有些威胁可能比您想象的更近。 您是否注意到源自您信任的员工的安全风险?
当一名特斯拉员工收到一位前同事的邀请,一起喝酒时,这一切都很天真地开始了。 几次酒宴过后,这位老熟人明确了自己的真实意图:他向特斯拉员工提供 1 万美元,要求其将恶意软件走私到汽车制造商的计算机网络中,该计划如果成功,将使网络犯罪团伙能够窃取重要数据。特斯拉并勒索赎金。 幸运的是, 剧情失败了 在员工做了正确的事情之后——向雇主报告该提议并与联邦调查局合作 将他的老同事绳之以法.
然而,这一结果不应掩盖这样一个事实:一切很可能会走向相反的方向。 事实上,这次未遂攻击提醒人们,员工不仅是组织最大的资产,而且往往也是组织最大的网络风险,而且这种风险常常被忽视。
一些统计数据将有助于阐明这一点。 根据威瑞森的 2023数据违规调查报告 (DBIR) 表示,在该研究中检查的约 19 起数据泄露事件中,有 5,200% 是由内部行为者造成的。 与此同时,Ponemon Institute 对来自经历过“内部人员造成的重大事件”的组织的 1,000 名 IT 和 IT 安全专业人员进行的调查发现,与内部人员相关的安全事件的数量在短短两年内增加了 44%。 它是 2022 年内部威胁成本全球报告 据估计,此类事件的数量超过 6,800 起,受影响的组织每年花费 15.4 万美元用于内部威胁补救。
攻击面扩大——对于内部威胁也是如此
严重的网络威胁,例如 软件供应链攻击, 商业电子邮件泄露 (BEC) 利用被盗员工登录信息的欺诈和其他诈骗,以及 勒索 以及其他通常由蓬勃发展的攻击所促成的攻击 网络犯罪即服务商业模式,已将网络安全推至董事会议程的首要位置。
随着数字化转型的热潮,向云驱动的转变 弹性工作安排 的网络 对第三方供应商的依赖日益增加是, 每个组织的攻击面 已大大扩展。 现在的网络安全形势比以往任何时候都更加复杂,随着攻击者不断利用这种复杂性,精确定位最关键的风险并确定其优先级并不总是一个简单的建议。
进一步搅浑水,阻止外部攻击者往往只是成功的一半。 即使内部人员主导的事件的影响通常比仅由外部攻击者造成的事件的影响更严重,内部威胁通常也不会受到“最重视”。
就在你眼皮底下
内部威胁是一种来自组织内部的网络安全威胁,因为它通常指的是可能对公司网络、系统或数据造成损害的现任和前任员工或承包商。
内部威胁通常分为两大类——有意和无意,后者进一步细分为意外和粗心行为。 研究表明,大多数与内幕相关的事件都是由于粗心或疏忽造成的,而不是出于恶意。
威胁可以采取多种形式,包括窃取或滥用机密数据、破坏内部系统、向恶意行为者提供访问权限等。 此类威胁通常由多种因素引发,例如经济、报复、意识形态、疏忽或直接恶意。
这些威胁带来了独特的安全挑战,因为它们可能难以检测, 甚至更难预防,包括因为内部攻击者比外部攻击者有更大的机会窗口。 当然,员工和承包商需要对组织的系统和数据进行合法且更高的访问权限才能完成工作,这意味着在攻击实际发生或造成损害之后,威胁可能并不明显。 内部人员通常也熟悉其雇主的安全措施和程序,并且可以更轻松地规避它们。
此外,尽管安全审查需要背景调查,但它们并不能严格考虑个人的心态,因为随着时间的推移,这种心态可能会发生变化。
尽管如此,组织可以采取某些措施来最大限度地降低内部威胁的风险。 它们依赖于安全控制和安全意识文化的结合,涵盖工具、流程和人员。
降低内部威胁风险的预防措施
这些措施并不是网络安全的全部和最终目的,但它们将在很大程度上保护组织免受内部威胁。
- 实施访问控制: 实施基于角色的访问控制 (RBAC) 等访问控制有助于将敏感数据和系统的访问权限限制为仅那些需要访问权限来履行工作职责的员工。 通过仅向那些因工作职责需要访问权限的员工授予访问权限,公司可以显着减少遭受内部威胁的风险。 定期检查这些访问权限也很重要,以便访问级别保持适当并与员工的角色保持一致。
