Í dag munum við veita stutt yfirlit yfir notenda- og hegðunargreiningarmarkaðinn (UEBA) byggt á nýjustu Gartner rannsóknir. UEBA markaðurinn er neðst á „vonbrigðisstigi“ samkvæmt Gartner Hype Cycle for Threat-Facing Technologies, sem gefur til kynna þroska tækninnar. En þversögn ástandsins liggur í samtímis almennum vexti fjárfestinga í UEBA tækni og hverfandi markaði sjálfstæðra UEBA lausna. Gartner spáir því að UEBA verði hluti af virkni tengdra upplýsingaöryggislausna. Hugtakið „UEBA“ mun líklega falla úr notkun og verða skipt út fyrir aðra skammstöfun sem beinist að þrengra notkunarsvæði (t.d. „notendahegðunargreiningar“), svipað notkunarsvið (t.d. „gagnagreiningar“), eða einfaldlega verða eitthvað nýtt tískuorð (til dæmis, hugtakið „gervigreind“ [AI] lítur áhugavert út, þó það sé ekki skynsamlegt fyrir nútímaframleiðendur UEBA).

Helstu niðurstöður Gartner rannsóknarinnar má draga saman sem hér segir:

• Þroska markaðarins fyrir atferlisgreining notenda og aðila er staðfest af því að þessi tækni er notuð af meðalstórum og stórum fyrirtækjahluta til að leysa fjölda viðskiptavanda;
• UEBA greiningargeta er innbyggð í margs konar tengda upplýsingaöryggistækni, svo sem öryggismiðlarar fyrir aðgang að skýjaaðgangi (CASB), stjórnun auðkenna og stjórnun (IGA) SIEM kerfi;
• Háspennan í kringum UEBA-seljendur og röng notkun hugtaksins „gervigreind“ gerir viðskiptavinum erfitt fyrir að skilja raunverulegan mun á tækni framleiðenda og virkni lausna án þess að framkvæma tilraunaverkefni;
• Viðskiptavinir taka fram að innleiðingartími og dagleg notkun UEBA lausna getur verið vinnufrekari og tímafrekari en framleiðandinn lofar, jafnvel þegar aðeins er horft til grunnlíkana fyrir ógnskynjun. Að bæta við sérsniðnum eða brúnum notkunartilfellum getur verið afar erfitt og krefst sérfræðiþekkingar í gagnavísindum og greiningu.

Markaðsþróunarspá:

• Árið 2021 mun markaður fyrir notenda- og hegðunargreiningarkerfi (UEBA) hætta að vera til sem sérstakt svæði og mun breytast í átt að öðrum lausnum með UEBA-virkni;
• Árið 2020 verða 95% allra UEBA dreifinganna hluti af víðtækari öryggisvettvangi.

Skilgreining á UEBA lausnum

UEBA lausnir nota innbyggða greiningu til að meta virkni notenda og annarra aðila (svo sem vélar, forrit, netumferð og gagnageymslur).
Þeir greina ógnir og hugsanleg atvik, sem tákna venjulega afbrigðilega virkni miðað við staðlaðan prófíl og hegðun notenda og aðila í svipuðum hópum yfir ákveðið tímabil.

Algengustu notkunartilvikin í fyrirtækjahlutanum eru uppgötvun og viðbrögð við ógnum, svo og uppgötvun og viðbrögð við innherjaógnunum (aðallega innherja í hættu; stundum innri árásarmenn).

UEBA er eins og ákvörðunOg virka, innbyggt í ákveðið verkfæri:

• Lausnin eru framleiðendur „hreinna“ UEBA kerfa, þar á meðal söluaðilar sem selja einnig SIEM lausnir sérstaklega. Einbeitti sér að fjölbreyttum viðskiptavandamálum í atferlisgreiningum bæði notenda og aðila.
• Embedded – Framleiðendur/deildir sem samþætta UEBA aðgerðir og tækni inn í lausnir sínar. Venjulega einbeitt sér að sértækari viðskiptavandamálum. Í þessu tilviki er UEBA notað til að greina hegðun notenda og/eða aðila.

Gartner lítur á UEBA eftir þremur ásum, þar á meðal vandamálaleysi, greiningar og gagnaveitur (sjá mynd).

