資訊安全提示

我們喜歡認為我們可以信任我們的同事做正確的事情。不幸的是，這並不總是如此。有些人成為內部威脅；也就是說，他們使用他們對系統的授權訪問來傷害其組織。例如，某人可能會將資料庫中的資訊出售給第三方。

內部威脅有三種類型：

1. 無意的－此人DOE想造成威脅，但由於粗心大意而造成了威脅。 在設置軟件或雲存儲時，他們可能會丟失了筆記本電腦或閃存驅動器，無法更新軟件或忽略說明。他們對細節的注意力可能不足，他們可能會犯錯誤，造成損害組織，例如通過將數據電子郵件發送給錯誤的人來導致漏洞。
2. 故意 — 這個人打算傷害其組織，通常被稱為「惡意內部人」。他們可能是為了獲得經濟利益，為了對某些感覺到微弱的報仇，或是為了獲得其他動機。他們可能會向第三方洩露信息以獲得金錢或政治信仰，竊取信息以促進副業務，或破壞數據以破壞組織。
3. 協調或協力廠商 — 當內部 人員與外部人合作 以破壞組織時，就會發生協作威脅。外人可招募內部人士以獲取資料，以進行欺詐、知識產權盜竊、間諜或其他某些罪行。一些內部人員可能會被操縱成為威脅，並且可能不認識到他們正在做的事是有害的。 當內部人 員為有權存取組織網路或設施的承包商或供應商工作時，就會發生第三方 威脅。

有意的內部威脅的一些指標包括：

• 生活變化，例如財務，關係，家庭或工作問題。
• 行為變化，例如抑鬱症、憤怒或可能吸毒或酒精成癮的跡象。但是，尋求幫助的同事表現出良好的判斷力。
• 工作習慣的變化，例如午餐時間工作、訪問或提出關於同事的就業範圍不屬於同事的信息或系統的問題，或忽略安全政策和做法。

許多意外的內部人員是：

• 網路衛生培訓不足，要么是因為組織DOE培訓員工，要么是因為他們不注意。
• 失去組織；丟失筆記本電腦或閃存驅動器。
• 不熟悉技術或認為他們比自己知道更多，並且在安裝新軟件或設置雲存儲時不遵循指示。

我們都會犯錯，但許多意外的內部人根本不注意他們在做什麼。缺乏對細節的關注使其組織面臨洩漏和惡意軟件的風險。

為了降低內部威脅的可能性，組織應制定一個全面的計劃，其中包括了解組織內部人員、識別資產和安排風險的優先順序，以及建立偵測和識別、評估、管理的經驗證作業方法。組織應採取額外措施檢查第三方服務提供商，以確保他們只能訪問建築物的必要系統和區域。

網絡安全和基礎設施安全局（CISA）有關內部威脅緩解的更多信息，請參閱 https://www.cisa.gov/insider-threat-mitigation。