Ich würde darauf zurückgreifen, wie Konstruktionsentwürfe analysiert und gemeldet werden: die Analyse der Auswirkungen von Fehlermodi.

Die FMEA wurde entwickelt, um die Zuverlässigkeit neuer Konstruktionen in den USA zu verbessern militärische Ausrüstung. Das Standardformular basiert auf der Herstellung, aber ein Teil der Analyse ist ein möglicher Fehler im Herstellungsprozess, einschließlich menschlicher Fehler oder Sabotage. Die Idee dahinter ist, die potenziellen Probleme zu identifizieren und diese Probleme so früh wie möglich zu erkennen. Welches ist wirklich das gleiche, was Sie hier tun. Nur auf einem virtuellen System, das kein Build-Produkt ist.

Ich würde wahrscheinlich das Standardformular ändern, um die Verwendung etwas zu vereinfachen.

• Führen Sie alle potenziellen Probleme auf im Rahmen Ihrer Rolle. (Fehler)
• Erstellen Sie für jeden Fehler eine Liste der Möglichkeiten, wie der Fehler auftreten kann (Ursachen).
• Erstellen Sie für jeden Fehler eine Liste der möglichen Auswirkungen, die auftreten können.
• Für jede Ursachenrate, wie wahrscheinlich es ist, dass der Fehler sofort erkannt wird, in 1 Tag, 7 Tagen, 30 Tagen
• Für jede Effektrate, wie stark die Wirkung für die Organisation ist
• Für jede Kombination aus Ursache- und Wirkungsrate muss der Aufwand basierend auf dem Zeitpunkt der Erkennung festgelegt werden (sofort, in 1 Tag, 7 Tagen, 30 Tagen).
• Für jede Kombination aus Ursache- und Wirkungsrate, wie oft Sie würden erwarten, dass es auftritt - Hier geht es nicht um eine bestimmte Person. Nur im Allgemeinen, wie oft ein generisches Unternehmen mit dem Ausfall rechnen kann.

Verwenden Sie für Ihre Bewertungen eine Skala von 1 bis 10. Es gibt keine Nullen, denn wenn eine von ihnen 0 wäre, gehören sie überhaupt nicht in das Diagramm.

Skala für das Auftreten:

1 - wahrscheinlich nie 3 - Einmal im Jahrzehnt
5 - Einmal im Jahr
7 - Einmal im Monat
10 - Wird unter normalen Bedingungen stattfinden

Skala Für Effekt

1 - Wenn es nicht repariert wird, hat es nur minimale Auswirkungen oder kann leicht behoben werden.
3 - Kann es umgehen, keine Nacharbeit erforderlich
5 - Kann nicht umgangen werden oder Nacharbeit erforderlich
7 - Kann nicht umgehen und Nacharbeit erforderlich
10 - Unmöglich zu reparieren, oder Reparieren wäre unerschwinglich zeitaufwändig oder teuer

Zur Erkennung würde ich nur 1 = 100% und 10 = 0% in Schritten von 10% ausführen.

Sie können natürlich Ihre eigenen Skalen verwenden. Dies sind diejenigen, die meine Gruppe bei der Entwicklung einiger Skalen entwickelt hat unternehmenskritische Anwendungen für ein Fortune-50-Unternehmen.

Als Informationssicherheitskollege mit ähnlichen Aufgaben als IT-Prüfer spüre ich Ihren Schmerz. :) Unsere Arbeit ist in einem Unternehmen aus einem bestimmten Grund nicht "beliebt", da wir dafür verantwortlich sind, Vermögenswerte zu schützen und die Einhaltung der Sicherheitsbestimmungen zu überwachen. Hervorragende Arbeit, um das Risiko zu erkennen, auch wenn es unwahrscheinlich ist, dass ein Insider böswillige Absichten hat und eine potenzielle Bedrohung für die Sicherheit darstellt.

Sie können absolut nicht zurückweichen, wenn Sie konfrontiert werden um bei Ihrer Arbeit effektiv zu bleiben. Sicherheitsrisiken sind nichts, worüber das Management oder leitende Angestellte normalerweise sprechen möchten. Lernen Sie also zuerst, ein gewisses Maß an Konflikten zu akzeptieren, das der Art Ihres Jobs innewohnt.

Trotzdem ist die vorläufige Liste von @dlb ein guter Anfang. Aus dieser Liste können Sie einige inhärente Risiken ableiten, die mit der privilegierten Administratorrolle verbunden sind. Es ist ziemlich einfach, einige aufzulisten und wie er seine Aktionen verbergen kann:

Das Risiko für die Vertraulichkeit von Datenlecks

Die Der Insider-Administrator kopiert einige sensible Finanzdaten und sendet sie elektronisch aus dem Unternehmen an sich selbst oder einen Konkurrenten. Wettbewerbsinformationen gehen verloren, und der wirtschaftliche Wert der verlorenen Daten kann erheblich sein, möglicherweise sogar das Überleben des Unternehmens.

