企业最大的“黑客”竟然是内部员工？

据CNBC报道，伴随着大量被报道的数据外泄继续袭击美国企业，信息技术预算正在不断膨胀，旨在对抗企业自认为是自己所面临的最大威胁：来自外部实体的富有经验的匿名黑客。根据美国身份窃盗资源中心发布的数据，今年已有600万项记录被曝光。

但是，实际上，很多企业和客户的敏感数据所面临的更大威胁，是来自企业内部那些看起来无害的人：负责处理客户电子邮件的信贷员、养老院的护理人员、一家有声望的城市医院主要手术室的单位协调员。

根据美国电信业者发布的《2015数据外泄调查报告》，在所有安全事故中大约有50%因内部人员而起。30%的安全事故归因于员工的疏忽，比如或将敏感数据传给了错误的接收方，或对个人和医疗数据进行了不安全处理。约有20%的安全事故被认为是内幕者滥用事件，比如说雇员可能盗窃或从企业拥有或保护的信息中获利。

身处前沿的雇员盗取病人的医疗数据或客户的社保数据，然后卖给黑市，或进行诈骗，比如说收取某个人的社保福利，以另外一个名字开新用户卡账号，或通过假冒某个人的身份来申请医保。

自2011年以来，首次发现多数内幕攻击的制造者并不是出纳员，很多“内幕”终端用户——企业内除了高管、经理、财务人员、开发者或系统管理员之外的任何人——应该为此负责。绝大多数的人因贪婪而做出不当行为。

根据的报告，公共部门、医疗保健和金融服务——比如说信用卡公司、银行、抵押贷款和贷款公司——是受内幕事故冲击最严重的行业。

自2007年以来，伴随着信息数据化的上行，局外人实施的外泄和黑客事件呈现大幅攀升趋势。与此同时，内部人士制造的泄密事件在整体经济中也不占少数。身份窃盗资源中心指出，在经济衰退期间，内幕泄密事件通常会达到峰值；当经济发展势头良好，此类事件会减少。2009年，内幕攻击在数据外泄中所占的比重触及17%的高位；经过了长达三年的下滑，当前该比例居于10%上下，而且呈现缓慢上行的轨迹。

安全人士指出精明的企业会进行全公司范围内的风险评估，以发现系统薄弱的地方，以及找到用户行为的差错。但是，富有经验的分析，并不能很大程度地减少员工用低技术含量的方式获取信息的发生。比如，再完善的外网防攻击系统，也无法处理员工把重要数据打印出来带走，而且还很难追踪。所以，对于企业来说，信息安全建设除了加强内部员工的制度管理，还需要进一步提升内网安全建设。