數(shù)據(jù)泄漏事件總是成為行業(yè)媒體的頭條新聞，但現(xiàn)實(shí)是企業(yè)更有可能成為內(nèi)部人員行為的受害者。

事實(shí)證明，多達(dá)60%的攻擊都是由企業(yè)內(nèi)部人員實(shí)施的，無(wú)論是有意還是無(wú)意的。

　　數(shù)據(jù)泄漏成本高昂　　如果一家企業(yè)成為受害者，那么可能會(huì)付出很高的代價(jià)，例如公司的聲譽(yù)可能會(huì)受損，客戶可能不再愿意提供敏感信息。

即使彌補(bǔ)和修復(fù)也可能需要付出沉重的代價(jià)。

　　根據(jù)調(diào)研機(jī)構(gòu)波洛蒙研究所進(jìn)行的一項(xiàng)研究，每一份包含機(jī)密或?qū)Ｓ行畔⒈槐I記錄的平均成本是148美元。

這其中包括發(fā)現(xiàn)違規(guī)行為和修復(fù)損壞的硬性成本，例如必須向每個(gè)記錄持有者發(fā)送通知。

　　根據(jù)Sarbanes-Oxley法案、PCI-DSS，HIPAA或GDPR等合規(guī)性規(guī)定，企業(yè)未能充分保護(hù)數(shù)據(jù)可能還將遭到經(jīng)濟(jì)處罰。

　　攻擊者如何進(jìn)入?　　通常是壞人做壞事。

但情況并非總是如此。

　　據(jù)調(diào)查，醫(yī)療保健行業(yè)58%的數(shù)據(jù)泄漏事件都涉及內(nèi)部參與者，其中包括竊取筆記本電腦以獲取訪問(wèn)憑證、惡意軟件安裝和竊取機(jī)密數(shù)據(jù)。

這些都是明顯的惡意行為。

　　在其他時(shí)候，寬松的安全協(xié)議會(huì)導(dǎo)致問(wèn)題。

美國(guó)國(guó)家安全局(NSA)有史以來(lái)最嚴(yán)重的數(shù)據(jù)泄露行為是內(nèi)部員工造成的，當(dāng)時(shí)一名承包商在沒(méi)有遵守安全程序的情況下將機(jī)密文件帶回家。

　　企業(yè)工作中最危險(xiǎn)的部分之一可能無(wú)法檢測(cè)到內(nèi)部違規(guī)行為。

因?yàn)閱T工有權(quán)訪問(wèn)大量信息，并且沒(méi)有任何警告。

問(wèn)題在于他們?nèi)绾翁幚頂?shù)據(jù)，如果他們懷有惡意，則可能會(huì)越過(guò)檢測(cè)或掩蓋事實(shí)。

　　然而，那些沒(méi)有認(rèn)真對(duì)待安全的員工是企業(yè)面臨的最大風(fēng)險(xiǎn)。

　　無(wú)意中泄露數(shù)據(jù)　　事實(shí)上，大多數(shù)泄露數(shù)據(jù)行為都是無(wú)辜的。

通過(guò)單擊欺騙性電子郵件或其他網(wǎng)絡(luò)釣魚(yú)攻擊，企業(yè)的團(tuán)隊(duì)成員可能允許安裝惡意軟件。

例如，需要更新防病毒軟件消息就可能會(huì)導(dǎo)致放棄登錄憑據(jù)。

　　美國(guó)癌癥治療中心在過(guò)去一年中遭受過(guò)兩次重大的網(wǎng)絡(luò)攻擊。

當(dāng)員工點(diǎn)擊網(wǎng)絡(luò)釣魚(yú)郵件并放棄登錄憑據(jù)時(shí)，導(dǎo)致42,000名患者的數(shù)據(jù)泄露。

　　在另一個(gè)案例中，eBay網(wǎng)站的1.45億用戶的個(gè)人信息和密碼泄露。

調(diào)查人員最終發(fā)現(xiàn)三名員工實(shí)施泄露數(shù)據(jù)的行為，從數(shù)據(jù)泄露到發(fā)現(xiàn)已過(guò)去200多天。

這種事例并不罕見(jiàn)。

80%的泄露數(shù)據(jù)行為在數(shù)周內(nèi)未被發(fā)現(xiàn)。

識(shí)別和確定泄露數(shù)據(jù)行為的平均時(shí)間為197天。

這意味著黑客平均有半年以上的時(shí)間訪問(wèn)侵入的服務(wù)器。

　　企業(yè)的網(wǎng)絡(luò)安全中也有兩個(gè)不斷增長(zhǎng)的趨勢(shì)：BYOD(自攜設(shè)備)和影子IT(Shadow IT)。

　　自攜設(shè)備　　企業(yè)員工比以往任何時(shí)候都更多地將業(yè)務(wù)和個(gè)人設(shè)備混合在一起使用。

員工在手機(jī)上訪問(wèn)公司信息，并會(huì)繞過(guò)公司采取的安全措施。

或者采用家用電腦處理和存儲(chǔ)機(jī)密信息，或者員工在家中登錄公司IT系統(tǒng)或訪問(wèn)數(shù)據(jù)，這些都帶來(lái)更多的威脅。

