Insider threat

Vnitřní hrozba se od většiny kybernetických útoků liší tím, že nepotřebuje překonávat ochranné mechanismy. Pachatel nebo nositel rizika má platný účet, zná interní procesy a často i ví, kde jsou uložena cenná data. Jeho činnost se proto jen obtížně odlišuje od běžné práce. Insider threat přitom nezahrnuje jen kybernetickou bezpečnost. Projevem vnitřní hrozby může být i průmyslová špionáž, sabotáž, krádež duševního vlastnictví, podvod nebo násilí na pracovišti.

Podstata vnitřní hrozby

Bezpečnostní opatření organizací jsou tradičně zaměřena na ochranu perimetru, tedy hranice mezi vnitřní sítí a okolním světem. Firewally, filtrování e-mailů nebo ochrana před průnikem mají zabránit tomu, aby se útočník dostal dovnitř. Vnitřní hrozba ale tuto hranici obchází, protože její původce má legitimní přístup. Každý zaměstnanec potřebuje k výkonu své práce určitá oprávnění a každé oprávnění lze zneužít nebo ztratit.

Vnitřní hrozba nemusí vycházet ze zlého úmyslu. Velkou část incidentů způsobují zaměstnanci, kteří chybují, nedodržují pravidla nebo sami podlehnou podvodu. Například odešlou citlivý dokument na nesprávnou adresu, ponechají data ve veřejně přístupném cloudovém úložišti, vloží firemní informace do neschváleného AI nástroje nebo zadají přihlašovací údaje na podvodné stránce.

Úmyslná vnitřní hrozba mívá jiné příčiny než útoky zvenčí. Vedle finančního zisku hraje roli nespokojenost se zaměstnavatelem, pocit křivdy po propuštění nebo nepovýšení, ideologické přesvědčení, nátlak nebo vydírání. Pachatelé často jednají v době, kdy se chystají z organizace odejít, a chtějí si například k novému zaměstnavateli nebo pro vlastní podnikání odnést cenná data, typicky databázi zákazníků nebo firemní know-how.

Historie a vývoj

Zneužití důvěry lidmi zevnitř organizací bylo dlouho především předmětem kontrarozvědky a ochrany utajovaných informací. Systematický výzkum vnitřních hrozeb v oblasti informačních technologií zahájilo v roce 2001 centrum CERT při Software Engineering Institute Univerzity Carnegieho–Mellonových ve spolupráci s americkou tajnou službou (Secret Service).

Zlomem se stal rok 2010, kdy zpravodajská analytička americké armády Chelsea Manningová předala organizaci WikiLeaks stovky tisíc utajovaných dokumentů. Mimo jiné v reakci na tento případ vydal prezident Barack Obama v říjnu 2011 výkonné nařízení, které uložilo federálním úřadům s utajovanými sítěmi zavést programy pro odhalování vnitřních hrozeb. V červnu 2013 pak zveřejnil Edward Snowden, externí pracovník americké Národní bezpečnostní agentury (NSA), rozsáhlé informace o programech plošného sledování. Případ ukázal, že vnitřní hrozbu mohou představovat i dodavatelé se širokými správcovskými oprávněními.

Typy vnitřních hrozeb

Vnitřní hrozby se obvykle člení podle úmyslu a podle vztahu osoby k organizaci:

• Neúmyslná hrozba vzniká nedbalostí nebo omylem. Zaměstnanec poruší bezpečnostní pravidla z pohodlnosti, neví o riziku nebo jednoduše chybuje. Přestože nejde o úmyslný útok, může být škoda stejně vysoká.
• Úmyslná hrozba zahrnuje vědomé zneužití přístupu, například krádež dat, sabotáž systémů, podvod nebo vyzrazení informací. Pachatel jedná ve svůj prospěch, z pomsty nebo v zájmu někoho jiného.
• Kompromitovaný insider je zaměstnanec, jehož účet nebo zařízení ovládl vnější útočník, například prostřednictvím phishingu nebo malwaru. Útočník pak jedná pod jeho identitou a s jeho oprávněními, sám zaměstnanec o tom ale neví.
• Koluzivní hrozba vzniká spoluprací zaměstnance s vnějším útočníkem, typicky po uplacení, vydírání nebo naverbování. Spojuje znalost prostředí s prostředky a cíli organizované skupiny.
• Hrozba třetích stran pochází od dodavatelů, poskytovatelů služeb, servisních techniků nebo externích pracovníků, kteří mají přístup do systémů organizace, ale nepodléhají stejné kontrole jako vlastní zaměstnanci.
• Infiltrovaný insider je osoba, která se do organizace dostala pod falešnou identitou nebo s předem skrytým záměrem, aby mohla zevnitř získávat informace nebo připravit útok. Známým příkladem jsou pracovníci ze Severní Koreje, kteří se pod falešnými nebo odcizenými identitami nechávají zaměstnat na dálku v IT firmách.

Varovné signály vnitřních hrozeb

Vnitřní hrozbu nelze odhalit jediným ukazatelem, ale kombinací technických a behaviorálních signálů. Mezi technické signály patří neobvyklé objemy stahovaných nebo odesílaných dat, přístup k systémům, které zaměstnanec ke své práci nepotřebuje, činnost mimo pracovní dobu nebo z neobvyklých míst, kopírování dat na přenosná média či do soukromých cloudových úložišť, pokusy o rozšíření oprávnění, vypínání bezpečnostních nástrojů nebo mazání záznamů o činnosti.

