Seu UEBA não consegue detectar isso, e aqui está o que acontece em seguida.

Cada plataforma UEBA desempenha sua função perfeitamente. O problema reside no fato de que muitos riscos de negócio surgem muito antes de qualquer comportamento incomum do usuário ser detectado. Problemas técnicos são frequentemente uma manifestação tardia do risco, e não sua causa raiz.

Um usuário pode autenticar-se normalmente, acessar apenas arquivos autorizados e seguir um fluxo de trabalho definido. No entanto, problemas de integridade, conflitos de interesse, desvios de políticas, pressões organizacionais ou controles de gerenciamento inadequados ainda podem surgir. Uma implementação de UEBA perfeitamente configurada pode passar despercebida porque a telemetria não revela anomalias.

É por isso que seu UEBA não consegue detectá-lo. Isso não é um argumento contra a análise do comportamento de usuários e entidades, mas sim contra a dependência exclusiva da telemetria técnica como uma visão abrangente do risco corporativo. Os líderes de segurança precisam de uma camada adicional de risco humano , baseada na análise de risco comportamental, que forneça um contexto organizacional prévio e direcione as preocupações para uma governança responsável.

Seu UEBA está funcionando exatamente como esperado.

A UEBA foi projetada para analisar a atividade observável em identidades, dispositivos, aplicativos, redes e dados. Ela detecta desvios do comportamento técnico esperado e ajuda os analistas a determinar se esses desvios correspondem a uma violação de conta, abuso de privilégios, vazamento de dados, movimentação lateral ou outro problema de segurança.

Este projeto é inestimável. Anomalias de autenticação, acesso privilegiado incomum, acesso inesperado a arquivos, movimentação anormal de dados, atividade na nuvem e alterações de identidade constituem evidências significativas. Tecnologias como SIEM, DLP, EDR, IAM, XDR e detecção de ameaças internas continuam sendo mecanismos de controle fundamentais para empresas modernas.

O erro está em pedir a esses sistemas que respondam a perguntas para as quais não foram projetados.

O risco muitas vezes começa mesmo antes do registro.

Um funcionário do departamento financeiro pode sentir-se compelido a contornar um processo de revisão. Um gerente pode normalizar as isenções concedidas a um fornecedor preferencial. Um departamento pode gradualmente deixar de aplicar as políticas internas, com os prazos sistematicamente prevalecendo sobre os controles. Uma equipe pode desenvolver maus hábitos de tomada de decisão, com cada login, solicitação de arquivo e sessão do sistema tornando-se rotineira.

A telemetria de segurança tradicional pode registrar eventos que ocorrem dentro de um sistema. No entanto, geralmente não consegue explicar por que uma decisão se tornou mais fácil de justificar , se um ambiente de controle está se deteriorando ou se várias pessoas na mesma posição estão sofrendo as mesmas pressões de governança.

Um estudo revisado por pares sobre ameaças internas não intencionais identificou fatores recorrentes relacionados à tomada de decisões, tarefas, acidentes e organização , demonstrando que as condições de risco podem existir mesmo antes da ocorrência de uma anomalia técnica ( estudo sobre ameaças internas não intencionais ). Outro estudo com tomadores de decisão em instituições financeiras estabeleceu uma ligação entre risco comportamental e conflitos de interesse entre a organização e os interesses pessoais, restrições contextuais frágeis e mecanismos inadequados de auditoria e feedback sobre as decisões ( pesquisa sobre erros organizacionais e humanos em instituições financeiras ).

Princípio orientador: A ausência de um alerta indica apenas que o comportamento técnico monitorado permaneceu dentro dos limites esperados. Isso não comprova que o ambiente de governança seja saudável.

A mudança estratégica é simples: consiste em manter o foco da UEBA em comportamentos técnicos, adicionando um recurso separado para indicadores humanos e organizacionais. Essa combinação promove a governança proativa sem implicar que um indicador de risco constitua prova de culpa, intenção, engano ou irregularidades futuras.

O que a UEBA está observando e por que isso continua sendo importante.

A principal vantagem da UEBA reside no seu acesso a evidências técnicas estruturadas. Ela permite comparar a atividade atual de um usuário com padrões estabelecidos e identificar combinações que justifiquem investigação.

