不管从宏观的社会层面，还是微观的机构层面，内部威胁通常会将组织置于高危的风险之中。人为失误很容易导致组织的崩溃，小到客户的流失，大到政权的灭亡，无不例外。对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：人性的弱点深入骨髓、透进基因。人类文明不断演进，悲剧历史不断重演，原因在于人性的弱点依旧。制度文化的建设越来越稳固，而对制度无知、漠视、规避的情形一点都不见少，原因仍是人性的弱点。在网络安全领域，放眼全球，粗心或无知的员工仍然是造成严重安全事故的首要原因。

网络安全威胁将永远伴随着利益的博弈而存在，昨天玩的是系统安全，今天斗的是数据安全，明天拼的是业务安全。可以说威胁是越来越复杂、高级、智能，危害也越来越大。因此，国家将网络安全上升至国家安全的战略层面，企业也视网络安全为业务持续性的重要部分。不能忽视培训其员工面对网络安全的威胁和最佳实践的首要意义。在网络安全治理方面，国家花了大功夫，不断出台法规与制度，并搞出了一些大型项目和计划，比如网络安全法、等级保护、网络安全宣传周以及护网行动等等。

网络安全威胁不仅仅是病毒等恶意软件或脚本小孩，而是有组织的国家级的犯罪集团，特别是大型网络间谍和情报组织，不仅渗透政府机关高层和盗窃商业机密，还借助网络发动文化意识形态方面的入侵。为保国家安全、社会稳定与人民福利，在核心领域如关键信息基础设施领域实施等保整改及护网行动等等，是十分必要且紧迫的工作。然而，这些“运动”的效力如何呢？一家央企行业巨头的网络安全负责人称：尽管搞这些“运动”是自上而下“被迫”的，然而我们却非常欢迎，进而积极参与其中。网络安全“运动”的成果是显而易见的，我们发现了很多安全问题并进行了整改，包括修复了一些系统安全漏洞。

说到底，任何“运动”都会让一些人从中获得一些好处，网络安全“运动”也不例外，有“运动”得有预算，就得有交易。红蓝对抗表面上是在通过搞攻防演习发现安全漏洞，实际上是一群菜鸟工程师在进行低级的安全漏洞扫描以及昂贵的渗透测试表演。应急演练更是成了彰显网络安全管理“成就”的秀场，可笑的是，即使事先排练好要给领导看的，也常常会造成临时的意外事故。究其原因，不是搞“运动”的错，“运动”的出发点是好的。此外，不管做什么事，成绩肯定是有的，通过“运动”发现技术弱点或管理漏洞等安全问题并解决问题，就是可以秀的成绩。然而，真正的问题并不是通过“运动”发现安全弱点或漏洞，这些安全弱点或漏洞本应在日常工作中发现并解决。为何要等到搞“运动”和借用“外力”呢？表面上看，这个问题的答案似乎在于内部安全力量的薄弱，然而，其范畴远远超出内部专业人员的安全水平，而是包括全体人员在内的一个整体。因此，不要希望针对专业人员搞搞安全技术和管理知识培训就可以高枕无忧了。从某种意义上讲，正是内部威胁的强大，压制着内部安全力量的提升，要靠“外力”不能说是徒劳，但可以说解决不了根本。就比如对于人体来讲，不通过内部肌体的锻炼强化，仅靠外部食药进补，就想获得健康，必然是不够的。

内部威胁是内部安全力量体味最深却最不想面对的，反腐常讲一句话，就是要“刀刃向内，刮骨疗毒，自我革命”。网络安全亦是如此，根源问题是内部威胁，需要强化内部网络安全管理。在这方面，外部的“供应商”的核心目的是搞钱，他们有多大动力和能量，能搅动出多大的波澜？对于内部威胁，网安人越是逃避，他们就越强大。因此，要积极面对，迎难而上。不是东风压倒西风，就是西风压倒东风。经历痛苦，走过转折点，坚持推进，就是胜利，乘胜追击，巩固成果。不要看动动嘴皮，说起来容易。需知，内部威胁不仅仅是孤立的，通常会被外部威胁所利用，甚至“内外勾结”串通起来。同时，内部威胁并非外部敌对势力，内部威胁带来的网络安全问题只是人民群众之间的内部矛盾，并非你死我活的阶级矛盾，所以，要成功应对，需要一定的智慧和手腕。切记：网络安全人员的秘密工作武器不是搞整风等政治运动，最稳妥的方法就是对内部员工们进行持续的网络安全教育，将其头脑用网络安全知识武装起来，赋予其网络安全常规技能，进而将网络安全方面的无知者转变成为智者和斗士。

