信息系統(tǒng)廣泛應(yīng)用后，企業(yè)員工或多或少擁有一定的訪問權(quán)限。但當(dāng)員工離職后，大多數(shù)企業(yè)卻沒有適當(dāng)?shù)臋C(jī)制消除員工的訪問權(quán)限，由此帶來的風(fēng)險(xiǎn)是: 殘存的權(quán)限將有可能被員工本人或被其他黑客利用，影響網(wǎng)絡(luò)安全。

員工離職的風(fēng)險(xiǎn)

有的企業(yè)對員工采取了許多正確的雇用策略，比如對員工進(jìn)行背景調(diào)查、定期工作輪換、多人負(fù)責(zé)制等，但卻在最后一環(huán)馬虎了。對于離職員工，企業(yè)往往只是簡單地收回門卡、刪除計(jì)算機(jī)賬號等，但這些是遠(yuǎn)遠(yuǎn)不夠的。

1．殘存的各種賬號

企業(yè)有可能有多個信息系統(tǒng)，比如銷售系統(tǒng)、客戶系統(tǒng)、應(yīng)用系統(tǒng)、辦公系統(tǒng)等。由于許多企業(yè)的信息化成熟度并不高，這些系統(tǒng)并沒有集成在—起，也就有了各式各樣的賬號。而作為員工離職手續(xù)執(zhí)行者的人力資源部的工作人員并沒有能力了解這么多，也不可能及時(shí)通知到所有系統(tǒng)的管理者對賬號進(jìn)行禁用或刪除。這樣，很可能會有—部分賬號被保留下來，更可怕的是，企業(yè)中很少有人會知道并關(guān)心這些賬號的繼續(xù)存在。而離職員工仍可能利用這些賬號來繼續(xù)使用系統(tǒng)，甚至獲得銷售、客戶、產(chǎn)品等保密資料。

2．殘存的各種資源權(quán)限

員工很可能擁有VoIP、VPN、Modem接入、遠(yuǎn)程主機(jī)、E-mail等權(quán)限。如果一個離開很久的員工還用著公司的E-mail，這可能被別有用心的人利用，比如用來欺騙客戶、散播謠言、收取公司的廣播郵件等。另外要特別注意的是一些技術(shù)開發(fā)人員，他們擁有的權(quán)限更多，而且有些員工在工作中可能為了方便打開了一些后門，或是有意無意地安裝了一些木馬程序，這些更難被發(fā)現(xiàn)和刪除。

3．其他內(nèi)部信息及隱性信息

企業(yè)中，—個員工很可能無意或有意地得到其他人的權(quán)限或賬號，如一些公用測試賬號、要好同事的賬號、某人常用的密碼等。還有的員工可能了解企業(yè)網(wǎng)絡(luò)中的一些漏洞、后門等不公開的信息，這些信息如果透露給黑客，很可能危害到系統(tǒng)的安全。

這些殘存的信息，不僅可能被原來的員工所利用，原來的員工也可能會有意無意地把它們提供給其他有犯罪意圖的人。實(shí)際上，隨著員工電腦技能的提高和一些黑客工具的泛濫，再加上多數(shù)企業(yè)對待離職員工的賬號終結(jié)等問題的重視度不夠，這些現(xiàn)象已經(jīng)開始有擴(kuò)大的趨勢，所以一定不要低估這個問題所帶來的風(fēng)險(xiǎn)。

幾點(diǎn)建議

企業(yè)認(rèn)識到這個問題所帶來的風(fēng)險(xiǎn)后，如何降低甚至消滅這個風(fēng)險(xiǎn)呢？我們幾乎找不出什么有效的通用辦法。不過，可以根據(jù)自己的實(shí)際情況參考以下幾點(diǎn)建議。