„Hreinir“ UEBA pallar á móti innbyggðum UEBA

Gartner telur „hreinan“ UEBA vettvang vera lausnir sem:

• leysa nokkur sérstök vandamál, svo sem að fylgjast með forréttindanotendum eða gefa út gögn utan stofnunarinnar, en ekki bara óhlutbundið „eftirlit með afbrigðilegri notendavirkni“;
• fela í sér notkun flókinna greiningar, sem nauðsynlega eru byggðar á grunngreiningaraðferðum;
• bjóða upp á nokkra möguleika fyrir gagnasöfnun, þar á meðal bæði innbyggða gagnagjafakerfi og úr gagnastjórnunarverkfærum, Data lake og/eða SIEM kerfum, án þess að nauðsynlegt sé að nota aðskilda umboðsmenn í innviðina;
• hægt að kaupa og nota sem sjálfstæðar lausnir frekar en innifalið í þeim
  samsetningu annarra vara.

Taflan hér að neðan ber saman þessar tvær aðferðir.

Tafla 1. „Hreinar“ UEBA lausnir vs innbyggðar

flokkur	„Hreinir“ UEBA pallar	Aðrar lausnir með innbyggðri UEBA
Vandamál sem þarf að leysa	Greining á hegðun notenda og einingum.	Skortur á gögnum getur takmarkað UEBA við að greina hegðun eingöngu notenda eða aðila.
Vandamál sem þarf að leysa	Þjónar til að leysa margs konar vandamál	Sérhæfir sig í takmörkuðum verkefnum
Analytics	Fráviksgreining með ýmsum greiningaraðferðum - aðallega með tölfræðilíkönum og vélanámi, ásamt reglum og undirskriftum. Kemur með innbyggðri greiningu til að búa til og bera saman virkni notenda og aðila við prófíla þeirra og samstarfsmanna.	Svipað og hreint UEBA, en greining getur aðeins verið takmörkuð við notendur og/eða aðila.
Analytics	Háþróaður greiningargeta, ekki aðeins takmarkaður af reglum. Til dæmis, þyrpingaralgrím með kraftmiklum hópum eininga.	Svipað og „hreint“ UEBA, en einingaflokkun í sumum innbyggðum ógnarlíkönum er aðeins hægt að breyta handvirkt.
Analytics	Fylgni virkni og hegðunar notenda og annarra aðila (til dæmis með því að nota Bayesian net) og samansöfnun einstakrar áhættuhegðunar til að bera kennsl á afbrigðilega virkni.	Svipað og hreint UEBA, en greining getur aðeins verið takmörkuð við notendur og/eða aðila.
Uppsprettur gagna	Móttaka atburða um notendur og aðila frá gagnaveitum beint í gegnum innbyggða kerfi eða núverandi gagnageymslur, eins og SIEM eða Data lake.	Aðferðir til að afla gagna eru venjulega aðeins beinar og hafa aðeins áhrif á notendur og/eða aðra aðila. Ekki nota logstjórnunartæki / SIEM / Data lake.
Uppsprettur gagna	Lausnin ætti ekki aðeins að treysta á netumferð sem aðaluppsprettu gagna, né ætti hún eingöngu að treysta á eigin umboðsmenn til að safna fjarmælingum.	Lausnin getur aðeins einbeitt sér að netumferð (til dæmis NTA - netumferðargreining) og/eða notað umboðsmenn hennar á endatækjum (til dæmis eftirlitsþjónustur starfsmanna).
Uppsprettur gagna	Að metta notenda-/einingagögn með samhengi. Styður söfnun skipulagðra atburða í rauntíma, sem og skipulögð/óskipulögð samhangandi gögn úr upplýsingatækniskrám - til dæmis Active Directory (AD) eða önnur véllesanleg upplýsingaauðlind (til dæmis HR gagnagrunna).	Svipað og hreint UEBA, en umfang samhengisgagna getur verið mismunandi eftir málum. AD og LDAP eru algengustu samhengisgagnageymslurnar sem notaðar eru af innbyggðum UEBA lausnum.
Framboð	Veitir upptalda eiginleika sem sjálfstæða vöru.	Það er ómögulegt að kaupa innbyggða UEBA virkni án þess að kaupa utanaðkomandi lausn sem hún er byggð í.
Heimild: Gartner (maí 2019)

Þannig, til að leysa ákveðin vandamál, getur innbyggð UEBA notað grunn UEBA greiningar (til dæmis einfalt eftirlitslaust vélanám), en á sama tíma, vegna aðgangs að nákvæmlega nauðsynlegum gögnum, getur það í heildina verið skilvirkara en „hreint“ UEBA lausn. Á sama tíma bjóða „hreinir“ UEBA vettvangar, eins og búist var við, flóknari greiningar sem aðalþekkingin samanborið við innbyggða UEBA tólið. Þessar niðurstöður eru teknar saman í töflu 2.

