譯者 | 劉濤

審校 | 重樓

對于企業(yè)網(wǎng)絡安全而言，最大的威脅可能并非來自于潛伏在互聯(lián)網(wǎng)陰暗角落的神秘黑客。相反，他可能是坐在隔壁工位或遠程在家工作的“好員工”。雖然惡意內部人員確實存在，但多數(shù)常見的網(wǎng)絡安全漏洞實際上根源于員工在履行職責過程中那些細微且往往無意識的行為。這些行為從表面上看，似乎是為了解決工作中的問題而采取的無害行為或取巧之技，卻可能在網(wǎng)絡安全防護體系中埋下重大隱患，導致敏感數(shù)據(jù)面臨泄露風險。

潛伏的內部威脅

人類天性趨向于習慣性和便利性。在面對復雜或繁瑣的安全措施時，我們往往會尋求阻力最小的路徑。這種追求省力的創(chuàng)新精神在工作中的許多方面都極為寶貴，但在網(wǎng)絡安全領域，它卻可能轉變成一種潛在的風險，而人們往往意識不到正是自己引入了這些風險。正因如此，一些表面上看似無害的行為，實際可能對即便是最堅固的安全系統(tǒng)也造成嚴重的破壞。

規(guī)避安全措施的方法

1.使用個人設備

“自帶設備”（BYOD）的趨勢模糊了個人生活和職業(yè)生活之間的界限。員工經常使用自己的智能手機、平板電腦和筆記本電腦來處理工作事務，從而繞開了防火墻和監(jiān)控工具等企業(yè)安全防控措施。員工可能會使用個人手機拍攝敏感文件、運行未經許可的屏幕錄制軟件，或連接不安全的Wi-Fi網(wǎng)絡，這些行為都可能引發(fā)嚴重的數(shù)據(jù)泄露風險。遠程工作的普及進一步加劇了這種風險，因為員工對自己的設備和工作環(huán)境有了更多的自主權。

2.云存儲服務

Google Drive、Dropbox和OneDrive等云存儲服務為文件共享提供了便利。然而，員工可能會利用這些服務將敏感的公司數(shù)據(jù)上傳到他們的個人賬戶，有效地繞過了為保護這些數(shù)據(jù)而設置的安全措施。這種行為即使并非出于惡意，也可能導致數(shù)據(jù)泄露的嚴重后果。

3.密碼陷阱

密碼作為網(wǎng)絡安全的基石，卻常常是最薄弱的環(huán)節(jié)。人們出于簡化事物的本能，可能會在多個賬戶中重復使用相同的密碼，也會選擇容易猜到的密碼，甚至與同事共享密碼。此外，他們可能會在個人設備上不安全地存儲密碼，或使用弱認證方法。這些都為攻擊者提供了獲取未授權訪問敏感系統(tǒng)和數(shù)據(jù)的便利。

4.便利性的誘惑

防火墻、防病毒軟件和數(shù)據(jù)泄露防護（DLP）工具等安全措施是必不可少的，但它們有時被視為工作效率的障礙。為了簡化工作流程，員工可能會禁用安全功能、使用未經批準的軟件，或通過未被允許的渠道傳輸數(shù)據(jù)，這些行為都是以提高效率為名。

5.使用未經授權的軟件

員工可能會在公司設備上擅自下載未經授權的軟件或應用程序，這種做法往往是為了提升工作效率或便捷性，但可能會繞過安全檢查機制，從而潛在地引入惡意軟件風險。

6.點擊釣魚鏈接

釣魚攻擊仍然是常見的網(wǎng)絡安全威脅，它利用了人們的好奇心和信任感。即便員工接受了定期的安全培訓，他們仍有可能落入精心設計的釣魚郵件陷阱，點擊惡意鏈接或泄露敏感信息。一次疏忽的點擊可能為攻擊者提供滲透企業(yè)網(wǎng)絡的入口。