- 监控员工活动: 实施监控工具来跟踪员工在公司设备或其网络上的活动可以帮助识别可能表明内部威胁的可疑行为。 监控还可以帮助检测任何异常的数据传输或对敏感系统和数据的异常访问模式。 但是,请确保遵守当地法规并建立 关于监测的明确指导方针 解决有关隐私的潜在问题。
- 进行背景调查: 在授予所有员工、承包商和供应商访问敏感和机密数据之前对他们进行背景调查可以帮助识别任何潜在风险。 这些检查还可用于核实个人的工作经历和犯罪记录。
- 组织安全意识培训: 为员工提供定期安全意识培训有助于提高他们对网络安全风险以及如何减轻风险的了解。 这有助于减少意外内部威胁的可能性,例如成为网络钓鱼的受害者。
- 数据丢失防护: 实施 DLP 系统可以通过监控、检测和阻止任何未经授权的敏感数据传输或共享来帮助防止数据丢失或被盗。 这可以帮助减少内部威胁,同时也可以保护机密数据。 不过,这里需要注意的是 DLP 提供商也是攻击者的目标,所以这是一个额外的担忧。
需要注意的是,单靠这些措施都不是万无一失的,也没有任何单一解决方案可以完全消除内部威胁。 但通过实施这些措施的组合,并定期审查和更新安全策略,企业可以显着减少遭受内部威胁的风险。
首选:安全意识培训
由于多种原因,这是所描述的措施中的首选。 首先, 这些培训 通过降低无意的内部威胁的风险,帮助企业节省一些资金。
大多数情况下,员工不知道某些网络安全风险,可能会无意中点击网络钓鱼链接、下载恶意软件或共享机密内部数据,从而导致数据泄露或其他事件。 通过向员工提供定期培训,可以预防此类事件,从而降低与内部威胁相关的成本以及与违规和法律问题相关的声誉损害。
此外,提供安全意识培训可以改善个人网络卫生和公司的整体安全状况,从而提高效率和生产力,因为接受过识别和报告安全事件培训的员工可以帮助及早发现和减轻安全威胁,减少其影响以及与之相关的成本。
然而,从长远来看,实施针对公司特定需求的组合措施仍然是对抗内部威胁和节省成本的最佳方法。
- :具有
- :是
- :不是
- 1 百万美元
- $UP
- 000
- 1
- 200
- 8
- a
- 关于
- ACCESS
- 根据
- 账号管理
- 活动
- 演员
- 行为
- 通
- 添加
- 地址
- 优点
- 后
- 对齐的
- 所有类型
- 单
- 还
- 时刻
- an
- 和
- 每年
- 任何
- 明显的
- 的途径
- 适当
- 保健
- AS
- 财富
- 律师
- 相关
- At
- 攻击
- 攻击
- 尝试
- 察觉
- 意识
- 背景
- 战斗
- 海湾
- BE
- 全部
- BEC
- 因为
- before
- 开始
- 行为
- 最佳
- 最大
- 闭塞
- 都
- 违反
- 违规
- 广阔
- 破
- 商业
- 企业
- 但是
- by
- CAN
- 摔角
- 原因
- 造成
- 一定
- 挑战
- 更改
- 支票
- 清除
- 点击
- 接近
- 打击
- 组合
- 购买的订单均
- 公司
- 公司的
- 完全
- 复杂
- 复杂
- 符合
- 一台
- 关注
- 开展
- 承包商
- 承包商
- 控制
- 控制
- 价格
- 成本
- 可以
- 刑事
- 危急
- 文化塑造
- 电流
- 网络
- 网络犯罪
- 网络安全
- 网络威胁
- 危险
- data
- 数据泄露
- 数据泄露
- 数据丢失
- 减少
- 深度
- 描述
- 检测
- 设备
- DID
- 难
- 数字
- 数字化改造
- 用餐
- 可怕的
- do
- 完成
- 别
- 向下
- 下载
- 饮料
- 驾驶
- 两
- 早
- 容易
- 效率
- 提高的
- 消除
- 邮箱地址
- 员工
- 员工
- 雇用
- 启用
- 更多
- 确保
- 必要
- 建立
