CC BY
70
9. UNCTAD (2009). Training Manual on Statistics for FDI and the Operations of TNCs. Volume II Statistics on the Operations of Transnational Corporations. New York and Geneva, United Nations Publications. Retrieved from https://unctad.org/en/Docs/ diaeia20092_en.pdf
10. UNCTAD (2007). The Universe of the Largest Transnational Corporations. New York and Geneva, United Nations Publications. Retrieved from http://unctad.org/en/Docs/iteiia20072_en.pdf
11. United Nations (2002). Manual on Statistics of International Trade in Service. Statistical Papers Series M no. 86, New York, United Nations Publications. Retrieved from http://www.oecd.org/sdd/its/2404428.pdf
12. United Nations (2010). Manual on Statistics of International Trade in Service 2010. New York, United Nations Publications. Retrieved from https://unstats.un.org/unsd/publication/seriesm/seriesm_86rev1e.pdf
13. Folfas, Pawel. (2009). Intra-Firm Trade and non-Trade Intercompany Transactions: Changes in Volume and Structure During 19902007. Warsaw, Warsaw School of Economics, Institute of International Economics. Retrieved from http://www.etsg.org/ETSG2009/ papers/folfas.pdf
14. UNCTAD (1998). World Investment Report 1998. Trends and Determinants. New York and Geneva, United Nations Publishing. Retrieved from https://unctad.org/en/Docs/wir1998_en.pdf
15. Vernon, R. (1979). The Product Cycle Hypothesis in a New International Environment. Oxford Bulletin of Economics and Statistics. Volume 41, issue 4. Retrieved from https://pdfs.semanticscholar.org/1b25/2b3a40c639bf00413d7e91e988f0b0e5f30c.pdf
16. Cowling, K. Sugden, R. (1987). Market Exchange and the Concept of a Transnational Corporation: Analysing the Nature of the Firm. British Review of Economic. Issues, 9, 20: 57-68.
17. UNCTAD (2004). World Investment Report 2004. The Shift Towards Services. New York and Geneva, United Nations Publishing. Retrieved from https://unctad.org/en/docs/wir2004_en.pdf
18. UNCTAD (2007). World Investment Report 2007. Transnational Corporations, Extractive Industries and Development. New York and Geneva, United Nations Publishing. Retrieved from https://unctad.org/en/Docs/wir2007_en.pdf
19. UNCTAD (2008). World Investment Report 2007. Transnational Corporations and the Infrastructure Challenge. New York and Geneva, United Nations Publishing. Retrieved from https://unctad.org/en/docs/wir2008_en.pdf
20. UNCTAD (2017). World Investment Report 2007. Investment and the Digital Economy. New York and Geneva, United Nations Publishing. Retrieved from https://unctad.org/en/PublicationsLibrary/wir2017_en.pdf
Bulletin of Taras Shevchenko National University of Kyiv. Economics, 2019; 3(204): 20-27 УДК 331.1
JEL classification: J28, M50
DOI: https://doi.org/10.17721/1728-2667.2019/204-3/3
Д. Затонацький, асп. ORCID iD 0000-0002-4828-9144 Нацюнальний шститут стратепчних дослщжень, КиТв, УкраТна
Д1АГНОСТИКА 1НСАЙДЕРСЬКИХ РИЗИК1В I ЗАГРОЗ В УПРАВЛ1НН1 КАДРОВОЮ БЕЗПЕКОЮ ПЩПРИСМСТВА
Проаналiзовано зарубiжнi пдходи до дiагноcmuкu ризикв i загроз у cucmeMi управлння кадровою безпекою п 1'дпри-емства, виявлено сильн та слабк сторони моделей у межах цих niдходiв, обфунтовано сферу ¡хнього застосування. Наведено рекомендацп щодо запровадження комплексноi та цшсно! системи кадровоi безпеки для полпшення практики пcuхологiчноl дiагноcmuкu та монторингу дiй ствробтниюв, зокрема - удосконалення систем збору шформаци щодо повeдiнковuх /ндикатор/'в cпiвробimнuкiв у корпоративному ceрeдовuщi та за його межами.
Ключовi слова: кадрова безпека, eкономiчна безпека, управлiння кадровою безпекою, модeлi кадровоi безпеки, управ-л'ння персоналом.
Вступ. Сучасний св^овий досвщ пщтверджуе прюри-тетнють людського ресурсу серед Ыших джерел еконо-ммчного розвитку й чинниюв забезпечення конкуренто-спроможност нацюнальних економк. Персонал, як носш Ытелектуального та шновацшного потен^алу, нин стае головною конкурентною перевагою кожного пщприемс-тва. Вщ рiвня компетентности та ступеня мотивованост пра^вниюв залежить результативнють функцюнування й динамка розвитку пщприемства.
Актуальнють. Наявнють проблемних зон i невирше-нють проблем щодо якюного кадрового забезпечення дь яльност пщприемства створюе передумови для пору-шення балансу економiчноí безпеки, що актуалiзуе нау-кову проблематику управлшня кадровою безпекою пщприемства. У розумшш автора, управлЫня кадровою безпекою пщприемства е комплексним процесом запобь гання негативним впливам на його економiчну безпеку шляхом попередження ризиюв i загроз, зумовлених по-тен^алом i поведЫкою персоналу, управлшням працею й регулюванням со^ально-трудових вщносин на пщприемства а також мiнiмiзацií негативних наслщгав у разi на-стання цих ризиюв i загроз.
Постановка проблеми. До першочергових науково-практичних завдань, що пщлягають розв'язанню, варто вщнести виявлення ризигав i загроз як компоненти забез-
печення кадрово!' безпеки пщприемства з метою попередження 'хнього виникнення та ывелювання чи мiнiмiзацií наслщгав у разi настання та прояву 'х дií.
Невирiшенi ранiше частини загальноТ проблеми. У сучасному науковому доробку бракуе комплексного та системного дослщження альтернативних пiдходiв i моделей, застосування яких дозволить виявити потенцмш ризики та загрози економiчнiй безпец пiдприемства в частит и кадрово' компоненти, що зумовлено людським фактором - низьким рiвнем потен^алу чи девiантною поведiнкою пра^вниюв.
Метою дослiдження е критичний аналiз зарубiжних моделей виявлення iнсайдерських ризиш i загроз та об-фунтування можливостi 'хньо!' iмплементацií у вггчизняну практику управлiння кадровою безпекою пщприемства.