7.規(guī)避數(shù)據(jù)泄露防護（DLP）控制

員工可能會試圖通過未經批準的渠道傳輸數(shù)據(jù)，例如使用私人電子郵件賬戶或云存儲服務。這種情況可能發(fā)生在員工需要遠程工作或急需共享信息時。

8.可穿戴技術

智能手表等可穿戴設備可用于存儲和傳輸少量敏感數(shù)據(jù)。而這些設備在安全策略中常常被忽視。智能手表、健身追蹤器和其他可穿戴設備能收集并傳輸大量數(shù)據(jù)，包括位置信息、對話內容，甚至按鍵記錄。許多智能手表還拍攝照片。若企業(yè)重要數(shù)據(jù)未得到妥善保護，這些可穿戴設備可能成為數(shù)據(jù)外泄的潛在途徑。

9.未經批準的文件傳輸協(xié)議（FTP）服務器

員工可能會設置或使用未經批準的FTP服務器來傳輸大量數(shù)據(jù)。如果IT安全部門未能有效監(jiān)控，這些服務器很容易被忽視。

10.Wi-Fi熱點共享

員工使用個人移動設備作Wi-Fi熱點，可能會將公司設備連接到不安全的網(wǎng)絡，從而繞過公司防火墻和其他安全措施。

11.使用隱寫術（Steganography）

隱寫術是一種將數(shù)據(jù)隱藏在其他文件（如圖像或音頻文件）中的技術。員工可能將敏感信息嵌入到看似普通的文件中，使得非法數(shù)據(jù)傳輸難以被發(fā)現(xiàn)。

12.打印機和掃描儀的濫用

員工可能會利用辦公室打印機的和掃描儀制作敏感文件的數(shù)字副本。這些副本一旦被掃描，就可以通過電子郵件發(fā)送或保存到個人設備上，從而繞過數(shù)字安全措施。

13.社交媒體渠道

社交媒體平臺也會成為數(shù)據(jù)泄露的潛在途徑。員工可能使用社交媒體平臺的直接消息功能共享敏感信息。由于企業(yè)安全部門通常不會監(jiān)控這些渠道，因此它們可能會被用于數(shù)據(jù)外泄。

14.遠程桌面協(xié)議

有權訪問遠程桌面軟件的員工可以從家中或其他遠程地點連接到工作計算機。如果沒有適當?shù)陌踩Ｗo舉措，這種訪問可能被用于將敏感數(shù)據(jù)傳輸?shù)狡髽I(yè)網(wǎng)絡之外。

15.屏幕錄制軟件

員工可能會使用未經批準的屏幕錄制應用程序來捕獲敏感信息，這可能會無意中暴露企業(yè)的機密數(shù)據(jù)。

遠程工作的興起：數(shù)據(jù)安全的新挑戰(zhàn)

遠程工作的興起雖然帶來了極大的靈活性和便捷性，但也為數(shù)據(jù)安全領域帶來了新的挑戰(zhàn)。由于員工遠離IT部門的直接監(jiān)督和物理安全措施，他們有更多機會利用個人設備規(guī)避安全協(xié)議。在這種遠程工作環(huán)境中，無論是偷拍敏感信息照片、非法記錄機密會議內容，還是將文件上傳到不安全的個人云存儲，監(jiān)管都會變得更加困難，從而使這些風險被進一步放大。

解決根本原因

理解員工規(guī)避安全措施背后的原因，對于制定有效的解決方案至關重要。以下是一些常見原因：

• 操作不便：過于繁瑣的安全措施可能會降低工作效率。員工可能會尋求變通方法來簡化他們的工作任務。
• 意識不足：員工可能并未充分認識到自己的行為可能導致的風險，或未能深刻理解安全協(xié)議的重要性。
• 培訓缺失：如果員工未接受足夠的安全最佳實踐培訓，他們可能無法有效識別或應對潛在的安全威脅。
• 策略過時：未定期更新的安全策略可能無法應對新出現(xiàn)的威脅或技術，從而為員工留下可利用的漏洞。

