內部人員威脅是一種來自您企業內部的資安風險，通常是指您的員工、承包商或值得信賴的合作夥伴，因為濫用自己的存取權限而對您企業造成傷害，不論是蓄意或無意。
目錄
內部人員威脅定義
絕大多數的網路資安防禦都專注於防範外部威脅，但內部人員威脅卻是來自內部，而且通常毫無明顯的跡象。這些威脅牽涉到已擁有企業系統、資料或設施合法存取權限的人員，因此不論是蓄意或意外發生，都可能造成傷害。
內部人員威脅之所以特別危險，是因為它們被包藏在一層信任關係之下。有別於必須滲透防火牆和入侵偵測系統的外部駭客，內部人員通常可利用其日常職務所給予的工具與權限來瀏覽內部網路而不被發現。
許多企業對於內部使用者活動的可視性掌握有限，尤其是採用混合上班模式或數位基礎架構複雜的企業。像這樣可視性不足的情況很容易造成盲點，讓內部人員威脅有機會滋長，使得關鍵系統與敏感資訊暴露於濫用的危險當中。
這不僅是技術上的挑戰，更是一種文化上的挑戰。企業必須培養一種鼓勵各階層勇於負責、保持警戒，並具備網路資安意識的工作環境。少了這種文化，就算是善良的員工，也可能不小心變成了風險。
哪些人算是內部人員？
內部人員可包括：
現任員工 (IT、HR、財務等等)。
離職後仍保有存取權限的前員工。
第三方承包商。
業務夥伴或廠商。
實習生或臨時人員。
內部人員威脅的類型
內部人員威脅可根據動機、權限和活動來分成幾種不同型態。了解這些型態，對於發掘和對抗可能的威脅非常重要 (甚至當下立即阻止)。
惡意的內部人員
這類是刻意要對企業造成傷害的內部人員，可能的原因包括：為了報復、意識形態、個人利益，或是為競爭對手工作。而且，這類惡意的內部人員通常還知道該如何不被人發現，所以威脅甚至更大。
他們或許有能力竊取機密資訊、偽造記錄、癱瘓業務，或植入惡意程式。有時候，他們甚至會先放鬆好幾個月之後才展開攻擊，以便長期維持存取權限。
疏忽的內部人員
疏忽的內部人員是指那些不小心違反資安規定的善良員工或承包商。例如：不小心點選了網路釣魚訊息、使用了不安全的密碼、未妥善處理敏感資料，或者忽略了資安控管。
絕大多數的內部人員攻擊都是因為疏忽所導致，其中大多數時候都是因為不熟悉或缺乏訓練，而非動機不良。但不幸的是，其造成的影響很可能跟預謀攻擊一樣嚴重。
被駭的內部人員
被駭的內部人員指的是正常使用者的登入憑證遭外部人士竊取或冒用的情況，最常見的是遇到網路釣魚、惡意程式或社交工程，使得外部人士能直接以受信任的使用者身分存取內部資源。
這是一種極難偵測的威脅型態，因為這類存取看起來是來自獲得授權的使用者。所以，通常需要藉由進階行為數據分析來偵測使用模式中的異常狀況。
內外勾結的威脅
這是內部人員與外部人士或犯罪集團勾結的情況，這類威脅通常是為了賺錢或是勒索，而且同時結合了內部情報與外部資源。內外勾結是最麻煩的一種威脅情況，因為它們結合了內部人員的廣泛存取權限以及外部人員的犯罪技能和資源，形成非常針對的破壞性攻擊。
為何內部人員威脅如此危險
內部人員擁有合法的存取權限，他們了解公司的系統、政策和弱點，因此不容易被偵測。
根據 Ponemon Institute 在 2023 年的一份報告指出，一起內部人員威脅事件在英國的平均成本為 940 萬英鎊，其中有超過 63% 是因疏忽所引起。
財務成本與資料損失
類型
衝擊
範例
疏忽的內部人員
平均損失 940 萬英鎊
員工在公有雲上分享敏感檔案。
惡意的內部人員
智慧財產 (IP) 失竊、罰鍰
工程師在離職前竊取了原始程式碼。
被駭的內部人員
部署
網路釣魚受害者為駭客提供存取權限。
內部人員威脅的真實案例
英國有好幾起知名的案例充分示範了內部人員威脅可能為各產業帶來什麼樣的損害：
英國博物館入侵竊盜案 (2023 年)
一名員工據稱竊取並破壞了博物館的古代文物。員工利用他們受到尊崇的地位和權力，逐漸找到內部進出與庫存稽核上的弱點。
Daniel Khalife 越獄案 (2023 年)
一名前英國陸軍士兵利用內部人士對 Wandsworth Prison 監獄管理制度與程序的了解而成功逃出監獄。這點出了能夠進出企業機構、又受過專業訓練的人如何帶來威脅。
能源產業存取權限使用不當
英國國家網路安全中心 (NCSC) 同樣也點出內部人員威脅是英國關鍵基礎設施的一項資安威脅。有一次，某家能源公司的前承包商，在未辦妥離職手續的情況下，試圖中斷業務流程，這突顯出企業在員工離職時應妥善撤銷其存取權限的重要性。
內部人員威脅定義
絕大多數的網路資安防禦都專注於防範外部威脅，但內部人員威脅卻是來自內部，而且通常毫無明顯的跡象。這些威脅牽涉到已擁有企業系統、資料或設施合法存取權限的人員，因此不論是蓄意或意外發生，都可能造成傷害。
內部人員威脅之所以特別危險，是因為它們是包藏在一層信任關係之下。有別於必須滲透防火牆和入侵偵測系統的外部駭客，內部人員通常可利用其日常職務所給予的工具與權限來瀏覽內部網路而不被發現。