Огляд лггератури. Теоретичнi засади та практичн аспекти кадрово' безпеки е предметом дослщження ба-гатьох вп"чизняних та iноземних науковцiв i фахiвцiв-практикiв. В укра'нських наукових колах проблематика ризиюв i загроз у системi кадрово!' безпеки пiдприемства розглядаеться як складова моделi забезпечення кадрово' безпеки [1]; визначено комплекс загроз для суб'ек^в господарювання, що походять вщ дiяльностi персоналу [2] i вдосконалено класифiкацií ризикiв i загроз кадровiй безпецi пiдприемства [3]; уточнено джерела i фактори
загр°з зу хар-----------------------"©¿еалл-Г- ь~к~ийдб^¡"019"
методику мон
видавничо-полiграфiчноï галузi [5]. Розглянуто актуальнi аспекти питання кадровоТ безпеки оргашзацм як одного 3i складнигав економiчного розвитку пiдприeмства; ри-зики й загрози, пов'язан з персоналом, його Ытелектуа-льним потенцiалом i трудовими вiдносинами [6]; сформована формалiзована модель дiй iнсайдерiв у системi кадровоТ безпеки суб'eктiв господарювання, побудована на основi мiжнародного стандарту методологи функцю-нального моделювання IDEF0 [7]. Доводиться, що для сталого розвитку установи, закладу, пщприемства, а та-кож сусптьства в цтому важливе значення мають вияв-лення, запоб^ання та своечасна нейтралiзацiя реальних i потенцмних загроз кадровому потенциалу [8]. При цьому управлiння кадровою безпекою пiдприемства ро-зглядаеться як складова частина менеджменту персоналу, нацтена на виявлення, знешкодження й попере-дження ризикiв i загроз, як можуть бути спричиненi персоналом i призвести до негативних наслщгав для [9]. Ка-дрова безпека трактуеться як сукупнiсть со^ально-еко-номiчних, управлiнських, соцiальних i психолопчних про-цесiв, скерованих на убезпечення дiяльностi пщприемс-тва вiд загроз, зумовлених людським чинником [10].
Узагальнення наукового доробку засвщчило, що в Ыо-земнiй науковiй лiтературi сформувалось дегалька пщхо-дiв до дiагностики ризигав i загроз як Ыструменту управ-лiння кадровою безпекою пщприемства. Одна група дос-лiдникiв переконливо доводить, що для забезпечення ефективноТ' кадровоТ безпеки необхiдно створювати Ыфо-рмацiйнi системи й системи управлЫня доступом до да-них таким чином, щоб унеможливити ймовiрнiсть нане-сення шкоди пiдприемству з боку його пра^внигав. Такий пiдхiд, зокрема, розглядаеться у робот Al-Dhahri, S., Al-Sarti, M. & Abdul, A. (2017), де висвллено питання ефе-ктивностi використання мiжнародних систем управлЫня iнформацiйною безпекою як один зi способiв ефективного управлiння кадровою безпекою [11]. 1нша група дослщни-гав здiйснюе моделювання впливу рiзних фаюгрв на мо-жливiсть витоку даних, в основному шляхом поширення конфщенцмноТ' iнформацiï персоналом компанп, iз вико-ристанням сучасних математичних пiдходiв i методiв. Фундаментальною в цьому напрямi е наукова праця Frank L. Greitzer, Lars J. Kangas, Christine F. Noonan, Angela C. Dalton, Ryan E. Hohimer (2012), яга застосували та порь вняли галька алгоритмiв дата майнiнгу для дослщження проблеми iнсайдерських ризикiв [12]. Унаслщок чого зга-даними авторами аргументовано найвищi показники ефе-ктивносл байесiвського пiдходу та представлено архп"ек-туру системи монiторингу дiй персоналу CHAMPION для ефективного управлЫня кадровою безпекою.
Методолопя дослiджень. Теоретико-методолопч-ною основою дослщження е фундаментальн положення сучасноТ' теори управлiння персоналом, прац в^чизня-них та iноземних учених у галузi управлiння кадровою безпекою. Для досягнення поставлено!' мети й розв'я-зання визначених завдань використано загальнонауга^ та спе^альш методи наукового тзнання: пор/'вняльного анал1зу - для визначення сильних i слабких сторЫ рiзних моделей дiагностики iнсайдерських ризигав i загроз; кластерного анал1зу - для виявлення особливостей пщхо-дiв, якi об'еднують спектр рiзних моделей виявлення пе-редумов кадровоТ небезпеки; анал1зу й синтезу - для розроблення пропозицм щодо можливост iмплемента-цiï зарубiжного досвiду дiагностики iнсайдерських ризи-кiв i загроз у вп"чизняну практику управлiння кадровою безпекою пщприемств.
OcHOBHi результати. Ретроспектива започатку-вання й поширення науково-прикладних засад управ-
лiння кадровою безпекою пщприемств засвщчуе, що су-часн методики дiагностики ризикiв i загроз як складовоТ системи управлiння кадровою безпекою пщприемства, що знайшли висв^лення в iноземних джерелах, можна об'еднати у два пщходи:
1. Психосо^альний пiдхiд.
2. Монiторинг "комп'ютерноТ" активности працiвника (використання комп'ютера, електронноТ пошти, веб-браузера тощо).
Розглянемо кожен iз пiдходiв та опишемо вщповщы iнструменти й моделi дiагностики шсайдерських ризикiв i загроз.
Основою психосоциального п/'дходу е припущення про можливють передбачати поведiнку працiвникiв, яка може становити загрозу пщприемству (внаслiдок несан-кцiонованого поширення та "продажу" конфщенцмних даних), на основi аналiзу Тхнього психiчного й емоцiйного стану. Натепер юнуе достатня кiлькiсть наукових досль джень, результатом яких е виявлення взаемозв'язку мiж походженням i мотивами iнсайдерiв i певними особливо-стями поведЫки працiвника [13-15].
Незважаючи на зростаючий обсяг дослiджень у сферi психологи та мотивацiТ працiвникiв, юнують певнi труднощi з передбаченням пра^внигав, що становлять загрозу для кадровоТ безпеки й можуть здiйснити шах-райськi дм [16]. Shaw та Fischer констатують, що бть-шють загроз у Тхньому дослiдженнi можна було б уник-нути своечасними й ефективними дiями, спрямованими на усунення гшву, болю, тривоги або психолопчного по-гiршення стану правопорушнигав, якi проявляли ознаки вразливостi або ризику задовго до скоеного злочину [15].
У робот Gudaitis наводиться аргумент, що "збiр, оць нка та профтювання даних працiвника" повинн бути си-нтезованi й Ытегроваш з методами iнформацiйноТ безпеки для досягнення ефективного загального способу забезпечення кадровоТ безпеки [17]. Згаданий автор ре-комендуе застосовувати спе^альы Ыструменти, яга ви-мiрюють особистюш та поведiнковi характеристики -тести, яга не лише фокусуються на придатност до ро-боти i навичках, а й не мютять очевидних психiатричних питань, якi легко вибрати та вщповюти на них вщповщ-ним чином. Gudaitis наполягае на використанн цих типiв теслв як методичного iнструментарiю вiдбору ствробт никiв, припускаючи, що навiть цей пiдхiд мае недолiки в значнш мiрi через непередбачуванiсть життевих i служ-бових обставин спiвробiтникiв.
У робот Moore, Cappelli, Trzeciak було доведено взаемозв'язок мiж вимiрами особистост, якi визнача-ються п'ятифакторною моделлю (OCEAN), i контрпродуктивною поведшкою на роботi [13]. Ця модель описуе так п'ять особистюних фактов як емоцiйна стабть-нють, екстраверсiя, вiдкритiсть до досвiду, ствпраця, сумлiннiсть. У цiй роботi було виявлено значну кореля-цiю мiж певними елементами моделi OCEAN (вщкри-тiсть i спiвпраця) i безвщповщальною або контрпродуктивною поведiнкою. 1ншими словами, кожна з п'яти рис вказуе на континуум мiж двома крайшми характеристиками. Наприклад для показника екстраверси такими по-лярними характеристиками е самотнють i доброзичли-вiсть/вiдкритiсть. На рис. 1 також показано, що кожна риса особистост мае зворотний бк. Наприклад, якщо хтось е спокiйним, що здаеться позитивною рисою, то вш також буде скептичним.