Uma implementação típica poderia considerar:

• Anomalias de autenticação: conexões originadas de locais, dispositivos ou padrões de tempo incomuns.

• Acesso privilegiado: modificações na atividade administrativa, uso de autorizações ou acesso a sistemas sensíveis.

• Movimentação de arquivos e dados: downloads, transferências, uploads ou acesso a repositórios incomuns, fora dos padrões normais de trabalho.

• Movimentos laterais: Conexões e comportamentos que sugerem que uma conta ou dispositivo está se movendo dentro do ambiente.

• Atividade na nuvem: alterações no uso de SaaS, acesso ao armazenamento, compartilhamento e comportamento do aplicativo.

• Anomalias de identidade: alterações inesperadas que afetam contas, funções, sessões ou entidades associadas.

As linhas de base exigem tempo e manutenção.

A implementação do UEBA normalmente requer um período inicial de 90 dias para distinguir variações legítimas de comportamentos suspeitos, conforme descrito no caso de uso do UEBA da Sumo Logic e na apresentação sobre ameaças internas . Durante as primeiras semanas, ações legítimas, embora pouco frequentes, podem gerar falsos positivos. Os analistas devem refinar as regras de correlação e normalizar a atividade por função, localização e horário antes de confiar no fluxo de alertas.

Esse processo de referência é importante porque um limite estático pode não detectar exfiltrações lentas e pouco frequentes, além de introduzir ruído conforme as funções, estações do ano, projetos ou processos de negócios mudam. O mesmo resumo indica que a análise de comportamento do usuário baseada em aprendizado de máquina (UEBA) pode reduzir os falsos positivos em até 60% em comparação com a detecção baseada em regras, mas também destaca sua dependência operacional. Para alcançar esse resultado, são necessários ciclos contínuos de feedback e manutenção da configuração de referência, e não uma configuração única.

As limitações da UEBA não diminuem seu valor, mas sim definem sua função. Ela detecta manifestações técnicas, correlaciona evidências e apoia investigações. Não oferece uma visão abrangente da integridade, da cultura organizacional, dos conflitos éticos ou da qualidade do controle gerencial.

O ponto cego que seu UEBA não consegue ver.

Uma grande instituição financeira pode ter procedimentos de autenticação padronizados, enquanto uma equipe de negociação de ações está sob pressão para priorizar a receita em detrimento dos controles. Uma entidade governamental pode apresentar um acesso padrão ao sistema, enquanto soluções alternativas informais se tornam comuns. Um serviço de saúde pode manter o uso pretendido dos aplicativos, enquanto a escassez de pessoal e os problemas de comunicação aumentam o risco de divulgação não intencional.

Nenhuma dessas condições gera necessariamente um alerta UEBA.

Três situações que deixam as equipes de segurança às cegas

Questões éticas e de integridade podem surgir em primeiro lugar. Um indivíduo pode enfrentar um conflito de interesses, pressão de um superior ou uma crescente tendência a desrespeitar as regras sem modificar os sistemas que utiliza. Contanto que esse indivíduo não execute nenhuma ação técnica incomum, a UEBA não tem desvio comportamental a avaliar.

O risco pode estar concentrado em uma única função, mesmo que cada usuário pareça ter habilidades normais. Vários funcionários do mesmo departamento podem apresentar indicadores elevados relacionados a problemas de conformidade com políticas ou governança. Se cada funcionário continuar acessando os sistemas dentro do seu escopo autorizado, suas habilidades técnicas individuais podem parecer normais. A concentração é organizacional, não necessariamente digital.

O comportamento pode mudar gradualmente sem qualquer anormalidade aparente. Uma pessoa pode tornar-se menos rigorosa nas suas aprovações, documentação, relatórios ou procedimentos, embora continue a cumprir as suas responsabilidades profissionais habituais. Estas mudanças graduais geralmente permanecem abaixo dos limiares definidos para detetar desvios súbitos.

