企业最大的“黑客”竟然是内部员工？

　　据CNBC报道，伴随着大量被报道的数据外泄继续袭击美国企业，信息技术预算正在不断膨胀，旨在对抗企业自认为是自己所面临的最大威胁：来自外部实体的富有经验的匿名黑客。根据美国身份窃盗资源中心(Identity TheftResourceCenter,ITRC)发布的数据，今年已有600万项记录被曝光。

　　但是，实际上，很多企业和客户的敏感数据所面临的更大威胁，是来自企业内部那些看起来无害的人：负责处理客户电子邮件的信贷员、养老院的护理人员、一家有声望的城市医院主要手术室的单位协调员。

　　根据美国电信业者Verizon发布的《2015数据外泄调查报告》，在所有安全事故中大约有50%因内部人员而起。30%的安全事故归因于员工的疏忽，比如或将敏感数据传给了错误的接收方，或对个人和医疗数据进行了不安全处理。约有20%的安全事故被认为是内幕者滥用事件，比如说雇员可能盗窃或从企业拥有或保护的信息中获利。

　　身处前沿的雇员盗取病人的医疗数据或客户的社保数据，然后卖给黑市，或进行诈骗，比如说收取某个人的社保福利，以另外一个名字开新用户卡账号，或通过假冒某个人的身份来申请医保。

　　自2011年以来，Verizon首次发现多数内幕攻击的制造者并不是出纳员，很多“内幕”终端用户——企业内除了高管、经理、财务人员、开发者或系统管理员之外的任何人——应该为此负责。绝大多数的人因贪婪而做出不当行为。

　　ITRC首席执行官兼总裁Eva Velasquez指出，“犯罪者有不同的激发诱因。有些能获得此类消息的个人拿着最低工资，对于他们来说，诱因或许是‘这不是一份能足够让我养活自己的工作’。”这位高管声称，负责照顾病人的护理院的工作人员，通过敲几下键盘就能获得医疗记录。根据美国劳工统计局发布的数据，此类医疗保健支持岗位的年收入仅在2.5万美元左右。如此低的薪水或许让工作人员更易受到监守自盗获益的诱惑。

　　根据Verizon的报告，公共部门、医疗保健和金融服务——比如说信用卡公司、银行、抵押贷款和贷款公司——是受内幕事故冲击最严重的行业。

　　在近来曝光的一桩案件中，美国马里兰州巴尔的摩一名男子面临涉嫌身份盗窃和银行诈骗等联邦指控。在未经当事人允许的情况下，该男子曾利用至少三名疗养院住户的个人信息开了数个信用卡账户。Tufts Health Plan一名前员工承认，自己曾借工作之便盗取姓名、出生日期以及社保数据，并用这些收取社保福利以及具有欺骗性的个人所得税返还。纽约蒙特菲奥医疗中心的前助理文员指控曾在去年6月份每日印制并出售数千项病人的记录。最终，记录数据被用于开百货商店信用卡账户。纽约县地区检察官办公室发布的数据显示，据估算此类犯罪行为引发了至少价值5万美元的诈骗。

　　自2007年以来，伴随着信息数据化的上行，局外人实施的外泄和黑客事件呈现大幅攀升趋势。与此同时，内部人士制造的泄密事件在整体经济中也不占少数。身份窃盗资源中心指出，在经济衰退期间，内幕泄密事件通常会达到峰值;当经济发展势头良好，此类事件会减少。2009年，内幕攻击在数据外泄中所占的比重触及17%的高位;经过了长达三年的下滑，当前该比例居于10%上下，而且呈现缓慢上行的轨迹。

　　律师事务所Fennemore Craig旗下Lamber Goodnow团队的代理律师James Goodnow指出，“当经济形势不好时，你会看到很多感到沮丧的人，他们充分利用在经济形势良好时或许不会利用的机会。”

　　安全公司Halock Security Labs的高级合伙人Terry Kurzynski声称，精明的企业会进行全公司范围内的风险评估，以发现系统薄弱的地方，以及找到用户行为的差错。但是，富有经验的分析，并不能很大程度地减少员工用低技术含量的方式获取信息的发生。安全公司Dyadic Security的联合创始人Guy Peer表示，“绝大多数的系统无法处理某个银行员工把自己当日所看到的银行数据记在纸上，因为这样的事情很难被追踪。”

　　信息技术公司MetroStar Systems的信息安全主管Clay Calvert认为，与员工的沟通非常关键，可以避免有些员工动歪脑筋。这位高管声称，“沟通可以避免很多身份盗窃案件的发生。如果一名员工感觉公司关心自己，他就不太可能利用职务之便进行身份盗窃。”