Behaviorální signály souvisejí s chováním a situací lidí. Patří k nim otevřená nespokojenost se zaměstnavatelem, konflikty na pracovišti, porušování pravidel, nevysvětlitelné změny životní úrovně, finanční potíže nebo snaha získat informace mimo vlastní působnost. Výzkum centra CERT ukazuje, že pachatelé úmyslných incidentů často vykazovali takové signály ještě před činem. Rizikové je zejména období kolem ohlášení odchodu z organizace, kdy zaměstnanci častěji odnášejí data, ke kterým měli přístup.

Samotný signál ale neznamená vinu. Jednotlivé ukazatele mohou mít běžné vysvětlení a jejich vyhodnocení vyžaduje kontext a lidské posouzení, aby nedocházelo k neoprávněnému podezírání zaměstnanců.

Souvislosti s dalšími hrozbami

Vnitřní hrozby se prolínají s řadou dalších typů útoků. Phishing, whaling a další techniky sociálního inženýrství z řádného zaměstnance snadno udělají kompromitovaného insidera. Útoky typu BEC zase zneužívají toho, že zaměstnanec v dobré víře provede platbu na pokyn podvodníka. Odcizené přihlašovací údaje umožní útočníkovi vydávat se za legitimního uživatele a dále eskalovat oprávnění.

Specifickou podobou neúmyslné vnitřní hrozby je shadow AI, kdy zaměstnanci vkládají citlivá data do neschválených nástrojů umělé inteligence. Podobně mohou vývojáři nedbalým zacházením s přístupovými klíči otevřít cestu k útokům, jako je LLMjacking. Úmyslná vnitřní hrozba může být naopak součástí ransomwarového útoku nebo státem podporované špionáže, kdy útočníci zaměstnance cíleně vyhledávají a verbují do svých služeb.

Na straně obrany je přirozenou odpovědí na vnitřní hrozby architektura nulové důvěry (zero trust), která vychází z předpokladu, že automaticky nelze důvěřovat ani uživateli uvnitř sítě. Každý přístup se proto ověřuje a omezuje jen na to, co uživatel v danou chvíli skutečně potřebuje.

Dopady vnitřních hrozeb

Vnitřní incidenty bývají nákladné, protože pachatel ví, kde jsou nejcennější data, a jeho činnost může dlouho zůstat skrytá. Náklady přitom rostou s dobou, po kterou zůstává incident neodhalen.

Vedle přímých finančních ztrát hrozí ztráta obchodního tajemství a konkurenční výhody, narušení provozu při sabotáži, sankce za únik osobních údajů a poškození důvěry zákazníků i partnerů. Vnitřní incidenty navíc narušují vztahy na pracovišti a důvěru mezi zaměstnanci a vedením.

Obrana proti vnitřním hrozbám

Účinnou ochranu před vnitřními hrozbami nelze zajistit jen pomocí technologií. Vyžaduje komplexní program řízení vnitřních hrozeb, do kterého budou zapojeni bezpečnostní tým, personální oddělení, právníci i vedení organizace. Mezi hlavní opatření patří:

• Prověřování zaměstnanců při náboru, včetně ověřování identity a dokladů. Při práci na dálku je vhodné ověřovat totožnost osobně nebo prostřednictvím důvěryhodných služeb a sledovat, kam jsou doručována služební zařízení.
• Princip minimálních oprávnění a oddělení povinností, aby žádný jednotlivec nemohl sám provést kritickou operaci, například schválit a odeslat platbu. Citlivé operace by měly vyžadovat souhlas dvou osob.
• Pravidelná revize oprávnění, protože uživatelé při změnách pozic a projektů postupně hromadí práva, která už nepotřebují.
• Správa privilegovaného přístupu (Privileged Access Management, PAM) a přístup just in time pro správce, včetně záznamu privilegovaných relací.
• Prevence ztráty dat (Data Loss Prevention, DLP), která sleduje a omezuje přenos citlivých dat e-mailem, na přenosná média, do cloudových úložišť a do AI nástrojů.
• Analýza chování uživatelů a entit (User and Entity Behavior Analytics, UEBA), která pomocí strojového učení vytváří profil běžného chování a upozorňuje na odchylky od něj.
• Řízený odchod zaměstnanců, při kterém jsou přístupy zrušeny nejpozději v okamžiku ukončení spolupráce a zvýšená pozornost se věnuje činnosti v období před odchodem.
• Vzdělávání a firemní kultura, protože informovaní zaměstnanci méně chybují, lépe rozpoznají pokus o manipulaci a nahlásí podezřelé chování nebo pokus o naverbování. Důležitá je i možnost bezpečně a anonymně upozornit na problém.

Důležité je vyvážení bezpečnosti a důvěry. Přehnané sledování může poškodit pracovní prostředí, snížit loajalitu zaměstnanců a samo se stát zdrojem nespokojenosti, která vnitřní hrozbu zvyšuje. Monitorování zaměstnanců navíc omezuje zákoník práce i obecné nařízení o ochraně osobních údajů (GDPR). Sledování proto musí být přiměřené a zaměstnanci o něm musí být předem informováni.

Budoucí vývoj vnitřních hrozeb

Vnitřní hrozby se mění spolu s povahou práce. Cloudové služby, práce na dálku a používání vlastních zařízení zaměstnanců (Bring Your Own Device, BYOD) rozostřují hranice organizace a ztěžují kontrolu nad daty. Umělá inteligence pomáhá útočníkům vytvářet falešné identity a deepfake videa pro pracovní pohovory. Obráncům naopak AI umožňuje rychleji vyhodnocovat chování uživatelů a odhalovat v něm neobvyklé vzorce.

Novou kategorii vnitřních identit tvoří AI agenti, kteří v organizaci pracují s oprávněními svých uživatelů a mají přístup k datům i systémům. Mohou se stát nástrojem vnitřní hrozby, pokud je zmanipuluje útočník nebo pokud dostanou příliš široká oprávnění.