcy powinni się z nim łączyć i czy działa w firmie, czy w chmurze. Potem chronić warstwami: uwierzytelnianie wieloskładnikowe, dostęp tylko dla tych, którzy go potrzebują, szyfrowanie danych w spoczynku, logi logowań i kopie zapasowe, których z sieci nie da się usunąć. Dla systemów we własnej sieci NetSenX pomaga w jednej warstwie: w każdym planie zgłasza alert, gdy zaczyna się z nimi łączyć urządzenie, które zwykle tego nie robi, albo gdy któryś z nich wysyła na zewnątrz nietypowe ilości danych. Chmurowe usługi kadrowe wymagają własnych dzienników audytu.

Najpierw jak ze zdarzeniem bezpieczeństwa dotyczącym urządzenia, a nie jak z dowodem przeciw osobie. Alert mówi, że urządzenie zachowało się nietypowo: może być zainfekowane, używane przez kogoś innego albo robić coś uzasadnionego, co wygląda dziwnie. IT najpierw ustala fakty: co urządzenie zrobiło, kiedy, czy jest na nim złośliwe oprogramowanie i czy nadużyto konta. HR włącza się tylko wtedy, gdy fakty wskazują na problem z zachowaniem, i wtedy według regulaminu, prawa pracy i przepisów o ochronie danych, najlepiej po konsultacji z inspektorem ochrony danych. Krąg wtajemniczonych powinien być mały, każdy krok zapisany, a nazwiska nie powinny padać, zanim fakty będą jasne. NetSenX wspiera ten podział: alerty opisują urządzenia, połączenia i miejsca docelowe, a dziennik audytu zapisuje, kto zajął się alertem i co postanowił.

Tylko w wąskich granicach, a NetSenX nie jest do tego zbudowany. Monitoring bezpieczeństwa służy wykrywaniu ataków na urządzenia; użycie jego zapisów do badania osoby to inny cel, który prawo ochrony danych traktuje jako odrębną kwestię zgodności celów, podstawy prawnej i proporcjonalności, a prawo pracy i zasady udziału przedstawicieli pracowników często dodatkowo ograniczają. W niektórych sytuacjach, na przykład przy udokumentowanym podejrzeniu poważnego przestępstwa, ograniczone użycie może być legalne po konsultacji prawnej. Nigdy nie prowadź ukrytego dochodzenia za pomocą narzędzia bezpieczeństwa na własną rękę. NetSenX jest skupiony na urządzeniach: jego alerty opisują, co urządzenie robiło w sieci, a nie historię przeglądania osoby, i nigdy nie czyta treści. Z góry i na piśmie warto ustalić, kto może wnioskować o zapisy bezpieczeństwa na potrzeby postępowania i kto to zatwierdza.

Czasem tak, ale zależy to od prawa krajowego oraz od tego, jak logi zebrano i czy pracowników o tym poinformowano. Zgodnie z RODO dane osobowe zebrane w jednym celu, na przykład bezpieczeństwa sieci, można wykorzystać w innym tylko wtedy, gdy nowy cel jest zgodny z pierwotnym albo istnieje inna podstawa prawna, a pracownicy muszą wiedzieć o monitoringu. Krajowe prawo pracy dodaje własne warunki: niektóre państwa wymagają uprzedniego powiadomienia lub porozumienia z przedstawicielami pracowników, a sądy w kilku państwach członkowskich odrzucały dowody zebrane przez ukryty lub nieproporcjonalny monitoring. Zanim log zostanie użyty przeciw komukolwiek, trzeba zasięgnąć porady prawnej, włączyć inspektora ochrony danych i sprawdzić, co powiedziano pracownikom. Logi NetSenX opisują aktywność urządzeń i są przechowywane przez okres przewidziany w planie; ich dopuszczalność jako dowodu to kwestia prawna.