Das Risiko der Integrität durch nicht autorisiertes Löschen von Daten

Der Administrator beschließt, einige in der Datenbank verwendete Daten zu löschen oder auf andere Weise zu manipulieren mit gespeicherten Daten. Jetzt wurde die Datenintegrität beeinträchtigt und die daraus resultierende möglicherweise falsche Finanzberichterstattung kann zu hohen Bußgeldern führen.

Das Risiko für die Verfügbarkeit durch verschiedene DOS / DDOS-Methoden

Anwendungen, die von Finanzunternehmen verwendet werden, sind häufig zeitkritisch, beispielsweise zur Erfassung von Buchhaltungstransaktionen oder zur Verarbeitung extrem zeitkritischer Asset-Trades auf dem Markt. Ein Angriff, der zum Verlust der Fähigkeit legitimer Benutzer und / oder Kunden führt, auf die Anwendung zuzugreifen, ist ein Verlust aufgrund der Opportunitätskosten der zusätzlichen Zeit, die für die Verarbeitung der ursprünglichen Arbeit erforderlich ist.

Beispiel Informationen darüber, wie der Insider-Administrator seine Aktionen verbergen kann

• Löschen oder manipulieren Sie Überwachungsprotokolle, in denen seine Aktivitäten aufgezeichnet sind.
• Deaktivieren oder manipulieren Sie Anwendungsalarme Möglicherweise vorhandene Funktionen

Machen Sie das Management auf den Unterschied zwischen dem inhärenten Risiko , den Sicherheitsrisiken, die vor der Implementierung von Schutzmaßnahmen bestehen, und dem Restrisiko , das Sicherheitsrisiko, das nach der Implementierung von Sicherheitsmaßnahmen (technisch, administrativ und / oder physisch) bestehen bleibt, ist mein erster Vorschlag an Sie. Verwenden Sie spezifische, konkrete Beispiele für inhärente Risiken und die damit verbundenen Auswirkungen, ähnlich den hier angegebenen Beispielen.

Ohne Sicherheitsvorkehrungen kann jedes der im vorhergehenden Absatz genannten Risiken leicht Auswirkungen auf dieses Finanzsystem haben und zu Verlusten führen An die Firma. Dies bringt mich zu meinem zweiten Vorschlag: Schulung des Managements und anderer nicht sicherheitsbewusster Personen, wie Schutzmaßnahmen wie DLP zur Minderung von Sicherheitsrisiken eingesetzt werden können . Als Beispiel:

Durch die DLP-Implementierung reduzieren wir das Risiko einer Exfiltration sensibler Daten.

Wenn Sie neue Sicherheitskontrollen erläutern oder vorschlagen, die implementiert werden sollen, zitieren Sie Ihre Untersuchungen, um zu zeigen, warum die Implementierung dieser bestimmten Kontrolle / dieses Prozesses die Cybersicherheit verbessert - denken Sie hier an CIA. Lesen Sie Best Practices unter Verwendung von Quellen wie NIST, SANS usw. Dies zeigt, dass Ihre Empfehlungen nicht willkürlich sind, sondern auf soliden Argumenten beruhen. Es ist auch wichtig zu betonen, dass Sie und Ihr Team nicht dazu da sind, die Arbeit anderer zu erschweren, sondern mit ihnen zusammenzuarbeiten, um die Betriebssicherheit zu verbessern. Zeigen Sie, wie gute Sicherheitspraktiken dem Unternehmen zugute kommen - verbesserten Kunden Vertrauen, weniger Ausfallzeiten usw.

Schließlich geht es bei der IT-Sicherheit um Risiken und die Akzeptanz oder Minderung solcher Risiken. Möglicherweise hat Ihr Management einen großen Appetit auf Sicherheitsrisiken und ist bereit, Sicherheitsrisiken im Zusammenhang mit dieser Anwendung zu akzeptieren. Alternativ kann die Kontrollumgebung / der Ton an der Spitze des Unternehmens lasch sein. Das heißt, das Management drängt möglicherweise zurück, weil es ihnen einfach egal ist . Denken Sie an die Kontrollumgebung (oder deren Fehlen) in Unternehmen wie Enron, WorldCom, Tyco.

