本文來自微信公眾號“GoUpSec”。
數據泄露的根源是“人的因素”。根據Proofpoint的報告，與系統漏洞或配置錯誤相比，“用戶疏忽”才是數據泄露的主因，1%的員工造成了88%的數據泄露事件。
報告調研的組織中有85%在過去一年內發生過數據泄露，其中超過九成組織遭受了負面后果，例如業務中斷、收入損失（超過50%）或信譽受損（40%）。
數據泄露事件暴增
調查顯示，過去一年中，組織平均每月會發生超過一次數據泄露事件（平均每年發生15起），71%的受訪者表示粗心大意的用戶是主要原因。典型的疏忽行為包括：
●將電子郵件發送給錯誤收件人
●訪問釣魚網站
●安裝未經授權的軟件
●將敏感數據發送到個人賬戶
根據Tessian在2023年采集的數據，約三分之一的員工曾將一到兩封電子郵件發送給錯誤的收件人。這意味著擁有5000名員工的公司每年約有3400封電子郵件發錯地址。誤發包含員工、客戶或患者數據的電子郵件所導致的數據泄露可能會被GDPR等法規被處以巨額罰款。
報告指出，大多數員工疏忽導致的數據泄露都是可預防的，可通過安全意識培訓和實施DLP策略規則加以緩解，例如針對電子郵件、網絡上傳、云文件同步和其他常見數據泄露方法進行管控。
惡意內部人員造成的損失最大
20%的受訪者表示，惡意內部人員（例如員工或合同工）是數據泄露事件的主因。與粗心大意的內部人員相比，惡意行為和離職員工給企業造成的損失和影響更大，因為后者受個人利益驅動。
Proofpoint的數據顯示，在過去9個月中，云租戶之間的文件泄露事件中有87%是由離職員工造成的，但是很多離職員工并不總是認為自己的行為具有惡意，一些人只是覺得自己有權帶走自己制作的信息。這凸顯了針對離職員工實施安全審查流程等預防策略的重要性。
1%的員工造成了88%的數據泄露
63%的受訪者認為，擁有敏感數據訪問權限的員工（例如人力資源和財務專業人員）是數據泄露的最大風險因素。
此外，Proofpoint的數據顯示，1%的員工造成了88%的數據泄露事件。這些發現表明，組織必須優先采用最佳實踐，例如使用數據分類來識別和保護關鍵業務數據并監控擁有敏感數據訪問權限或管理員權限的人員。
雖然許多DLP計劃最初都是為了滿足合規要求而實施，但超過一半的調查參與者表示，保護客戶和員工隱私是其主要驅動因素。金融、醫療和政府除外，這些行業將監管列為最常見的實施原因。
Kalember表示，“除了定期更新DLP策略外，安全團隊需要全面了解所有事件的用戶和數據，重點解決以人為因素為主的數據泄露全方位問題，人是數據安全的關鍵變量，數據泄露防護計劃必須認識到這一點。”
人工智能時代DLP策略需要“以人為本“
雖然企業正紛紛投資數據泄露防護(DLP)解決方案，但Proofpoint的報告顯示，這些投資往往收效甚微。例如，在3月份引發網絡安全業界廣泛關注的谷歌起訴華人工程師竊密案件中，涉事谷歌員工在長達一年的時間內將500多個包含商業機密的文件從工作電腦上傳到谷歌網盤中，谷歌的DLP策略形同虛設。
“該研究揭示了數據泄露問題最關鍵的問題：人為因素，”Proofpoint首席戰略官RyanKalember表示，“粗心大意、被感染惡意軟件以及惡意用戶一直是絕大多數數據泄露事件的始作俑者，與此同時，隨著員工越來越多地使用生成式人工智能工具（尤其是影子AI）完成日常工作，AI工具正在大量獲取敏感數據訪問權限。各組織需要重新思考其DLP策略，解決數據泄露的根本原因——人為因素。唯有如此，才能跨越員工使用的所有渠道（包括云端、終端、電子郵件和網絡）檢測、調查和應對數據泄露威脅。”
ChatGPT、Grammarly、必應聊天、谷歌Gemini、文心一言、月之暗面等國內外生成式人工智能工具的功能和實用性日益增強，吸引越來越多的用戶將敏感數據輸入這些應用程序。“員工瀏覽生成式人工智能網站”正在成為主流DLP和內部威脅警報規則。
