InfoWatch выпустила Activity Monitor 3.5 и добавила в систему то, чего ИБ-команды обычно добиваются через набор разрозненных интеграций: API для выгрузки данных, связку со СКУД Sigur и уведомления в Telegram. Для компаний, которые одновременно следят за утечками, рабочим временем и действиями пользователей на ПК, это означает одну простую вещь: собирать картину по сотруднику теперь можно быстрее и с меньшим количеством ручной склейки.
О релизе сообщает Habr / Новости. Обновление вышло в рамках цикла развития линейки продуктов InfoWatch по защите данных. Сам Activity Monitor работает в связке с DLP-системой InfoWatch Traffic Monitor и предназначен для мониторинга действий сотрудников: что они делают на рабочем компьютере, с какими файлами работают, какие приложения запускают и какие сайты посещают.
Главное изменение в версии 3.5 — появление программного интерфейса для доступа к данным системы. На практике это важнее, чем звучит в пресс-релизе. До тех пор, пока система живет в собственном контуре и отдает информацию только через штатный интерфейс, она удобна для просмотра, но плохо вписывается в расследования, автоматизацию и внутренние сервисы заказчика. API меняет роль продукта: данные о цифровой активности можно забирать в другие корпоративные системы, использовать в собственных сценариях аналитики и связывать с уже существующими ИБ-процессами. Для крупных компаний это особенно актуально, потому что у них редко бывает роскошь работать в одном вендорском окне. Обычно ландшафт состоит из DLP, SIEM, IDM, СКУД, таск-трекеров и самописных инструментов, а сотрудники ИБ потом долго выясняют, как эти куски подружить хотя бы на уровне отчетов.
Вторая заметная новость — поддержка системы контроля и управления доступом Sigur. За сухой формулировкой про интеграцию со СКУД скрывается вполне прикладной сценарий: в одном отчете можно сопоставить цифровую и физическую активность сотрудника. Иначе говоря, не только увидеть, что пользователь открыл файл, запустил приложение или активно работал в браузере, но и проверить, находился ли он вообще на территории офиса в это время. Для служб безопасности это полезно не только в расследованиях инцидентов, но и в разборе спорных ситуаций, где важно собрать последовательную хронологию действий. Для бизнеса это тоже знакомый сюжет: чем меньше ручных сверок между логами с рабочих станций и данными о проходах, тем меньше времени уходит на внутренние проверки и ответы руководству.
Отдельный акцент InfoWatch делает на отчетности. В Activity Monitor 3.5 расширили автоматическое формирование PDF-отчетов: теперь доступны как единый отчет по всем сотрудникам с учетом выбранных фильтров, так и отдельные отчеты по каждому человеку. Судя по описанию, конструктор позволяет выбирать, какие блоки включать: использование ПК, общую статистику, типы действий, активность по дням и часам, работу с файлами, топ приложений и посещаемых сайтов. Это не тот функционал, который вызывает бурные обсуждения в соцсетях, но именно он чаще всего определяет, будут продукт реально использовать каждый день или он останется демонстрацией для тендера. В ИБ-подразделениях много времени съедает не только расследование само по себе, но и подготовка понятных материалов для менеджмента, внутреннего контроля и регуляторных задач. Если система сокращает число ручных выгрузок и шаблонных операций, экономия возникает не в теории, а в календаре конкретной команды.
Еще одно изменение — уведомления в Telegram помимо электронной почты. На первый взгляд мелочь, но довольно показательная. Почта давно перестала быть каналом, где администратор гарантированно увидит срочное сообщение вовремя: писем слишком много, а важное событие легко тонет в общем потоке. Мессенджер в этом смысле ближе к оперативной эксплуатации. Конечно, вопрос интеграции уведомлений в корпоративные процессы остается открытым: одни компании приветствуют Telegram как быстрый канал, другие сознательно ограничивают его использование в чувствительных сценариях. Но сам вектор понятен: ИБ-инструменты вынуждены подстраиваться под реальные привычки команд, а не под идеальную модель из методички.
Директор по инновациям ГК InfoWatch Андрей Арефьев в комментарии к релизу делает ставку именно на эту прикладную пользу: продукт, по его словам, должен проще встраиваться в существующий ИБ-ландшафт и снижать долю рутины в работе специалистов. Это, пожалуй, самая здравая часть всей истории. Рынок средств внутреннего контроля давно живет не только конкуренцией по глубине мониторинга, но и конкуренцией по удобству эксплуатации. Условно говоря, мало уметь собрать много данных о сотруднике, нужно еще дать заказчику способ быстро отфильтровать, интерпретировать и донести эти данные до тех, кто принимает решения. В противном случае компания получает еще один тяжелый источник телеметрии, который требует отдельного человека для обслуживания.
Для разработчиков и ИТ-руководителей в этой новости интереснее всего не сам факт очередного обновления, а направление, в котором двигаются корпоративные продукты наблюдения. Activity Monitor 3.5 показывает, что спрос смещается от простого наблюдения за действиями на ПК к объединению разных источников контекста: цифрового поведения, физического доступа, автоматических отчетов и событийных оповещений. Для заказчиков это означает более жесткие требования к интеграциям и API, для вендоров — необходимость доказывать, что их продукт не создает лишнюю операционную нагрузку. В ближайшие годы выиграют не те системы, которые собирают максимум событий любой ценой, а те, что умеют превращать этот поток в рабочий инструмент для расследований без армии людей, занятых ручной сборкой фактов.