Ustalając cel, dane i krąg osób z dostępem przed startem i zapisując to. Cel trzeba określić jako wykrywanie ataków na urządzenia i systemy, z wyraźnym wyłączeniem kontroli wydajności czy zachowania. Zbierać wyłącznie metadane, przechowywać je przez określony czas i ograniczyć dostęp do kilku osób zajmujących się bezpieczeństwem, z zapisem tego, co robią. Pracownikom należy powiedzieć, co jest monitorowane i dlaczego, włączyć radę pracowników lub inne przedstawicielstwo, jeśli istnieje, i przeprowadzić ocenę skutków dla ochrony danych, gdy przetwarzanie może powodować wysokie ryzyko. Ustawienia warto przeglądać raz w roku. NetSenX wspiera to z założenia: obserwuje urządzenia i połączenia, nigdy nie odszyfrowuje ruchu, raportuje użycie AI według urządzenia i programu, a nie osoby, i prowadzi dziennik audytu, kto co zrobił na koncie.

Tak, i często jest dobrą kryjówką. Komputer, którego nikt nie używa, ale który pozostaje włączony i podłączony, na przykład stanowisko osoby na długim urlopie, zapasowy komputer w sali spotkań albo stara maszyna trzymana dla jednego programu, rzadko dostaje aktualizacje, a nikt nie zauważa, gdy zachowuje się dziwnie. Atakujący wykorzystują takie maszyny jako cichą bazę do skanowania sieci, dostępu do serwerów lub wysyłania danych. To, co niepotrzebne, trzeba wyłączyć i odłączyć, resztę aktualizować i każdej maszynie przypisać właściciela. W każdym planie NetSenX zgłasza alerty, gdy dowolne monitorowane urządzenie zaczyna regularnie łączyć się z zewnętrznym serwerem, skanować, łączyć się z hostami, z którymi nigdy wcześniej się nie łączyło, lub wysyłać nietypowe ilości danych, co najbardziej rzuca się w oczy na maszynie, która nie powinna nic robić.

Porównując to, co robi teraz, z tym, co robi normalnie. Komputer, który powinien być bezczynny, bo jego użytkownik jest na urlopie albo jest włączany tylko na aktualizacje, ma bardzo mały normalny wzorzec: kilka serwerów aktualizacji, może system kopii zapasowych. Wszystko ponad to, jak regularne połączenia z nieznanym zewnętrznym serwerem, logowania do innych maszyn w sieci, skanowanie czy duże wysyłki w nocy, to mocny sygnał. W każdym planie NetSenX uczy się typowych miejsc docelowych, wolumenów i pór dnia każdego urządzenia i zgłasza alerty o beaconingu C2, skanowaniu, ruchu lateralnym i nietypowym wolumenie danych wychodzących, z urządzeniem, miejscem docelowym i czasem. Nie widzi tego, co dzieje się wewnątrz maszyny bez ruchu sieciowego; to obszar ochrony stacji końcowych. Warto spisać, które maszyny powinny być bezczynne, żeby wiedział o tym także zastępca.

Zwykle wyłączyć je lub przejąć na przechowanie i dopilnować, by w tym czasie nikt nie nadużył ich kont. Z HR warto uzgodnić prostą procedurę dla nieobecności dłuższych niż kilka tygodni, na przykład urlopu rodzicielskiego, zwolnienia lekarskiego czy urlopu bezpłatnego: laptop jest przechowywany lub pozostaje wyłączony, komputery stacjonarne są wyłączane, a konto zawieszane albo pozostawiane aktywne tylko z uwierzytelnianiem wieloskładnikowym, zależnie od tego, czy osoba potrzebuje zdalnego dostępu. Po powrocie pracownika maszynę trzeba zaktualizować, zanim wróci do sieci. To krok bezpieczeństwa, a nie ocena osoby, i tak należy to zapisać w polityce. Jeśli maszyna musi pozostać włączona, na przykład dla wspólnego zadania, powinna mieć właściciela. NetSenX w każdym planie zgłasza alert, jeśli takie urządzenie zacznie beaconing, skanowanie lub wysyłanie danych, gdy powinno być ciche.

