越来越多的证据表明，组织网络安全面临的最大威胁来自内部人员。这种威胁可能包括员工、合作伙伴或供应商利用其内部位置和特权，故意或无意地泄露机密信息、滥用系统访问权限，或者进行其他恶意行为。典型的情况如：员工经常因共享密码、使用公共无线网络发送敏感信息或不保护社交媒体帐户的隐私而使组织面临黑客攻击的风险。内部威胁对组织的影响可能非常严重，导致数据泄露、财务损失、声誉受损等后果。
因此，了解内部威胁并采取相应的防范措施是保护组织安全的重要步骤。这些措施可以包括建立强大的身份验证和访问控制机制、监控和审计系统活动、提供适当的培训和教育以提高员工的安全意识、实施安全策略和程序等。简言之，内部威胁是一个需要组织和员工共同解决的问题，从而确保信息和资产的安全。
此外，还有另一种内部威胁，乍一看似乎无害，但是我们每位员工都可能深陷其中，研究人员将其称为“网络游手好闲”。昆明亭长朗然科技有限公司网络安全研究团队的一项新研究表明，使用工作计算机进行个人互联网浏览的做法如果太过分，则可能会对组织造成严重的安全威胁。
大多数组织里，员工们偶尔会查看社交媒体或从工作计算机发送私人邮件。尽管移动计算设备功能很强大，但是在某些情况下，员工们并不敢嚣张地在工作场所长时间刷手机，不管是玩手游、购物、闲逛还是刷短视频。不过，不要被表面所迷惑，事情的真相可能是，员工们在工作电脑上花费大量时间更新自己的网站、观看视频甚至色情内容。据世界网络生产力调查评估，出于私人目的而在工作中上网是工作中第一大干扰因素。这会对生产力产生重大影响，研究表明，每位员工平均每天在网上闲逛时浪费两个小时。
生产力影响总体的产出价值，即使网络安全专家对此无甚兴趣，也不能反对，但是事情绝没有这么简单。深入的调查显示，参与严重网络闲逛的员工越多，他们遵守旨在信息安全政策、规则和协议的可能性就越小，对网络安全的威胁就越大。从心理学和社会行为学方面来讲，“网络游手好闲”的员工们有很多网络成瘾的行为，这一点印证了调查的部分结果——越多网上闲逛的人群对信息安全的了解越少。在这其中，那些网络闲逛较为严重的人群（例如更新个人页面、访问交友网站或下载非法文件），其网络安全意识明显更差。
通常，进行更严重的网络闲逛的人群不太了解如何保持在线安全以及如何保护敏感信息。原因之一可能是他们上网的决心如此之大，以至于不想关注有关在线安全的信息并忽视风险。另一方面，他们盲目相信他们所在的组织机构可以保护自己免受因冒险行为而可能导致的危害后果。在我们的调查中，那些在网络成瘾行为方面得分较高的人也更有可能对安全协议的认识和遵守程度较差。那些严重的网络闲散者和潜在的网络成瘾者是最大的风险。
对此，教育专家称：网络成瘾是一种上网的冲动，有时是为了助长对在线赌博或购物等数字活动的其他成瘾。上网的动力可能与其他任何身体成瘾一样，因此互联网对某些人来说就像毒品。这意味着表现出网络成瘾症状的人可能会更坚定地不惜一切代价上网，并且更有可能尝试绕过安全控管或忽视有关在线安全的建议。他们可能盲目自大，因为他们花了很多时间上网。或者他们可能无法完全理解风险，因为他们太沉迷于网络世界。
对于员工们来讲，网络成瘾是指对互联网使用过程产生过度依赖和不可自拔的心理现象。如何应对网络成瘾呢？首先了解自己的网络使用情况，设定合理的上网时间和目标。其次则是建立健康的生活方式，包括锻炼身体、拓展社交圈子和培养兴趣爱好。当然，更重要的是要学会克制网络使用方面的冲动，不要时刻保持在线状态。
对于组织机构来讲，所有这一切并不意味着应该切断员工们的所有互联网访问。能够上网是某些工作的必要组成部分，尽管过度使用互联网服务和工作信息系统可能会让组织面临风险，但是也不能因噎废食地开倒车。相反，组织应该建立网络使用帮助系统，不要简单认为员工们是成人，只要给其足够的工作任务，就可以压缩网络闲逛的时间，那样做可能会适得其反，令士气下降甚至逼走员工。
信息安全的重要性自不用多言，而达到保障业务安全的目标，并非仅仅IT管理员或专职安全人员的职责，保障业务信息安全和业务持续运作是组织中所有人的职责，要让每位员工了解和切实履行自己的安全职责，需要信息安全管理层和员工之间进行有效的沟通，而且这种沟通还需要持续不断地进行，这可不是一项轻松的工作。
对于员工们来讲，配合组织的网络安全工作，遵守工作中的网络安全纪律，也是职业道德的一部分。要理解网络是工作和生活的一部分，要学会合理运用网络，避免陷入网络成瘾的困扰。对于个人信息和隐私，要保持警觉，保护好自己的网络安全。如果已经沉迷于工作之外的网络使用，则应该逐渐减少使用社交媒体和游戏等应用的时间，转而去尝试其他有意义的事情。
组织可以采取多种措施来帮助减轻过度网络闲逛带来的风险，包括对严重违规行为实施非常严厉的处罚。但是话说回来，通过提供有效的网络使用规则及安全意识培训，使员工能够识别互联网滥用的各个方面并寻求帮助可能是一种更有效的管理工具。简单说，帮助员工们了解哪些网络行为是可接受的、哪些是不可接受的、哪些行为存在严重的风险等等可能会更有益，特别是通过案例和对话来传达这些风险的情况之下。
提醒一下，组织应该避免的简单地发送电子邮件提醒。研究表明，通过电子邮件发送有关信息安全潜在风险的信息效果最差。由于员工闲逛导致不断出现的安全事故、客户的安全顾虑、法律法规遵循的压力，让信息安全专家和管理团队疲于奔命、甚至痛苦难耐。不过这种局面即将过去，因为有了信息安全意识和培训服务将为我们的组织带来源源不断的信息安全文化甘泉，将正确的网络安全理念传导给员工们，网络闲逛和重度滥用等行为等会越来越少。
实际上，大部分的安全管理人员都已经认识到信息安全意识的重要性，只是在落实到具体工作，如设定安全意识培训的目标、进行安全意识教育的规划时往往无从下手，不知道如何完成这项光荣而艰巨的任务；另外，也由于缺乏足够的最佳实践参照标准和方法而不知如何着手开始工作，这让信息安全意识培训落入到一个尴尬的境地。现在，网络闲逛导致生产力损失的问题，各部门的主管经理总监们肯定不会忽视，网络安全团队应借机借力，打击网络闲散行为、强化网络防御体系、关注员工身心健康、提升组织赢利目标，一举多得。
防止内部威胁和网络闲逛导致安全违规的最佳方法是制定一个信息安全意识沟通计划，以便可以有条不紊地执行。昆明亭长朗然科技有限公司创作了大量的网络安全宣教素材资源，其中包括防网络沉迷、应对内部威胁、保护敏感数据等主题，欢迎有兴趣的客户及行业合作伙伴联系我们，预览作品及洽谈合作事宜。
- 电话：0871-67122372
- 手机、微信：18206751343
- 邮件：info＠securemymind.com