Таким чином, взаемозв'язок характеристик кожноТ з п'яти рис формуе певний рiвень загрози для цтьового показника - ризику кадровоТ безпеки.
Рис. 1. Графтне представлення моделi OCEAN
Джерело: складено автором на 0CH0Bi [13].
Одним iз найбiльш вщомих натепер для оцiнки осо-бислсних i поведiнкових характеристик е п'ятифактор-ний особистiсний опитувальник (бiльш вщомий як "Велика п'ялрка"), розроблений американськими психологами Р. МакКрае i П. Коста [18]. Цей тест являе собою набiр iз 75 парних, протилежних за своТм значенням, ви-словлювань, що характеризуюсь поведiнку людини. На
основ1 цього тесту можливо точно визначити тип поведь нки людини за моделлю OCEAN (емоц1йна стаб1льн1сть, екстраверс1я, вщкрилсть до досв1ду, сп1впраця, сумлш-нють). Приклад частини тесту проведений автором у ход1 досл1дження кадровоТ безпеки пщприемства наведено в табл. 1.
Таблиця 1. Тест "Велико! п'ялрки"
1. Меж подобаеться займатися физкультурою -2 0 1 2 Я не люблю ф1зичн1 навантаження
2. Люди вважають мене чуйною та доброзичливою людиною -2 0 1 2 Деяк1 люди вважають мене холодним 1 черствим
3. Я в усьому ц1ную чистоту й порядок -2 0 1 2 1нод1 я дозволяю соб1 бути неохайним
4. Мене часто турбуе думка, що що-небудь може трапитися -2 0 1 2 "Др1бниц1 життя" мене не турбують
5. Усе нове викликае в мене штерес -2 0 1 2 Часто нове викликае в мене роздратування
6. Якщо я жчим не зайнятий, то це мене турбуе -2 0 1 2 Я людина спошна й не люблю метушж
7. Я намагаюся проявляти дружелюбнють до вс1х людей -2 0 1 2 Я не завжди й не з ус1ма доброзичливий
8. Моя имната завжди охайно прибрана -2 0 1 2 Я не дуже намагаюся стежити за чистотою й порядком
9. 1нод1 я впадаю в розпач через др1бниц1 -2 0 1 2 Я не звертаю уваги на др1бж проблеми
10. Мен1 подобаються неспод1ванки -2 0 1 2 Я люблю передбачуванють подм
11. Я не можу довго залишатися в нерухомост1 -2 0 1 2 Мен1 не подобаеться швидкий стиль життя
12. Я тактовний вщносно шших людей -2 0 1 2 1нод1 жартома я зач1паю самолюбство шших
13. Я методичний 1 пунктуальний у всьому -2 0 1 2 Я не дуже обов'язкова людина
14. МоТ почуття легко вразлив1 й раним1 -2 0 1 2 Я рщко тривожуся й рщко чого-небудь боюся
15. Мен1 не ц1каво, коли в1дпов1дь зрозум1ла заздалег1дь -2 0 1 2 Я не цкавлюся речами, як1 мен1 не зрозум1л1
16. Я люблю, щоб шш1 швидко виконували моТ розпорядження -2 0 1 2 Я не виконую чуж1 розпорядження, не постлшаючи
17. Я поступлива та схильна до компром1с1в людина -2 0 1 2 Я люблю посперечатися з оточуючими
18. Я проявляю наполегливють при розв'язанж важке завдання -2 0 1 2 Я не дуже наполеглива людина
19. У важких ситуац1ях я напружуюсь -2 0 1 2 Я можу розслабитися в будь-якш ситуацп
20. У мене дуже жива уява -2 0 1 2 Я завжди вщдаю перевагу реально дивитися на св1т
Джерело: складено автором.
Пщтвердженням проведеного автором тестування е висновки в робот1 Willison [14], а саме, невдоволення на робочому мюц1 й незадоволенють прац1вника визнача-ються як дв1 основн1 причини оргашзацшноТ злочинност1. Коли людина мае незадоволеж оч1кування в1д оргажза-ц1Т, у неТ може з'явитися мотивац1я, щоб виправдати очь кування за допомогою зловмисних д1й проти орган1зац1Т.
Незадоволеш оч1кування можуть включати орган1зац1йн1 чинники, тага як р1вень зароб1тноТ плати, потенц1ал про-сування по служб! чи пол1тика орган1зац1Т щодо вирь шення конфл1кт1в. Позаорган1зац1йн1 чинники, таю як сь мейн1 проблеми чи особист! ф1нансов1 труднощ1, також можуть впливати на штенсивнють незадоволеност1. Ва-
жливими е висновки в po6oTi Keeney, et al., яга показу-ють, що 85 % iHca^qepiB, тобто людей, що e загрозою ка-дровiй безпещ вщчували невдоволення до здiйснення нападiв, i в 92 % випадгав саботажу незадоволенють по-в'язувалася з працевлаштуванням [19].
У роботi Workman показано, що негативы вщносини спiвробiтникiв у колективi e провiсниками навмисноТ контрпродуктивноТ й пiдривноï поведiнки працiвника, вщ абсентеТзму до рiзних форм вщплати [20]. У своему дос-лщженш Wells вказуе на те, що незадоволенють пра^в-никiв органiзацieю прац е потужним предиктором шах-райства на робочому мюц [21]. Спираючись на л^ера-туру з оргашзацшного правосуддя, Willison продемонс-трував, як несправедливють у розподiльнiй, процедурой, iнтерактивнiй, мiжособистiснiй та iнформацiйнiй сферах усередин органiзацiï може спровокувати шсай-дерський злочин i витiк конфщенцшно!' iнформацiï [14]. Також у цш роботi показано, що iснуe суттевий зв'язок мiж сприйняттям спiвробiтниками несправедливост на робочому мiсцi та 'хньою девiантною поведiнкою, такою як злодмство чи саботаж.
У разi, коли пра^вник намагаеться отримати фшан-сову вигоду, використовуючи iнтелектуальну власнiсть пщприемства, прагнення до помсти може викликатися задоволенням вщ заподiяння пiдприeмству величезних збитгав, але воно також може включати мотиви власно' фiнансовоï вигоди. У будь-якому випадку у пра^вника може бути стрес або одна з форм незадоволеност пе-вними обставинами ^е! людини в оргашзацп. Цi фак-тори, якщо ïx належним чином своечасно оцiнити, мо-жуть попередити органiзацiю про розвиток кадрово! злочинностi серед працiвникiв.
Пщхщ на основi виявлення спiвробiтникiв, яга демон-струють пiдвищений ризик кадрово! загрози, мае двi переваги: запоб^ання непотрiбниx витрат для роботодавця внаслщок втрати конфiденцiйноï iнформацiï й допомога пра^внига^ до того, як негативний фактор стане критич-ним. Правильно оргаызоване втручання допоможе знайти ршення, яке принесе користь обом сторонам. Таким чином, психосо^альна модель приносить користь як пра^вникам, так i роботодавцям, якщо ця модель прийнята пщприемством як один з шструмен^в забезпечення кадровоï безпеки та включена як шструмент у процедуру регулярного оцшювання персоналу.
У сучасшй науковiй лiтературi можна виокремити галька напрямiв та iнструментiв, що розкривають сутнють псиxосоцiального пiдxоду.
