很多企業在“始終在線”和“按需使用”工作場所中管理內部人員風險需要采用新模式。除了對設備或網絡進行邏輯保護以保護數據以及監視、審核和管理人員之外，還需要一種新的無邊界內部人員風險管理方法來確保安全，該方法將優先級轉移到內部人員與數據或信息對象本身的交互上。

[[282184]]

在企業環境中管理內部風險本身是困難的，而向遠程員工隊伍和“無邊界”工作場所的轉變加劇了這些固有的挑戰。企業的內部人員風險管理計劃有四個主要目標：意識、理解、可見性和保護。無邊界工作場所需要對傳統風險管理方法進行調整和改變。

1.意識

風險意識意味著要清楚地了解內部人員，為內部人員提供適當保護資產的資源，創建一種透明和負責任的文化，并制定有助于識別和緩解異常行為的工作流程。

在傳統的工作場所中，培訓的重點是在辦公室環境中操作的優秀實踐，如何發現員工的異常行為以及如何防范常見的電子郵件攻擊。強調良好的工作場所管理(不要將文檔留在打印機上、不要鎖屏、不要將內容發送到不安全區域等)以及如何向管理人員報告信息。內部人員的定義是實際在企業辦公室辦公的人員，而工作流程則專注于識別工作場所中的異常行為。

相比之下，在無邊界工作場所中，培訓必須集中在遠程工作場所和所涉及的獨特環境上。為此，必須強調適當的安全習慣以訪問企業信息(假熱點、欺騙、在公共場所上網等)，以及在辦公室之外正確處理信息(打印、存儲、傳輸)。在這種環境下，使用文件共享站點、USB、電子郵件安全性和設備管理(個人和公司)尤為重要。工作流程還必須適應并報告可疑活動。在這里，必須從虛擬訪問的角度了解內部人員，因為許多遠程辦公的員工可能不會在企業辦公室中工作。最后，工作流程必須包含識別工作場所外部異常行為的方法和手段。

2.理解

理解包括通過識別和定義關鍵資產，確定這些資產的粒度，根據影響對它們進行優先排序，以及開發可促進資產工作流程的知識，并將這些知識納入風險管理框架的流程，以關注對企業重要的事情。

在傳統的工作場所中，重點是作為“資產持有者”的公司(在企業設備、網絡、實際位置上)。工作流程將映射到辦公室內部協作，因此，可以在傳統公司環境的范圍內理解風險。一旦確定了關鍵資產，就需要了解誰有權訪問這些資產以及如何處理、存儲和移動它們。對于傳統的工作場所，這通常是一個令人大開眼界的工作，獲得關鍵資源的途徑通常遠遠超出了人們的想象。

相比之下，在沒有邊界的工作場所中，內部人員通常是“資產持有者”(存儲在個人設備、U盤、文件共享站點、家庭辦公場合)，并且關鍵資產的擴散更加明顯。在遠程工作的員工擁有各種各樣的機制來處理和存儲資產。風險模型現在必須包括與在企業環境之外進行操作相關的威脅和漏洞。因此，可能的“資產持有者”的分類擴大到了家庭辦公場合中可用的任何資產。這可能包括個人計算機、平板電腦、電話以及移動媒體。物聯網設備的不斷增長使這一過程變得更加復雜。此外，在考慮傳輸中的關鍵數據時，遠程工作者更有可能在傳輸組織數據時使用其他方式和設備。因此，必須將部門間工作流分類為識別傳統企業環境之外的威脅和漏洞的基本組成部分。

3.可見性

可見性包括監視表明對企業資產(網絡和網外)構成威脅的內部人員行為，監視內部人員與已識別資產的交互、記錄資產訪問和移動以及分析行為、交互作用和日志以識別風險。

在傳統的工作場所中，可見性僅限于企業擁有的設備和網絡以及企業的行為。相比之下，無邊界工作場所必須包括對個人設備的可見性、企業機構(開放源數據源)之外的行為，并了解如何將數據資產移動、傳輸和存儲在企業網絡之外。

為了應對員工存儲、傳輸和處理數據的方式失去可見性的問題，企業需要能夠跟蹤企業網絡和域之外的數據和資產流的治理和工作流程。這些政策和程序可能會限制遠程工作人員使用特定設備或企業移動管理工具，這些設備或工具會強制實施可全面監控的標準化流程。這些工具允許組織將所有移動設備集成到一個包括安全、身份、應用程序和內容管理的管理框架中。

為了防止員工行為失去可見性，需要使用其他方法來早期識別員工警告標志。這種機制將使企業能夠以適當程度的參與、協助、支持和紀律作出反應。開源數據可以提供對個人行為壓力源和行為的洞察，并可以幫助企業管理人員不斷檢查員工對企業的潛在威脅。對開源數據的持續評估有助于評估在客戶或在家中工作的員工，他們的行為變化對員工和管理者不太明顯。如果使用得當，這些數據可以幫助識別技術監測無法觀察到的行為，并對可能的風險提供預警。

開源信息包括財務數據(破產、信用報告、留置權等)。這些可能表明無法解釋的富裕和財務困難。執法數據(逮捕、定罪、保護令等)可能表明不可預測性、波動性以及無法遵守法律。社交媒體發布的內容可能反映出對企業管理人員、員工、公眾人物、家庭成員和前合伙人的不同尋常的負面(甚至暴力)情緒。

4.保護

必須對數字和實物資產(包括信息和人員)實施安全控制，以確保無論在何處訪問、使用、傳輸、存儲或定位資產，都能對其進行保護。

在傳統的工作場所中，重點是設備和人員的端點。控件旨在針對事件(事后)發出警報，并且僅限于企業范圍(網絡和物理)。相比之下，在無邊界的工作場所，數據是新的端點。重點必須放在作為新邊界的數字資產本身上。控件必須設計為管理訪問(事件前)并調用對象級別的端到端加密。

無邊界工作場所需要持久的、以數據為中心的加密，這要超出端點和傳統的身份驗證方法。為了在無邊界的工作場所中適當地管理內部風險，安全團隊需要通過額外的安全層來增強保護機制，這些安全層以更細化、持久和動態的方式專注于數據。這意味著無論源應用程序、格式或設備操作系統如何，都能夠加密任何數字資產。新的無邊界工作場所有三個主要“保護”要求：

• 持久。加密需要持久執行。如果敏感文件通過電子郵件發送，保存到閃存驅動器，存儲在基于云計算的應用程序中或在其他任何地方傳輸，則安全策略將保持有效，并且數據將受到保護。
• 自上而下的策略執行。IT管理人員需要以自上而下的方式執行策略，因此策略可以在整個企業范圍內一致地應用，甚至適用于特定的數字資產、設備和用戶級別。
• 為了很大程度地提高數據分離效率，企業需要采用加密的方式，以盡可能低的級別提供保護和洞察力，從而確保優質的安全性、數據治理合規性、生產率。

新的無邊界工作場所需要新的內部風險管理范式。通過調整和重新定義風險意識、理解力、可見性和以數據為中心的持久資產保護模型，企業可以開發有效的程序來管理傳統公司環境的內部人員的風險。