電腦安全行業過去往往不太關注所謂“內部威脅”(insider threat)，但這種情況已開始改變，一些公司開始競相提供相關服務，幫助企業客戶防止敏感數據在員工手上遭受損害。

　　過去，多數大公司都將大部分信息科技安全預算用在應對“外部威脅”(perimeter threat)方面，例如電腦蠕虫病毒等。

　　如今，越來越多的電腦安全專家表示，一位笨手笨腳的員工提著裝滿敏感數據的筆記本電腦，或是請來一個心懷不滿、執意報復的承包人，它們對企業所構成的威脅要遠遠超過几個不懷好意的黑客。

　　“內部威脅之所以存在，原因是安全技朮不能保護信息，” EMC副總裁丹尼斯.霍夫曼(Dennis Hoffman)解釋道，“如今，絕大多數安全產品保護的是基礎設施。從根本上來說，它們保護的是設備。”EMC是全球最大的數據存儲設備和軟件制造商。

　　最近發生了一系列數據丟失事件，比如美國退伍軍人事務部(Veterans Administration)丟失了存有大量退伍軍人個人信息的手提電腦。不管是當事人失職，還是有人蓄意制造，這些事件均突顯出，公司若不能保護敏感數據，將會面臨巨大風險。

　　安全集團Decru的營銷副總裁凱文.布朗(Kevin Brown)表示，直到最近，許多公司還一直不愿承認內部威脅的嚴重程度。Decru去年被EMC 競爭對手Network Appliance收購。

　　他表示：“討論外部的壞人要容易的多。”存儲成本下降和新規定的出台，令公司需要存儲的客戶及交易信息、數據大幅增加，更是加劇了這一問題的嚴重性。

　　但在此期間，布朗表示，保護這些數據的方法卻未能同步跟上。“如今，你把海量的數據都存放在那些大型中央數據系統中，就如同把所有的雞蛋都放在了一個大籃子里。”

　　同時，遠程辦公等新興趨勢帶來了新的信息泄露途徑，這讓“提防外賊”的觀點顯得有些過時。惠普公司(HP)安全戰略部門主管托尼.雷德蒙(Tony Redmond)表示：“防火牆和划分網絡界線的傳統觀點正在消失，雖然緩慢，但趨勢很明顯。”

　　為了幫助客戶適應這種新情況，惠普、EMC和Network Appliance等公司正競相開展新的服務，幫助客戶確定何人可以獲取何種數據，以及在遠程用戶進入一家公司的內部網絡之前，幫助客戶確定該用戶是否懷有惡意。

　　然而，即使是最嚴格的技朮保護，也可能無法阻止一個蓄意盜取數據的內部人士偷走敏感數據。

　　別有用心的員工可能會將文件的一部分粘貼到聊天窗口，以繞開數據保護措施。另一個員工則可能直接打印出一份文件，然后帶出辦公室。

　　總部位于美國猶他州的初創企業Oakley Networks等公司選擇從人的方面入手，以求解決內部威脅問題。“相比于僅僅監控網絡上的內容，（人的）行為是一個更大的問題，”Oakley的市場營銷主管湯姆.班尼特(Tom Bennett)表示，“如果某人正在做一件不懷好意的事情，他們會努力掩蓋其行為。他們會表現得很聰明。”

　　班尼特表示，通過把敏感文件內容剪切粘貼到聊天窗口或基于網頁的電子郵件程序，內部人士能夠繞過許多傳統的安全防范措施。

　　為了解決這一問題，Oakley提供了能讓企業實時監視雇員電腦使用情況的軟件。這個軟件可以檢查雇員的電子郵件、聊天窗口和其它程序，檢索可能與破壞、盜竊甚至性騷擾有關的關鍵字。有了它，管理者可以記錄可疑事件并進行回放。

　　非贏利隱私權組織Privacy Rights Clearinghouse的研究主管特納.弗列里(Tena Friery)表示，由于涉及隱私法，企業使用這種監控系統時必須非常小心。

　　在監控雇員的問題上，美國法庭通常會站在雇員一邊。不過，弗列里表示，隨著越來越多的人選擇在家工作，在公司自我保護的權利與雇員的隱私權之間保持合理平衡，已經變成一件“平衡藝朮”。

　　“雇員在上班時，對隱私權問題沒有太高期望，而企業也正越來越多地進行監控。”然而，她表示，“如今，人們經常工作很長時間。他們會在家里工作，可能用他們的家用設備進入公司的網絡。這確實模糊了休息時間和工作時間的界限，帶來了嚴重的隱私權問題。”

　　雇員監視問題在歐洲特別富有爭議，在那里，隱私法往往傾向于保護雇員。“德國和法國在雇員隱私方面的規定非常嚴格，”惠普公司的雷德蒙表示，“多數財富500強企業(Fortune 500)將面臨一個問題，即必須遵守它們業務所在地區的隱私權法規。在歐洲，工會和職工監事委員會將會帶來大麻煩。”

　　美國風險咨詢機構Ackerman Group的顧問喬治.迪尤(George Dew)表示，在培訓雇員如何處理敏感信息方面，企業一直落后于美國政府。他表示：“許多人并沒有真正意識到數據丟失意味著什么、可能帶來多大損失。”

　　為了防范內部威脅，許多企業已開始加大努力，對可能招募的新人進行背景調查。它們也逐漸將這種做法拓展至承包商和臨時工。這些人可能會造成更大的風險，因為他們缺乏多數正式雇員所具有的高度忠誠感。

　　不過，前美國聯邦調查局(FBI)探員、控制風險集團(Control Risks Group)顧問比爾.戴利(Bill Daley)表示，面對那些憎恨工作的員工所帶來的內部威脅，背景調查作用有限。“如果你信任你的員工，就很難認定哪些人心懷不滿，因為他們從外表看起來跟你我一樣。”戴利表示，“這是最困難的情況，因為那是我們信任的人。”

　　迪尤表示，當談到抗擊內部威脅的時候，人際接觸常常被忽視。他表示：“如果你有一些善于傾聽的經理人，他們非常清楚自己的雇員感受如何，那么，當一名雇員感到不高興的時候，你就能迅速判斷出來。”不過，他補充指出，在私營領域，這種做法很少被優先考慮，因為那個領域強調的是業績。

　　除了擔任Ackerman的顧問，迪尤也擁有自己的計算機安全公司。他總結道，即便得不到上級的贊許，公司IT主管也愿意做好應對內部威脅的防范措施。“作為一名IT高管，你在加強安全防衛的時候不會得到稱贊，但如果出了事，那你就死定了。”

　　（本新聞文章由英國《金融時報》中文網(ftchinese.com)授權,轉載在早報網。）