Однieю з найбтьш поширених i важливих проблем управлшня кадровою безпекою, що пов'язана як iз внут-рiшнiми, так i з зовшшшми ризиками, е проблема витоку даних або проблема шсайдерських ризигав. У роботi Frank L. Greitzer, Lars J. Kangas, Christine F. Noonan, Angela C. Dalton, Ryan E. Hohimer (2012) описано модель оцшки поведшки спiвробiтникiв на основi набору iз 12 по-ведiнковиx показникiв, для виявлення тих пра^внигав, що мають пiдвищений шсайдерський ризик (тобто тих, хто може нанести шкоду оргашзацп або ïï ствробпши-кам) [12]. Збiр даних i тестування моделi проводилося за допомогою експер^в HR департаменту. Цей набiр iз 12 показникiв було обрано для того, щоб його було легко контролювати й регулярно рееструвати.
Згаданими вище авторами протестовано байеавську модель, нелУйну модель нейронноï мережi зi зворот-ним зв'язком (ANN) i лУйну регресiю, факторами, у яких були певн психолопчы показники людини, якi умовно доступы в кожнш компанiï. Унаслiдок дослщження най-
кращою з погляду стабтьносД Ha04H0CTi та якостi про-rno3iB було обрано модель Байеса. Ця модель може ро-бити прогнози ймовiрностi загрози кадровiй безпец з боку кожного пра^вника на основi аналiзу та поеднання цих поведшкових факторiв.
Також, у цiй робот наголошено на необхiдностi вико-ристання систем збору даних користувачiв компани, що може також рееструвати психолопчш й поведiнковi показники пра^внигав, для забезпечення комплексного рь шення та можливостi реалiзацií ранiше охарактеризовано! моделк Так, автори описують можливу архiтектуру тако! системи CHAMPION, яка забезпечуе справедливий i послщовний пiдхiд до монiторингу спiвробiтникiв i приносить користь як пра^вникам, так i роботодавцям.
Система CHAMPION (Columnar Hierarchical Autoassociative Memory Processing In Ontological Networks) мютить iерархiчну структуру мiркувань, органiзовану се-мантичним шаром, який забезпечуе теоретико-графовi методи розпiзнавання образiв. На вщмшу вiд пiдходiв типового семантичного графа з монолпшим аргументом, який необхщний для аргументацií всiх концепцй пред-ставлених у всьому семантичному граф^ кожен аргумент у мережi CHAMPION працюе лише на невеликому наборi релевантних концепцiй. Кожен компонент системи CHAMPION управляеться онтолопею (отриманою з експертних знань); структура мiркувань виконуе процес абстракци, який послiдовно аналiзуе шаблони бтьш ви-сокого порядку, одночасно поеднуючи кiлька областей даних. Це допоможе аналiтику зiставляти данi у простгр й часi, а також iз рiзних джерел даних, знизити когштивне навантаження на аналiтика й зосередити увагу на дiях, якi представляють найбiльш критичнi потенцiйнi ризики для кадрово! безпеки.
Модель може включати галька титв даних, яга гене-руються з рiзних "пристро!в" мошторингу спiвробiтникiв, якi тепер пропонуються в комерцмних продуктах, вiд жу-рналiв подiй безпеки i системи управлшня шформа^ею до веб-журналiв i систем захисту/запоб^ання втрати даних. Система CHAMPION також може включати дат, отриман з поведшкових i психосо^альних даних (хоча вони вимагають бтьш формальних методiв збору). Данi вводяться в семантичний граф системи окремими компонентами прийому даних ("рефлекторами"), яга адапто-ван до пристрою та типу даних, що надходять у систему.
До основних переваг ^е! моделi можна вщнести вщ-носну простоту реалiзацií та зручнють користування. До того ж, байеавська модель заснована на ймовiрностях, тому може давати передбачення навпъ за вщсутност реальних даних спостереження (наприклад, для нових спiвробiтникiв). Також, урахування особливостей кожного пра^вника допомагае краще оцшити ймовiрнiсть загрози, тому така модель е бтьш практичною в бага-тьох компашях. До недолшв можна вiднести вiдносну суб'ективнють оцiнювання поведiнкових факторiв iз боку шших працiвникiв компанií, якi не завжди можуть оцiнити наявнiсть або вщсутнють певно! характеристики у свого колеги. lз-помiж недолiкiв варто видтити певну обмеже-нiсть в оцшках, оскiльки багато психологiчних характеристик можуть бути не чпжо виражеш, а тому вважатись як вщсутш в цього працiвника.
1нша модель психосо^ального пiдходу представлена в робот Sokolowski та Banks, основою яко! е мето-дологiя агентного моделювання [22]. У цьому досль дженн спiвробiтники органiзацií розглядаються як аге-нти, яга взаемодiють з шшими спiвробiтниками й органь за^ею в середовищi. Потенцiал кожного агента (пра^в-ника) розглядаеться як комбша^я з трьох поведiнкових
компонентiв: емоцiйного, рацiонального й соцiального. Ц три компоненти об'еднуються, формуючи загальне ставлення агента до ситуаци та прийняття ним рiшення, яке розглядаеться як бЫарне вiдношення. Ця структура використовувалася для представлення кожного пра^в-ника Инсайдера) як людини, що може негативно впли-вати на безпеку компани в певний момент, чи звичайного пра^вника, що не представляе загрози.
Реалiзацiя емоцiйноï компоненти представляеться як рiзниця мiж очкуваннями iнсайдера й досягненням цих очкувань щодо його положення в компани. Рацюнальна складова зазвичай реалiзуеться як iмовiрнiсть, пов'язана з класичною теорiею прийняття рiшень i обмеженою раць ональнiстю. Соцiальна складова е сумою зважених дис-позицiй iнших агенлв у моделi. Цi зваженi диспозици де-монструють, наскiльки спiвробiтник залежить вщ колег. У цiй моделi сукупнiсть трьох складових кожного агента може перевищити його особистий пор^ i стати активною загрозою для компани (Ысайдерський ризик).
Загалом, процес моделювання, викладений у згада-нш вище працi, включае дослiдження вщсотка ствробп--никiв, якi можуть стати Ысайдерською загрозою для компани при певному наборi умов. Для iнiцiалiзацiï моделi були використанi тага значущi початковi параметри: афе-ктивна вага, вiдношення до ризику, пор^ загрози, цн нiсть винагороди й оргашзацмш змiни. Модель була створена i протестована в оргашзаци гальгастю 300 сшв-робiтникiв. Було показано, що значення таких парамет-рiв як афективна вага, порiг загрози майже не змшю-ються, а отже, вони найбтьш суттево впливають на кад-рову безпеку на пщприемствк
Перевагою цiеï моделi е ïï динамiчна природа, яка до-зволяе розглядати змiну рiвня кадровой' безпеки з пли-ном часу, а не у статичному положены. Простота моделювання й Ытерпрета^я результалв також е сильними сторонами ^е! моделк У той же час, дана модель мае суттевий недолк, який проявляеться в швелюванш суб'-ективно! складово! кожного ствробсника й неможливо-стi врахувати особливост дiяльностi кожно! людини. Бiльш того, неточност при складаннi поведiнкових рiв-нянь, вiд яких залежить поведЫка всiеï системи, може призвести до суттевих негативних наслiдкiв i неправиль-них висновкiв. Окрiм того, iмiтацiйний характер моделювання не враховуе особливостей дiяльностi органiзацiï, що може призводити до одних i тих самих результалв при моделюванн дiяльностi рiзних компанiй.