Tafla 2. Niðurstaða munarins á „hreinu“ og innbyggðu UEBA

flokkur	„Hreinir“ UEBA pallar	Aðrar lausnir með innbyggðri UEBA
Analytics	Nothæfi til að leysa margvísleg viðskiptavandamál felur í sér alhliða UEBA-aðgerðum með áherslu á flóknari greiningar- og vélanámslíkön.	Að einbeita sér að smærri viðskiptavandamálum þýðir mjög sérhæfða eiginleika sem einbeita sér að forritasértækum gerðum með einfaldari rökfræði.
Analytics	Aðlögun greiningarlíkansins er nauðsynleg fyrir hverja umsóknaratburðarás.	Greiningarlíkön eru forstillt fyrir tólið sem hefur UEBA innbyggt í það. Verkfæri með innbyggðu UEBA nær yfirleitt hraðari árangri við að leysa ákveðin viðskiptavandamál.
Uppsprettur gagna	Aðgangur að gagnaveitum frá öllum hornum innviða fyrirtækisins.	Færri gagnaveitur, venjulega takmarkaðar af framboði á umboðsmönnum fyrir þá eða tólið sjálft með UEBA aðgerðum.
Uppsprettur gagna	Upplýsingarnar í hverri skráningu kunna að vera takmarkaðar af gagnagjafanum og innihalda ekki öll nauðsynleg gögn fyrir miðlæga UEBA tólið.	Hægt er að stilla sérstaklega magn og smáatriði hrágagnanna sem umboðsaðilinn safnar og sendar til UEBA.
arkitektúr	Það er fullkomin UEBA vara fyrir stofnun. Samþætting er auðveldari með því að nota getu SIEM kerfis eða Data Lake.	Krefst sérstakt sett af UEBA eiginleikum fyrir hverja lausn sem hefur innbyggt UEBA. Innbyggðar UEBA lausnir krefjast oft uppsetningar umboðsmanna og umsjón með gögnum.
Sameining	Handvirk samþætting UEBA lausnarinnar við önnur tæki í hverju tilviki. Leyfir fyrirtæki að byggja upp tæknistafla sinn út frá „bestu meðal hliðstæðum“ nálguninni.	Helstu búnt UEBA aðgerða eru nú þegar innifalin í tólinu sjálfu af framleiðanda. UEBA-einingin er innbyggð og ekki hægt að fjarlægja hana, þannig að viðskiptavinir geta ekki skipt henni út fyrir eitthvað sem þeir eiga.
Heimild: Gartner (maí 2019)

UEBA sem hlutverk

UEBA er að verða eiginleiki netöryggislausna enda til enda sem geta notið góðs af viðbótargreiningum. UEBA liggur til grundvallar þessum lausnum og býður upp á öflugt lag af háþróaðri greiningu byggða á hegðunarmynstri notenda og/eða eininga.

Eins og er á markaðnum er innbyggða UEBA virknin innleidd í eftirfarandi lausnum, flokkaðar eftir tæknilegu umfangi:

• Gagnamiðuð endurskoðun og vernd, eru söluaðilar sem einbeita sér að því að bæta öryggi skipulagðrar og ómótaðrar gagnageymslu (aka DCAP).

  Í þessum flokki söluaðila bendir Gartner m.a. Varonis netöryggisvettvangur, sem býður upp á hegðunargreiningar notenda til að fylgjast með breytingum á óskipulögðum gagnaheimildum, aðgangi og notkun í mismunandi upplýsingaverslunum.

• CASB kerfi, sem býður upp á vernd gegn ýmsum ógnum í skýjatengdum SaaS forritum með því að loka fyrir aðgang að skýjaþjónustu fyrir óæskileg tæki, notendur og forritaútgáfur með því að nota aðlagandi aðgangsstýringarkerfi.

  Allar markaðsleiðandi CASB lausnir innihalda UEBA getu.

• DLP lausnir – lögð áhersla á að greina flutning mikilvægra gagna utan fyrirtækisins eða misnotkun þeirra.

  DLP framfarir byggjast að miklu leyti á skilningi á efni, með minni áherslu á að skilja samhengi eins og notanda, forrit, staðsetningu, tíma, hraða atburða og aðra ytri þætti. Til að vera árangursríkar verða DLP vörur að þekkja bæði innihald og samhengi. Þetta er ástæðan fyrir því að margir framleiðendur eru farnir að samþætta UEBA virkni inn í lausnir sínar.