- 甚至
- 事件
- EVER
- 所有的
- 扩大
- 有经验
- 曝光
- 外部
- 促进
- 事实
- 因素
- 秋季
- 落下
- 熟悉
- 联邦调查局
- 少数
- 金融
- 姓氏:
- 针对
- 前
- 形式
- 幸好
- 发现
- 骗局
- 止
- 进一步
- 得到
- 给予
- 全球
- Go
- GOES
- 走了
- 发放
- 更大的
- 方针
- 民政事务总署
- 半
- 更难
- 伤害
- 有
- he
- 帮助
- 帮助
- 相关信息
- 他的
- 历史
- 举行
- 主页
- 创新中心
- How To
- 但是
- HTML
- HTTPS
- 鉴定
- 思想
- if
- 影响力故事
- 影响
- 实施
- 改善
- in
- 事件
- 包含
- 增加
- 增加
- 的确
- 内幕
- 仪器的
- 故意
- 意图
- 内部
- 成
- 调查
- 请帖
- IT
- 它的安全性
- 它的
- 工作
- 工作机会
- JPG
- 只是
- 保持
- 景观
- 后来
- 领导
- 法律咨询
- 合法
- 各级
- 杠杆作用
- 可能性
- 极限
- 友情链接
- 本地
- 长
- 离
- 制成
- 使
- 恶意软件
- 许多
- 最大宽度
- 可能..
- 意
- 与此同时
- 措施
- 可能
- 百万
- 介意
- 减轻
- 钱
- 监控
- 更多
- 最先进的
- 动机
- 许多
- 需求
- 需要
- 网络
- 网络
- 没有
- 现在
- 数
- of
- 提供
- 最多线路
- 经常
- 老
- on
- 仅由
- ZAP优势
- or
- 秩序
- 组织
- 组织
- 其他名称
- 输出
- 成果
- 超过
- 最划算
- 己
- 模式
- 挂钩
- 员工
- 百分
- 演出
- 个人
- 钓鱼
- 挑
- 柏拉图
- 柏拉图数据智能
- 柏拉图数据
- 点
- 政策
- 提出
- 潜力
- 防止
- 预防
- 优先顺序
- 隐私
- 权限
- 程序
- 过程
- 生产率
- 专业人士
- 主张
- 保护
- 供应商
- 优
- 雷达
- 赎金
- 宁
- 真实
- 原因
- 收到
- 承认
- 记录
- 减少
- 减少
- 指
- 关于
- 定期
- 经常
- 法规
- 信赖
- 依靠
- 留
- 报告
- 报告
- 要求
- 检讨
- 回顾
- 右
- 戒指
- 风险
- 风险
- 角色
- περίπου
- 赶
- 保存
- 诈骗
- 方案
- 保安
- 安全意识
- 保安措施
- 安全政策
- 安全风险
- 安全威胁
- 敏感
- 招生面试
- 几个
- Share
- 共享
- 转移
- 显示
- 显著
- 单
- So
- 独自
- 方案,
- 一些
- 跨度
- 具体的
- 花费
- 州/领地
- 统计
- 步骤
- 仍
- 被盗
- 简单的
- 研究
- 学习
- 成功
- 这样
- 肯定
- 磁化面
- 调查
- 可疑
- 系统
- 产品
- 量身定制
- 采取
- 术语
- 特斯拉
- 比
- 这
- 盗窃
- 其
- 他们
- 那里。
- 博曼
- 他们
- 事
- 认为
- 第三方
- Free Introduction
- 那些
- 虽然?
- 威胁
- 威胁
- 熙
- 次
- 至
- 一起
- 工具
- 最佳
- 向
- 跟踪时
- 熟练
- 产品培训
- 转让
- 转让
- 转型
- 信任
- 二
- 类型
- 类型
- 一般
- 下
- 理解
- 独特
- 直到
- 更新
- 用过的
- 平时
- 厂商
- 确认
- 重要
- 是
- 沃特斯
- 方法..
- 井
- 为
- ,尤其是
- WHO
- 宽
- 将
- 窗口
- 中
- 加工
- 担心
- 将
- 年
- 完全
- 您一站式解决方案
- 和风网