In beiden Fällen müssen Sie möglicherweise akzeptieren, dass Sie in der Lage sind, Änderungen einzuleiten Eingeschränkt durch Unternehmenskultur und Betriebsphilosophie. Wenn das Management des Unternehmens keine Maßnahmen zur Behebung der festgestellten Schwachstellen ergreifen kann, sollten Sie Ihre Mitteilung an diese dokumentieren, um nachzuweisen, dass Sie Ihre Due Diligence durchgeführt haben. Trotzdem haben wir als IT-Sicherheitsexperten unsere Arbeit erledigt, was das Management Ihres Unternehmens vorhat. Manchmal reicht es aus, eine Warnung zu geben /

Wenn Sie Ihrem Management wirklich die potenziellen Kosten zeigen möchten, die entstehen, wenn eine von Ihnen entdeckte Sicherheitslücke nicht behoben wird, müssen Sie ihnen möglicherweise zeigen, was passieren kann, wenn solche Schwachstellen von Bedrohungsagenten wie verärgerten Insidern, Wettbewerbern usw. ausgenutzt werden. Beispiele wie dieses oder diese sollten ziemlich anschaulich sein.

Gibt es eine Möglichkeit, eine allgemeine Liste potenzieller Risiken und Beschreibungen zu erstellen, z. B.:

1. Versehentlicher Schaden oder Zugriff - die Möglichkeit des unbefugten Zugriffs auf vertrauliche Informationen oder Systeme durch Automatisierung Prozesse.
2. Unkontrollierte oder unzureichende Kennwortkontrollen - Wenn zu einfache Kennwörter zugelassen werden, keine häufigen Änderungen erforderlich sind oder gemeinsame Kennwörter zulässig sind, besteht aus den Gründen X, Y und Z ein Sicherheitsrisiko.
3. Delegation von temporären Kennwörtern Rechte - Personen sollten normalerweise über Zugriffsrechte auf einem Mindestniveau verfügen, das für ihre nominalen Aufgaben erforderlich ist. Zusätzliche Rechte sollten gewährt werden, indem Sie sich zuerst als sich selbst anmelden und dann durch Autorisierung erhöhen. Zu hohe Rechte für eine Aufgabe stellen aufgrund einer Liste von Beispielen ein Risiko dar. Eine Erhöhung für eine Aufgabe hilft dabei, zu verfolgen, wer auf warum zugreift und warum.
ol>

Dies wären generische Regeln, die geschrieben wurden Für die allgemeine Einstufung, nicht als Antwort auf bestimmte Probleme, eher die Liste der Punkte, für die Sie eine Bewertung vornehmen. Unpersönlich und verfügbar, bevor Sie sich mit einer Situation befassen, aber auch eine lebende Liste, die Sie nach Bedarf ergänzen und die möglicherweise viel mehr Punkte enthält.

Ihre drei Szenarien, die Sie vorwegnehmen, passen gut zu den drei Punkten, die ich gemacht habe für Sie. Wenn Sie dann etwas sehen, das Sie betrifft, haben Sie bereits eine vordefinierte Kategorie, zu der es passt, ohne dass es wie eine unmittelbare Anschuldigung erscheint. Wenn jedoch dieselbe Person oder Gruppe hinter vielen Einträgen in vielen Kategorien steckt, wird es offensichtlich, auch ohne zu beschuldigen oder konfrontativ zu sein, dass es sich um ein Problem handelt, das entweder genauer betrachtet oder geschult werden muss.

Wie gut dies funktionieren würde, hängt davon ab über Struktur und Bereitschaft der Menschen, daran zu arbeiten. Tact ist definitiv ein Tool, das möglicherweise nicht immer funktioniert und bei dem keine Identitäten angebracht sind, bis es in den Berichten benötigt wird. Dies kann dazu beitragen, dass es eher institutionell als persönlich bleibt, zumindest bis eine Korrektur der Person vorgenommen werden muss.

Nur Ideen von mir habe gesehen, wie es sich näherte. Kann oder kann nicht in Ihrer Situation helfen.

Sie sprechen von "der Möglichkeit, dass der Administrator eine Insider-Bedrohung darstellt". Sie wählen hier nur die falschen Wörter. Was Sie hier sagen, ist, dass einige Administratoren Insider-Bedrohungen sind und andere nicht, und Ihr Administrator könnte einer der Guten oder einer der Gauner sein.

Sagen Sie stattdessen, dass jeder Administrator eine Insider-Bedrohung darstellt. Es kommt automatisch mit der Position. Auf diese Weise zweifeln Sie nicht an der Ehrlichkeit, Loyalität und Kompetenz der Person, die die Position innehat. Sie geben lediglich etwas an, das der Administrator sowieso weiß.