• Eftirlit starfsmanna er hæfileikinn til að skrá og endurspila aðgerðir starfsmanna, venjulega á gagnasniði sem hentar fyrir málaferli (ef nauðsyn krefur).

  Stöðugt eftirlit með notendum býr oft til yfirgnæfandi magn af gögnum sem krefjast handvirkrar síunar og mannlegrar greiningar. Þess vegna er UEBA notað innan vöktunarkerfa til að bæta árangur þessara lausna og greina einungis áhættuatvik.

• Öryggi endapunkta – Endpoint detection and response (EDR) lausnir og endapunktaverndarkerfi (EPP) veita öfluga tækjabúnað og fjarmælingu stýrikerfis til að
  endatæki.

  Hægt er að greina slíka notendatengda fjarmælingu til að veita innbyggða UEBA virkni.

• Svik á netinu – Lausnir til að finna svik á netinu nema fráviksvirkni sem gefur til kynna að reikningur viðskiptavinar hafi verið svikinn með svikum, spilliforriti eða misnotkun á ótryggðum tengingum/umferðarhlerun vafra.

  Flestar svikalausnir nota kjarna UEBA, færslugreiningu og tækjamælingu, með fullkomnari kerfum sem bæta við þau með því að passa sambönd í auðkennisgagnagrunninum.

• IAM og aðgangsstýring – Gartner bendir á þróunarþróun meðal framleiðenda aðgangsstýringarkerfa að samþætta hreinum söluaðilum og byggja UEBA virkni inn í vörur sínar.
• IAM og Identity Governance and Administration (IGA) kerfi notaðu UEBA til að ná yfir atburðarásir fyrir hegðunar- og auðkennisgreiningu eins og greiningu frávika, kraftmikla hópgreiningu á svipuðum aðilum, innskráningargreiningu og greiningu á aðgangsstefnu.
• IAM og forréttindaaðgangsstjórnun (PAM) – Vegna þess hlutverks að fylgjast með notkun stjórnsýslureikninga hafa PAM lausnir fjarmælingar til að sýna hvernig, hvers vegna, hvenær og hvar stjórnsýslureikningar voru notaðir. Hægt er að greina þessi gögn með því að nota innbyggða virkni UEBA fyrir tilvist óeðlilegrar hegðunar stjórnenda eða illgjarn ásetning.
• Framleiðendur NTA (Network Traffic Analysis) - notaðu blöndu af vélanámi, háþróaðri greiningu og reglubundinni uppgötvun til að bera kennsl á grunsamlega virkni á fyrirtækjanetum.

  NTA verkfæri greina stöðugt upprunaumferð og/eða flæðisskrár (t.d. NetFlow) til að búa til líkön sem endurspegla eðlilega nethegðun, fyrst og fremst með áherslu á hegðunargreiningar eininga.

• siem – margir SIEM framleiðendur hafa nú háþróaða gagnagreiningarvirkni innbyggða í SIEM, eða sem sérstaka UEBA einingu. Allt árið 2018 og það sem af er árinu 2019 hafa mörkin milli SIEM og UEBA verið þokuð, eins og fjallað er um í greininni. „Tækniinnsýn fyrir nútíma SIEM“. SIEM kerfi hafa orðið betri í að vinna með greiningar og bjóða upp á flóknari umsóknarsviðsmyndir.

Umsóknarsvið UEBA

UEBA lausnir geta leyst margs konar vandamál. Hins vegar eru viðskiptavinir Gartner sammála um að aðalnotkunartilvikið feli í sér að greina ýmsa ógnunarflokka, sem næst með því að sýna og greina tíð fylgni milli hegðunar notenda og annarra aðila:

• óviðkomandi aðgangur og flutningur gagna;
• grunsamleg hegðun notenda með forréttindi, illgjarn eða óleyfileg virkni starfsmanna;
• óstöðluð aðgangur og notkun skýjaauðlinda;
• o.fl.

Það eru líka nokkur óhefðbundin notkunartilvik sem ekki tengjast netöryggi, svo sem svik eða eftirlit starfsmanna, sem UEBA getur átt rétt á sér fyrir. Hins vegar krefjast þeir oft gagnagjafa utan upplýsingatækni og upplýsingaöryggis, eða sérstakra greiningarlíkana með djúpan skilning á þessu sviði. Hér að neðan er lýst þeim fimm helstu atburðarásum og forritum sem bæði framleiðendur UEBA og viðskiptavinir þeirra eru sammála um.

