Zaufanie w zespołach rozproszonych: kiedy brak bezpośredniego kontaktu staje się problemem bezpieczeństwa informacji
Kontekst: praca zdalna zmieniła sposób, w jaki organizacja „widzi” swoich ludzi
Znowelizowana ustawa o Krajowym Systemie Cyberbezpieczeństwa (KSC), wdrażająca dyrektywę NIS2, wymaga od podmiotów kluczowych i ważnych wdrożenia środków dotyczących bezpieczeństwa zasobów ludzkich, kontroli dostępu oraz zarządzania ryzykiem związanym z łańcuchem dostaw – w tym z osobami, które nie są bezpośrednimi pracownikami organizacji, a mimo to mają dostęp do jej systemów lub danych: kontraktorami, freelancerami, zespołami podwykonawców. Przepisy te powstawały w czasach, gdy standardem był jeszcze model pracy biurowej. Tymczasem znaczna część zespołów odpowiedzialnych dziś za rozwój oprogramowania, administrację systemami czy obsługę klientów objętych NIS2/KSC pracuje w modelu rozproszonym – zdalnie, w różnych strefach czasowych, często z udziałem osób zatrudnionych na innej podstawie niż umowa o pracę.
Ten model organizacyjny ma realne zalety: dostęp do szerszej puli kompetencji, elastyczność, niższe koszty. Ma też konsekwencje, o których rzadko mówi się wprost w kontekście compliance: zmienia sposób, w jaki organizacja buduje zaufanie do ludzi i w jaki sposób – często nieświadomie – wychwytuje sygnały, że coś jest nie tak. W biurze zaufanie buduje się częściowo mimochodem: przez wspólny lunch, przypadkową rozmowę na korytarzu, obserwację, że ktoś ostatnio wygląda na zestresowanego albo zaczął zostawać po godzinach bez wyraźnego powodu. W zespole rozproszonym te mimowolne kanały informacji w dużej mierze znikają. Zostaje wyłącznie to, co ktoś świadomie zaplanował – a jeśli nikt tego nie zrobił, organizacja traci zdolność do wczesnego rozpoznania ryzyka, zanim zamieni się ono w incydent.
Ten artykuł pokazuje, dlaczego praca rozproszona zmienia dynamikę zaufania w zespole w sposób mający bezpośrednie znaczenie dla ryzyka insider threat, czyli zagrożenia pochodzącego od osób mających legalny dostęp do systemów organizacji, oraz jak budować w takich zespołach zarówno zaufanie, jak i mechanizmy kontrolne, nie traktując tych dwóch celów jako wzajemnie się wykluczających.
Mechanizm: jak buduje się i jak pęka zaufanie, gdy nie widzimy się na żywo
Zaufanie błyskawiczne w zespołach tymczasowych i rozproszonych. Koncepcja opisana przez badaczy organizacji Debrę Meyerson, Karla Weicka i Roderika Kramera pokazuje, że w zespołach, których członkowie nie mają czasu ani okazji zbudować zaufania w tradycyjny sposób – poprzez powtarzalne, bezpośrednie interakcje – powstaje mechanizm zastępczy, określany jako zaufanie błyskawiczne (ang. swift trust). Członkowie takiego zespołu zaczynają współpracę, obdarzając się zaufaniem niemal automatycznie, opierając je nie na osobistym doświadczeniu, lecz na kategoriach: skoro ktoś ma określone stanowisko, certyfikat czy został formalnie zatrudniony przez organizację, zakłada się, że zasługuje na zaufanie na poziomie zbliżonym do osoby dobrze znanej. To rozwiązanie praktyczne – bez niego zespół rozproszony w ogóle nie mógłby zacząć sprawnie współpracować. Ma jednak istotną słabość z punktu widzenia bezpieczeństwa: zaufanie błyskawiczne opiera się na założeniach, a nie na obserwacji, i rzadko jest później świadomie aktualizowane na podstawie faktycznego zachowania danej osoby, dopóki nie wydarzy się coś wyraźnie niepokojącego.
