然網(wǎng)絡(luò)犯罪分子經(jīng)常成為眾人矚目的焦點(diǎn)，但對(duì)你公司而言，最危險(xiǎn)的威脅之一可能正潛藏在顯而易見之處——你自己的團(tuán)隊(duì)內(nèi)部。
能夠接觸敏感信息的員工、承包商或業(yè)務(wù)合作伙伴可能會(huì)利用這種訪問權(quán)限來制造麻煩，無論是竊取數(shù)據(jù)、破壞系統(tǒng)，還是泄露機(jī)密信息。
但究竟是什么讓公司內(nèi)部的人決定反戈一擊?這背后往往有心理方面的原因，無論是個(gè)人挫敗感、財(cái)務(wù)壓力，還是一種被虧待的感覺。
內(nèi)部威脅的動(dòng)機(jī)
個(gè)人恩怨：當(dāng)員工感覺自己被忽視，像是受到不公對(duì)待時(shí)，這可能會(huì)轉(zhuǎn)變?yōu)閷?duì)公司的怨恨。也許他們錯(cuò)過了晉升機(jī)會(huì)或加薪，或者他們經(jīng)歷了某種形式的歧視。這種不公正感可能會(huì)讓人們將有害行為視為一種報(bào)復(fù)手段。
財(cái)務(wù)問題：財(cái)務(wù)問題可能會(huì)把人們推向錯(cuò)誤的選擇，并使他們更容易受到外界影響。那些為債務(wù)或貸款所困的人可能會(huì)受到黑客或競(jìng)爭(zhēng)對(duì)手的誘惑，這些人愿意利用他們的困境。
社會(huì)或意識(shí)形態(tài)信仰：當(dāng)員工強(qiáng)烈反對(duì)公司在環(huán)境問題、勞動(dòng)實(shí)踐或職場(chǎng)文化等方面的處理方式時(shí)，他們可能會(huì)感到有必要親自采取行動(dòng)。如果他們認(rèn)為自己是在揭露不法行為或?yàn)檎x事業(yè)挺身而出，他們可能會(huì)向媒體或激進(jìn)組織泄露敏感信息，堅(jiān)信自己是在做正確的事，即使這會(huì)損害公司利益。
無聊或缺乏參與感：有時(shí)，人們就是不再關(guān)心自己的工作。也許是因?yàn)樗麄兊娜蝿?wù)顯得重復(fù)乏味，或者他們看不到自己努力的意義。當(dāng)這種情況發(fā)生時(shí)，他們可能會(huì)開始無視公司規(guī)定或省略步驟，而不經(jīng)過深思熟慮。久而久之，這可能會(huì)變成冷漠。他們只是不再對(duì)公司投入。從安全角度來看，這是有風(fēng)險(xiǎn)的，因?yàn)闊o聊的員工更可能繞過安全協(xié)議。他們可能覺得這沒什么大不了的，甚至是一種對(duì)他們已經(jīng)放棄的工作的低調(diào)反抗。
心理健康問題：心理健康問題不會(huì)自動(dòng)使某人成為威脅，但它們可能會(huì)蒙蔽判斷，使人們沖動(dòng)行事。正在處理焦慮或抑郁等問題的員工可能會(huì)做出冒險(xiǎn)的選擇——不一定是因?yàn)樗麄兿朐斐蓚?，而是因?yàn)樗麄兯季S不清晰。如果公司不支持心理健康，它可能會(huì)無意中創(chuàng)造出一個(gè)空間，讓這些問題在沒有任何人注意的情況下不斷累積。
行為模式和特權(quán)感：一些員工認(rèn)為規(guī)則對(duì)他們不適用。他們可能會(huì)覺得自己有權(quán)濫用公司資源或泄露敏感信息，因?yàn)樗麄冇X得自己應(yīng)得此利。在極端情況下，具有自戀傾向的人可能會(huì)將自己的行為合理化，認(rèn)為這樣做是為了服務(wù)自己的利益，而不考慮對(duì)公司的后果。
職業(yè)不滿：如果員工覺得在公司里沒有前途，他們可能會(huì)想報(bào)復(fù)雇主——或者至少確保在離開之前能從公司撈到好處。那些覺得自己陷入困境或看不到成長(zhǎng)潛力的員工可能會(huì)竊取數(shù)據(jù)或資源，以供他們?cè)谙乱环莨ぷ髦惺褂谩?/p>
欺詐三角形
犯罪學(xué)家唐納德·克雷斯提出了一個(gè)理論來解釋為什么人們會(huì)在工作中參與欺詐或有害行為。這被稱為“欺詐三角形”，它分為三個(gè)部分：壓力、機(jī)會(huì)和合理化。
• 壓力：個(gè)人壓力或財(cái)務(wù)困境可能會(huì)促使員工做出冒險(xiǎn)決定。
• 機(jī)會(huì)：薄弱的安全系統(tǒng)為實(shí)施有害意圖創(chuàng)造了機(jī)會(huì)。