Um relatório da IBM de 2024 revelou que 83% das organizações sofreram pelo menos um ataque interno no ano anterior , enquanto 48% relataram que o problema se tornou significativamente mais frequente nos últimos 12 meses ( Relatório de Ameaças Internas da IBM de 2024 ). O mesmo relatório observou que a proporção de organizações que sofreram entre 11 e 20 ataques internos aumentou de 4% para 21% em relação ao ano anterior , ilustrando a rapidez com que um ambiente de risco pode se agravar, ultrapassando os limites de um simples monitoramento reativo.

Este contexto altera a questão colocada aos líderes. Já não se trata simplesmente de saber se a plataforma detetou um acesso invulgar, mas também de quais as condições organizacionais que poderiam aumentar a probabilidade de uma decisão prejudicial e de quem é o responsável pela resposta.

Para o planejamento prático da resposta após uma exposição externa, as equipes de segurança também podem consultar diretrizes sobre como responder aos resultados da análise da dark web , especialmente quando informações externas precisam ser integradas à governança interna.

https://www.youtube.com/embed/KFQJk-w3u2U

Uma análise mais aprofundada dessa distinção surge no nível do fator humano, que os programas tradicionais de detecção de ameaças internas não consideram . A ideia essencial é simples: a UEBA (Análise Comportamental Única das Organizações) observa o comportamento do sistema. A gestão de riscos humanos, por outro lado, examina o contexto organizacional em que as decisões são tomadas.

Introdução da camada de risco humano por meio da análise de risco comportamental.

A análise de risco comportamental oferece capacidades de governança que o monitoramento técnico por si só não consegue proporcionar. Ela revela o contexto organizacional existente, indicadores de risco comportamental e da força de trabalho, áreas críticas e informações para a tomada de decisões por parte dos responsáveis por recursos humanos, conformidade, segurança, assuntos jurídicos, auditoria interna e gestão de riscos corporativos.

Também deve ter limites claros.

A análise de risco comportamental não estabelece culpa, intenção, engano ou conduta ilícita futura . Ela não transforma uma preocupação em acusação. Fornece aos tomadores de decisão autorizados informações estruturadas que podem servir de base para revisão, mitigação de riscos, treinamento, validação de acesso, medidas de gestão ou investigações adicionais.

O modelo de três camadas

A dimensão humana permite a compreensão de indicadores organizacionais, sinais de governança, riscos relacionados ao trabalho e visibilidade da gestão. Ela ajuda os líderes a identificar situações de pressão, desvios de políticas, fragilidades nos controles ou preocupações específicas que exigem atenção especial.

A camada de cibersegurança inclui tecnologias como UEBA, SIEM, DLP, EDR, IAM, XDR e detecção de ameaças internas. Esses sistemas monitoram continuamente a autenticação, o acesso, os dispositivos, os aplicativos, as redes e a movimentação de dados.

A camada de governança transforma informações em ações responsáveis por meio de gerenciamento de casos, automação de fluxos de trabalho, responsabilização por riscos, auditoria interna, conformidade regulatória, revisão jurídica e painéis de gestão.

Essa arquitetura ajuda a evitar uma armadilha comum. As equipes de segurança não devem receber indicadores de risco humano como alegações não estruturadas, e os recursos humanos não devem ter que interpretar dados de segurança brutos e descontextualizados. Cada nível mantém sua respectiva responsabilidade, ao mesmo tempo que compartilha uma visão operacional controlada.

A implementação concreta pode incluir estruturas organizacionais documentadas, questões de governança, avaliações iniciais, perfis de risco, regras de encaminhamento e processos de revisão.A análise de risco comportamental e seu papel na governança corporativa fornecem um parâmetro útil para definir essa capacidade sem reduzi-la ao mero monitoramento de funcionários.

O valor reside na complementaridade . A análise do comportamento do usuário (UEBA) pode identificar transferências de dados incomuns. A análise de risco humano pode revelar que um departamento tem problemas de conformidade com as políticas não resolvidos ou que seus controles de gestão precisam ser revisados. Os processos de governança podem então determinar as ações apropriadas, os indivíduos responsáveis por revisá-las e as evidências necessárias.

Como integrar sistemas de alerta precoce em processos de governança

Não trate a gestão de riscos humanos como um painel de controle isolado. Integre-a aos processos de governança existentes na sua empresa e defina responsabilidades antes que os primeiros sinais de alerta apareçam.

