数据泄露已成为澳大利亚企业面临的一项重大安全风险。Ponemon研究所近期开展的一项全球 研究 发现，澳大利亚机构每起安全事件造成的损失平均为280万美元；在调查和评估数据泄露方面，澳大利亚机构的平均支出位居全球第二，每家平均为120万美元。
大多数澳大利亚企业都重视保护自身信息。但许多机构根深蒂固地认为，信息安全是一个技术问题，主要威胁来自外部恶意黑客。然而， 研究 表明，机构内部的文化和人员同样可能成为数据泄露的源头。
无论是有意还是无意，造成信息泄露的责任通常更多在员工，而非黑客。例如，机密和敏感信息有时会通过社交媒体 被无意间分享 。
许多信息安全专家都会认同，机构实际上并未采取太多措施来应对信息泄露。关注重点一直放在实体、技术和财务安全上，而非人的因素。这可能有多种原因。一种解释是，许多高管认为“信息安全”与“IT安全”是一回事，因此应由IT经理负责。这种看法或许可以解释，为什么对“我们的信息安全吗？”这一问题，人们常常回答：“安全，我们有防火墙。”
哥伦比亚大学的本杰明·迪恩 指出 ，企业缺乏投资网络安全的动力。不过，企业对信息流动本质缺乏了解，也是一个重要因素。
容易泄漏的信息存储库
防火墙或许能有效防范入侵式黑客攻击，但信息还可能通过许多其他途径泄露。信息并非只存在于数字环境中，也“存放”在纸质文件等硬拷贝中，以及员工的头脑里。事实上，信息不断在人员、纸质文件和数字空间中的电子文件等“存储库”之间流动。并非所有信息都属敏感信息、需要特殊保护，但企业需要监测不断变化的环境，判断特定信息何时可能变得敏感，并采取适当的保护措施。
全面的 信息安全战略 必须考虑采取安全措施，以控制或影响对存储位置的访问、信息流动，以及信息所有者和使用者——也就是员工——的行为。
控制访问权限
一项关键策略是将敏感信息视为资产，并绘制其存储位置图。重要的是要记住，企业内部存在许多不同的信息存储库。
网络安全战略往往聚焦于技术控制措施，并由IT经理负责。这类技术控制措施有助于降低数字存储相关风险。不过，识别企业内部哪些人能够访问信息也同样重要。
保护信息的一种常见做法，是将敏感的组织流程和信息分隔管理。这意味着只有“有必要知悉”的员工才能访问信息，从而减少敏感信息不必要的流转，降低泄露风险。同样，也可以对纸质文件实行分隔管理：在打印机上执行“按需打印”政策，并在打印件上标明信息所有者姓名，以便在发现泄露或遗失的副本时追究责任。
控制信息流动
通过绘制企业内部的信息流图，可以记录信息的处理方式。这些图随后可用于识别潜在的攻击切入点。
信息流通常与企业内部的工作流程、职责和关系密切相关。因此，全面的信息安全战略需要融入更广泛的企业战略和运营之中。从这一角度看待信息安全的企业，更有可能认识到，漏洞可能出现在日常业务运营过程中，而不只存在于有针对性的恶意攻击中。
应对员工行为
最后，侧重于员工 安全教育、培训和意识提升以及行为改变的策略，同样重要。关键在于提升员工的认识，使他们明白，与他人、计算机系统和纸质文件互动的方式，可能增强或削弱安全计划的成效。持续开展定期培训并及时提醒，也有助于让员工牢记政策和流程。由此可见，网络安全并非只是企业IT部门的责任。
数字系统的引入从根本上改变了机构的运作方式，但不幸的是，这也导致人们过度关注技术控制措施和标准，忽视了其他互为补充且同样重要的信息安全策略。
许多澳大利亚企业误解了 社会技术问题 的复杂性，或不愿着手应对，因而往往只关注IT安全。鉴于数据泄露成本不断攀升，企业是时候改变这种看法了。
本文与 The Conversation合作发布。本文的发布并不意味着世界经济论坛认可文中观点。
如需及时了解议程动态， 请订阅我们的每周简报。
作者：阿提夫·艾哈迈德是墨尔本大学计算与信息系统讲师。肖恩·梅纳德是墨尔本大学计算与信息系统讲师。尚顿·张是墨尔本大学信息系统副教授。
图片：2013年6月24日，在华沙的一间办公室里，一名男子手持笔记本电脑，电脑上投射着二进制代码。插图照片。路透社/卡茨佩尔·彭佩尔。