早前科技公司Verizon發表《數據失竊調查報告2018》指出，20%的網絡安全事故及15%的數據失竊成因皆源於企業內部人為因素，當中經濟得益 ( 47.8% ) 和單純作弄 ( 23.4% ) 是主要誘因。這些網絡攻擊涉及內部數據和系統訪問權限等，往往於事故發生數月甚至一年後才被發現，對公司業務運作構成嚴重隱患。

然而，不少企業視內部威脅為禁忌，不願承認、舉報或對公司構成威脅的人員採取行動，認為這將有損公司的管理程序和威信。Verizon環球安全服務行政總監Bryan Sartin表示：「數據洩露和網絡安全事故中的內部人為因素長期被企業忽視，認為會有損企業形象或視作人力資源部的個別問題，但這個觀念必須改變。網絡威脅不只源於外來因素，我們必須同時關注企業內部存在的風險，來全面打擊網絡罪行。」

五大內部威脋類型

透過分析Verizon調查的真實案例，從事件偵測 ( 和驗證 )、回應及調查至過往經驗 ( 對策 )，Verizon概括以下五種構成內部威脋的員工類型。

1. 員工輕率大意

包括不適當地挪用資源、違反使用守則、錯誤處理資料、安裝未經授權的應用程序或使用未經批准的捷徑之員工或合作伙伴。有別於惡意行為，這些不當行為往往容易墮入科技陷阱 ( 如缺乏IT知識和管理 )。

2. 內部間諜

受僱於外部、被勒索或賄賂而盜取數據的內部人員。

3. 員工心懷不滿

企圖破壞公司數據庫或妨礙商業活動來損害公司利益的內部人士。

4. 員工蓄意破壞

藉著擁有公司系統權限而盜取公司資料以獲取個人利益的員工或合作伙伴。

5. 第三方無責任感

因疏忽、濫用或惡意查看和使用資料來破壞網絡安全的商業合作伙伴。

文：Verizon

以上文章刊於《招職》。