Głównie przez kontrolę, gdzie mogą się podłączyć, a potem obserwację, co tam robią. Wykonawcy zwykle przynoszą własne laptopy, którymi firma nie zarządza i których nie może sprawdzić. Warto dać im osobną sieć lub VLAN z dostępem tylko do systemów potrzebnych w projekcie, konta ograniczone w czasie z uwierzytelnianiem wieloskładnikowym oraz klauzulę umowną o bezpieczeństwie i zgłaszaniu incydentów. Potem monitorować ten segment. W każdym planie NetSenX wymienia widoczne tam urządzenia z nazwą, którą każde ogłasza, oraz datą pierwszego i ostatniego pojawienia się, i zgłasza alerty, gdy laptop wykonawcy skanuje sieć, stale łączy się z nieznanym serwerem zewnętrznym albo łączy się z wewnętrznymi maszynami poza swoim zwykłym wzorcem. Nie widzi wnętrza laptopa ani szyfrowanych sesji. Wykonawcom, tak jak pracownikom, trzeba powiedzieć, co jest monitorowane.

Tak, gdzie to możliwe, bo ogranicza to zasięg niezarządzanego laptopa. W płaskiej sieci laptop wykonawcy stoi obok systemu płacowego, serwerów plików i systemów produkcyjnych, więc każde złośliwe oprogramowanie, które ze sobą przyniósł, może próbować dotrzeć do nich wszystkich. Osobne Wi-Fi lub VLAN, który przez zaporę pozwala tylko na internet i konkretne systemy potrzebne w projekcie, zamienia to w krótką, sprawdzalną listę dozwolonych połączeń. Po zakończeniu projektu dostęp trzeba usunąć. Segmentację robi się w przełącznikach, zaporze i kontrolerze Wi-Fi; NetSenX nie zmienia ustawień sieci ani nie blokuje ruchu. Dodaje sprawdzenie, czy separacja działa: jeśli monitoring pokaże, że urządzenie wykonawcy łączy się z wewnętrznymi hostami spoza dozwolonej listy albo skanuje sieć, zgłosi alert.

Tak, w segmentach monitorowanych przez NetSenX: mapa sieci w każdym planie pokazuje, kiedy każde urządzenie było widziane ostatnio. Po zakończeniu projektu warto sprawdzić, czy urządzenia wykonawców już się nie pojawiają, i zajrzeć ponownie po kilku tygodniach; laptop, który wraca po dacie końcowej, oznacza, że dostępu nie odebrano w całości, czy to przez zapisane hasło do Wi-Fi, profil VPN, czy pozostawione narzędzie zdalnego dostępu. Trzeba to połączyć z krokami administracyjnymi: wyłączyć konta wykonawców w dniu zakończenia, zmienić przekazane im wspólne hasła, usunąć profile VPN i certyfikaty oraz odebrać karty dostępu i sprzęt. Widok sieci nie zna umów ani dat zakończenia, więc warto prowadzić prostą listę urządzeń wykonawców z przewidywaną datą końcową i porównywać ją z mapą.

Nie. Kopiowanie plików na pendrive, dysk zewnętrzny lub telefon podłączony kablem odbywa się wewnątrz komputera i nigdy nie przechodzi przez sieć, więc żaden sensor sieciowy, w tym NetSenX, tego nie zobaczy. Tę lukę zamyka się na stacji końcowej: ustawienia kontroli urządzeń w ochronie stacji końcowych lub w systemie operacyjnym mogą blokować lub rejestrować nośniki wymienne, narzędzia DLP (zapobiegania utracie danych) mogą obserwować kopiowane pliki, a szyfrowanie dysku chroni laptopy służbowe na wypadek zgubienia. Monitoring sieci pomaga dopiero później: jeśli skopiowane dane zostaną potem wysłane z urządzenia firmowego w monitorowanej sieci, nietypowy wolumen danych wychodzących z tego urządzenia może wywołać alert. Trzeba wybrać pasującą kontrolę, wyjaśnić ją pracownikom i przed włączeniem rejestrowania na poziomie plików sprawdzić krajowe przepisy o monitoringu w pracy.

