内网安全中有一项非常重要,但是经常会被大家低估其作用,并且也存在着一定争议的工作,那就是——行为审计。

随着企业安全意识的提高,审计的作用逐渐被大家所深知,他们也将审计开始用于事后追究责任上。但审计作用只限于此吗?“行为审计是否侵犯个人隐私”?如何才能用好审计?尚有不少疑团亟需解决。

 
审计,信息安全的晴雨表
 
审计是为了安全,它让企业得以对内部的操作可视化,这样企业可以随时发现新的安全威胁、防护漏洞,不断调整防护策略,以应对不断涌现的技术所带来的威胁,实现最大限度的安全。
 
三一重工股份有限公司研究总院信息化经理谭俊峰十分重视管理,这与三一重工研究院是三一内部核心数据部门有关。他们从企业审计系统的原则出发,制定了“把握全局、拿捏有度、主次分明、责任到位、统筹兼顾”的原则,并且在建立人力资源管理的制度时,就从宣贯公司的某些政策或制度出发,让员工知道信息保密性的要求,并且他们会经常对企业员工进行信息安全意识的培训。
 
总体来看,只要制定好规章制度,并将内网审计的概念灌输到企业的员工中,企业完全可以利用内网安全系统进行管理,这将对企业内网安全水平的提升起到极大的作用。
 
青岛中集冷藏箱制造有限公司信息主任耿峰认为,没有行为审计的内网安全系统是不完善,行为审计可以有效的检测到威胁内网安全的因素,网络管理员可以通过该系统清除威胁,确保网络安全合规。
 
“隐私”无绝对
 
行为审计,是否会侵犯员工的隐私?这个问题曾经是业界讨论的热点。随着国人对“隐私”概念理解的逐步深入,这个问题已经明朗化。认为:从这个意义上说,员工没有“隐私”可言,而所谓“隐私”就是利用企业资源干自己的事。
 
我们先来看看何谓隐私。隐私的基本含义是:不愿告人或不愿公开的个人的私事。企业的内网是为了企业经营发展的需要而组建的,在企业内网上所作的行为属于单位事务。
 
虽然“隐私”的定义很明确,但是“行为审计”在实际操作中却仍然不断的引发争论。因为人毕竟不是机器,不可能在工作场所、工作时间内百分之百的不处理个人事务。因此,员工在内网中的行为总会含有涉及隐私的内容。
 
武汉凡谷电子技术股份有限公司信息部经理朱烔哲就认为,“行为审计”的第一步就是行为收集,除非只将高危险行为识别出来并保留,否则必侵犯隐私。如果企业不顾实际情况,列出长长的违规操作人员清单,会弄得人人自危,员工阳奉阴违,反而得不偿失了。
 
我很赞同朱经理的观点,审计固然很重要,要做好审计,须深谙其“道”。要正确做好审计,需要把握住行为信息收集的度,控制好审计的范围和权限,便可以很大程度的避免一些审计带来的风险。审计只是一个工具,IT管理部门应该明确,它只是企业实现安全的手段,而不是为审计而审计。
 
好用是一方面,但如何用才能好却是另一方面。我们一起来看看业内专家和客户对此如何看待。
 
 
杭州汽轮机股份有限公司所长黄梁:审计是安全方面必不可少的一项内容。不过进行审计的人员要有公司的正式授权,而且必须对其的职责要进行清晰的界定,还要有一定的行为规范来进行限制。
 
信息安全专家李洋博士也认为:部署行为监控和行为审计类产品是企业合规的一个重要步骤,但行为审计并不一定要侵犯个人隐私,或者说不完全要侵犯个人隐私。只要严格限制审计者对原始数据的接触,就能比较好地做到尊重个人隐私。
 
游侠安全网站长张百川则指出,关于审计与隐私的问题,在国际上也有争论。很多企业部署审计监控产品的时候,无论是主机审计监控还是网络审计监控,并没有和员工说明,这非常不合理。在产品部署前,企业应当发布相关公告进行解释说明。;多数企业又控制不好审计员权限,审计员往往可以看全网人的隐私,这其实对企业存在很大的法律风险。 
 
归结以上专家和行业知名用户的观点,我认为,做好审计要从几方面考虑:
 
一是要明确审计的范围,从安全角度来说是越全越好,但从合理性角度来说,不该审计的,就不应该去碰;
 
二是对审计人员的权限有所限制。谁有审计权限,什么情况下审计,需要什么流程,都要有成文的规定,并且有必要对其审计行为进行再审计;
 
三是要合理利用审计的来的信息,善于将得到的信息根据自己的需要做成高度可视化的报表,反映出关键的问题,为决策提供指导。
 
除了恰当的审计行为之外,企业履行告知义务也是非常重要的。如安全专家张百川所说的,在部署前,需要告知内部人员。从实施的角度来说,最好做到告知义务,同时形成制度性。管理者也应该明确IT资产的公有属性,即组织为员工提供的IT设备,理论上只是为了员工能够完成其工作所必需的生产资料,因此在其计算机上所存储和使用的任何数据,都应该属于组织公有,把类似的条款写入制度,在员工入职时进行签署和培训,都有助于一旦法律纠纷发生时提供参考。
 
 
通过行为审计,可以发现员工的异常行为、潜在的危险行为,起到防患于未然的效果。而且当泄密行为发生之后,审计系统也可以帮助企业快速查找到泄密者,及时挽回损失。但是,审计、行为监控系统必须慎用,这些系统权限很高,而且对于员工的感情和工作积极性存在影响,如果滥用可能引发严重后果。企业必须要严格控制监控的权限,对管理员的职责有清晰的界定,确保系统不被滥用。