Redukcja mimowolnego nadzoru koleżeńskiego. W pracy stacjonarnej znaczna część wczesnych sygnałów ryzyka – zarówno technicznego, jak i ludzkiego – jest wychwytywana nie przez formalne procedury, lecz przez zwykłą, ciągłą obecność innych ludzi wokół. Ktoś zauważa, że kolega loguje się do systemu, do którego zwykle nie ma potrzeby zaglądać, że zostaje wyjątkowo długo po godzinach, że jego zachowanie się zmieniło. Badacze bezpieczeństwa organizacyjnego określają ten efekt jako nieformalny, rozproszony nadzór koleżeński – nikt go formalnie nie planuje, a mimo to działa jako naturalny mechanizm wczesnego ostrzegania. W zespole rozproszonym ten kanał w dużej mierze zanika. Praca odbywa się w izolacji fizycznej, a interakcje ograniczają się często do zaplanowanych spotkań i sformalizowanej komunikacji, w której trudniej dostrzec sygnały niewerbalne czy zmiany w zachowaniu, jeśli nikt świadomie ich nie szuka.
Teoria bogactwa medium. Koncepcja rozwijana między innymi przez Richarda Daft i Roberta Lengela pokazuje, że różne kanały komunikacji różnią się zdolnością do przenoszenia informacji pozawerbalnej – tonu głosu, mimiki, mowy ciała, kontekstu sytuacyjnego. Rozmowa twarzą w twarz jest medium bogatym; wiadomość tekstowa na komunikatorze – medium ubogim. Zespoły rozproszone, zwłaszcza pracujące asynchronicznie, komunikują się w dużej mierze za pośrednictwem mediów ubogich, co ogranicza zdolność do wychwycenia subtelnych sygnałów niepokoju, frustracji czy narastającego konfliktu, zanim przerodzą się one w coś poważniejszego – w tym w decyzję o działaniu na szkodę organizacji.
Paradoks kontroli i zaufania. Badania nad monitorowaniem pracowników pokazują zjawisko dobrze udokumentowane, choć często ignorowane przy projektowaniu zabezpieczeń: nadmierne, jawne monitorowanie działań pracowników – rejestrowanie każdego kliknięcia, stałe śledzenie aktywności, częste, niezapowiedziane kontrole – może paradoksalnie zwiększać, a nie zmniejszać ryzyko związane z insider threat. Dzieje się tak z dwóch powodów. Po pierwsze, intensywny nadzór bywa odczytywany jako sygnał braku zaufania, co obniża zaangażowanie i lojalność wobec organizacji – a niskie zaangażowanie jest jednym z udokumentowanych czynników zwiększających ryzyko zachowań szkodliwych, także tych niezamierzonych. Po drugie, jawne, przewidywalne mechanizmy kontrolne uczą osobę o złych zamiarach, gdzie dokładnie przebiega granica nadzoru, co ułatwia jej obejście. Skuteczne zarządzanie ryzykiem insider threat wymaga więc równowagi, a nie maksymalizacji kontroli.
Typologia zagrożenia wewnętrznego. W analizie ryzyka insider threat przydatne jest rozróżnienie trzech odrębnych profili, ponieważ każdy wymaga innego podejścia zarządczego. Pierwszy to insider złośliwy – osoba świadomie działająca na szkodę organizacji, na przykład z powodu konfliktu, chęci zemsty po zwolnieniu czy korzyści finansowej. Drugi to insider niedbały – osoba bez złych intencji, która przez nieuwagę, brak wiedzy lub obejście niewygodnej procedury tworzy realne ryzyko, na przykład zapisując dane firmowe na prywatnym urządzeniu z powodu wygody pracy zdalnej. Trzeci to insider przejęty – osoba, której tożsamość lub dostęp został wykorzystany przez zewnętrznego napastnika, często bez jej wiedzy. W zespołach rozproszonych ryzyko rośnie w każdej z tych trzech kategorii: złośliwy insider ma mniej okazji do bycia zaobserwowanym, niedbały insider działa w mniej kontrolowanym środowisku technicznym poza siedzibą firmy, a przejęta tożsamość jest trudniejsza do zweryfikowania, gdy nikt nigdy nie widział danej osoby na żywo.