У той же час, збиранню даних лльки iз внутрiшньоï iнформацiйноï системи компанiï стае замало для комплексно!' оцЫки ризигав витоку даних. Так, Alahmadi, B. A., Legg, P. A., and Nurse, J. R. дослщили як активнють у мережi 1нтернет (блоги, iсторiя вiдвiдування веб-сайтiв) може використовуватися для прогнозування психолопч-них характеристик людини з метою виявлення потенцй них Ысайдерських загроз [23].
Це дослщження ^рунтуеться на припущены, що на основi аналiзу ютори перегляду веб-сторiнок, можна зробити висновок про особливост поведiнки конкретно! особистостк Унаслiдок чого, вiдхилення в тагай поведь нцi можуть означати змшу особистостi, що може харак-теризувати внутршню загрозу. Такий пiдхiд може використовуватися оргашза^ями для мошторингу своТх спiвробiтникiв, щоб виявити будь-яке раптове вщхи-лення, яке потенцйно може вказувати на пiдвищену iмовiрнiсть iнсайдерськоï атаки.
Основою такого пщходу е два компоненти:
1) аналiз iсторiï переглядiв, зiставлення ключових ^в цих сайтiв iз рисами характеру в моделi OCEAN.
Для реалiзацiï цiеï частини використовуеться технологи Web Scraping i Content Extraction. Далi проводиться ка-тегорiальний аналiз сайлв для визначення його категори на основi мiжнародного словника LIWC. Пюля цього ви-користовуються алгоритми машинного навчання для класифкаци кожного сайту та вщповщно! йому психоло-пчно! характеристики OCEAN. Результат таких експери-ментiв дае значущi знання й розумЫня. Наприклад, люди, якi незадоволеш своею вагою та часто шукають ршення в lнтернетi на вщповщних сайтах, можуть вщчу-вати занепокоення i депреаю, що призводить до високих показнигав невротизму [24].
2) створення профтю особистостi кожного пра^вника для оцiнки на предмет вщхилень у ïхнiх психологiчних рисах iз плином часу. Використовуючи такий профть, система внутрiшнiх загроз компани могла б вщстежувати змЫи в iндивiдуальнiй поведiнцi людини з плином часу та виявляти будь-яга вщхилення в ïхнiй звичайнiй структурк Це, у свою чергу, може сигналiзувати про потенцiйну загрозу кадровм безпецi на пiдприемствi з боку цього праць вника. Така система може допомогти виявити людей, яга ймовiрно стануть iнсайдерами Ыформаци.
До того ж, створений профть особистосп за таким методом може використовуватися як метрика в комплексна структурi кадровой' безпеки. Наприклад, було вста-новлено, що тага особислсш якостi, як нарцисизм i мага-авеллiзм, пов'язанi з внутршшми загрозами й деструктивною поведЫкою [25]. Крiм того, люди, яга мають ознаки нарцисизму, виявляють надмiрну значущють для себе, сильну потребу в захопленн та вiдсутнiсть емпати - до-сить поширенi риси у поведшц людей, якi вчинили шсай-дерськi атаки [26].
До позитивних сторш цiеï моделi належать тага:
1) бтьша об'ективнiсть оцЫки психологiчного портрету працiвника порiвняно iз суб'ективною оцiнкою його поведшки з боку iнших людей;
2) можливють динамiчно вiдслiдковувати змiну пси-хологiчного стану працiвника та вчасно виявляти загрозу кадровш безпецi.
У той же час ця модель мае суп^ недолги:
1) мошторинг активностi користувача може порушу-вати права ствробсника на недоторканiсть особистого життя (етичн та правовi наслщки);
2) динамiчнiсть сайтiв i велика "зашумленють" даних, неможливiсть правильно класифкувати катего-рiю сайту;
3) вщсутнють адекватно! замiни словника LIWC для класифкаци вiтчизняних сайтiв укра'!нською чи росмсь-кою мовами, що унеможливлюе використання цього методу для всчизняних пiдприемств.
1нший поширений nidxid д/'агностики ¡нсайдерських ризикв i загроз полягае у використанн рiзноманiтних те-хнiчних стратегiй аналiзу поведЫки працiвника як користувача комп'ютерно! технiки, бiльшiсть iз яких викорис-товуе методи виявлення аномалiй у характеристиках по-ведiнки користувача.
Традицмш методи виявлення загроз кадровiй без-пецi в основному використовують методи з систем виявлення вторгнень (IDS). Ц системи розгортаються для виявлення реальних контаклв у мережi чи хост-системах. Основним принципом IDS е виявлення аномалм, що полягае в позначенн вах аномальних поведшок як вторг-нення. Colombe and Stephens дослщили використання мел^фв вiзуал iзацiï для фiльтрацi!' помилкових позитивних результалв, створених IDS-системами при вияв-леннi iнсайдерських атак [27]. У цьому метод виявлення
аномалiï проводилося шляхом розрахунку типовоï оць нки для кожного сигналу тривоги в кожному з факторiв моделк Бiльш низькi показники розглядалися як анома-лп, а бiльш висога значення вважалися нормальними. Ця модель може розглядатися як штегрована модель для пщходу IDS iз можливостями вiзуалiзацiï для виявлення кадровоï загрози. Проте, цш системi притаманнi деяга не-долiки. По-перше, така модель потребуе використання велико! кiлькостi даних для адекватно! оцiнки, що може бути досить суттевим обмеженням для втизняних пщп-риемств. По-друге, реалiзацiя у формi контактiв iз мережами чи хост-системами потребуе штеграцп й постшного адмiнiстрування, що може бути складним i дорогим про-цесом для вiтчизняниx пiдприeмств.
1нший пiдxiд на основi соцiальниx графив для виявлення шкдливих внутршнх загроз працiвникiв був за-пропонований у робот Eberle and Holder [28]. Вони роз-робили три окремi алгоритми виявлення аномалiй на ос-новi графiкiв, щоб виявити три рiзнi аномалiï - вставки, модифкацк! та видалення. Наявнiсть у динамiцi даних несподiваноï вершини або краю розглядалася авторами дослщження як вставка, юнування несподiваноï мiтки на вершит або краю - як модифка^я, а неочкувана вщсу-тнють вершини або краю - як видалення. Для оцшки за-пропонованих методiв виявлення аномалiй на основi графiкiв було використано методи iмiтацiйного моделю-вання, тобто оцiнювання проводилося на основi деяких потенцiйниx шкщливих дiй з урахуванням рiзниx сценарий. Унаслiдок цього, на початку згенерован аномалiï були виявленi принаймн одним iз трьох алгоритмiв, яга дослщжували автори. Перевагою цього методу е його наочнють i зрозумтють для кiнцевого користувача. Також, такий метод е досить об'ективним i допомагае вча-сно виявити тага можливi загрози кадровоï безпеки як шахрайство чи пiдозрiла дiяльнiсть у мережi певного спiвробiтника. У той же час, такий пщхщ е дорогим за фь нансовими витратами й потребуе використання найновь тшшо! обчислювально! теxнiки, що в свою чергу збть-шуе витрати для багатьох компанiй. Також, обмеження цього пщхожу полягае лише у використанн даних ме-режi, тобто розглядаеться ттьки система взаeмозв'язкiв мiж рiзними пiдроздiлами.