"Illgjarn innherji"

UEBA lausnaveitendur sem ná yfir þessa atburðarás fylgjast aðeins með starfsmönnum og traustum verktökum fyrir óvenjulega, „slæma“ eða illgjarna hegðun. Seljendur á þessu sérfræðisviði fylgjast ekki með eða greina hegðun þjónustureikninga eða annarra ómannlegra aðila. Að mestu vegna þessa eru þeir ekki einbeittir að því að greina háþróaðar ógnir þar sem tölvuþrjótar taka yfir núverandi reikninga. Þess í stað miða þau að því að bera kennsl á starfsmenn sem taka þátt í skaðlegri starfsemi.

Í meginatriðum stafar hugtakið „illgjarn innherji“ frá traustum notendum með illgjarn ásetning sem leita leiða til að valda vinnuveitanda sínum skaða. Vegna þess að erfitt er að mæla illgjarn ásetning, greina bestu söluaðilarnir í þessum flokki samhengishegðunargögn sem ekki er auðvelt að fá í endurskoðunarskrám.

Lausnaveitendur í þessu rými bæta einnig við og greina óskipulögð gögn, eins og efni í tölvupósti, framleiðniskýrslur eða upplýsingar á samfélagsmiðlum, til að veita samhengi fyrir hegðun.

Innherja í hættu og uppáþrengjandi hótanir

Áskorunin er að greina og greina „slæma“ hegðun fljótt þegar árásarmaðurinn hefur fengið aðgang að stofnuninni og byrjar að hreyfa sig innan upplýsingatækniinnviða.
Ákveðnar ógnir (APTs), eins og óþekktar eða enn ekki fullkomlega skildar ógnir, eru mjög erfiðar að greina og fela sig oft á bak við lögmæta notendavirkni eða þjónustureikninga. Slíkar ógnir hafa venjulega flókið rekstrarlíkan (sjá t.d. greinina „ Að takast á við Cyber ​​​​Kill keðjuna") eða hegðun þeirra hefur ekki enn verið metin sem skaðleg. Þetta gerir það að verkum að erfitt er að greina þá með því að nota einfaldar greiningar (eins og samsvörun með mynstrum, þröskuldum eða fylgnireglum).

Hins vegar leiða margar af þessum uppáþrengjandi ógnum til óhefðbundinnar hegðunar, sem oft felur í sér grunlausa notendur eða aðila (aka innherja í hættu). UEBA tækni býður upp á nokkur áhugaverð tækifæri til að greina slíkar ógnir, bæta merki-til-suð hlutfall, sameina og draga úr tilkynningamagni, forgangsraða eftirstöðvum og auðvelda skilvirk viðbrögð og rannsókn atvika.

UEBA söluaðilar sem miða á þetta vandamálasvæði hafa oft tvíátta samþættingu við SIEM kerfi stofnunarinnar.

Gagnaúthreinsun

Verkefnið í þessu tilfelli er að greina þá staðreynd að verið er að flytja gögn utan fyrirtækisins.
Seljendur sem einbeita sér að þessari áskorun nýta venjulega DLP eða DAG getu með fráviksgreiningu og háþróaðri greiningu, og bæta þannig hlutfall merki til hávaða, sameina tilkynningamagn og forgangsraða eftirstöðvum. Fyrir frekari samhengi treysta söluaðilar yfirleitt meira á netumferð (svo sem umboð á vefnum) og endapunktagögn, þar sem greining á þessum gagnaheimildum getur hjálpað til við að rannsaka gagnasíun.

Uppgötvun gagna er notuð til að ná innherja og utanaðkomandi tölvuþrjóta sem ógna stofnuninni.

Auðkenning og stjórnun forréttindaaðgangs

Framleiðendur sjálfstæðra UEBA lausna á þessu sérfræðisviði fylgjast með og greina hegðun notenda á bakgrunni þegar myndaðs réttindakerfis til að bera kennsl á óhófleg réttindi eða afbrigðilegan aðgang. Þetta á við um allar tegundir notenda og reikninga, þar á meðal forréttindareikninga og þjónustureikninga. Stofnanir nota einnig UEBA til að losna við sofandi reikninga og notendaréttindi sem eru hærri en krafist er.

