企业安全培训:如何避免员工“变坏”

ZDNet安全频道原创翻译 转载请注明作者以及出处

在现实生活中，经常有由于个人生活的危机导致员工出现问题这样的情况发生。如何防止在这种情况的发生时导致公司受到损失？怎样才能为出现问题的员工提供帮助，避免这种事件的发生？
-------------------------------------------------------------------------------------------

对于公司来说，不断上升的统计数字显示来自内部的非法活动是导致安全出现问题的最大原因。检测工具和其他安全产品，从表面上来看是可以保护公司和员工的安全。然而，对员工潜在的安全风险进行分析和干预，以防止造成安全事件的工作却往往被忽略了。ZDNet安全频道原创翻译 转载请注明作者以及出处

在本文中，我将对员工在故意造成安全漏洞前的行为特征进行分析，对这种情况的出现进行介绍和说明。采用的资料是对违反国家安全协议的间谍进行评估的研究结果，主要包括了：

· 海军刑事调查局的迈克·格里斯博士编写的《间谍内心探索》

· 德克萨斯A＆M研究基金会提供的《员工安全责任指南：关于不适当、不可靠与可疑行为的报告部分》

· 德克萨斯A＆M研究基金会提供的《员工安全责任指南：安全和适宜性问题部分》

· 德克萨斯A＆M研究基金会提供的《人与人之间的不同》

尽管我们中的大多数人和保护国家军事机密没什么关系，但我相信员工“变坏”的理由和导致间谍出卖我们信任的原因是非常相似的。

为什么员工会决定这么做？

在调查中我发现，大部分违反安全政策的员工都曾经是非常有价值的人。他们从同行和领导那里赢得了信赖。但在每起事件中，都存在一个触发因素，让员工作出了错误的选择。我们能否阻止这些安全事件的发生？如何防止这种情况的发生导致公司受到损失？怎样才能为出现问题的员工提供帮助，避免这种事件的发生？对于所有这些问题来说，答案都是可以的。

迈克·格里斯博士在对已经认罪间谍的研究结果显示。在开始，他们都通过了背景调查，获得安全许可，并在一段时间内完成了预期的工作。格里斯发现了导致他们背叛自己祖国的三个关键因素：性格上存在一个弱点、遇到一次突发危机，以及缺乏相应的干预。

没有人仅仅因为性格上的弱点就足以引发不受欢迎的行为。实际上，恰恰是相反的，它是一个积累起来的问题，性格上的弱点才会导致原本可靠的人出现安全方面的问题。

（来自《员工安全责任指南：安全和适宜性问题部分》一文）

1. 性格弱点

按照格里斯博士的定义，人格或性格上的弱点指的是“一种很难确定的会在什么状态下出现的反常行为模式。”这种现象经常和工作中的同事有关，导致相互之间的关系出现了问题，在工作中出现问题，并引起情绪的变化。在实际生活中，最经常出现的两种弱点是反社会人格和自恋。

在这里反社会的意思并不是指什么人应该避免和其他人发生接触。实际上是恰恰相反，它描述的是一种排斥社会规范和规则造成的性格缺陷。反社会行为可能会导致一个人无法建立强有力的忠诚。

自恋的结果会导致毫无道理地将自我感情的重要性放到第一位，一个人有了这种性格特质的话，是无法接受失败或批评的。他或她可能接受社会的规则或标准，但会感觉自己是高于其他的一切。

性格弱点本身通常是不足以造成一个人做出错误选择这样的事件发生。

2. 危机的积累

危机的到来有可能是很多种形式的。经济衰退可能会导致职业生涯出现不确定性。财政方面面临的问题将导致员工和他们的家人承受着重大压力。办公室政治、观念或信仰的歧视、一个人没有得到他或她应该得到的这类情况都可能驱使员工作出错误的选择并且进行犯罪行为。