У науковiй прац Gavai, Sricharan та iншиx описана модель виявлення шсайдерсько! загрози на основi аналiзу даних про со^альну й iнтерактивну дiяльнiсть пра^внигав пiдприeмств [29]. Для цього було сформовано набiр вщпо-вiдниx ознак, яга можуть свщчити про загрозу кадровш безпецi на пiдприeмствi. До таких ознак належать 42 ряди даних у п'яти катеп^ях: використання електронно! по-шти, вмiст електронно! пошти, поведiнка входу в систему, програмна активнють i веб-дiяльнiсть. Далi застосову-ються методи навчання без вчителя для виявлення пове-дшки щодо цих ознак, якi вщхиляються вiд нормальних значень, використовуючи найсучаснш методи виявлення аномалiй. У згаданш працi для виконання поставленого завдання використовувався метод Чзоляцшних лiсiв". Унаслщок моделювання було створено панель вiзуалiза-цп, яка дозволяе швидко щентифкувати працiвникiв iз ви-сокими оцшками ризику й загрози, якi дозволять 1м прий-мати вiдповiднi профiлактичнi заходи та обмежувати ризик кадрово! безпеки. Перевагою цього методу е його простота, динамiчнiсть i вщносна легкiсть у реалкзацп. Також, цей метод е об'ективним, тобто спираеться на автомати-зований аналiз даних на основi сучасних алгорт^в машинного навчання. У той же час, цей метод е досить не-стабтьним i може давати змiщенi результати при аналiзi великоï кiлькостi працiвникiв.
Висновки. lмовiрнiсть ризикiв i загроз у порушены рь вноваги кадровоï пщсистеми дiяльностi пiдприeмств, i як наслщок - значних економiчниx втрат, зумовлюе потребу виявлення передумов настання цих ризигав i загроз, зокрема й з боку iнсайдерiв.
У практик управлшня кадровою безпекою пщпри-емств натепер сформовано потужний науково-методич-ний базис аналiзу кадрово! ситуацп з метою виявлення потенцшних небезпек для фiнансовоï стабiльностi й позитивно! динамки економiчного розвитку. Зокрема, юнуе широкий спектр шструментв дiагностики iнсайдерськиx ризикiв i загроз, яга можна згрупувати у два блоки - пси-хосо^альы моделi та моделi на основi мониторингу акти-вностi працiвника при використанн рiзноманiтноï комп'-ютерно! теxнiки. Моделi першого блоку побудованi на взаемозв'язку оцшки поведiнковиx характеристик праць вника та ймовiрностi завдати збиткiв пщприемству з боку працiвника. З урахуванням сильних i слабких сторш моделей iз цього блоку можна стверджувати, що в сучасних умовах для укра!нських пщприемств найбiльш доцтьно використовувати байeсiвську модель, оскiльки вона е простою в реалiзацiï, дозволяе враховувати особливост дiяльностi кожного пра^вника та не мае етичних i юри-дичних обмежень. Бiльшiсть шструментв другого пщ-ходу пов'язанi з аналiзом динамiки рiзниx даних пра^в-ника як користувача iнформацiйно-комунiкацiйними за-собами й мережами, починаючи вщ просто! авторизацiï за комп'ютером i до середньо! довжини i галькост спець альних символiв у службовш переписцi цього ствроб^-ника. Для цих моделей характерно використання рiзно-маштних методiв машинного навчання, що пов'язан з проблемою виявлення аномалш у даних. Вiзуалiзацiя цих аномалш може слугувати аргументацieю девiантноï поведшки працiвника, що е свiдченням iмовiрностi кадрово! небезпеки з боку пра^вника. Критичний аналiз моделей, що застосовуються у практик виявлення шсайдерських ризигав i загроз, створюе пщстави для висновку про те, що для укра!нських пщприемств ефективним ш-струментом дiагностування таких ризигав може бути модель на основi аналiзу даних про со^альну й штеракти-вну дiяльнiсть працiвникiв пiдприeмств як маловитратна.
Перспективи подальших дослiджень у цьому на-nрямi. Горизонт подальших наукових розвщок автора статтi визначено розробленням шновацшних за змiстом меxанiзмiв та шструментв управлiння кадровою безпекою на пщприемствах як передумови забезпечення !х-ньо! економiчноï безпеки на основi задiяння потенцiалу державних i дог^рних важелiв регулювання со^ально-трудових вщносин, оновленого управлiнського шструме-нтарiю посилення мотивованост працiвникiв, а також ре-алiзацiï iдеологiï пiдвищення конкурентоспроможностi робочо! сили та полiпшення якостi трудового життя. Для досягнення тако! мети передбачаеться здшснити крити-чне узагальнення методичних пiдxодiв i наявного шстру-ментарiю оцiнювання рiвня кадрово! безпеки на пщприемств^ сформувати аналiтично-методичне забезпечення подальшого розвитку шструментарю управлiння персоналом у структурi економiчноï безпеки пщприемс-тва, розробити пропозици щодо вдосконалення системи iндикаторiв оцшки кадрово! безпеки на державному пщ-приeмствi. 1з метою виявлення домшант впливу серед факторiв кадрово! безпеки на показники економiчноï дiя-льност пiдприeмства припускаеться розробити багато-факторну економко-математичну модель, яка дозволить здшснювати прогноз щодо нових можливостей i но-вих загроз для економiчного зростання пiдприeмств пiд впливом кадрового забезпечення.
Списoк викoристаниx джeрeл:
1. Герасименко О. M. Mоделювання системи забезпечення кадровоТ безпеки сyб'eкта господарювання / О. M. Герасименко // Актуальш проблеми економки. - 2012. - № 2. - С. 118-124.
2. Зачосова Н. В. Напрями забезпечення надшност персоналy та кадрово!' безпеки сyб'eктiв господарськоУ дiяльностi. / Н. В. Зачосова, Я. M. Надточм // Причорноморськi економiчнi студи. - 2017. - Вип. 21. -С. 82-86.
3. Семенченко А. В. Удосконалення кадровоï безпеки як елементy посилення фiнансово-економiчноï безпеки пiдприeмства / А. В. Семенченко // Бiзнес 1нформ. - 2015. - № 9. - С. 428-433.
4. Кавтиш О. П. Системна природа кадровоï безпеки пiдприeмства. /
0. П. Кавтиш // Економ. вюн. Нац. техн. ун-ту Укради "Кшвський полггехш-чний iнститyт". - 2015. - № 12. - С. 181-189.
5. Бурда I. Я. Mонiторинг кадровоï безпеки пiдприeмств видавничо-полiграфiчноï галyзi: методичнi засади та результати апробаци. /
1. Я. Бурда // Наук. вюн. Л^в. держ. ун-ту внyтрiшнiх справ. Сер. еконо-мiчна. - 2011. - Вип. 2. - С. 239-247.
6. Шевченко В. в. Кадрова безпека пiдприeмства: оргашзацмно-пси-холопчш аспекти / В. в. Шевченко // Правничий вюник Ун-ту "КРОК". -2012. - Вип. 14. - С. 124-129.
7. Панченко В. А. Схематика дм iнсайдерiв у системi кадровоï безпеки сyб'eктiв господарювання / В. А. Панченко // Пiдприeмництво i торп-вля. - 2018. - Вип. 22. - С. 101-107.
8. Чередниченко О. Ю. Актуальш питання забезпечення кадровоï безпеки як важливоï скaадовоï системи безпеки установи, закладу, пщп-риeмства / О. Ю. Чередниченко // Честь i закон. - 2017. - № 4. -С. 44-48.
