內(nèi)部威脅指的是來自組織內(nèi)部的潛在安全風(fēng)險和威脅。內(nèi)部威脅對組織構(gòu)成了重大風(fēng)險，因為擁有合法訪問權(quán)限的個人可能有意或無意中損害系統(tǒng)、竊取數(shù)據(jù)或從事間諜活動。在2023年，內(nèi)部威脅已經(jīng)成為現(xiàn)代企業(yè)中普遍存在的安全風(fēng)險。為了盡量減少內(nèi)部威脅，組織應(yīng)實施從內(nèi)部威脅評估入手的內(nèi)部風(fēng)險管理（IRM）策略。

內(nèi)部威脅風(fēng)險評估的必要性

為什么內(nèi)部威脅和風(fēng)險評估應(yīng)該成為組織網(wǎng)絡(luò)安全態(tài)勢的核心呢？研究人員認為，內(nèi)部威脅風(fēng)險評估是一種應(yīng)對內(nèi)部威脅挑戰(zhàn)的最佳實踐方法，通過評估企業(yè)組織數(shù)據(jù)當前防范內(nèi)部人員的程度，能夠提前發(fā)現(xiàn)組織可能存在的潛在風(fēng)險，并評估這些風(fēng)險的潛在危害性。NIST報告也指出，執(zhí)行內(nèi)部威脅分析和風(fēng)險評估是制定一項有效的內(nèi)部威脅計劃的必要步驟，內(nèi)部威脅風(fēng)險評估應(yīng)該作為企業(yè)總體網(wǎng)絡(luò)安全風(fēng)險評估的一部分來嚴格執(zhí)行。

特別是對于那些需要處理敏感數(shù)據(jù)的組織，更應(yīng)該定期評估并持續(xù)檢測內(nèi)部威脅風(fēng)險，主要原因有利于了解組織的整體網(wǎng)絡(luò)安全態(tài)勢。當組織需要評估網(wǎng)絡(luò)安全現(xiàn)狀時，應(yīng)該將風(fēng)險評估作為風(fēng)險管理策略的必要組成部分。徹底的內(nèi)部風(fēng)險評估可以暴露現(xiàn)有工作流程的漏洞和網(wǎng)絡(luò)安全缺口，避免讓惡意的內(nèi)部人員破壞企業(yè)數(shù)字化系統(tǒng)及應(yīng)用。

更快檢測出潛在的內(nèi)部威脅。基于內(nèi)部威脅的風(fēng)險評估有助于更快檢測出由內(nèi)部用戶引發(fā)的不安全、高風(fēng)險事件，包括檢測出可疑和惡意的內(nèi)部網(wǎng)絡(luò)活動。

加強組織的數(shù)據(jù)和資產(chǎn)安全。只有知道哪些威脅對組織最危險，才能夠確定采用最合適的措施和工具來進行保護，并制定相應(yīng)的風(fēng)險緩解計劃。

更好滿足合規(guī)要求。開展統(tǒng)一的安全性和內(nèi)部風(fēng)險評估是確保組織內(nèi)部信息資產(chǎn)安全的最佳實踐之一。這種做法一直被NIST和ISO等權(quán)威組織強制要求并推薦，有利于更好地遵守HIPAA和PCI DSS等法律和標準。

內(nèi)部威脅風(fēng)險評估的關(guān)鍵步驟

對于現(xiàn)代企業(yè)組織而言，開展并應(yīng)用一個高效的內(nèi)部威脅風(fēng)險評估能夠提前發(fā)現(xiàn)內(nèi)部威脅，從而快速有效地應(yīng)對內(nèi)部攻擊。在實際應(yīng)用中，有多種不同的方法來評估企業(yè)內(nèi)部安全風(fēng)險，這會因組織類型、規(guī)模、業(yè)務(wù)范圍和相關(guān)的網(wǎng)絡(luò)安全要求而異。企業(yè)在深入地執(zhí)行內(nèi)部威脅風(fēng)險評估時，可以參考以下的關(guān)鍵步驟建議：

1. 識別并確定組織的關(guān)鍵IT資產(chǎn)

內(nèi)部威脅風(fēng)險評估工作取得成功的關(guān)鍵，就是要首先確定企業(yè)組織中最可能被內(nèi)部人員破壞的所有寶貴資產(chǎn)，并針對這些資產(chǎn)重點進行風(fēng)險評估。一旦組織確定了關(guān)鍵性資產(chǎn)，就應(yīng)該根據(jù)它們的重要程度進行分類分級。在這個環(huán)節(jié)，企業(yè)可以把注意力集中在以下方面：

對服務(wù)器和云服務(wù)管理面板的訪問；

客戶的敏感信息（信用卡數(shù)據(jù)、地址、電話號碼和健康記錄等）；

員工的個人身份信息；

關(guān)鍵數(shù)字化業(yè)務(wù)系統(tǒng)和服務(wù)（組織網(wǎng)絡(luò)、管理面板和組織內(nèi)使用的關(guān)鍵應(yīng)用程序）；