Lassen Sie sich dann vom Administrator mitteilen, welche Probleme oder Schäden die Person in der Administratorposition verursachen könnte. Welches davon könnte vermieden werden und welches nicht. Lassen Sie ihn oder sie sich wichtig fühlen, weil das Vertrauen, das in sie gesetzt werden muss. Und ich denke, es gibt eine allgemeine Tendenz der Menschen, die Erwartungen anderer zu erfüllen. Wenn das Unternehmen seinen Administratoren vertraut, ist es wahrscheinlicher, dass sie vertrauenswürdig sind.

Das Erkennen einer potenziellen Bedrohung bedeutet nicht "Ich denke, Bob ist möglicherweise schändlich", sondern "Wenn Sie jemals jemanden in einer Position wie dieser schändlich machen sollten, in der er die vollständige und alleinige Kontrolle hat, werden Sie es wissen." Schmerzen." - Die Identifizierung eines solchen Gebiets ist also für die Menschen dort nicht gering. Es ist nur ein "Heads-up", außer dem Insider, der den Schaden anrichten kann, andere Mittel zur Überwachung oder Überprüfung zu haben. Ich denke, dies ist eine ziemlich normale Überlegung in Ihrer Branche, und das Erkennen interner Schwächen ist ein wesentlicher Teil dessen, was sie von Ihnen erwarten.

Ich glaube nicht, dass jemand Anstoß nehmen wird. solange Sie vom funktionalen Standpunkt aus darüber sprechen und sozusagen keine einzelnen Namen benennen.

1) Stellen Sie sicher, dass Ihre Abteilung Sanktionen verhängt und Schulungen für die erforderlichen Mitarbeiter durchführt, in denen die Best Practices für Informationssicherheit und erläutert werden, was Ihr Unternehmen auf der Ebene seiner eigenen Richtlinien erwartet. Stellen Sie außerdem ausdrücklich fest, dass die Richtlinien durchgesetzt werden. Nur weil Mitarbeiter Best Practices kennen und noch nie einen Vorfall hatten, heißt das nicht, dass sie manchmal einfach nicht das Falsche tun. Bieten Sie eine obligatorische jährliche Auffrischung für diejenigen an, die die gesamte Sitzung einmal absolviert haben.

2) Gehen Sie nicht auf Zehenspitzen um mögliche Fehler herum. Die traurige Realität ist in großen, multinationalen Unternehmen, in denen alles "professionell" ist. Einige der schlimmsten Konfrontationen werden von Ihnen ausgehen, wenn Sie versuchen, Ihren Job zu machen. Finanzielle Compliance kommt in den Sinn: Jeder muss es tun, aber wenn Sie in den Fall eines Beraters geraten, dass es nicht tut, landen Sie am beschissenen Ende des Telefongesprächs. Es geht nicht darum, mit den Fingern zu zeigen, sondern Bußgelder, Klagen und Verluste am Arbeitsplatz zu vermeiden. Bis heute habe ich keinen Weg gefunden, dieses Verständnis zu vermitteln.

Das andere Problem, das ich finde, ist, je knapper Ihre Korrespondenz ist, desto wahrscheinlicher ist es, dass andere es als Angriff ansehen. Ein Beispielgespräch: "Hör auf damit, weil es dazu führen wird, dass X und Y passieren, danke" oder "Bitte archiviere dein X, es ist überfällig" usw. Ich finde, dass dies meistens zu Anschuldigungen gegen führt Sie , dass Sie beschuldigen. Sie können versuchen, Ihre Gespräche mit Hecken zu füllen, aber ich werde wahrscheinlich nie verstehen, warum Sie dies überhaupt tun müssten. Mein Verdacht ist, dass Menschen, die eher dazu neigen, Beleidigungen oder Anschuldigungen wahrzunehmen, dies unabhängig von ihrer Absicht tun.

Nur Kommentare, um diese Art von Bedrohung zu erwähnen, werden vom Bereich Informationssicherheit gut verstanden. Tatsächlich ist hier ein PDF des SANS-Instituts, das die verschiedenen Kontrollen beschreibt, die angewendet werden können, um Schäden durch die Insider-Bedrohung zu verhindern. Darüber hinaus werden im PDF auch Methoden erwähnt, die zur Umgehung dieser Steuerelemente verwendet werden können.

Bitte beachten Sie, dass ich die Frage des OP "Wie kann ich mit einem Administrator über die Möglichkeit sprechen?" Nicht direkt beantworte eine Insider-Bedrohung zu sein ", da dieses Gespräch vorteilhafter ist, wenn es mit einem C-Level-Manager stattfindet, der die verschiedenen erforderlichen Kontrollen einrichten kann. Stimmen Sie dem nicht zu? Vielen Dank für Ihren Service bei "Firmenname". Ihr endgültiger Gehaltsscheck befindet sich per E-Mail.

Der PDF-Link - Sicherheitskontrollen für die Mitarbeiterverwaltung