9. Черчик Л. Управлшня кадровою безпекою в системi менеджменту персоналу пiдприeмства./ Л. Черчик // Економiчний часопис Схiдноeвро-пейського нац. ун-ту iменi Лес Украшки. - 2017. - № 4. - С. 57-61.
10. Ляшенко О. M. Кадрова безпека у системi економiчноï безпеки пiдприeмства. / О. M. Ляшенко // Економка. Mенеджмент. Пiдприeмниц-тво. - 2013. - № 25(2). - С. 274-279.
11. Al-Dhahri S., Al-Sarti M. & Abdul, A.. Information Security Management System. // International Journal of Computer Applications. -2017. - Volume 158 - No 7. - P. 29-33. [Electronic resource]. - Access mode: https://www.researchgate.net/publication/312518367_Information_ Security_Management_System
12. Greitzer F. L., Kangas L. J., Noonan C. F., Dalton A. C. & Hohimer R. E. Identifying At-Risk Employees: Modeling Psychosocial Precursors of Potential Insider Threats. // 45th Hawaii International Conference on System Sciences. - 2012. - P. 2392-2401. [Electronic resource]. - Access mode: https://www.researchgate.net/publication/261527163_Identifying_At-Risk_ Employees_Modeling_Psychosocial_Precursors_of_Potential_Insider_Threats
13. Moore, AP, DM Cappelli, and RF Trzeciak. 2008, "The "Big Picture" of Insider It Sabotage across U.S. Critical Infrastructures." in Insider Attack and Cyber Security, eds. SJ Stolfo, et al., Vol 39. Р. 17-52. Springer US.
14. Willison R. 2009, Motivations for Employee Computer Crime: Understanding and Addressing Workplace Disgruntlement through the Application of Organisational Justice. Technical Rpt. Working Paper No. 1, Copenhagen Business School, Department of Informatics, Copenhagen, Denmark.
15. Shaw ED, and LF Fischer. 2005, Ten Tales of Betrayal: The Threat to Corporate Infrastructures by Information Technology Insiders. Report 1 -Overview and General Observations. Technical Rpt. TR 0504.
Д. Затонацкий, аст.
Hациoнальный институт стратeгичeскиx исслeдoваний, ^eB, Украина
16. Kramer LA, RJ Heuer Jr., and KS Crawford. 2005, Technological, Social, and Economic Trends That Are Increasing U.S. Vulnerability to Insider Espionage. Technical Rpt. TR 05-10, Defense Personnel Security Research Center, Monterey, CA.
17. Gudaitis TM. 1998, "The Missing Link in Information Security: Three Dimensional Profiling." CyberPsychology & Behavior 1:321-40.
18. Пятифакгорный личностный опросник МакКрае-Коста ("Большая пятёрка") [Елекгроний ресурс]. - Режим доступу: https://fc.vseosvita.ua/ 0010bc-73ae.pdf
19. Keeney M/, et al. 2005, Insider Threat Study: Computer System Sabotage in Critical Infrastructure Sectors. Technical, U.S. Secret Service and Carnegie-Mellon University, Software Engineering Institute, CERT Coordination Center.
20. Workman M. 2009, "A Field Study of Corporate Employee Monitoring: Attitudes, Absenteeism, and the Moderating Influences of Procedural Justice Perceptions." Information and Organization 19:218-32.
21. Wells JT. 2001, "Enemies Within." Journal of Accountancy 192:31-35.
22. Sokolowski J. A., & Banks C. M. Agent implementation for modeling insider threat. // Proceedings of the 2015 Winter Simulation Conference. -2015. - P. 266-275 [Electronic resource]. - Access mode: https://www.researchgate.net/publication/302479872_Agent_implementation_f or_modeling_insider_threat
23. Alahmadi B. A., Legg P. A. & Nurse J. R. Using Internet Activity Profiling for Insider-threat Detection. // Proceedings of the 17th International Conference on Enterprise Information Systems. - 2015. - P. 709-720 [Electronic resource]. - Access mode: http://www.scitepress.org/ DigitalLibrary/Link.aspx?doi=10.5220%2f0005480407090720
24. Davis, C. and Fox, J. (1993). Excessive exercise and weight preoccupation in women. Addictive Behaviors, 18(2):201-211.
25. Axelrad, E. T., Sticha P. J., Brdiczka O., and Shen J. (2013). A bayesian network model for predicting insider threats. In Security and Privacy Workshops (SPW), 2013 IEEE. Р. 82-89.
26. Shaw E., Ruby K., and Post J. (1998). The insider threat to information systems: The psychology of the dangerous insider. Security Awareness Bulletin, 2(98):1-10.
27. J.B. Colombe. 2004, "Statistical profiling and visualization for detection of malicious insider attacks on computer networks," in Proceedings of the 2004 ACM workshop on Visualization and data mining for computer security, Washington DC, USA.
28. W. Eberle and L. Holder, "Applying graph-based anomaly detection approaches to the discovery of insider threats," in Intelligence and Security Informatics, 2009. ISI '09. IEEE International Conference on, 2009. Р. 206-208.
29. G. Gavai, K. Sricharan, D. Gunning, J. Hanley, M. Singhal, and R. Rolleston. 2015. "Supervised and unsupervised methods to detect insider threat from enterprise social and online activity data," Journal of Wireless Mobile Networks, Ubiquitous Computing, and Dependable Applications (JoWUA), vol. 6, no. 4. Р. 47-63.
Received: 26/01/2019 1st Revision: 20/02/19 Accepted: 10/03/2019
Author's declaration on the sources of funding of research presented in the scientific article or of the preparation of the scientific article: budget of university's scientific project
ДИАГНОСТИКА ИНСАЙДЕРСКИХ РИСКОВ И УГРОЗ В УПРАВЛЕНИИ КАДРОВОЙ БЕЗОПАСНОСТЬЮ ПРЕДПРИЯТИЯ
Проанализированы зарубежные подходы к диагностике рисков и угроз в системе управления кадровой безопасностью предприятия, выявлены сильные и слабые стороны моделей в рамках этих подходов, обосновано сферу их применения. Приведены рекомендации по внедрению комплексной и целостной системы кадровой безопасности для улучшения практики психологической диагностики и мониторинга действий сотрудников, в том числе - совершенствование систем сбора информации о поведенческих индикаторов сотрудников в корпоративной среде и за его пределами.
Ключевые слова: кадровая безопасность, экономическая безопасность, управление кадровой безопасностью, модели кадровой безопасности, управление персоналом.