那么，员工如何应对旨在窃取数据或任何其他有价值信息或服务的高技能犯罪分子、恶意黑客甚或国家级的网络部队呢？研究表明，大多数数字攻击都是通过极富创造性和诱骗性的网络钓鱼尝试及其他相关努力来利用人为因素的尝试。几乎90％的数据泄露是由人为错误引起的，因此增加了对员工进行持续网络安全教育的需求。恶意攻击者和其他技能娴熟的黑客通常会试图诱骗用户，让他们尽早实现对信息系统的登录尝试，从而使他们尽早访问到高价值的信息数据。因此，人们可以将其视为任何组织的网络安全防御中最薄弱的环节。这就是为什么在大多数情况下，人们是使用网络钓鱼攻击、网络钓鱼、社会工程、勒索软件和恶意软件等技术和工具的主要攻击者的原因。此外，与发现单个软件破坏组织或企业业务相比，人类更容易被进行大规模的恶意利用。尽管我们已作出所有必要的安排来改善现有的安全基础设施，但是人脑的无知将在国防战略中留下巨大的空白。借助社交媒体操纵舆论，推动社会运动或是政治革命已经成为最经济和快捷的网络战争方式。近年来，内容安全、文化安全、思想安全已经成为网络安全的重要课题，这些都与内部威胁和人员的安全意识密不可分，“人脑”的争夺致胜的关键还是得靠宣传教育。

网络安全意识培训对于所有的现代组织都很重要，特别是那些搞网络安全“运动”的关键信息基础设施领域。借助当前的IT基础架构，当今大多数黑客都在使用人工智能。对系统进行操纵造成的多数数据泄露行为都涉及某种程度的人为失误。因此，组织应该培训员工，避免受到社会工程学的攻击，以保护其开展业务的基本资源，并与客户进行完美的互动。最近，业界在网络安全攻防中提出了“人为因素”构建“人员防火墙”的概念。针对人性弱点的攻击越来越泛滥，唯一防御措施是通过教育或警示，即为员工提供安全意识培训。

总之，等保整改及护网行动也难以改变的网络安全困局，根源在内部威胁，集中表现为内部人员安全意识不足的问题，解决人性弱点问题的关键步骤在于教育，尽管人性的弱点问题非常复杂，还需要更多的措施，比如借助人工智高科技能的人员安全思想动态监管与提示系统。最后，本文提及一些“菜鸟工程师”、“低级”、“秀”、“运动”之类的用语，并不表示任何的贬低或歧视之意，只是想通过戏谑之词来引发读者的深度重视，某些机构或厂商也请不要对号入座。如果感觉受到了不良刺激，欢迎来一场网络安全真理与实践的口水仗。

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898

信息安全内部威胁的现状不容忽视，其危害也极为严重。企业应采取有效措施加强内部安全管理，确保敏感信息的安全性和完整性。对此，昆明亭长朗然科技有限公司网络安全专员董志军补充说：常见的方式包括加强管理制度建设，如审核人员背景，强化职业道德建设，加强安全监控和审计。同时也还需要定期对员工进行信息安全培训，提高员工的安全意识和操作技能。教育员工识别常见的安全威胁和攻击手段，并学会采取相应的防范措施。

信息安全内部威胁的现状

1. 内部人员泄密：
   • 内部员工可能出于个人利益、报复心理或外部压力，故意泄露敏感信息，如客户数据、商业机密等。
   • 随着数字化转型的加速，企业存储和处理的敏感信息量激增，内部泄密的风险也随之增加。
2. 误操作与疏忽：
   • 用户或管理员由于缺乏安全意识、操作不当或疏忽大意，可能导致敏感信息泄露或被非法访问。
   • 例如，未加密的电子邮件、不安全的文件共享、弱密码使用等都是常见的误操作行为。
3. 内部恶意软件传播：
   • 内部员工可能无意中成为恶意软件的传播者，通过下载不明附件、点击恶意链接等方式将病毒、蠕虫等恶意软件带入企业内部网络。
4. 权限滥用：
   • 拥有高权限的内部人员可能滥用其权限，非法访问或篡改敏感信息，甚至进行破坏活动。
   • 权限管理不当也是导致内部威胁的重要因素之一。

