為應付遙距和雲端工作環境的劇轉變，IT 管理員可能經歷了一段非不般工作經歷，然而在工作流程轉變的過程中，原有內部風險管理的措施又能否適用於改變後的工作環境？如果對答案有猶豫的話，不妨花 5 分鏡時間，自行進行內部威脅風險評估。
風險評估的目標
內部威脅風險評估只需回答幾組簡單的問題，目標是找出機構在以下範疇的表現：
- 偵測惡意內部人士、疏忽行為和被可能造成危險的用戶
- 查看用戶是否進行風險活動，例如資料外洩、不當使用權限和應用程式等。
- 瞭解公司職員對相關措施的熟識和培訓情況
- 制定合適的管理結構、方針和指標
- 在用戶私隱和公司保安中取得平衡
從中，參加者會得到改善內部威脅表現的免費計劃，該計劃包含了 5 個主要的內部風險範圍：
1. 管理與監督
管理和監察是所有內部威脅管理計劃的基本，很多公司已經有某些管理，但可能需要檢討和改良，參加者收到的計劃提供改良人、計劃和方針 3 個主要範疇的提示。
2. 報告和指標
如果無法衡量便無法改良，對內部威脅管理計劃也一樣，結果將會展示合規性和階段評估的最重要指標。
3. 操作
成熟的內部威脅管理計劃的目標是能夠持續改良，在以下領域實施風險管制有助加強計劃的設置工作：
- 通過安全意識培訓，確保職員能自我監管和加強意識的政策
- 追蹤和舒緩內部風險威脅的流程
- 預防、偵測、設查、回應和復原內部威脅行為和事故的技術
- 可幫助設定基準和確定行業相關趨勢標準的行業標準
4. 偵測和監察
事件持續的時間越長，牽涉的成本越高，根據研究事故平均需要 77 天才能遏止，事故超過 90 才能遏止的話平均成本是每年損失 1371 萬美元，高速的偵測機制和實時就數據和用戶活動作出警告在此方面有幫助。
5. 調查和回應
事件的回應是內部風險管理的重點，無論機構如何主動，安裝了幾多重防護，總會有漏網之魚出魚，報告提到仔細的內部風險管理計劃的最佳回應策略。
如果有興趣的話可以花 5 分鐘時間進入以下 Insider Threat Assessment 網站，進行內部威脅風險評估。
資料來源：ObserveIT blog