• 合理化：?jiǎn)T工為自己的行為辯護(hù)，通常認(rèn)為自己應(yīng)得某些東西或?yàn)楦鼈ゴ蟮氖聵I(yè)而行事。
通過了解這三個(gè)因素——壓力、機(jī)會(huì)和合理化——組織可以更好地做好準(zhǔn)備，在內(nèi)部威脅發(fā)生之前發(fā)現(xiàn)并阻止它們。
聚焦內(nèi)部威脅
要真正了解內(nèi)部威脅可能有多嚴(yán)重，看看一些已使這些風(fēng)險(xiǎn)成為焦點(diǎn)的備受矚目的事件會(huì)有所幫助。
2019年，一名前AWS員工利用美國(guó)第一資本投資國(guó)際集團(tuán)(Capital One)云基礎(chǔ)設(shè)施中的漏洞，致使超過1.06億名客戶的數(shù)據(jù)遭到破壞。攻擊者利用對(duì)AWS的內(nèi)部了解獲得了未經(jīng)授權(quán)的訪問權(quán)限。
2023年5月，特斯拉透露，兩名前員工應(yīng)對(duì)一起數(shù)據(jù)泄露事件負(fù)責(zé)，他們?cè)L問并泄露了超過7.5萬名個(gè)人的信息。
在談?wù)搩?nèi)部威脅時(shí)，遠(yuǎn)程工作是另一個(gè)棘手問題，因?yàn)楹茈y確定受雇人員是否真的是他們自稱的人。最近，一個(gè)主要由中國(guó)運(yùn)營(yíng)的朝鮮IT幌子公司網(wǎng)絡(luò)被揭露。這些公司幫助朝鮮工人獲得全球遠(yuǎn)程工作機(jī)會(huì)，通常通過加密貨幣或影子銀行系統(tǒng)洗錢。這些幌子公司模仿合法的IT公司，使企業(yè)難以發(fā)現(xiàn)欺詐行為。
聯(lián)邦調(diào)查局還警告稱，朝鮮IT工作者經(jīng)常冒充自由職業(yè)者，通過利用對(duì)公司網(wǎng)絡(luò)的訪問權(quán)限來竊取專有數(shù)據(jù)、協(xié)助網(wǎng)絡(luò)犯罪和為朝鮮政權(quán)創(chuàng)造收入來敲詐雇主。
如果我們撇開間諜活動(dòng)或政治動(dòng)機(jī)驅(qū)動(dòng)的內(nèi)部威脅，那么其中許多風(fēng)險(xiǎn)仍然源于可以在公司內(nèi)部識(shí)別和解決的個(gè)人問題、挫敗感或未滿足的需求。
如何預(yù)防內(nèi)部威脅
營(yíng)造一個(gè)讓員工感到被重視、被支持和有參與感的環(huán)境可以降低內(nèi)部威脅的風(fēng)險(xiǎn)。在員工認(rèn)為自己受到公平對(duì)待的積極文化中，不太可能出現(xiàn)導(dǎo)致有害行為的挫敗感或脫節(jié)感。
為了減少內(nèi)部威脅，組織應(yīng)將心理見解與網(wǎng)絡(luò)安全措施相結(jié)合。以下是一些策略：
• 營(yíng)造積極文化：定期與員工溝通，及時(shí)解決他們的不滿。
• 限制訪問：實(shí)施基于角色的權(quán)限并監(jiān)控?cái)?shù)據(jù)使用情況。
• 心理健康支持：提供咨詢和工作生活平衡計(jì)劃。
• 道德培訓(xùn)：教育員工做出決策時(shí)考慮安全風(fēng)險(xiǎn)。
• 安全舉報(bào)渠道：鼓勵(lì)舉報(bào)，確保舉報(bào)者不會(huì)遭到報(bào)復(fù)。
• 常規(guī)安全審計(jì)：識(shí)別漏洞并強(qiáng)制執(zhí)行網(wǎng)絡(luò)安全實(shí)踐。
• 明確離職協(xié)議：立即撤銷系統(tǒng)訪問權(quán)限，并監(jiān)控離職后的行為。
重要的是要意識(shí)到，人的心理是脆弱的;今天最優(yōu)秀、最可靠的員工明天可能會(huì)轉(zhuǎn)而反對(duì)他們?yōu)橹ぷ鞯墓?，而且任何心理分析都無法阻止這一點(diǎn)。與時(shí)間賽跑、對(duì)利潤(rùn)的日益追求、工作壓力以及人與人之間缺乏健康溝通將繼續(xù)成為某人成為內(nèi)部威脅的誘因。
因此，歸根結(jié)底，關(guān)鍵在于盡早識(shí)別這些危險(xiǎn)信號(hào)，并建立一種每個(gè)人都感到被傾聽和尊重的工作文化。如果我們做到這一點(diǎn)，就會(huì)減少內(nèi)部威脅的機(jī)會(huì)。
