對于公司來說，最大的威脅之一是泄漏敏感數據----如客戶或雇員的支付卡或個人身份信息等，這些數據有時會被公司內部雇員所竊取。這種情況下，遭到系統(tǒng)或網絡管理員竊取的威脅最為嚴重，因為他們有權訪問大量的公司數據，可以看到公司內部最為敏感的記錄。

　　Fordham 大學首席信息安全官Jason Benedict稱：“如今，比起黑客來，我更擔心來自內部的威脅，因為在內部威脅面前我們不堪一擊。我們有防火墻。我們有入侵保護系統(tǒng)。我們有防病毒軟件。對于防范外部風險，我們已經取得了相當大的成功。但是對于內部威脅，我們卻漏洞百出。我從來都沒有想過我們內部會有心懷鬼胎，處心積慮的竊取并出售信息的人。但是我們卻經常看到有人在瀏覽他們根本無權查看的信息。我們還發(fā)現一些擁有高級權限的人濫用他們的權限瀏覽雇員的薪金表。”

　　BITS金融服務總會打擊詐騙項目副總裁Heather Wyson稱，美國金融服務公司發(fā)生內部安全事件的數量正在增長。

　　Wyson稱：“我們一直將注意力放在了內部人員故意外泄行為上，如竊取金融和專利信息、放置邏輯炸彈、安裝惡意軟件。與此同時，我們還應當關注一些無意的外泄行為上，如雇員無意中打開了染毒文件、安裝了未授權的軟件或是來自社交媒體的威脅。我們發(fā)現與內部人員有關的故意與非故意數據外泄事件的數量正呈上升趨勢。”

　　對此，首席信息安全官和IT安全專家指出IT部門需要采取以下措施以降低內部安全威脅。以下是他們的建議：

　　1、限制并監(jiān)視擁有特權的用戶

　　據Verizon公布的2010年數據外泄調查報告顯示，在所有的數據外泄事件中，48%的事件是由內部人員造成的。我們需要密切監(jiān)視的內部人員是那些擁有特權的人。Verizon建議首席信息官在雇前進行篩選，以清除那些在過去曾經違反過使用規(guī)定的應聘者。BITS會向他們的會員提供預防詐騙服務。通過該服務，會員能夠分享那些被認為定有罪但并沒有被起訴的前雇員信息。

　　此外，不能給予雇員超過他們工作需要的權限。職責應當被分散，以防止某一雇員擁有過大的權限。Verizon稱：“特權的使用應當被記錄，并形成管理信息。無計劃的特權使用應當發(fā)出警告，并接受調查。”

　　2、限制用戶訪問和特權，特別是在工作調整或裁員期間

　　Verizon發(fā)現，大約有24%的內部安全事件發(fā)生在剛剛調整工作的雇員身上。其中一半的雇員是被解雇，另一些雇員則是辭職或是在公司內部被分配至新的工作崗位。如果不及時注銷這些雇員的帳戶，或是在命令宣布后雇員依然被允許完成當天的工作時，極容易發(fā)生外泄事件。這也是Verizon推薦公司制訂一個“及時的、并且涵蓋所有的訪問區(qū)域的中止計劃”的原因。

　　Benedict稱，Fordham可以在五個小時內凍結用戶，收回他們的所有訪問權限。

　　3、監(jiān)控那些在網絡上擁有細微不良行為的雇員

　　Verizon發(fā)現“那些在網絡上擁有細微不良行為的雇員往往會犯下嚴重罪行，如侵占或盜竊知識產權。”首席信息官應當注意那些違反網絡規(guī)定的雇員和行為不當的雇員，如在系統(tǒng)中保存有色情或非法內容。因為這些都是他們未來引發(fā)內部安全事件的前兆。Verizon在調查中發(fā)現，那些承認盜竊數據的雇員常常將他們的行為歸結于過去一些細微的濫用操作上。這被稱為“網絡犯罪中的破窗理論”(注：一個房子如果窗戶破了，沒有人去修補，隔不久，其它的窗戶也會莫名其妙地被人打破;一面墻，如果出現一些涂鴉沒有被清洗掉，很快的，墻上就布滿了亂七八糟、不堪入目的東西;一個很干凈的地方，人們不好意思丟垃圾，但是一旦地上有垃圾出現之后，人就會毫不猶疑地拋，絲毫不覺羞愧)。

　　4、使用軟件分析你的記錄文件，當出現異常時及時提醒你

　　當在調查內部安全事件時，Verizon發(fā)現在86%的事件中，證據會在日志文件中被發(fā)現。他們稱在日志數據中會有三明顯的異常：日志數據出現不正常的增加、在日志中出現不正常的長線、日志數據會出現不正常的減少或缺失。

　　Verizon稱在出現內部安全事件后日志會增加5倍，在攻擊者破壞日志功能后，日志會出現缺失。SQL注入攻擊和其它的攻擊方式會在日志中留下長線。雖然許多IT部門安裝了監(jiān)控和分析工具，但是他們忘記了使用這些工具。取而代之的是，這些IT人員只是定期監(jiān)控一些這些工具顯示的結果。Verizon建議通過配置這些工具發(fā)現明顯的問題。Benedict稱，為了發(fā)現異常情況，Fordham的安全人員會定期手工檢查日志。

　　5、考慮部署數據外泄的防護技術

　　目前越來越多的首席信息官擔心知識產權會從通過公司的網絡泄露。為此，他們開始安裝能夠監(jiān)控軟件，這些軟件能夠監(jiān)控并過濾流出公司的網絡信息。Unisys公司首席信息安全官Patricia Titus稱，他們正在測試一種防止數據外泄的技術，以保護公司的知識產權。

　　Benedict稱，Fordham正計劃在防止數據外泄軟件上投資50萬美元。Verizon建議公司應當對流出和流入公司的網絡數據進行過濾。Verizon強調稱：“通過監(jiān)測、分析和控制流出公司的網絡數據，公司可以降低惡意行為的發(fā)生率。”

　　6、就內部威脅對雇員進行培訓

　　首席信息安全官們推薦公司要以安全威脅和如何識別內部雇員盜竊有價值數據的惡意行為為內容定期對雇員進行培訓，特別是對IT人員進行培訓。Titus稱，在打擊內部蓄意盜竊數據的戰(zhàn)斗中，公司的雇員是首席信息安全官的最大同盟軍。

　　Wyson建議公司應當設立一條熱線，雇員可以通過這條熱線匿名舉報他們發(fā)現或懷疑是欺詐的行為。Benedict不僅每年都會為雇員們舉辦安全意識培訓，同時還會向雇員們提供關于最新IT安全威脅的宣傳手冊。Fordham還通過臉譜、推特和博客等社交媒體就安全威脅對大學內的人員進行教育。