Nie każdy nadmierny dostęp zaczyna się od próby otwarcia chronionego modułu. Użytkownik może mieć prawo do wielu pojedynczych odczytów, a mimo to zebrać z nich obraz marż, zaległości lub kondycji całej grupy kontrahentów. O ryzyku świadczą kolejność operacji, szerokość filtrów i przejście od podglądu do eksportu. Lokalna analiza logów ERP i CRM ma wychwycić taką sekwencję bez przekazywania danych finansowych do publicznej usługi, przekazać człowiekowi opis przesłanek i nie blokować automatycznie zwykłej pracy sprzedaży ani finansów.
Dozwolone operacje, nadmierny zakres
Handlowiec może otworzyć saldo klienta przed rozmową, przejrzeć jego rabaty i pobrać raport dla własnego regionu. Każda z tych czynności mieści się w uprawnieniach. Inaczej wygląda sesja, w której konto szybko przechodzi między wieloma kontrahentami, poszerza zakres terytorialny, dołącza marże i kończy pracę eksportem. Zebrany obraz wykracza wtedy poza zadanie wynikające z roli, choć żadna pojedyncza operacja nie została odrzucona przez ERP.
Sama liczba rekordów jest zbyt słabą podstawą alarmu. Rozliczenie miesiąca, zastępstwo w finansach albo przygotowanie uzgodnionego raportu mogą wymagać szerszej pracy. Ocena musi uwzględniać aktywną rolę, proces biznesowy i typowy sposób korzystania z danego uprawnienia. Nietypowy przebieg jest powodem do wyjaśnienia, nie dowodem nadużycia.
Co mówi kolejność odczytów?
Znaczenie ma zmiana kierunku sesji. Konto najpierw ogląda pojedynczą należność, potem salda kolejnych firm, następnie porównuje rabaty i marże, a na końcu pobiera szeroki zestaw. Taka sekwencja różni się od cyklicznego raportu uruchamianego przez znany proces, nawet jeśli oba przypadki obejmują podobną liczbę wierszy.
Dla każdej roli potrzebny jest własny punkt odniesienia. Księgowość naturalnie pracuje na wielu dokumentach podczas zamknięcia okresu. Sprzedaż częściej koncentruje się na jednym kliencie lub regionie. Osoba pełniąca czasowe zastępstwo może mieć szerszy dostęp przez określony termin. Model porównuje bieżące operacje z tym kontekstem. Jedna norma dla wszystkich użytkowników nie odda różnic między rolami.
Alert zachowuje drogę od pierwszego odczytu do czynności, która zmieniła ocenę. Operator widzi kategorię danych, rolę, źródło sesji, użyte filtry i rodzaj eksportu. Nie potrzebuje pełnej treści faktur ani nazw wszystkich kontrahentów, aby rozpoznać przejście od obsługi jednej sprawy do przekroju finansowego wielu firm.
Tylko dane potrzebne do oceny
Do warstwy analitycznej trafiają przede wszystkim identyfikator konta, rola, typ operacji, kategoria danych, czas zdarzenia, źródło połączenia i identyfikator procesu. Kwota, nazwa kontrahenta lub treść dokumentu są dopuszczane wyłącznie wtedy, gdy konkretnej reguły nie da się ocenić na metadanych. Każde pole ma opisany cel, krąg odbiorców i termin usunięcia.
Administrator ERP odpowiada za strumień zdarzeń i aktualną mapę ról. Finanse opisują biznesowe znaczenie odczytów, a bezpieczeństwo ustala, które połączenia zdarzeń wymagają reakcji. Materiał użyty do strojenia nie może zostać luźną kopią bazy. Po zakończeniu pracy jest usuwany zgodnie z przyjętą zasadą, natomiast dziennik zachowuje zakres oraz podstawę dostępu.
Analiza obok ERP i CRM
Kolektor, baza zdarzeń i lokalny model działają niezależnie od systemów transakcyjnych. ERP zapisuje fakturę, CRM obsługuje klienta, a zdarzenia trafiają do oceny osobnym kanałem. Awaria analizy nie zatrzymuje sprzedaży. Nieprzetworzone wpisy mogą poczekać na wznowienie, o ile zachowano ich kolejność i zabezpieczenie przed ponownym wczytaniem.
Warstwę aplikacyjną i bazę zdarzeń połączone prywatną siecią można uruchomić na serwerach wirtualnych G2E. Jest to infrastruktura dla rozwiązania przygotowanego przez firmę lub integratora, a nie gotowa funkcja wykrywania anomalii. Dostęp administracyjny, aktualizacje modelu i zmiany reguł podlegają temu samemu zapisowi co obsługa alarmów.
Po awarii potrzebne są nie tylko pliki serwera, lecz także spójny zestaw danych: baza zdarzeń, właściwa wersja modelu, aktywne reguły, otwarte sprawy i historia działań. Zespół ustala, jak długo dział finansów może pracować bez analizy i od którego zdarzenia system ma wznowić przeliczanie. Sposób ochrony musi odpowiadać temu, jak rozwiązanie zapisuje zdarzenia i ponownie analizuje ich sekwencje.
Sygnał dla człowieka
Słaby przypadek może pozostać w obserwacji, na przykład szeroki raport zgodny ze znanym zadaniem. Połączenie wielu kategorii finansowych z eksportem kieruje sprawę do wyjaśnienia. Najcięższy sygnał uzasadnia zabezpieczenie logów oraz czasowe ograniczenie sesji, konta lub możliwości pobierania, ale po ocenie skutku dla bieżącej pracy.
Administrator ustala konto, źródło połączenia i obowiązujące uprawnienia. Osoba z bezpieczeństwa porównuje podobne sekwencje, a finanse wyjaśniają, czy istniał powód biznesowy. Tok postępowania zapisuje jedna wskazana osoba, dzięki czemu sprzedaż dostaje bezpieczny sposób dokończenia pilnej obsługi, a korekta zbyt szerokiej roli trafia do ERP lub CRM.
Pierwszy zakres może objąć jeden wrażliwy proces, na przykład płatności albo rozliczenie miesiąca, oraz niewielki, jasno opisany zestaw reguł. Najważniejsze są kompletne logi, zrozumiałe uzasadnienia i alarmy, które da się rozpatrzyć bez zgadywania. Dopiero taki materiał pokazuje, czy firma rzeczywiście widzi niebezpieczne połączenia odczytów, zanim rozbuduje analizę na kolejne obszary.