Граф связей сотрудников: как найти инсайдера по коммуникациям

Как строится граф: источники данных о коммуникациях

Граф строится по тем каналам, которые система мониторинга перехватывает и обрабатывает в рамках настроек. Зафиксированные взаимодействия отображаются как связи между узлами, а события агрегируются в единую сеть за выбранный период.

Что может отображать граф при настроенном перехвате:

• электронную почту;
• мессенджеры и звонки в поддерживаемых каналах, включая SIP, Viber, Microsoft Teams, Zoom и другие корпоративные коммуникации;
• передачу файлов и документов через контролируемые каналы.

Источники данных о коммуникациях:

Архив коммуникаций. Граф строится на базе зафиксированных коммуникаций: система сохраняет переданные и полученные данные, а затем эти данные можно использовать для поиска и анализа при расследовании. Быстро находить нужные данные помогают поиск и инструменты контентного анализа: словари, регулярные выражения, хеши и цифровые отпечатки.

Внешние и внутренние узлы. На графе отдельно видны внутренние узлы — сотрудники — и внешние: партнеры, клиенты, личные адреса, домены конкурентов. Внешние узлы могут интересовать аналитика в первую очередь, поскольку устойчивая связь с внешним адресом, которая не относится к рабочим задачам, отображается в графе как одна заметная линия и требует проверки.

Как по графу вычислить инсайдера: маркеры и паттерны

Мало построить граф — нужно понимать, что на нем искать: как распознать инсайдера по схеме связей, а не просто увидеть сеть точек. Сама по себе схема ничего не доказывает: подозрительный узел требует проверки аналитиком, а не автоматического вывода о виновности. Но есть паттерны, которые могут повышать вероятность инсайдерской активности.

Маркеры возможного инсайдерского риска на графе:

• Резкий рост числа внешних контактов у сотрудника, который раньше в основном вел внутреннюю переписку.
• Переписка с адресами конкурентов или с бывшими коллегами.
• Узел-посредник — сотрудник, связывающий два отдела без очевидной необходимости.
• Всплеск активности и новых контактов незадолго до увольнения.
• Связи в обход иерархии — например, общение с внешним контуром через сотрудника, формально не участвующего в проекте.
• Совпадение с кругом лиц из категории «сотрудники, чаще других теряющие данные», если это подтверждается другими сигналами.

Ни один из этих признаков не обвинение в инсайдерстве само по себе, но совпадение нескольких паттернов на одном узле может стать поводом для проверки. Вывод делает специалист по безопасности.

Граф связей дает сигнал, но решение о проверке принимает специалист по безопасности на основе дополнительных данных.

Граф в связке с UBA и риск-скорингом

Граф дает пользу в связке с системой поведенческого анализа (UBA) и с риск-скорингом.

Система поведенческого анализа анализирует активность сотрудника — время работы, продуктивные и непродуктивные приложения и программы, изменение данных, веб-трафик и переписку. В DLP-системе SecureTower информация об активности сотрудников отображается в модуле «Активность пользователей».

Риск-скоринг в модуле «Анализ рисков» помогает классифицировать сотрудников и инциденты по уровню риска. Появление новой аномальной связи на графе связей стоит сопоставлять с изменением риск-балла и другими сигналами.

Законность анализа коммуникаций и внедрение без демотивации

Анализ переписки и графа связей связан с обработкой персональных данных сотрудника, поэтому вопрос правомерности здесь не второстепенный. Формулировка «можно следить, если предупредили» — сильное упрощение.

Для правомерного контроля важно учитывать несколько элементов:

1. средство мониторинга закреплено в локальном нормативном акте и, при необходимости, отражено в трудовом договоре или связанных документах;
2. сотрудник ознакомлен с правилами мониторинга под подпись;
3. цель обработки данных определена по 152-ФЗ, при этом контроль касается служебных коммуникаций и корпоративных ресурсов, а не личной переписки вне рабочих каналов.

Внедрение проходит проще, если объявить о мониторинге открыто и объяснить цель — защиту данных компании, а не тотальную слежку. Это может снизить риск демотивации коллектива. Дополнительно снизить риск утечки помогает разграничение прав доступа к чувствительным данным. О том, как организовать законный контроль сотрудников, мы писали в отдельном материале.

Заключение

Граф взаимосвязей сотрудников — инструмент раннего выявления инсайдерского риска: он показывает, кто, с кем и с какой интенсивностью общается, где связь выглядит аномальной и где стоит проверить посредника утечки. Работает это в связке трех вещей: собраны данные коммуникации, есть привязка к активности пользователя и модулю анализа риска, а установленный в компании контроль правомерен и не нарушает законодательство.

Часто задаваемые вопросы

• Что такое граф связей сотрудников простыми словами?

   

  Визуализация коммуникаций в виде сети: сотрудники и внешние контакты — узлы, переписка и звонки между ними — линии-связи, их толщина показывает интенсивность общения.

• Как по графу коммуникаций понять, что сотрудник — инсайдер?

   

  Граф может показать паттерны для проверки: рост внешних контактов, переписку с конкурентами, большое количество нарушений политик безопасности и всплеск активности перед увольнением.

• Чем граф связей в DLP отличается от визуализации в тайм-трекере?

   

  Тайм-трекер показывает активность за день, а граф в DLP строится на зафиксированных коммуникациях и работает в связке с активностью пользователей и анализом рисков.

• Нужно ли уведомлять сотрудников о мониторинге коммуникаций?

   

  Да. Правила мониторинга нужно закрепить в локальных документах компании и ознакомить сотрудников под подпись.

• Как граф связан с анализом риска и активностью пользователей?

   

  Граф показывает зафиксированные связи, активность пользователей помогает анализировать поведение и рабочий контекст сотрудников, а анализ рисков помогает формировать списки сотрудников по уровню риска.