Zespół rozproszony nie jest z definicji bardziej ryzykowny niż zespół pracujący z jednego biura. Problem pojawia się wtedy, gdy organizacja przenosi model zaufania wypracowany dla pracy stacjonarnej wprost do środowiska zdalnego, zakładając, że mechanizmy, które kiedyś działały mimochodem – ktoś zauważy, ktoś zapyta – nadal będą działać same z siebie. Nie będą. Trzeba je świadomie zaprojektować od nowa.
Kamil Ciaś, współzałożyciel betternow.group | Chief Information Security Officer | Dyrektor ds. Bezpieczeństwa Informacji / Dyrektor ds. Cyberbezpieczeństwa
Jak budować zaufanie i bezpieczeństwo jednocześnie w praktyce
Z naszego doświadczenia we wspieraniu organizacji z rozproszonymi zespołami budowanie bezpieczeństwa informacji w takim środowisku nie polega na zwiększaniu liczby narzędzi monitorujących, lecz na świadomym zaprojektowaniu tego, co w pracy stacjonarnej działo się samo.
Odtworzenie rytuałów, które zastępują mimowolny nadzór koleżeński. Skoro zespół rozproszony traci naturalne okazje do wzajemnej obserwacji, warto świadomie wprowadzić regularne, krótkie punkty kontaktu, które nie służą wyłącznie raportowaniu zadań, ale dają przestrzeń do zauważenia zmiany w sposobie funkcjonowania kolegi z zespołu – rosnącego wycofania, nietypowej drażliwości, spadku zaangażowania. To nie jest inwigilacja; to świadome odtworzenie funkcji, którą w biurze pełniła zwykła obecność ludzi wokół siebie.
Weryfikacja tożsamości i uprawnień proporcjonalna do ryzyka, nie do wygody wdrożenia. W zespołach, w których część osób nigdy nie spotkała się fizycznie z resztą organizacji, szczególnego znaczenia nabiera rzetelna weryfikacja na etapie wejścia do projektu oraz jasne, okresowo przeglądane zasady dostępu do systemów krytycznych – z automatycznym wygaszaniem uprawnień po zakończeniu współpracy, a nie poleganiem na tym, że ktoś pamięta, by je ręcznie odebrać.
Kontrola oparta na zdarzeniach i anomaliach, a nie na ciągłej, jawnej inwigilacji. Zgodnie z opisanym wyżej paradoksem kontroli i zaufania, skuteczniejsze niż stałe śledzenie każdej czynności pracownika jest monitorowanie wzorców dostępu do danych i systemów – nietypowej pory logowania, nieproporcjonalnie dużego pobrania danych, dostępu do zasobów niezwiązanych z bieżącymi zadaniami – połączone z jasną, znaną wszystkim polityką, dlaczego takie mechanizmy istnieją. Transparentność co do zasad zmniejsza poczucie inwigilacji, zachowując jednocześnie zdolność do wykrycia anomalii.
Jasna, spisana procedura offboardingu, testowana tak samo jak procedura obsługi incydentu. Znaczna część udokumentowanych przypadków insider threat wiąże się z okresem tuż przed lub tuż po zakończeniu współpracy – momentem najwyższego ryzyka emocjonalnego i najniższej kontroli, jeśli proces odbierania dostępów jest rozciągnięty w czasie lub zależny od pojedynczej osoby, która akurat może być niedostępna. W zespołach rozproszonych, gdzie zakończenie współpracy z kontraktorem bywa mniej sformalizowane niż zwolnienie pracownika etatowego, ten moment wymaga szczególnej uwagi proceduralnej.
Świadome budowanie zaufania zadaniowego, zanim stanie się ono krytyczne. Zaufanie błyskawiczne, opisane wcześniej, jest dobrym punktem startowym, ale nie powinno pozostać jedyną podstawą współpracy przez cały czas jej trwania. Warto świadomo planować sytuacje, w których członkowie zespołu rozproszonego rzeczywiście poznają swój sposób pracy – wspólne rozwiązywanie trudniejszego problemu, przegląd kodu czy konfiguracji prowadzony wspólnie, a nie wyłącznie automatyczną akceptacją – tak, by zaufanie oparte na założeniach stopniowo zastępowało zaufanie oparte na obserwowanym zachowaniu.