D. Zatonatskiy, PhD student
The National Institute for Strategic Studies, Kyiv, Ukraine
DIAGNOSTICS OF INSIDER RISKS AND THREATS IN PERSONNEL SECURITY MANAGEMENT OF THE ENTERPRISE
In today's fast-changing world, the issues of personnel security management are becoming increasingly important in order to protect enterprises against internal and external threats. The article analyzes modern foreign approaches to the detection of risks and threats in the system of personnel security management of the enterprise, identifies the strengths and weaknesses of the models within these approaches, and justifies the scope of their application. The aim of the paper is to analyze critically the models of identifying insider risks and threats and to substantiate the possibility of their implementation in the national practice of personnel security management of the enterprise. It is proved that the introduction of modern modeling methods will contribute to the strengthening of the systemic nature of the practice of providing personnel security under the influence of external and internal threats. The conducted analysis of the current toolkit for diagnosing insider risks and threats has shown the expediency of clustering existing models in two blocks-psychosocial models and the models based on the use of modern information and communication technologies to monitor the employee's activity. By argumentation of the positive and negative aspects of each model, it has been proved that in modern conditions
for the Ukrainian enterprises it is most expedient to use the Bayesian model because it is simple in implementation, allows for the individuality of each employee's activity and does not have ethical and legal constraints. Recommendations for introducing comprehensive and integrated personnel security systems for domestic enterprises to improve the practice of psychological diagnostics and monitoring of employee's actions are given, in particular, improvement of systems for collecting information about employees' behavioral indicators in the corporate environment and beyond. The necessity of using modern toolkit for diagnosing risks and threats, for instance, OCEAN and CHAMPION systems, is proved, that significantly improves personnel security management in the systems of economic safety of enterprises. It has been determined that according to the criterion of the expenditure, an effective toolkit for identifying insider risks and threats can be a model based on data on social and interactive activities of enterprise employees.
Keywords: personnel security, economic security, personnel security management, personnel security models, personnel management.
References (in Latin): Translation / Transliteration / Transcription:
1. Herasymenko, O.M., 2012. Modeling of the personnel security system of the subject of management. Actual problems of economics, 2, pp. 118-124.
2. Zachosova, N.V. and Nadtochii, Ya. M., 2017. Areas of ensuring the reliability of personnel and personnel security of economic entities. Black Sea Economic Studies, 21, pp. 82-86.
3. Semenchenko, A V., 2015. Improvement of personnel security as an element of strengthening of financial and economic security of the enterprise. Business Inform, 9, pp. 428-433.
4. Kavtysh, O. P., 2015. Systemic nature of personnel security of the enterprise. Economic bulletin of NTUU "KPI", 12, pp. 181-189.
5. Burda, I. Ya., 2011. Monitoring personnel security of enterprises of the publishing and printing industry: methodical principles and results of testing. The Scientific Bulletin of Lviv State University of Internal Affairs (economic series), 2, pp. 239-247.
6. Shevchenko, V. Ye., 2012. Personnel security of the enterprise: organizational and psychological aspects. Scientific Notes of "KROK" University, 14, pp. 124-129.
7. Panchenko, V.A., 2018. Scheme of actions of insiders in the system of personnel security of business entities. Entrepreneurship and Trade, 22, pp. 101-107.
8. Cherednychenko O. Yu., 2017. Topical issues of personnel security as an important component of the security system of an institution, institution, enterprise. Honor and Law, 4, pp. 44-48.
9. Cherchyk, L., 2017. Personnel Security Management in the Enterprise Personnel Management System. Economic Journal Lesya Ukrainka Eastern European National University, № 4. pp. 57-61.
10. Liashenko, O.M., 2013. Human security in the system of economic security of the enterprise. Economics, Entrepreneurship, Management, 25(2), pp. 274-279.
11. Al-Dhahri, S., Al-Sarti, M. & Abdul, A. (2017). Information Security Management System. International Journal of Computer Applications, 158(7), 29-33.
12. Greitzer, F.L., Kangas, L.J., Noonan, C.F., Dalton, A.C., & Hohimer, R.E. (2012). Identifying At-Risk Employees: Modeling Psychosocial Precursors of Potential Insider Threats. 45th Hawaii International Conference on System Sciences. Retrieved from https://www.researchgate.net/publication/261527163_Identifying_At-Risk_Employees_Modeling_Psychosocial_Precursors_of_Potential_Insider_Threats
13. Moore, A.P, Cappelli, D.M and Trzeciak R.F, 2008. "The "Big Picture" of Insider It Sabotage across U.S. Critical Infrastructures." in Insider Attack and Cyber Security, eds. SJ Stolfo, et al., Vol 39, pp. 17-52. Springer US.
14. Willison, R, 2009. Motivations for Employee Computer Crime: Understanding and Addressing Workplace Disgruntlement through the Application of Organisational Justice. Technical Rpt. Working Paper No. 1, Copenhagen Business School, Department of Informatics, Copenhagen, Denmark.
15. Shaw, ED, and LF Fischer, 2005. Ten Tales of Betrayal: The Threat to Corporate Infrastructures by Information Technology Insiders. Report 1 - Overview and General Observations. Technical Rpt. TR 0504.
16. Kramer, LA, RJ Heuer, Jr., and KS Crawford, 2005. Technological, Social, and Economic Trends That Are Increasing U.S. Vulnerability to Insider Espionage. Technical Rpt. TR 05-10, Defense Personnel Security Research Center, Monterey, CA.
17. Gudaitis, T.M., 1998. "The Missing Link in Information Security: Three Dimensional Profiling." CyberPsychology & Behavior 1:321-40.
18. Five-factor personal questionnaire McCrae-Costa ("Big Five"). [pdf] Project "Vseosvita". Available at: <https://fc.vseosvita.ua/ 0010bc-73ae.pdf> [Accessed 04 May 2019].
19. Keeney, M, et al, 2005. Insider Threat Study: Computer System Sabotage in Critical Infrastructure Sectors. Technical, U.S. Secret Service and Carnegie-Mellon University, Software Engineering Institute, CERT Coordination Center.
20. Workman, M, 2009. "A Field Study of Corporate Employee Monitoring: Attitudes, Absenteeism, and the Moderating Influences of Procedural Justice Perceptions." Information and Organization 19:218-32.
21. Wells, J.T., 2001. "Enemies Within." Journal of Accountancy 192:31-35.
22. Sokolowski, J.A., & Banks, C.M. (2015). Agent implementation for modeling insider threat. Proceedings of the 2015 Winter Simulation Conference. Retrieved from https://www.researchgate.net/publication/302479872_Agent_implementation_for_modeling_insider_threat
23. Alahmadi, B.A., Legg, P.A., & Nurse, J.R. 2015. Using Internet Activity Profiling for Insider-threat Detection. Proceedings of the 17th International Conference on Enterprise Information Systems. Retrieved from http://www.scitepress.org/DigitalLibrary/ Link.aspx?doi=10.5220%2f0005480407090720
24. Davis, C. and Fox, J. 1993. Excessive exercise and weight preoccupation in women. Addictive Behaviors, 18(2):201-211.
25. Axelrad, E.T., Sticha, P.J., Brdiczka, O., and Shen, J. 2013. A bayesian network model for predicting insider threats. In Security and Privacy Workshops (SPW), 2013 IEEE, pages 82-89.
26. Shaw, E., Ruby, K., and Post, J. 1998. The insider threat to information systems: The psychology of the dangerous insider. Security Awareness Bulletin, 2(98):1-10.
27. J. B. Colombe, 2004. "Statistical profiling and visualization for detection of malicious insider attacks on computer networks," in Proceedings of the 2004 ACM workshop on Visualization and data mining for computer security, Washington DC, USA,
28. W. Eberle and L. Holder, "Applying graph-based anomaly detection approaches to the discovery of insider threats," in Intelligence and Security Informatics, 2009. ISI '09. IEEE International Conference on, 2009, pp. 206-208.
29. G. Gavai, K. Sricharan, D. Gunning, J. Hanley, M. Singhal, and R. Rolleston, 2015. "Supervised and unsupervised methods to detect insider threat from enterprise social and online activity data," Journal of Wireless Mobile Networks, Ubiquitous Computing, and Dependable Applications (JoWUA), vol. 6, no. 4, pp. 47-63.