Vamos começar pelo contexto empresarial.

Identifique as funções críticas da empresa, os cargos de alto risco, os processos sensíveis e os objetivos de governança. Os setores bancário, de seguros, defesa, saúde, energia, manufatura, telecomunicações, varejo, transporte, tecnologia e administração pública apresentam diferentes níveis de risco. Um limite único e universal seria confuso.

Configure departamentos, cargos, estruturas hierárquicas, questões de governança e responsabilidades de risco. Especifique quais questões se enquadram em recursos humanos, conformidade, segurança, assuntos jurídicos, auditoria interna, gestão de riscos ou gestão geral.

Defina o percurso antes da escalada.

Um relatório relativo ao cumprimento de políticas pode ser da alçada do departamento de Compliance ou de Recursos Humanos. Uma violação dos controles pode exigir a intervenção da Gestão de Riscos ou da Auditoria Interna. Um relatório que indique atividade técnica suspeita deve ser encaminhado ao departamento de Segurança, com a participação do departamento Jurídico em casos que envolvam confidencialidade, relações trabalhistas ou gestão de provas.

Siga estes passos de implementação:

1. Estabelecer uma avaliação inicial: criar um perfil de risco organizacional inicial e documentar as premissas em que se baseia.

2. Configure painéis de gestão: visualize tendências, concentrações, estoque em aberto, responsabilidades e status sem expor informações pessoais desnecessárias.

3. Criar regras de roteamento: definir as condições para o envio de informações para Recursos Humanos, Conformidade Regulatória, Segurança, Departamento Jurídico, Auditoria Interna ou Gestão de Riscos.

4. Integrar a gestão de casos: vincular indicadores aos fluxos de trabalho existentes para investigações, ações corretivas, treinamento, revisão de acesso e auditoria.

5. Analise periodicamente as tendências: ajuste os temas e limites de governança de acordo com as mudanças nas prioridades, estruturas e controles da empresa.

Mantenha o processo proporcional

Um indicador de risco humano deve desencadear uma análise, não uma ação automática. A gestão deve avaliar o contexto, verificar os fatos relevantes, documentar a justificativa e implementar a resposta menos intrusiva possível para solucionar o problema.

Um indicador recorrente em uma área operacional pode desencadear treinamento gerencial, esclarecimento de políticas, testes de controle ou uma auditoria. Não deve levar automaticamente a medidas disciplinares. Organizações cujos funcionários lidam com informações confidenciais e utilizam ambientes Microsoft também podem se beneficiar da revisão das melhores práticas de segurança de dados do M365 para líderes de RH , principalmente quando as informações de RH precisam ser gerenciadas em conjunto com processos de segurança e governança.

Vinculando evidências humanas e técnicas

O fluxo de trabalho operacional deve continuar em ambos os níveis:

• Avaliação de riscos humanos: identificação de indicadores organizacionais emergentes.

• Análise gerencial: Priorize as áreas que requerem atenção especial.

• Encaminhamento de governança: Atribua o problema à função apropriada.

• Ação de liderança: Analise o contexto e escolha uma resposta proporcional.

• Monitoramento de cibersegurança: Continue monitorando os indicadores técnicos por meio de UEBA, SIEM, DLP, EDR, IAM e controles associados.

• Apoio à investigação: em caso de incidente técnico, vincular o contexto de governança às evidências técnicas.

• Lições aprendidas: aprimorar os controles, o treinamento, os fluxos de trabalho e a resiliência.

Essa abordagem permite maior visibilidade sem implicar que um sistema possa prever com precisão comportamentos repreensíveis.

Governança, privacidade e IA responsável sem supervisão.

Um sistema de gestão de riscos humanos está fadado ao fracasso se os funcionários e os reguladores o perceberem como vigilância secreta. Seu projeto deve ser baseado em escopo limitado, proporcionalidade, transparência, responsabilidade e controle humano.

