Сценарий: контекст к DLP-инциденту
Из инцидента DLP — timeline действий на АРМ за 15 минут до и после события.
STP-UAM · B2B
STP UAM
Мониторинг активности пользователей на рабочих станциях
Задача
При инциденте ИБ непонятно, что делал пользователь на АРМ в момент события. Employee monitoring продаётся как «контроль продуктивности» — конфликт с HR. UAM отдельно от DLP и SIEM — аналитик собирает скриншоты вручную.
Для кого
Команды ИБ и compliance: CISO — контекст для DLP/UBA/SIEM без «Big Brother» для HR; аналитик SOC — timeline за минуты; DPO — security-only scope с privacy notice. Явно не для KPI продуктивности.
Возможности
Полный состав функций. Нажмите «?», чтобы узнать, зачем это руководителю и сотрудникам — без технических деталей.
- Что делал человек за компьютеромПри разборе инцидента видно, какими программами пользовались и что было на экране в нужный час. Это контекст для проверки, не ежедневный отчёт для HR.
- Файлы и флешки на рабочем местеВидно, копировали ли документы на съёмный диск или в необычную папку. Нужно, когда разбирают возможную утечку.
- Запись ввода по решению службы безопасностиВ исключительных расследованиях можно восстановить, что вводили на рабочем месте. Включается политикой безопасности, не как слежка отдела кадров.
- Лента событий с фильтром и выгрузкойРасследование собирается в понятную ленту по человеку и времени. Материалы можно официально выгрузить для комиссии.
- Связка с инцидентом утечкиРядом с фактом «ушёл файл» видно, что происходило на компьютере за четверть часа. Картина складывается, а не два отдельных журнала.
- Запись экрана по событиюЕсли сработала защита данных, можно сохранить, что было на экране в этот момент. Доказательная база для внутреннего разбора.
- Прозрачные правила и доступ только у ИБСотрудников предупреждают о контроле. Смотреть ленту может служба безопасности, а не линейный руководитель «на всякий случай».
- Контроль и на компьютерах LinuxИнженеры и серверные места не выпадают из картины. Расследование не заканчивается фразой «там Linux, мы не видим».
Выгоды для бизнеса
- Быстрее расследования insider risk и утечек
- Security-only позиционирование — меньше сопротивления HR
- Единый агент STP с DLP/UBA — одна установка на АРМ
Почему STP, а не отдельный инструмент
- Цель — ИБ-расследования, не HR metrics (запрещено by design)
- Native связка с DLP, UBA, SIEM и IRM-карточкой
- Triggered recording по политике, не continuous surveillance
Модели поставки
В вашем контуре — развёртывание на вашей инфраструктуре или в вашем облаке.
Облако STP — быстрый пилот без подготовки собственной инфраструктуры.
Точную модель выбираем после знакомства с вашей инфраструктурой и требованиями безопасности.
Сравнение с лидерами класса
Тот же класс, что у лидеров мониторинга действий на рабочем месте — для расследований ИБ, не для оценки продуктивности.
Мир: Teramind · Proofpoint ITMРФ: SearchInform ProfileCenter · StaffCop Enterprise
| Что важно покупателю | STP UAM | Отдельные лидеры рынка |
|---|---|---|
| Зачем смотреть компьютер | Контекст для службы безопасности: что происходило в момент инцидента | Тот же класс у лидеров. Часто продают ещё отчёты «кто сколько работал» — другой разговор с HR |
| Связка с утечкой и поведением | Лента действий рядом с инцидентом защиты данных и карточкой риска | Отдельный журнал или выгрузка в другую систему |
| Прозрачность для сотрудников | Правила заранее, доступ к ленте — у ИБ, не у линейного руководителя «на всякий случай» | Часть рынка заточена под контроль эффективности, а не под расследование |
| Доказательная база | Фильтры, выгрузка, запись по событию — для комиссии, без круглосуточного видео всех экранов | Постоянная запись экрана есть как опция; это больше хранения и выше риск конфликта с HR |
STP UAM закрывает мониторинг действий наравне с лидерами класса и сразу связан с защитой данных. Это инструмент ИБ, а не система слежки за сотрудниками.
Вопросы по STP UAM
UAM — это слежка за сотрудниками?
Нет. STP UAM для ИБ-расследований; нет KPI продуктивности; доступ только ролям security/investigator.
Постоянная запись экрана?
Только по триггеру (DLP/UBA) или в рамках активного investigation — по политике, не continuous surveillance.
Чем UAM отличается от UBA?
UAM фиксирует действия (события). UBA анализирует поведение и выявляет аномалии. В STP IRM работают вместе с DLP.
Типовые сценарии работы
Короткие схемы показывают, как продукт помогает пользователю, ИТ-команде и руководителям в типовых ситуациях.
Дополняет на платформе STP
Модули, которые усиливают STP UAM в комплексной цифровой рабочей среде. На первой встрече обсудим, что действительно нужно внедрять сейчас.
STP DLP
Политики на данные дополняются фактическими действиями пользователя на рабочем месте.
Подробнее →STP UBA
UAM фиксирует действия, а UBA помогает увидеть необычное поведение.
Подробнее →STP SIEM
Единая картина: инфраструктура + пользовательская активность.
Подробнее →Часто выбирают вместе с STP UAM
Если вы выбираете несколько модулей, мы можем объединить их в пакет. Точный расчёт зависит от модели размещения, масштаба и состава внедрения.
STP IRM
−15%Комплекс для внутренних рисков: контроль данных, действия пользователей и аналитика поведения в одном контуре.
Security Core
−15%Мониторинг безопасности, защита данных, контроль действий пользователей и привилегированный доступ.
Обсудить STP UAM и экосистему STP
Можно начать с одного модуля или собрать комплексное решение под вашу задачу.
Запросить индивидуальную демонстрацию