Kontrola na stacji końcowej, a nie narzędzie sieciowe. Większość pakietów ochrony stacji końcowych i funkcje zarządzania wbudowane w aktualne systemy operacyjne mają kontrolę urządzeń: można całkiem zablokować nośniki wymienne, dopuścić tylko szyfrowane nośniki wydane przez firmę albo dostęp tylko do odczytu, a próby rejestrować. Oprogramowanie DLP (zapobiegania utracie danych) idzie dalej i może blokować kopiowanie dokumentów oznaczonych jako poufne. Warto zacząć od najprostszej zasady pasującej do pracy, bo całkowity zakaz często skłania ludzi do wysyłania sobie plików e-mailem, i połączyć ją z szyfrowaniem dysków w laptopach. Zasadę trzeba wpisać do polityki IT i przekazać pracownikom, bo rejestrowanie tego, co kopiują, jest monitoringiem w rozumieniu prawa ochrony danych i prawa pracy. NetSenX tego nie robi; widzi tylko dane, które później przechodzą przez sieć.

Samą wysyłkę, jeśli wychodzi z monitorowanego urządzenia lub segmentu: urządzenie, miejsce docelowe, wolumen i czas, ale nie pliki. Jeśli ktoś skopiuje dane na pendrive w biurze i wyśle je z domu, sieć biurowa tej wysyłki nie zobaczy. Jeśli wysyłka odbywa się z laptopa służbowego z agentem NetSenX albo z komputera w monitorowanym segmencie, NetSenX w każdym planie porównuje ten ruch wychodzący z normalnym wzorcem urządzenia i zgłasza alert, gdy jest nietypowy, na przykład kilka gigabajtów do prywatnej chmury w nocy. Treść pozostaje nieprzeczytana, bo NetSenX nigdy nie odszyfrowuje ruchu. Żeby ustalić, co wysłano, potrzebne są logi usługi chmurowej lub narzędzi na stacjach końcowych, używane w granicach prawa pracy i ochrony danych.

Można ograniczyć, kto w ogóle ma dostęp do konta bezpieczeństwa, i to jest pierwszy krok. Alerty mogą wymieniać urządzenia HR, zarządu czy finansów, a ich nazwy czasem wskazują osoby. Od planu Starter NetSenX obsługuje zarządzanie zespołem z rolami, więc można dodać tylko kilka osób zajmujących się bezpieczeństwem i dać każdej potrzebną rolę; plan Free ma jednego użytkownika. Każdy z dostępem powinien wiedzieć, że alerty są poufne. Jeśli potrzebna jest drobniejsza separacja, na przykład żeby informatycy nie widzieli alertów o laptopie dyrektora HR, warto sprawdzić z nami, co obecnie obsługuje model ról, zanim się na nim oprze, i rozważyć przekazywanie takich alertów małej grupie lub zewnętrznemu dostawcy. Każde działanie na koncie trafia do dziennika audytu w każdym planie.

Zapisuje działania. W każdym planie dziennik audytu NetSenX rejestruje, co użytkownicy robią na koncie: kto zmienił status alertu lub go zamknął, kto zapisał decyzję, kto zmienił ustawienie lub dodał członka zespołu, i kiedy. To daje ślad na potrzeby przeglądów wewnętrznych, audytorów i pytań przedstawicieli pracowników o to, kto zajmował się wrażliwymi alertami. Dziennik audytu ma własny okres przechowywania, rosnący z planem; podaje go strona z cennikiem. Nie należy zakładać, że samo otwarcie czy przeczytanie alertu jest rejestrowane: jeśli potrzebny jest zapis, kto co oglądał, warto zapytać nas, co rejestruje obecna wersja, zanim się to komukolwiek obieca. Dziennik audytu dobrze połączyć z krótką pisemną zasadą, kto i dlaczego może mieć dostęp do alertów bezpieczeństwa.