3. 缺乏相应的干预

员工的变坏在通常情况下是可以被周围的同事察觉的。举例来说（来自安全和适宜性问题）：

· 出现酒后工作的情况
· 在办公室中住宿
· 在星期一到五的时间里出现多次原因不名的缺席现象
· 出现实际或威胁使用武力或暴力的行为
· 无视规则和条例的存在
· 虐待或忽视配偶或子女
· 企图进行其他非法或可疑活动
· 滥用药物
· 与过去相比，行为发生了重大变化，紧张或焦虑的情况明显增加，出现原因不明的抑郁症、多动症，工作效果和能力迅速下降，个人卫生情况恶化，与同事的关系出现摩擦，拒绝任何形式的社会互动行为将自己孤立起来。
· 以奇怪的方式表达自己的思想、观念或期望
· 对同事或上司说谎和欺骗
· 自言自语或者企图伤害自己
· 议论或侮辱一起工作的同事本人或家庭的情况，这样会引起了工作场所的讨论或扰乱工作场所的环境
· 使用空头支票
· 未能支付子女抚养费
· 企图成为未经事先授权的系统管理员，或者进行非法的系统测试或安全研究，以达到规避或破坏安全或审计制度的目的。

但实际情况经常是一起工作的同事和领导要么不愿意承认这些迹象的存在，要么不愿意进行干预。如果员工学习过如何对这种行为进行分析和报告的话，采取相应的步骤就可以防止安全事故的出现。

防止犯罪行为

大部分公司都会对不希望出现的行为进行控制，以防止坏的事件发生。但正如我们看到的一样，没有任何控制或控制设定是百分之百有效的，尤其是在当攻击者是一个授权用户的情况下。我们也知道，预防比试图检测、控制以及从事件中恢复更好的办法。所以，我们应该怎样才能防止员工的犯罪行为呢？

确定员工潜在的安全威胁最有效的一个方法就是对员工进行教育以及合作。让他们寻找可疑的现象或者行为。并且提供一种允许匿名报告这一行为的手段。员工发现了危险的迹象并且愿意报告，是最好的内部威胁控制方法。

（来自《员工安全责任指南：安全和适宜性问题部分》一文）

在《人与人之间的不同》一文中，包含了几个例子，可以说明政府雇员对确定安全风险有什么帮助，内容如下所示：

在1986年，和迈克尔·H·艾伦一起工作的一名工作人员报告他在办公室里的复印机上花费了过多的时间。这份报告导致海军刑事调查局在艾伦办公室附近的影印机上安装了隐藏摄像机。由此产生的录像显示阿伦复制了文件并藏在衣服口袋里。

艾伦是一名退休的海军高级无线电技师，在菲律宾的骄碧角海军航空基地工作。他承认了将机密情报传递给菲律宾情报局以换取在本地的商业利益。最后，他被裁定犯有十项间谍罪。

文章中也包含了当员工没有注意或者没有思考他们看到的情况时，发生的事件的例子。

陆军准尉詹姆斯·W·霍尔三世由于在1982年到1988年之间向前东德和前苏联提供情报而被判处四十年徒刑。他对美国和北约为保卫西欧而进行的计划造成了损害。在被捕后，霍尔说，周围的很多人都看到他参与了可疑活动。

霍尔经常会在工作日花两个小时复制提供给前苏联和东德的机密文件。他经常缺席自己的执勤时间，一贯到了月底才完成分配给他的任务。利用非法收入，霍尔用现金购买了一辆全新的沃尔沃轿车和一部新的卡车。他还在家里进行了大量的装修，并且经常乘作飞机。据说，他给军队里的同事说了至少六个相互矛盾的故事来解释奢华的生活方式，但和霍尔一起工作的同事没有一个报告他的不寻常活动。在从德国回国后，他还经常前往奥地利维也纳，为前苏联情报机关提供机密文件。

一旦员工被确认为存在问题，在他或她实际上犯下罪行之前，进行干预调节是正确的做法。鼓励员工使用如员工援助计划之类的服务，可以帮助他或她获得咨询或其他必要的帮助来处理个人或家庭危机。通常情况下，患有如抑郁症之类常见心理疾病的员工，在得到了他们需要的帮助之后，会在滑向犯罪边缘之前找到自己应该返回的位置。这样的话，你就保住了一名宝贵的可靠员工，并且保证了信息资产仍然是处于安全的状态中。ZDNet安全频道原创翻译 转载请注明作者以及出处

最后的结果

是的，员工是公司安全面临的最大威胁，这是安全方面应该知道的事实。但员工也是防止出现安全事故的最佳手段。请确保公司的员工都进行过包括检测和报告可疑行为在内的安全知识培训。