Kultura zgłaszania niepokojących sygnałów bez oskarżania. Podobnie jak w przypadku zgłaszania wątpliwości technicznych, o czym pisałam już w tej serii, zespół potrzebuje jasnego, bezpiecznego kanału do zgłoszenia obserwacji dotyczącej zachowania innej osoby – bez założenia, że taki sygnał automatycznie oznacza oskarżenie o złe intencje. Może chodzić równie dobrze o kogoś przeciążonego pracą i bliskiego popełnienia niedbałego błędu, jak o sytuację wymagającą poważniejszej weryfikacji.
Studium przypadku
Firma świadcząca zdalne wdrożenia i utrzymanie systemów ERP dla producentów działających w łańcuchach dostaw sektora motoryzacyjnego i maszynowego, obsługująca kilkunastu klientów objętych NIS2/KSC jako podmioty ważne, została sama zakwalifikowana jako podmiot świadczący usługi w łańcuchu dostaw tych podmiotów. Zespół konsultantów i programistów liczący 26 osób pracował w modelu w pełni zdalnym i rozproszonym geograficznie, z udziałem zarówno pracowników etatowych, jak i kilku doświadczonych specjalistów zatrudnionych na zasadzie kontraktu B2B, w tym jednego współpracującego z firmą od czterech lat, odpowiedzialnego za moduł integracji systemów ERP z systemami planowania produkcji u klientów.
Współpraca z tym kontraktorem zakończyła się po tym, jak firma zdecydowała się na reorganizację części zespołu i przeniesienie odpowiedzialności za dany moduł do nowo zatrudnionego pracownika etatowego. Decyzja została przekazana kontraktorowi mailowo, z miesięcznym okresem wypowiedzenia, bez rozmowy na żywo – standardowa praktyka w organizacji, w której większość istotnych ustaleń odbywała się w formie pisemnej. Kontraktor formalnie zaakceptował decyzję i przez kolejne tygodnie realizował zaplanowane zadania przekazania wiedzy.
Nikt w organizacji nie zauważył sygnałów, które – jak wykazała późniejsza analiza – były obecne, choć rozproszone: kontraktor zaczął logować się do repozytorium kodu poza swoimi zwykłymi godzinami pracy, w tym w weekendy, oraz pobierał lokalnie znacznie więcej plików, niż wymagało tego bieżące zadanie przekazania obowiązków. Ponieważ zespół nie miał zwyczaju regularnych, nieformalnych rozmów wykraczających poza status zadań, a komunikacja odbywała się niemal wyłącznie przez system zgłoszeń i krótkie wiadomości tekstowe, żaden z tych sygnałów nie został przez nikogo skonfrontowany z drugą osobą – zabrakło zarówno okazji do zaobserwowania zmiany w zachowaniu, jak i kanału technicznego, który automatycznie oznaczyłby nietypowy wzorzec dostępu.
Dopiero rutynowy przegląd bezpieczeństwa, przeprowadzony kilka tygodni po zakończeniu współpracy z kontraktorem w ramach przygotowań do audytu zgodności z NIS2/KSC, ujawnił, że jego konto dostępowe do repozytorium nie zostało formalnie wyłączone – proces offboardingu zakładał odebranie dostępów przez kierownika projektu, ale nie istniała żadna automatyczna kontrola ani termin wymuszający wykonanie tego kroku, a kierownik, przeciążony jednoczesną rekrutacją zastępcy, po prostu o tym zapomniał. Analiza logów wykazała, że kilka dni po formalnym zakończeniu współpracy doszło do jednorazowego, obszernego pobrania fragmentów kodu źródłowego modułu integracyjnego, wykorzystywanego u kilkunastu klientów z sektora motoryzacyjnego i maszynowego, z adresu IP niezwiązanego wcześniej z żadną aktywnością tej osoby. Firma nie miała dowodów na to, w jakim celu dane zostały pobrane, ale sam fakt nieautoryzowanego dostępu do kodu źródłowego komponentu wykorzystywanego u wielu podmiotów objętych NIS2/KSC po zakończeniu współpracy stanowił zdarzenie podlegające obowiązkowi zgłoszenia jako incydent bezpieczeństwa.