Tak: uwierzytelnianie dwuskładnikowe jest dostępne w każdym planie, także Free. Dodaje drugi krok logowania, zwykle kod z aplikacji uwierzytelniającej, więc samo skradzione lub odgadnięte hasło nie otworzy konta. Warto włączyć je każdej osobie korzystającej z NetSenX i wpisać do listy onboardingu, bo konto bezpieczeństwa pokazuje, jak zbudowana jest sieć i które urządzenia wywołały alerty, a to dokładnie to, co chciałby przeczytać atakujący. To samo dotyczy wszystkich innych kont administracyjnych: poczty, usług chmurowych, zapory, systemu kopii zapasowych i narzędzi zdalnego dostępu. NetSenX zapisuje też w dzienniku audytu działania i zmiany na koncie, więc nieoczekiwaną aktywność na koncie można przejrzeć. Użytkowników trzeba szybko usuwać, gdy odchodzą z zespołu.

Co jest monitorowane, dlaczego, czego się nie monitoruje, kto to widzi i jak długo jest przechowywane, prostymi słowami i przed rozpoczęciem monitoringu. RODO wymaga od administratorów przekazania jasnych informacji o przetwarzaniu danych osobowych, a prawo pracy wielu krajów dodaje obowiązki powiadomienia lub konsultacji; w Polsce warto sprawdzić przepisy Kodeksu pracy o monitoringu. Dobra informacja mówi: monitorujemy urządzenia firmowe i połączenia sieciowe, żeby wykrywać ataki; zapisujemy metadane połączeń, takie jak adresy, czasy, wolumeny i nazwy serwerów, a nie treść wiadomości czy plików; alerty widzi mały, wskazany zespół; zapisy przechowujemy przez określony czas; z pytaniami prosimy zwracać się do tej osoby. Warto umieścić to w polityce IT i w informacji o ochronie danych dla pracowników oraz aktualizować przy zmianach. Opis tego, co czyta NetSenX, pomaga napisać to precyzyjnie.

Nie. NetSenX raportuje użycie AI według urządzenia i programu, a nie osoby. Od planu Pro pokazuje, które urządzenia łączyły się z jakimi zewnętrznymi usługami AI lub lokalnymi środowiskami modeli, kiedy i ile danych przesłano; tam, gdzie agent działa na samym komputerze, może też wskazać program, który nawiązał połączenie. Nigdy nie odszyfrowuje ruchu, więc nie pokaże, co wpisano, wklejono lub wysłano. Powiązanie urządzenia z osobą to osobny krok, który HR powinien robić tylko z jasnego, zgodnego z prawem powodu, na przykład przy podejrzeniu naruszenia ochrony danych, i z zabezpieczeniami wymaganymi przez politykę firmy i prawo krajowe. Do większości celów nazwiska nie są potrzebne: wiedza, że urządzenia działu finansów wysyłają dane do niezatwierdzonej usługi, wystarczy, by poprawić politykę, zatwierdzić właściwe narzędzie lub zorganizować szkolenie.

Ryzyko wewnętrzne to szkoda wyrządzona przez kogoś z legalnym dostępem: pracownika, wykonawcę lub dostawcę, który celowo nadużywa danych lub systemów, popełnia kosztowny błąd albo traci kontrolę nad swoim kontem. Różnica wobec ataku z zewnątrz to punkt wyjścia: osoba z wewnątrz jest już za drzwiami wejściowymi, z ważnymi danymi logowania i aktywnością wyglądającą normalnie, więc zabezpieczenia zbudowane tylko wokół brzegu sieci jej nie zauważą. Większość incydentów wewnętrznych to błędy, a nie złe zamiary, więc najlepsze środki są proste: dostęp tylko taki, jakiego wymaga rola, odbierany przy zmianie roli, uwierzytelnianie wieloskładnikowe, kopie zapasowe i szkolenia. NetSenX widzi jedną część tego obrazu: nietypowe zachowanie urządzenia, na przykład połączenia z serwerami, z których nigdy nie korzystało, albo duże wysyłki. Nie ocenia intencji i nie obserwuje ludzi.