O modelo operacional deve estar em conformidade com as obrigações e princípios aplicáveis, incluindo as Diretrizes da EEOC sobre IA no Emprego , a Lei de Proteção ao Empregado contra Testes de Polígrafo e as diretrizes do Departamento do Trabalho dos EUA , a Lei de Privacidade da Califórnia , a Lei Local 144 da Cidade de Nova York (quando aplicável) e os princípios do GDPR . A Ordem Executiva Presidencial 14395 e a iniciativa Diretiva Nacional Antifraude do Departamento de Justiça também ilustram a crescente importância da governança proativa e dos controles internos aprimorados.

A plataforma deve ser claramente definida:

• Isto não é vigilância.

• Isto não é um teste de polígrafo.

• Este não é um sistema de detecção de fraudes.

• Não toma decisões de contratação automatizadas.

• Gera indicadores para uma revisão humana informada.

Essa distinção é importante tanto do ponto de vista operacional quanto jurídico. As organizações devem documentar a finalidade do processamento, restringir o acesso apenas a revisores autorizados, reter somente as informações necessárias, explicar como o sistema funciona e proibir seu uso para avaliações de produtividade ou decisões automatizadas de pessoal. Devem também envolver os departamentos jurídico, de recursos humanos e de compliance, bem como os representantes dos funcionários, quando aplicável.

Uma visão geral prática da análise de risco humano e da governança focada na privacidade pode ajudar os líderes a enxergarem essa capacidade como uma ferramenta de tomada de decisão, e não como um critério de desempenho. Os princípios gerais de proteção de dados para equipes modernas também são relevantes quando as organizações projetam controles sobre informações sensíveis dos funcionários.

Inteligência artificial responsável não significa abandonar sinais úteis. Envolve limitar as afirmações do sistema, as pessoas autorizadas a agir com base em suas conclusões e a forma como as decisões são documentadas.

Valor agregado para gestores e indicadores a serem monitorados

A justificativa comercial para a implementação de um sistema de gestão de riscos humanos não deve se basear em perdas hipotéticas evitadas. É necessário mensurar se os gestores obtêm maior visibilidade e se a organização gerencia os problemas com mais rigor.

Dica:

• Duração do ciclo de investigação: o tempo necessário para ir desde a notificação de um problema até a tomada de decisão documentada.

• Priorização de arquivos: Os problemas mais importantes são resolvidos antes dos irrelevantes e de baixo valor?

• Eficiência do fluxo de trabalho: Quão eficazmente os departamentos de recursos humanos, segurança, conformidade regulatória, assuntos jurídicos, auditoria e gestão de riscos compartilham responsabilidades?

• Esforço de preparação para auditoria: a velocidade com que as equipes conseguem gerar evidências de revisão, ação e responsabilização.

• Tempo de resposta da gestão: o tempo necessário para a gestão identificar e abordar os indicadores organizacionais relevantes.

A mesma lógica se aplica aos setores bancário, de seguros, administração pública, defesa, saúde, infraestrutura crítica, energia, manufatura, telecomunicações, varejo, transporte e tecnologia. Cada setor requer detecção técnica, mas também depende das pessoas que tomam as decisões dentro de uma estrutura de políticas, incentivos, hierarquias e restrições operacionais.

Para CISOs, CROs, CCOs, diretores de RH e gerentes de auditoria, a lista de verificação para tomada de decisões é simples:

1. Mapeamento das responsabilidades humanas, cibernéticas e de governança.

2. Definindo os limites da privacidade e do controle humano.

3. Instruções para os proprietários responsáveis.

4. Certifique-se de que o UEBA e os controles técnicos estejam funcionando conforme o esperado.

5. Meça a qualidade das respostas, a velocidade do fluxo de trabalho e a verificabilidade.

A Logical Commander Software Ltd. oferece o E-Commander, uma plataforma configurável e que respeita a privacidade, para governança e análise de riscos comportamentais. Essa plataforma centraliza a análise de riscos, fluxos de trabalho estruturados, painéis de controle, documentação de evidências e suporte à decisão multifuncional. Visite o site da Logical Commander Software Ltd. para descobrir como uma abordagem centrada no ser humano para a gestão de riscos pode complementar seus programas de UEBA, SIEM, DLP, EDR, IAM e de combate a ameaças internas.