有關(guān)合作伙伴和經(jīng)銷商的上年數(shù)據(jù)（文件、協(xié)議和聯(lián)系信息）；

商業(yè)秘密及其他機密信息。

2. 界定可能存在的內(nèi)部威脅

并非所有內(nèi)部威脅都來自惡意活動或受攻擊賬戶，大多數(shù)的內(nèi)部威脅是由組織中存在以下行為的合法用戶構(gòu)成的，包括：因為疏忽泄露敏感數(shù)據(jù)；無意中共享對組織系統(tǒng)的訪問權(quán)限，錯誤刪除、更改或濫用數(shù)據(jù)，以及將惡意軟件無意中上傳到組織系統(tǒng)。

因此，要識別企業(yè)內(nèi)部潛在的威脅風(fēng)險，可以通過以下問題來思考和發(fā)現(xiàn)：

哪些員工擁有經(jīng)過提升的訪問權(quán)限？他們使用這些權(quán)限做什么？

員工訪問組織系統(tǒng)和敏感數(shù)據(jù)的頻次如何？目的是什么？

員工如何存儲和處理其密碼？

員工是否了解最新的網(wǎng)絡(luò)安全實踐？

員工如何共享其密碼（如果他們使用共享的賬戶）？

系統(tǒng)是否允許員工從不尋常的位置或設(shè)備登錄？

員工可以將數(shù)據(jù)復(fù)制到來歷不明的USB設(shè)備嗎？

3. 確定內(nèi)部威脅風(fēng)險的優(yōu)先級

為了確定風(fēng)險的優(yōu)先級，組織需要評估這些風(fēng)險，并確定哪些風(fēng)險可能對組織構(gòu)成的威脅最大，并可能造成巨大損失。組織可以使用風(fēng)險矩陣來定義每個風(fēng)險的級別。

企業(yè)在評估內(nèi)部威脅風(fēng)險，應(yīng)該優(yōu)先分析以下四個因素：

面臨風(fēng)險的資產(chǎn)具有的重要性；

威脅的嚴重程度；

系統(tǒng)受某個威脅攻擊的脆弱性；

威脅發(fā)生的可能性。

企業(yè)還應(yīng)該考慮當前哪些安全措施可以保護系統(tǒng)遠離某種場景的影響。如果出現(xiàn)潛在威脅，發(fā)生實際數(shù)據(jù)泄露或其他事件的可能性又有多大？通過確定最危險、最可能發(fā)生的威脅，可以確保組織首先遠離這些高等級的威脅。

4. 創(chuàng)建風(fēng)險評估報告

在內(nèi)部威脅風(fēng)險評估的過程中，需要將發(fā)現(xiàn)的評估結(jié)果匯整成詳細報告，才可以在風(fēng)險管理策略的后續(xù)階段幫助簡化決策。此外，企業(yè)也需要利用風(fēng)險評估報告向所有員工分享相關(guān)的內(nèi)部風(fēng)險信息，提醒員工更加留意與風(fēng)險相關(guān)的行為。

內(nèi)部威脅風(fēng)險評估報告應(yīng)全面概述評估過程、已識別風(fēng)險、風(fēng)險優(yōu)先級和可能的后果。同時，企業(yè)可以結(jié)合以下有效的網(wǎng)絡(luò)安全最佳實踐以降低上述風(fēng)險：

增強授權(quán)和身份驗證機制；

執(zhí)行定期數(shù)據(jù)備份；

部署數(shù)據(jù)丟失預(yù)防工具；

實施威脅監(jiān)測和響應(yīng)機制；

更新網(wǎng)絡(luò)安全策略和指導(dǎo)方針；

采用用戶活動監(jiān)控解決方案。

5. 要持續(xù)評估內(nèi)部威脅風(fēng)險

開展內(nèi)部威脅風(fēng)險評估并不是一勞永逸的活動。由于企業(yè)組織的內(nèi)部威脅是在不斷變化，其復(fù)雜性和危害性也會不斷增加，因此，內(nèi)部威脅風(fēng)險評估也應(yīng)該不斷優(yōu)化并持續(xù)開展。特別是在以下情況出現(xiàn)時，應(yīng)該進行相應(yīng)的風(fēng)險評估工作：

當內(nèi)部威脅事件真實發(fā)生時；

當組織的IT基礎(chǔ)設(shè)施發(fā)生變化，也可能會出現(xiàn)新的安全缺口；

出現(xiàn)新的合規(guī)性要求或網(wǎng)絡(luò)安全技術(shù)；

內(nèi)部威脅響應(yīng)團隊發(fā)生變動；

評估計劃中明確要求的時間點。

原文來源：安全牛