許多企業對於內部使用者活動的可視性掌握有限，尤其是採用混合上班模式或數位基礎架構複雜的企業。像這樣可視性不足的情況很容易造成盲點，讓內部人員威脅有機會滋長，使得關鍵系統與敏感資訊暴露於濫用的危險當中。
這不僅是技術上的挑戰，更是一種文化上的挑戰。企業必須培養一種鼓勵各階層勇於負責、保持警戒，並具備網路資安意識的工作環境。少了這種文化，就算是善良的員工，也可能不小心變成了風險。
哪些人算是內部人員？
內部人員可包括：
現任員工 (IT、HR、財務等等)。
離職後仍保有存取權限的前員工。
第三方承包商。
業務夥伴或廠商。
實習生或臨時人員。
採用國家與國際框架
企業應符合以下重要標準：
NIST 內部人員威脅防範框架 (Insider Threat Mitigation Framework)：這個美國制定的模型在全球廣獲參考，提供了一套結構化方法來打造內部人員風險防範計畫。
ISO/IEC 27001：這是資訊安全管理系統 (ISMS) 的國際黃金標準，包括內部人員風險與稽核準備度所需的控管。
NPSA (原 CPNI) 內部人員風險防範指引 (Insider Risk Mitigation Guidance)：英國的國家防護安全局 (National Protective Security Authority) 提供了有關如何發掘及降低內部人員威脅的詳細資源，尤其是針對關鍵產業。
Cyber Essentials 與 Cyber Essentials Plus：這是英國政府推行的兩項認證計畫，提倡存取控管、監控及系統強化的最佳實務原則。
政策和文化方面的最佳實務原則
除了合規之外，良好的內部實務原則也很重要：
建立明確的內部人員威脅政策：定義哪些行為屬於內部人員威脅、如何通報這類事件，以及違反政策的後果。
定期測試及更新控管措施：利用紅隊演練、稽核、事件模擬來評估您的防禦在真實情境中的表現。
鼓勵跨部門合作：讓人力資源、法務、IT 及合規部門共同建立一套完善的內部人員風險防治方法。
建立安心舉報的文化：應該讓員工覺得他們可以勇於說出可疑的行為，而不必擔心遭到報復。
內部人員威脅的徵兆與指標
內部人員威脅有時很難準確偵測，因為這些行為都是來自值得信賴的使用者。但即使是行為或系統使用方式的細微改變，也可能意味著更深的問題。
敏感的系統出現非預期的存取 (尤其在正常上班時間之外) 通常是一項早期線索。員工若存取與其職務不相干的資料，或者將大量資訊傳送至外接硬碟或雲端儲存，有可能就是在準備竊取資料，不論是否有犯意。
其他跡象還包括：停用資安工具、反復不斷違反政策，或是出現異常行為，尤其是在工作場所發生負面事件之後，例如被降職或收到解聘通知。在某些情況下，內部人員可能會在沒有正當理由的情況下要求提高存取權限，或者試圖進入管制區域。
及早發現這類模式 (尤其在有行為數據分析可以佐證的情況下) 是偵測內部人員威脅以免造成永久性傷害的關鍵。
防範措施
為了盡可能降低內部人員威脅，請在一開始只授予絕對必要的權限，這是一種最低授權的作法，能盡量降低曝險。此外，還有一些像使用者行為分析 (UEBA) 和特權存取管理 (PAM) 之類的產品，可幾乎即時地有效攔截濫用的情況 。
適當離職手續是必要的，員工的存取權限在離職的當下就必須撤銷。攻擊最常發生的情況就是企業省略最後一個簡單的步驟。
此外，員工也必須持續接受教育訓練。接受過相關訓練、了解內部人員威脅的性質以及該注意哪些事項的員工，也可以成為防禦的延伸一環。一個鼓勵開誠布公和勇於負責的工作環境，同樣也會鼓勵員工及早舉報可疑行為。
最後，藉由導入像 SIEM 這樣的監控技術，再搭配行為分析結果，企業就能獲得所需的洞見來立即回應並遏制威脅。
哪裡可以取得有關管理內部人員威脅的協助
了解內部人員威脅只是一個開端，要防範這些威脅，還需要適當的技術。Trend Vision One™ 能提供您所需的可視性與數據分析來偵測危險的使用者行為，不讓這類行為造成損害。
Trend Vision One 能交叉關聯端點、雲端、電子郵件及身分等層面的活動，協助發掘傳統工具無法偵測的內部人員風險。不論是因為疏忽、惡意或被駭所導致的威脅，您都能獲得所需洞見來迅速有效地加以回應。
隨著內部人員威脅的日益複雜，Trend Vision One 能讓您團隊藉由情報與自動化來隨時搶先一步。
Scott Sargeant 是趨勢科技產品管理副總裁，也是一名經驗豐富的技術領導人，在開發網路資安與 IT 領域企業級解決方案方面擁有 25 年以上經驗。
常見問題：
什麼是內部人員威脅？
可透過數據分析技術、行為觀察，以及員工訓練來辨識可疑的行為。
內部人員威脅有哪些類型？
惡意、疏忽、遭駭、內外勾結。
如何發掘內部人員威脅？
留意異常存取、傳輸大量資料，或者可疑的行為，使用監控工具與存取記錄檔來偵測風險。
如何防範內部人員威脅？
限制存取、監控活動、訓練員工，並且落實資安政策。
內部人員威脅有多常見？
內部人員威脅在所有資安事件當中占了相當大的比例，通常約 20–30%。