　　使問(wèn)題更加復(fù)雜的是，下載到個(gè)人設(shè)備的應(yīng)用程序本質(zhì)上可能是惡意的。

安全合規(guī)機(jī)構(gòu)Cimcor公司指出，“在某些情況下，惡意應(yīng)用程序有可能控制用戶的移動(dòng)設(shè)備。

這可能導(dǎo)致監(jiān)視、數(shù)據(jù)泄露或大幅增加通話費(fèi)用，個(gè)人信息或工作信息的丟失。

企業(yè)的用戶需要有關(guān)應(yīng)用最佳實(shí)踐的培訓(xùn)。

這種基于知識(shí)的培訓(xùn)應(yīng)該包括只從應(yīng)用商店下載內(nèi)容的重要性。

在許多情況下，惡意鏡像或個(gè)人應(yīng)用程序是通過(guò)網(wǎng)頁(yè)下載的。

”　　人們可能聽(tīng)說(shuō)過(guò)，員工可能是企業(yè)安全最薄弱的環(huán)節(jié)。

無(wú)論企業(yè)在工作場(chǎng)所設(shè)置了哪些安全系統(tǒng)和程序，其數(shù)據(jù)和IT系統(tǒng)都可能會(huì)被員工或計(jì)算機(jī)上的某些內(nèi)容所破壞。

　　影子IT　　有些員工還繞過(guò)安全協(xié)議，并使用他們認(rèn)為需要的軟件或應(yīng)用程序來(lái)完成工作。

　　雖然具有良好的意圖，但這種所謂的“影子IT”可以侵入企業(yè)的網(wǎng)絡(luò)和系統(tǒng)而避開(kāi)安全專業(yè)人員的適當(dāng)審查。

這些應(yīng)用在安裝之前缺乏質(zhì)量保證測(cè)試，可能會(huì)導(dǎo)致企業(yè)的IT團(tuán)隊(duì)無(wú)法了解其風(fēng)險(xiǎn)。

　　這比人們想象的還要普遍。

Everest Group的研究發(fā)現(xiàn)，超過(guò)50%的IT支出沒(méi)有經(jīng)過(guò)批準(zhǔn)的IT流程。

，但是當(dāng)包含基于云計(jì)算的銷售軟件、部門(mén)特定應(yīng)用程序或個(gè)人設(shè)備等內(nèi)容時(shí)，這個(gè)比例可能很高。

　　這意味著企業(yè)無(wú)論采取何種策略，其IT生態(tài)系統(tǒng)的主要部分都可能無(wú)法得到保護(hù)。

　　那么，如何在保持員工工作組生產(chǎn)力的同時(shí)，企業(yè)如何處理影子IT?首先，教育員工了解IT出錯(cuò)的影響，并最終導(dǎo)致IT團(tuán)隊(duì)與組織內(nèi)部工作人員之間的公開(kāi)對(duì)話。

　　例如，如果銷售人員正在考慮使用新的自動(dòng)化工具，他們應(yīng)該與IT部門(mén)就如何將工具實(shí)施到其安全結(jié)構(gòu)中進(jìn)行開(kāi)放式溝通，以確保企業(yè)或客戶數(shù)據(jù)不會(huì)受到威脅。

解決方案可能是在內(nèi)部構(gòu)建工具或在系統(tǒng)之間開(kāi)發(fā)集成以實(shí)現(xiàn)相同的目標(biāo)，而無(wú)需使用可能產(chǎn)生安全漏洞的第三方工具。

　　正如Sopant咨詢公司高級(jí)解決方案架構(gòu)師Aubrey Spath所說(shuō)，“在某些情況下，IT團(tuán)隊(duì)意識(shí)到特定工作組的挑戰(zhàn)，并且正在積極嘗試找到解決這些問(wèn)題的應(yīng)用程序。

而不是鼓勵(lì)和支持他們將由業(yè)余開(kāi)發(fā)人員開(kāi)發(fā)和銷售的劣質(zhì)工具拼湊在一起，企業(yè)需要考慮為他們的需求構(gòu)建定制解決方案。

“　　安全治理的實(shí)際步驟　　企業(yè)首席執(zhí)行官或高級(jí)經(jīng)理需要確保其IT領(lǐng)導(dǎo)者遵循網(wǎng)絡(luò)安全和安全協(xié)議：　　1.安全治理　　(1)信息安全(IS)治理，用于制定政策，優(yōu)先事項(xiàng)和緩解措施。

　　(2)對(duì)數(shù)據(jù)進(jìn)行劃分，以便只有作為其工作職責(zé)一部分需要訪問(wèn)權(quán)限的員工才能實(shí)際訪問(wèn)。

　　2.符合行業(yè)特定的合規(guī)性規(guī)定　　(3)測(cè)試。

　　(4)分配監(jiān)督職責(zé)。

　　(5)正在進(jìn)行的風(fēng)險(xiǎn)/威脅評(píng)估。

　　3.管理團(tuán)隊(duì)成員　　(6)團(tuán)隊(duì)成員對(duì)硬件和軟件的具體政策。

　　(7)威脅意識(shí)和檢測(cè)培訓(xùn)。

　　(8)定期合規(guī)審計(jì)。

　　隨著網(wǎng)絡(luò)罪犯技術(shù)的發(fā)展，威脅變得越來(lái)越復(fù)雜。

企業(yè)需要確保其IT主管不斷學(xué)習(xí)和發(fā)展他們的技能，這一點(diǎn)至關(guān)重要。

　　IT/IS政策的戰(zhàn)略方法　　企業(yè)采用IT/IS政策的戰(zhàn)略方法可以緩解風(fēng)險(xiǎn)，并有助于保護(hù)企業(yè)的業(yè)務(wù)。