案例：2004年5月，某大型企业研发中心发现某国外竞争对手领先一步完成了A产品的设计开发，该研发中心领导一下就懵了。A产品的设计开发可是该企业重大研发项目，该企业也想依托A产品完成产品线的转换，企业为该项目投入了大笔资金，众多研发人员也付出了艰辛的劳动。企业在项目立项及开发过程中，还从未听说有哪家单位也在进行A产品的开发，为什么竞争对手开发速度如此之快？ 

　　情况汇报给企业老总后，老总第一反应就是内部人员泄密，随即下令该项目所有人员停止开发，迅速离开工作岗位，并向公安部门报案。公安部门技术人员到达现场后发现该研发中心保密工作存在重大疏漏：设计人员电脑与普通工作人员电脑连在同一个局域网内、计算机端口允许人员将资料随意拷出、设计人员将某些机密文件设成共享、打印资料随意带出、所有电脑都可以上互联网……经过检查，公安部门初步判定为内部人员泄密，但是要查出谁将资料泄密，难度太大。最终该案不了了之，企业也只能对研发中心领导进行降职处罚，该企业付出的1000余万元研发费用，众多研发人员的辛勤劳动全部付诸东流。

视点：反思该企业的惨痛教训，国内组织机构必须以此为鉴，做好安全保密工作，防范机密资料外泄，同时也应当认识到保密工作也是增加组织价值的重要工作内容。

现在一提到信息安全，人们首先想到的就是病毒、黑客入侵，在媒体的宣传下，病毒、黑客已经成为危害信息安全的罪魁祸首。然而，对计算机系统造成重大破坏的往往不是病毒、黑客，而是组织内部人员有意或无意对信息的窥探或窃取。从技术上来讲，内部人员更易获取信息，因为内部人员可以很容易地辨识信息存储地，另外也不需要他们拥有精深的IT知识，只要会操作计算机，就可以轻易得获取自己想要得资料；相对而言，黑客从外部窃取资料就比较困难，首先他们要突破防火墙等重重关卡，然后还要辨别哪些是他们想要的信息，这就对黑客提出了比较高的技术要求。

FBI和CSI在2002年对484家公司进行了网络安全专项调查，调查结果显示：超过85%的安全威胁来自公司内部、有16%来自内部未授权的存取，有14%来自专利信息被窃取，有12%来自内部人员的财务欺骗，而只有5%是来自黑客的攻击；在损失金额上，由于内部人员泄密导致了60，565，000美元的损失，是黑客所造成损失的16倍，病毒所造成损失的12倍。这组数据充分说明了内部人员泄密的严重危害，同时也提醒国内组织应加强网络内部安全建设。

内部人员造成的危害如此巨大，为什么媒体披露的却比较少呢？这是因为黑客带来的危害是比较公开的，例如篡改主页，拒绝服务攻击，网络钓鱼，编写并传播病毒等黑客行为，这些行为造成的后果影响的面比较广，因此媒体得到这些信息也比较便捷，曝光率也就比较高。相比黑客入侵，内部人员的破坏行为往往具有隐蔽性，另外有些单位怕曝光后社会影响不好，影响单位声誉，因此也就捂住不报。

随着这几年的发展，人们对网络安全的认识也日益深入，入侵检测、VPN、信息加密等安全产品也逐步得到认可，但是这些产品有一个共同点：防外不防内。各个组织在网络安全建设上投资不小，但这些安全建设完全基于“内部人行为可信赖”这一假设。这样一来，网络内部安全必然疏于防范，信息暴露于内部人面前，假如这些信息有可利用的价值，就可能被内部人员截获并获取非法利益，而一旦泄密事故出现，不仅损失惨重，而且很难追查到泄密人员，只能对相关领导进行处罚。其实这种情况是可以通过一些手段避免的，只不过这些组织没有认识到内部安全问题而已。

信息社会，信息就是价值，信息就是生产力。IT技术的发展使得人们获取信息的速度日益加快，这也给犯罪分子提供了便利，通过一个U盘，一分钟的时间就可以拷走上百兆的资料，而这些资料可能价值不菲，因此说一分钟损失几千万，上亿元绝对不是危言耸听。我们在安全建设上“重防外，轻防内”无疑会给自己留下安全隐患。

由于内部网络监控的缺位，有许多漏洞可以被内部人员所利用以截获资料，目前来看，内部泄密主要是通过如下途径：1、内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走；2、内部人员通过互联网将资料通过电子邮件发送到自己的邮箱；3、将文件打印后带出；4、将办公用便携式电脑直接带回家中；5、电脑易手后，硬盘上的资料没有处理，导致泄密；6、随意将文件设成共享，导致非相关人员获取资料；7、移动存储设备共用，导致非相关人员获取资料；8、将自己的笔记本带到公司，连上局域网，窃取资料；9、乘同事不在，开启同事电脑，浏览，复制同事电脑里的资料。此外，还有很多其他途径可以被别有用心的内部人员利用以窃取资料。

那么如何才能解决内部人员泄密问题呢？这就要求组织配置必要的技术装备，另一方面也要加强管理，做好内部人员的保密教育，法制教育。“技术与管理”并重，才能从根本上杜绝内部人员泄密。

在技术上，目前有许多产品可以对内部人员计算机操作行为进行审计。在管理上，防范内部人员泄密要做到一下几点：一是要建立一整套规范的安全保密制度并严格执行；二是要加强员工的保密教育，使他们认识到保密工作的重要意义；三是要有奖惩制度，对保密先进个人、单位予以嘉奖，对于泄密事故加大惩处力度，做到以儆效尤。

信息技术的运用正逐步渗透到日常工作的各个层面，与此而生的内网安全问题也会逐渐被各级组织所认知，如何应对内网安全问题将是摆在各个单位面前的重要问题。有政府的政策指引，有各个安全企业的参与，相信由内网安全问题所带来的损失将被大大缩减，当然最重要的还是单位自身需要认识到内网安全的严峻形势并采取有效措施加以防范。(T114)