信息安全内部威胁的危害

1. 财务损失：
   • 敏感信息的泄露可能导致企业面临重大的财务损失，如客户流失、市场份额下降、法律诉讼等。
   • 恶意软件攻击还可能造成直接的经济损失，如系统瘫痪、数据损坏等。
2. 声誉损害：
   • 信息安全事件往往会引起公众和媒体的广泛关注，给企业带来严重的声誉损害。
   • 一旦企业的信息安全受到质疑，其品牌形象和市场地位都可能受到严重影响。
3. 法律风险：
   • 违反相关法律法规可能导致企业面临法律制裁和巨额罚款。
   • 例如，未能妥善保护客户个人信息可能违反数据保护法规；泄露商业机密可能构成不正当竞争等。
4. 业务中断：
   • 信息安全事件可能导致企业业务中断或运营受阻，影响企业的正常运营和盈利能力。
   • 例如，系统瘫痪、网络中断等都可能对企业的业务造成严重影响。

内部威胁的主要类型和潜在的对策：

• 故意数据盗窃：内部人员故意窃取数据、文档或知识产权以出售或泄露。对策包括数据丢失防护工具、监控员工下载/上传、将访问限制为仅需要的内容。
• 无意数据丢失：内部人员通过设备丢失或被盗、文档处理不当、材料处置不当而意外暴露或丢失敏感数据。对策包括对静态和传输中的数据进行加密、设备跟踪/远程擦除、安全处置过程。
• 欺诈：内部人员参与财务欺诈计划，如费用摆弄、工资欺诈、虚假发票等。对策包括职责分离、定期审计、强有力的财务控制。
• 破坏：内部人员由于对组织的不满而故意删除、损坏或破坏系统/数据。对策包括备份、访问控制、监视异常活动。
• 社会工程：内部人员通过泄露密码、程序或敏感信息来帮助外部人员绕过安全。对策包括用户意识培训、监控员工沟通。
• 内部网络攻击：具有网络访问权限的内部人员使用其权限安装恶意软件、利用漏洞或进行网络钓鱼。对策包括监控可疑网络活动，实施最小权限原则。

最有效的方法是将内部威胁视为一个管理问题，而不仅仅是一个技术问题。它涉及用户教育、明确责任和通过人力资源和网络安全协同工作在各个层面进行监督。

有关内部威胁员工培训的建议内容：

• 解释内部威胁的含义，包括内部人员因各种原因可能对公司资产和信息造成损害的情况。
• 介绍可能出现的内部威胁类型，例如数据泄露、破坏、知识产权盗窃等。
• 强调每位员工都肩负着保护公司重要信息和资产的责任和义务。
• 教育员工如何辨识可疑行为，如异常的网络访问、可疑的USB设备插入等。
• 详细说明公司的信息安全政策，涵盖密码策略、工作区域整理、访问控制等内容。
• 鼓励员工积极报告任何可疑事件，并承诺保护举报人的匿名性。
• 介绍公司采取的技术措施，如数据加密、访问日志记录等。
• 重申违反信息安全规定的后果，并表彰提供有用举报的员工。
• 进行一些案例分享，帮助员工了解内部威胁的严重性。
• 举行问答环节，解答员工在信息安全方面的疑惑。
• 定期复习这些内容，以保持员工关于信息安全的认识。

员工培训的目的在于让每个人都认识到信息安全的重要性，并一同参与保护公司资产。内容要实用易懂，并传达公司对此事的重视。如果您需要相关的培训内容，或者对这个话题感兴趣，欢迎不要客气地联系我们。

昆明亭长朗然科技有限公司

• 电话：0871-67122372
• 手机：18206751343
• 微信：18206751343
• 邮箱：info@securemymind.com
• QQ：1767022898