揭秘来企业自内部的安全威胁

　　如果企业的老总们经常关心新闻的话，他们完全有理由担心一下自己的员工。近来，企业内部数据泄露案件层出不穷，几个月前，一家能源企业的审计师试图从公司盗窃900万美元。而就在上个月，LexisNexis发布了数据泄露警告，一位有黑手党背景的犯罪嫌疑人在公诉时被发现试图通过LexisNexis的信用卡进入他们的客户数据库。现在，一项新的研究把目标瞄准了内部威胁，还有企业应该怎样做才可以将威胁最小化。

　　这项研究由安全机构IDC和EMC的安全子公司RSA联手进行，研究发现受访的每家企业在过去一年中都至少出现过一次数据泄露，虽然大部分(52%)企业相信是纯属意外。

　　然而即使是意外也会让企业受到损失。调查结果写道，“企业的敏感信息比如客户和员工的个人识别信息(PII)、设计计划、源代码以及其他类型的知识产权意外泄露会让企业遭受重大和持续的伤害。”

　　在某些企业中，这样的威胁绵延不断。“我们对大约400位企业主管级官员进行了调查，”RSA高级副总裁Christopher Young说，“这400人在过去的12个月中碰到了大约5.8万起内部风险事件。”

　　研究报告警告说许多事件是因为用户权限过期或过滥造成的，这些用户权限可能会导致审计失败。

　　许多企业大批雇佣短期合同工和临时工作人员，他们也需要拥有访问企业信息的帐户，但这些帐户必须正确配置，在工作完成后必须尽快销毁。这为IT部门造成了真正的负担，报告说。

　　IT部门也面临着新的移动工作的挑战。研究报告发现，许多数据泄露都是由于员工把被感染的设备带入办公室造成的，感染可能通过笔记本、USB钥匙甚至手机传播。

　　“如果员工晚上回家后用笔记本在互联网上冲浪，他们很容易遭受所谓‘路过式下载(drive-by download)’攻击，”Young说，“而第二天受感染的计算机就会绕过他们公司的防火墙。”

　　即使是访问合法网站受到的威胁也越来越多。“员工访问社交网站，在网上购物。即便在企业里可以禁止访问一些网站，但业余的活动却无法限制，这就会造成感染。”

　　“内部风险的概念对企业来说越来越重要，随着IT部门正由内而外发展，还有社交网络和各种各样移动设备的大规模应用，”Young补充说。

　　防病毒软件并不能保护计算机应对每个威胁。“追赶坏家伙们，确定新类型的恶意软件，这都需要时间，”Young说，“即使是完全处在企业环境中的计算机也无法确保不受最新的恶意软件的攻击。”

　　报告建议企业使用数据丢失防护(DLP)和身份管理软件来减轻IT的负担。