減輕風險：多層次的方法

盡管人為因素給網(wǎng)絡安全帶來嚴峻挑戰(zhàn)，但這并非無法克服。通過深入了解員工可能規(guī)避安全措施的隱蔽行為，就可以采取先發(fā)制人的策略來應對這些潛在風險。

1.實施嚴格的訪問控制

基于工作角色的權限控制對訪問敏感信息至關重要。遵循最小權限原則，確保員工僅能接觸到其角色權限所需的數(shù)據(jù)。同時，定期審查和更新訪問控制措施，以防止未經授權的訪問。

2.監(jiān)控和審計活動

利用監(jiān)控工具跟蹤用戶行為，以便及時偵測到異常，這有助于識別潛在的安全威脅。定期審計可以突出顯示異常的模式和行為。而自動化警報系統(tǒng)則可以讓安全團隊對可疑行為迅速作出反應，從而實現(xiàn)快速干預。引入用戶和實體行為分析（UEBA）解決方案，可以更精準地識別異常行為模式。

3.定期開展相關員工培訓

定期開展網(wǎng)絡安全教育培訓，對于教育員工學習網(wǎng)絡安全最佳實踐，了解規(guī)避安全措施所帶來的風險至關重要。教會他們如何識別網(wǎng)絡釣魚、處理敏感數(shù)據(jù)以及報告可疑活動。創(chuàng)建安全意識文化能夠有效降低無意識風險行為。

4.數(shù)據(jù)泄露防護（DLP）工具

部署DLP工具監(jiān)控并控制敏感數(shù)據(jù)的流動，有助于檢測并防止數(shù)據(jù)在企業(yè)內部和外部未經授權的傳輸。

5.清晰簡潔的更新策略

制定明確、簡潔且持續(xù)更新的安全策略，確保全體員工能夠隨時掌握最新動態(tài)。同時，務必保證這些策略通過定期的溝通得以普及，并確保其得到有效執(zhí)行。

6.移動設備管理（MDM）

MDM解決方案可以保護用于工作目的的移動設備。這些工具能夠執(zhí)行安全策略、控制應用程序安裝，并在設備丟失或被盜時遠程擦除數(shù)據(jù)。它們還能監(jiān)控如頻繁使用屏幕截圖或藍牙傳輸?shù)犬惓；顒印?/span>

7.制定周密的事件響應計劃

周密的事件響應計劃確保您的團隊在發(fā)生安全事件時，能夠快速有效地采取行動。定期更新和測試此計劃，以應對新的威脅和漏洞。

8.用戶友好的安全措施

安全措施的設計應考慮用戶使用友好性，且不妨礙生產運行工作。實施單點登錄、密碼管理器和直觀的安全工具，使員工能夠輕松遵循最佳安全實踐。

9.正向激勵措施

通過正向激勵措施，獎勵發(fā)現(xiàn)并上報安全問題和遵循最佳安全實踐的員工。創(chuàng)造一種安全是每個人責任的文化氛圍，鼓勵員工在發(fā)現(xiàn)問題時勇于發(fā)聲。

利用合規(guī)框架：網(wǎng)絡安全的基礎

遵循特定行業(yè)的合規(guī)框架，如SOC 2、HIPAA、NIST CSF、Publication 1075和FISMA，可以為構建網(wǎng)絡安全計劃奠定堅實的基礎。這些框架不僅提供了實施安全控制的詳細指南，還有助于降低來自內部有意或無意的威脅風險。

盡管應對這些合規(guī)框架的復雜性可能令人望而生畏，但借助經驗豐富的審計師，可以簡化流程，確保企業(yè)能夠滿足必要的合規(guī)性要求。

采取行動的時刻

不要等待安全漏洞暴露您企業(yè)中的漏洞。通過了解員工規(guī)避安全措施的隱蔽行為，您可以采取積極主動的措施來應對風險并建立更強大的安全文化。

譯者介紹

劉濤，51CTO社區(qū)編輯，某大型央企系統(tǒng)上線檢測管控負責人。