根據(jù)Ponemon發(fā)布的一項調(diào)查報告顯示，內(nèi)部惡意事件會對企業(yè)造成更大的損失——平均每起事件損失755,760美元，每年損失408萬美元。Code42公司CISO兼CIO Jadee Hanson表示：“如今的數(shù)據(jù)多是數(shù)字化和便攜式的，因此想要獲取它易如反掌。員工和承包商有無數(shù)種方法可以將專有文檔轉(zhuǎn)儲到可移動U盤、個人Dropbox或G-Drive上，并隨身攜帶，以便可以在下一份工作中受益或為競爭對手提供戰(zhàn)略優(yōu)勢。其中，源代碼、專利申請以及客戶名單都是極受惡意內(nèi)部人員青睞的數(shù)據(jù)。”

　　以下是防止惡意內(nèi)部人員攻擊的一些建議，其中部分建議同樣適用于非惡意內(nèi)部事件。

　　1、建立專業(yè)的內(nèi)部風險防護團隊

　　內(nèi)部風險防護負責人員需要具備對員工和面試者的行為分析技能，能夠高效識別潛在的惡意內(nèi)部風險。而且內(nèi)部風險分析涉及到每個并肩工作的同事，所以負責內(nèi)部風險的分析師要格外謹慎且不宜過多，因為太多人訪問他人的敏感信息，本身也是一種風險。

　　企業(yè)需要一支致力于內(nèi)部風險的完整團隊。然后，該團隊可以向法律和人力資源部門報告他們在公司和行業(yè)內(nèi)觀察到的情況，以便確定應對內(nèi)部威脅最合適的解決方案。

　　2. 準確識別和界定惡意內(nèi)部風險類別

　　雖然企業(yè)遭遇的惡意內(nèi)部事件各有不同，但最典型的莫過于以下兩種基本類型：

　　一種是，外部威脅組織以豐厚的報酬引誘內(nèi)部員工交出敏感的公司數(shù)據(jù)。這種情況非常明確，也更容易起訴；另一種情況則不容易界定，即員工離職時，安全團隊在其私人iCloud或Google drive發(fā)現(xiàn)存有企業(yè)隱私數(shù)據(jù)。此類情況不好界定的原因是，該員工都會借口推脫稱只是無意行為。這也是上述要建立內(nèi)部風險防護團隊的重要原因之一，他們此時必須能夠判斷這個人是否在撒謊。

　　3.盡早發(fā)現(xiàn)企業(yè)的風險因素

　　內(nèi)部風險防護團隊需要確定企業(yè)中風險最大的人員。當涉及到惡意案例時，企業(yè)內(nèi)中級網(wǎng)絡和數(shù)據(jù)庫管理人員通常是需要特別注意，因為他們有權(quán)訪問域管理路由、對服務器的路由訪問以及對公司防火墻的訪問權(quán)限。他們清楚地知道自己的行為會產(chǎn)生什么后果，一旦發(fā)生異常情況，則更有可能并非意外。

　　通過審視風險，能夠建立起更有效的防御機制。此外，安全團隊還需要了解企業(yè)的高風險數(shù)據(jù)。例如，開發(fā)人員創(chuàng)建的源代碼文件，知識產(chǎn)權(quán)以及客戶名單等等。

　　4. 讓安全團隊盡早參與事件處置

　　如果公司不給安全分析師參與初步事件調(diào)查的機會，那么之后的人力資源和法務部門可能會忙成一鍋粥。安全分析師必須有能力對嫌疑人員進行初步調(diào)查。在安全分析師掌握更多事實之前，進一步推進案件是沒有意義的。

　　舉個例子，一位高管將敏感的公司信息下載到個人U盤上，這件事看起來很可疑，但經(jīng)過調(diào)查后發(fā)現(xiàn)，這位高管正在住院，拷貝資料只是為了讓妻子幫忙打印出來，以便可以在醫(yī)院辦公。

　　在初步調(diào)查過程中，安全分析師必須考慮以下問題：我對嫌疑人員了解多少？他們?yōu)槭裁匆x開組織？他們在過去60天內(nèi)做了什么？他們是否存在前科，或做出了有違職業(yè)操守的行為等等。

　　5. 建立完整的內(nèi)部威脅處置流程

　　在惡意內(nèi)部人員案件中，企業(yè)最終可能會指控員工犯罪。因此，企業(yè)需要制定此類案件的完整處理流程。如果缺少安全團隊、人力資源和法律部門的合作，就無法實現(xiàn)這一點。安全分析師進行初步調(diào)查只是充當了偵探的角色，他們還需要將證據(jù)提交給充當法官、陪審團和審判長的上級領(lǐng)導。

　　設立內(nèi)部風險計劃的安全分析師也應該與執(zhí)法部門保持聯(lián)系。例如，如果分析師看到可能導致實際工作場所暴力（危及生命）的虛擬指標，則可能會直接求助于執(zhí)法部門。但是對于數(shù)字案例，安全團隊應該與HR和法律部門密切合作。

　　內(nèi)部威脅計劃旨在減輕有權(quán)訪問組織資產(chǎn)的個人造成的風險，而該人不僅僅存在于虛擬世界中。公司需要從整體的角度來看待并了解現(xiàn)實生活中可能發(fā)生的會造成損失的事情。將兩者結(jié)合是減輕威脅最有效的方法。

　　6. 制定完善的員工行為管理制度

　　員工應該了解公司已經(jīng)制定的旨在保護公司數(shù)據(jù)并概述違規(guī)流程和處罰的內(nèi)部風險計劃。

　　大多數(shù)公司都制定了相當標準的政策，規(guī)定了可接受的使用政策以及員工應該如何處理公司數(shù)據(jù)。圍繞懲罰制定政策是最常見的方式。大多數(shù)公司都根據(jù)自身能夠承受的風險水平制定了政策，例如，如果有人第二次落入釣魚郵件陷阱以及第二次導致公司丟失敏感數(shù)據(jù)，將受到相應懲罰。

　　“事不過三”的原則說起來容易，實踐起來卻并不簡單。如果某位員工在此類事件上“屢禁不止”，這可能就是搜尋惡意事件源頭的重要信號。

　　7. 采用最新的安全技術(shù)

　　除了上述安全建議外，企業(yè)組織還可以利用最新的安全技術(shù)來防止內(nèi)部攻擊。例如，通過使用像Google G Suite這樣的工具，公司可以知道他們的員工正在訪問哪些文檔，阻止他們下載某些類型的文檔，并制定相關(guān)政策以貫徹落實這一目標。

　　以Code42公司為例，他們已經(jīng)將每個員工都轉(zhuǎn)移至云端，公司現(xiàn)在要做的就是管理遠程訪問。每個人在云端都有一個特定于工作角色的分區(qū)，唯一的危險因素就是管理員。