Analiza po zdarzeniu nie doprowadziła do jednoznacznego ustalenia złych intencji byłego kontraktora – równie prawdopodobnym wyjaśnieniem pozostawało, że dostęp nie został odebrany na czas z powodu zaniedbania proceduralnego, a samo logowanie mogło wynikać z rutyny, której osoba po prostu nie zdążyła jeszcze zmienić. To właśnie ta niepewność stała się dla firmy najważniejszą lekcją: brak wcześniejszej, systematycznej kontroli sprawił, że organizacja nie potrafiła odróżnić zaniedbania od celowego działania, mimo że konsekwencje prawne i wizerunkowe obu scenariuszy były analogiczne.
Firma wprowadziła po incydencie automatyczne wygaszanie dostępów powiązane bezpośrednio z datą zakończenia umowy w systemie kadrowym, niezależne od działania pojedynczej osoby odpowiedzialnej za offboarding, a także system automatycznego oznaczania nietypowych wzorców pobierania danych z repozytoriów kodu. Wprowadzono również cotygodniowe, krótkie spotkania całego zespołu programistycznego poświęcone wyłącznie bieżącym trudnościom i samopoczuciu w pracy, niezwiązane z raportowaniem statusu zadań – z jasną intencją odtworzenia przestrzeni do zauważenia zmian, które w pracy stacjonarnej byłyby widoczne same z siebie.
W zespołach rozproszonych bardzo łatwo pomylić brak sygnałów z brakiem problemu. W rzeczywistości oznacza to często tylko tyle, że organizacja nie zbudowała kanałów, którymi te sygnały mogłyby do niej dotrzeć. Zaufanie do ludzi, z którymi współpracujemy zdalnie, nie powinno być mniejsze niż do osób pracujących obok nas – ale musi być świadomie budowane i odświeżane, a nie zakładane raz na początku współpracy i nigdy więcej niekwestionowane.
Edyta Müller-Ciaś, współzałożycielka betternow.group | Chief Change & Culture Officer | dyrektorka ds. rozwoju organizacji | ekspertka ds. zarządzania zmianą i psychologii biznesu
Wnioski praktyczne
- Praca w modelu rozproszonym nie zwiększa sama w sobie ryzyka insider threat, ale eliminuje wiele nieformalnych mechanizmów wczesnego ostrzegania, które w pracy stacjonarnej działały mimochodem – organizacja musi je świadomie zaprojektować od nowa, zamiast zakładać, że zadziałają same.
- Zaufanie błyskawiczne, typowe dla zespołów tymczasowych i rozproszonych, jest niezbędne do sprawnego rozpoczęcia współpracy, ale nie powinno pozostać jedyną podstawą relacji przez cały czas jej trwania – warto świadomie budować zaufanie oparte na obserwowanym zachowaniu, nie tylko na założeniach wynikających z formalnej roli.
- Nadmierne, jawne monitorowanie pracowników może paradoksalnie zwiększać ryzyko insider threat poprzez obniżenie zaangażowania i ujawnienie granic kontroli – skuteczniejsze jest monitorowanie wzorców i anomalii, połączone z transparentną, znaną wszystkim polityką.
- Moment zakończenia współpracy, zwłaszcza z kontraktorami i osobami spoza standardowej struktury zatrudnienia, jest okresem najwyższego ryzyka i wymaga zautomatyzowanych, niezależnych od pojedynczej osoby mechanizmów odbierania dostępów, testowanych równie regularnie jak procedury obsługi incydentów.
- Rozróżnienie insidera złośliwego, niedbałego i przejętego pozwala projektować proporcjonalne środki zaradcze – nie każdy sygnał ryzyka wymaga tej samej reakcji, ale każdy wymaga istnienia kanału, którym w ogóle dotrze do osób decyzyjnych.
Czy Twoja organizacja wie, jak długo po zakończeniu współpracy z kontraktorem lub pracownikiem zdalnym jego dostępy do systemów pozostają aktywne? BetterNow.Group łączy wiedzę techniczną z zakresu cyberbezpieczeństwa z doświadczeniem w projektowaniu procesów budujących zaufanie i bezpieczeństwo w zespołach rozproszonych jednocześnie, zamiast traktować je jako cele wzajemnie się wykluczające. Skontaktuj się z nami.