员工风险评估:解决内部威胁风险的实用方法(5)

2013-11-12 10:19:31 电力先行网  点击量: 评论 (0)
管理部门 •创建清晰明了的文档并强制执行策略、流程以及控制措施来防范内部偷窃 威胁。 • 强制执行职责分离和最小权限。不允许员工访问没有理由查看、获取或是下载的信息。同样,确保财务上的任务是
管理部门

      •  创建清晰明了的文档并强制执行策略、流程以及控制措施来防范内部偷窃/威胁。 

      • 强制执行职责分离和最小权限。不允许员工访问没有理由查看、获取或是下载的信息。同样,确保财务上的任务是分隔开来的,例如保持对应付账款和应收账款的访问是分隔和不同的。简单来说,组织不想让某人根据以欺骗手段写的账单来开发票。

      • 限制使用便携媒体,或是在某些环境下禁止使用。

      • 提醒员工——并且让他们签署确认声明:他们创建、管理、使用的知识产权属于公司而不是员工。

      • 审计关键的行为(例如支票和支付准备工作以及邮件),并且审计任何可能用于操纵带走资金的异常过程。  

      • 对IT资产和数据实施并强制执行恰当的使用策略。强调对敏感或是有价值的信息进行恰当的处理和管理。

技术实践

      • 从技术上限制员工只能访问系统上完成工作需要的文件和数据。

     •  最小化或是限制管理员的权限,并且不使用共享的用户名和密码。

     • 记录、监控和审计员工线上的行为。同样要确保此类活动的合法性。

       实施安全备份和恢复机制,并且确保备份数据没有被破坏。

     • 阻拦对个人邮箱、web邮箱和竞争对象邮箱的访问。

      • 自动标识不匹配的数据(例如给某公司的付款与发票的数额)。

未来的挑战

         我们必须面对的事实是,内部威胁可以(很可能已经)在每个企业内发生。随着不断增长的业务竞争全球化本质,内部威胁挑战的增长不会让我感到惊讶,同样还有对于我们的IT系统来说,不断增长的外部信息安全威胁。组织必须始终保持对内部威胁的警惕,包括为系统不可避免的风险制定计划。熟知这些风险,并为这种可能性做好准备,良好的组织将受益于知晓如何快速地响应,以便减少或是防范内部威胁的发生。

大云网官方微信售电那点事儿

责任编辑:黎阳锦

免责声明:本文仅代表作者个人观点,与本站无关。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
我要收藏
个赞