1．建立和完善的企業(yè)安全策略、標(biāo)準(zhǔn)、指南和操作程序

這是非常必要的，能使您處處主動，而不是“頭痛醫(yī)頭，腳痛醫(yī)腳”。在策略中要考慮到配置管理、變更管理，從而能有效地發(fā)現(xiàn)和防止員工隨意安裝非授權(quán)的軟件等。

2．盡可能建立專用管理系統(tǒng)

當(dāng)信息系統(tǒng)發(fā)展到比較成熟的階段，企業(yè)的各個系統(tǒng)應(yīng)該整合在一起，同時(shí)擁有完善的數(shù)據(jù)控制機(jī)制，這樣就能避免目前這種一個員工有多個賬號、角色混亂的現(xiàn)象了。

但是在這之前，企業(yè)也可以建立一個專用的管理系統(tǒng)，由它來集中控制和管理企業(yè)內(nèi)部的賬號、權(quán)限、角色等。這個管理系統(tǒng)能夠減少人工處理的難度和工作量，可以提供諸如自動檢查和刪除過期賬號、定期要求修改密碼、查詢和修改員工賬號等功能。

3．在安全管理中要注意的問題

如果不能建立一個專用的管理系統(tǒng)，就要靠人工來管理，在安全管理中有很多問題值得注意。

（1）小心公共賬號。對于公共賬號要嚴(yán)格控制其權(quán)限，只能訪問工作所需的有限的內(nèi)容；公共賬號不用后要立即刪除；告誡員工不得向無關(guān)的人員透露。

（2）小心常用密碼。教育員工避免對別人公開自己的常用密碼。

（3）加強(qiáng)系統(tǒng)日志功能。各種日志就是將來跟蹤用戶行為的證據(jù)，如果有事情發(fā)生還可以成為司法取證的重要證據(jù)。

（4）小心分配資源，及時(shí)收回不用的資源。要根據(jù)員工的工作職責(zé)、資歷、業(yè)務(wù)要求等決定員工需要接入哪些公司資源，以及為什么需要接人。當(dāng)實(shí)際情況變化后，要及時(shí)收回不用的資源。

（4）精簡資源。IT管理人員要減少冗余資源，要使資源有序，這樣可以減少員工資源使用上的混亂現(xiàn)象。

4．加強(qiáng)人力資源部門和IT部門的溝通

人力資源部門和IT部門在很多方面都要通力合作。人力資源部門在裁員或重組之前最好能預(yù)先通知IT部門，IT部門要根據(jù)情況事先評估這些員工在企業(yè)信息系統(tǒng)中的各種賬號、權(quán)限等，并預(yù)先設(shè)計(jì)好工作范圍和操作流程。

5．尊重員工，保持良好的關(guān)系

有些公司在解雇員工的時(shí)候顯得非常專制，比如限制員工將個人數(shù)據(jù)備份、不給員工足夠的收拾物品的時(shí)間等，孰不知這樣做一方面會引起離職員工的不滿和敵意，另一方面，還可能引起其他在職員工的危機(jī)感，造成不穩(wěn)定因素。所以，在解雇員工時(shí)也要有理有據(jù)，在保證公司機(jī)密的同時(shí)給予足夠誠意的尊重。

6．利用多種途徑進(jìn)行約束

要和員工簽訂明確的保密合同，通過各種方式來提高員工的安全意識，讓員工明白如果不注意保密，或者攻擊和破壞公司信息安全的后果和法律責(zé)任。

雖然風(fēng)險(xiǎn)始終存在，但也不必太過害怕。只要我們對風(fēng)險(xiǎn)有足夠的認(rèn)識，采取了正確的措施，就可以將損失減到最小。最后要提醒管理層的是，離職員工的安全問題只是眾多安全問題中比較容易被忽視的一環(huán)，類似的安全問題可能存在于企業(yè)的任何環(huán)節(jié)中，而最根本的對策是要為企業(yè)建立一整套的安全策略、標(biāo)準(zhǔn)、指南和操作程序，并在安全實(shí)踐中不斷更新和完善。