Tak, mogą o to poprosić, bo RODO daje każdej osobie prawo dostępu do dotyczących jej danych osobowych. Jeśli zapisy sieciowe da się powiązać z pracownikiem, na przykład przez laptopa nazwanego jego imieniem lub adres przypisany do jego komputera, może on zażądać kopii oraz informacji o celach, odbiorcach i okresie przechowywania, z zastrzeżeniem ograniczeń dopuszczonych przez RODO i prawo krajowe, takich jak ochrona praw innych osób czy toczące się postępowanie. Pracodawca jako administrator odpowiada na żądanie w terminie określonym w art. 12 RODO. Warto się przygotować: wiedzieć, gdzie są zapisy bezpieczeństwa, kto może je wyeksportować i jak usunąć z nich dane innych osób. NetSenX jako podmiot przetwarzający wspiera takie żądania zgodnie z umową powierzenia, a jego zapisy dotyczą połączeń urządzeń, a nie treści wiadomości.

Powinien jasno mówić, że urządzenia i sieci firmowe są monitorowane w celach bezpieczeństwa, co to oznacza i gdzie są granice. Przydatna sekcja obejmuje: cel (wykrywanie ataków i ochrona danych, a nie mierzenie wydajności); co jest zapisywane (metadane połączeń z urządzeń i sieci firmowych, a nie treść wiadomości); czy wolno prywatnie korzystać z urządzeń służbowych i jak traktowany jest prywatny ruch; zasady dotyczące urządzeń prywatnych, pendrive'ów, narzędzi zdalnego dostępu i usług AI; kto widzi alerty i jak długo przechowuje się zapisy; co się dzieje, gdy alert dotyczy urządzenia pracownika; do kogo kierować pytania. Tekst powinien być na tyle krótki, by go przeczytano, sprawdzony przez prawnika i, gdzie to wymagane, uzgodniony z przedstawicielami pracowników. NetSenX warto opisać tym, co robi: monitoring urządzeń i połączeń bez odszyfrowywania.

Tak długo, jak są potrzebne do celów bezpieczeństwa i ewentualnych obowiązków prawnych, i nie dłużej: zasada ograniczenia przechowywania z RODO wymaga określonego okresu, a nie trzymania zapisów na wszelki wypadek. Nie ma jednej unijnej liczby dla logów bezpieczeństwa sieci, więc okres trzeba ustalić samemu i zapisać uzasadnienie. Za dłuższym okresem przemawiają zwykle: badanie incydentów wykrytych późno, odpowiedzi dla audytorów, ubezpieczycieli i organów oraz przepisy sektorowe lub krajowe wymagające zapisów; za krótszym: to, że logi dotyczą możliwych do zidentyfikowania pracowników, i to, że mniej danych to mniej do chronienia. Wiele firm wybiera okres liczony w miesiącach dla alertów i dłuższy dla dokumentacji incydentów i decyzji. Okres historii alertów i dziennika audytu w NetSenX zależy od planu; oba podaje strona z cennikiem.

Rozpoznawanie emocji w miejscu pracy jest zakazane, a AI monitorująca lub oceniająca pracowników jest traktowana jako wysokiego ryzyka. Art. 5 aktu w sprawie sztucznej inteligencji (AI Act) zakazuje systemów AI wyciągających wnioski o emocjach osób w miejscu pracy, z wyjątkiem względów medycznych lub bezpieczeństwa, a załącznik III wymienia AI używaną do monitorowania i oceny wydajności i zachowania osób w stosunkach pracy jako systemy wysokiego ryzyka, z surowymi obowiązkami dla dostawców i podmiotów stosujących. Do tego stosuje się RODO i krajowe prawo pracy, a przedstawiciele pracowników często mają głos. Dlatego trzeba uważać na narzędzia, które oceniają produktywność, rejestrują naciśnięcia klawiszy albo analizują twarze i głosy. NetSenX działa inaczej: obserwuje urządzenia i połączenia sieciowe, żeby wykrywać ataki, raportuje użycie AI według urządzenia i programu, nigdy osoby, i nie ocenia pracowników.