企业资产安全防护对外有余 对内防护尚待加强

【导读】据安全厂商表示，离职员工与实习工读生才可能成为企业内部网络的最大威胁与风险来源。

据港台媒体报道，前言:目前企业对于信息安全的防护重心，莫不瞄准病毒、木马、间谍软件、垃圾邮件与黑客攻击等来自外部的威胁上。事实上，据安全厂商表示，离职员工与实习工读生才可能成为企业内部网络的最大威胁与风险来源。所谓家贼难防，这是千古不变的定律，也是目前大多数企业最易忽略的防护漏洞与最薄弱的环节。

由于外在的攻击是显而易见的，因此比易吸引企业主的目光，防护建置上的优先权最高，预算也比充足。同时，以现有的技术与设备来说，只要建置得宜，十之八九的各类攻击应可杜绝。但内部的威胁却是隐性的，所以比难引起注意，在企业资源及预算有限的前提下，针对内部威胁防护的建置优先权自然远远比低。同时，许多企业对内部威胁的认知有误，认为可通过信任的基础来解决，所以是非关技术层次的问题。事实上，最佳的安全防护之道，应以相关技术措施为基础，再结合企业与员工间的信任机制。

安全厂商提出警告，除了不肖员工之外，离职员工与实习工读生已成为目前企业内部网络的最大潜在威胁，这非关人员本身的问题，最主要乃在于企业内部防护上的不足或缺失所致。尤其是已离职的员工仍然可以存取旧公司的网络资源，显而易见的，问题当然是公司资安控管上出现了极大的漏洞，但这种情形在台湾地区企业中，事实上还蛮普遍的。

同样地，由于许多公司根本没有完备的权限控管机制，使得短期工读生、短期国防役，抑或其他公司临时外派进驻的人员，可以像正常员工一样地悠游在公司各种网络资源，甚至资料库之中。最糟的是，当上述人员离职之后，仍有许多公司未能及时进行停止权限与帐密的动作，进而导致公司机密资料外泄的可能性。另外，也有公司因为隔了一段时间才处理，再加上后续又有其他临时员工报到，可能资料过于紊乱，结果在停权过程中导致漏网之鱼的产生，这些漏网之鱼很有可能会成为该公司未来潜在的风险。

目前企业内部网络中最有可能外泄机密的管道，不外电子邮件、即时信息、P2P软件与远端摇控软件，企业可以通过权限控制、安全政策或监控追纵机制来加以控管。随着移动装置与远端办公室的大行其道，公司必须建立一套身份认证与版权管理的机制，以辨识远端存取者的身份，以及适当提供经销商、合作伙伴等外来访客的网络存取权限。

除此之外，实体物件的安全性也是防护重点，除了建立显示器系统来防止明目张胆的实体机密文件的携出外，其他尚包括USB随身碟、数字相机、照相手机与打印机的安全控管。目前对于直接偷拍电脑屏幕中的机密信息，一些版权管理软件已提供浮水印反偷拍的功能，虽然无法阻止有心者的偷拍盗取行径，但照片上的浮水印却可做为日后诉讼上的有力证据。此外，对于有心者通过打印机来偷印机密资料，也可借助打印机监控软件来加以追纵防止。

不论如何，站在企业永续营运与盈利最高指导原则的角度来审视，只要有任何营运与盈利上的丝亳风险，企业主都有责任将其排除殆尽。所以面对内外部的任何风险与威胁，企业都应建立一套安全防护的措施与机制以为因应。威胁总是存在的，重要的是，公司建言起一套对应的制度与机制后，切不能沦于3分钟热度，务必要落实执行，才能确保企业对信息安全的要求。