Forgangsröðun atvika

Markmiðið með þessu verkefni er að forgangsraða tilkynningum sem myndast af lausnum í tæknistafla þeirra til að skilja hvaða atvik eða hugsanleg atvik ætti að bregðast við fyrst. Aðferðafræði og verkfæri UEBA eru gagnleg til að bera kennsl á atvik sem eru sérstaklega afbrigðileg eða sérstaklega hættuleg fyrir tiltekna stofnun. Í þessu tilviki notar UEBA vélbúnaðurinn ekki aðeins grunnstig virkni og ógnarlíkön, heldur mettar gögnin einnig upplýsingar um skipulag fyrirtækisins (til dæmis mikilvæg auðlindir eða hlutverk og aðgangsstig starfsmanna).

Vandamál við innleiðingu UEBA lausna

Markaðssársauki UEBA lausna er hátt verð þeirra, flókin útfærsla, viðhald og notkun. Á meðan fyrirtæki glíma við fjölda mismunandi innri gátta fá þau aðra leikjatölvu. Stærð fjárfestingar tíma og fjármagns í nýju tæki fer eftir verkefnum sem fyrir hendi eru og hvers konar greiningar eru nauðsynlegar til að leysa þau og krefst oftast mikilla fjárfestinga.

Öfugt við það sem margir framleiðendur halda fram, er UEBA ekki „stilltu það og gleymdu því“ tól sem getur síðan keyrt stöðugt í marga daga.
Viðskiptavinir Gartner taka til dæmis fram að það tekur frá 3 til 6 mánuði að hefja UEBA frumkvæði frá grunni til að fá fyrstu niðurstöður úr því að leysa vandamálin sem þessi lausn var innleidd fyrir. Fyrir flóknari verkefni, eins og að bera kennsl á innherjaógnir í stofnun, stækkar tímabilið í 18 mánuði.

Þættir sem hafa áhrif á erfiðleika við að innleiða UEBA og framtíðarvirkni tækisins:

• Flókið skipulag skipulags, netkerfisfræði og gagnastjórnunarstefnu
• Aðgengi að réttum gögnum á réttu smáatriði
• Flækjustigið í greiningarreikniritum seljanda - til dæmis notkun tölfræðilíkana og vélanáms á móti einföldum mynstrum og reglum.
• Magn fyrirfram stilltra greininga sem er innifalið - það er skilningur framleiðanda á því hvaða gögnum þarf að safna fyrir hvert verkefni og hvaða breytur og eiginleikar eru mikilvægastir til að framkvæma greininguna.
• Hversu auðvelt það er fyrir framleiðandann að samþætta sjálfkrafa nauðsynlegum gögnum.

  Til dæmis:

  • Ef UEBA lausn notar SIEM kerfi sem aðaluppsprettu gagna sinna, safnar SIEM upplýsingum frá nauðsynlegum gagnaveitum?
  • Er hægt að beina nauðsynlegum atburðaskrám og skipulagsgögnum til UEBA lausnar?
  • Ef SIEM kerfið safnar ekki enn og stjórnar þeim gagnaheimildum sem UEBA lausnin þarfnast, hvernig er þá hægt að flytja þá þangað?

• Hversu mikilvæg er umsóknaratburðarás fyrir stofnunina, hversu marga gagnagjafa þarf hún og hversu mikið skarast þetta verkefni við sérfræðisvið framleiðandans.
• Hversu mikils skipulagsþroska og þátttöku er krafist - til dæmis sköpun, þróun og betrumbætur á reglum og módelum; úthluta vægi á breytur til mats; eða aðlaga viðmiðunarmörk áhættumats.
• Hversu stigstærð er lausn seljanda og arkitektúr hans miðað við núverandi stærð fyrirtækisins og framtíðarkröfur þess.
• Tími til að byggja grunnlíkön, snið og lykilhópa. Framleiðendur þurfa oft að minnsta kosti 30 daga (og stundum allt að 90 daga) til að framkvæma greiningu áður en þeir geta skilgreint „venjuleg“ hugtök. Að hlaða söguleg gögn einu sinni getur flýtt fyrir líkanaþjálfun. Sum áhugaverðu tilvikanna er hægt að bera kennsl á hraðar með því að nota reglur en að nota vélanám með ótrúlega litlu magni af upphafsgögnum.
• Átakið sem þarf til að byggja upp kraftmikla hópa og reikningssnið (þjónusta/persóna) getur verið mjög mismunandi milli lausna.

Heimild: www.habr.com