不是说只有“迷你微软”（Mini-Microsoft，常常抨击微软的内部博客）才会带来问题。热情高涨却对公司政策不是很熟悉的员工、公开留言板上的开发人员，甚至是员工偶尔谈论一下工作的私人博客，它们都会带来风险。

弗雷斯特咨询公司近期的一项调查研究了诸如此类的局域网内容安全问题。委托弗雷斯特公司作这项调查的是Proofpoint，这家公司提供电子邮件安全与数据泄露预防解决方案。

2021年7月进行的这项调查收到了员工数量不少于1000人的美国公司返回的308份答卷。弗雷斯特公司发现，20%以上的调查对象事后发现“在过去的12个月通过发布在博客或者留言板上的内容泄露了机密、泄漏敏感数据或者泄漏私密的信息。”

Proofpoint公司的市场开发主管Keith Crosley说：“安全与IT从业人士刚刚开始对博客和留言板有一清醒认识。主要担心的还是从公司发出去的电子邮件，但其他这几种消息传送及网络联系方式也不容忽视。” 粗心员工与恶意员工一样危险

据Proofpoint公司的Crosley声称，这个问题要比大多数人认为的来得严重。他说：“每发生一起重大的数据泄露事件，恐怕就有数百起比较小的同类事件。”只是这些事件没有公之于众。事件在公司内部得到了处理，结果常常以解雇相关人员收场。

Crosley说：“人力资源部门开始审查某个员工网上行为时，事态其实很严重了。”在过去，员工很担心公司对自己的上网浏览习惯吹毛求疵。毕竟，随着工作融入到知识员工的个人生活当中，许多人认为，在工作时间偶尔处理些私事是完全合情合理的。同样，知识工作的压力使得员工休息十分钟、查看体育比赛得分同样是可以接受的。

Proofpoint公司发现，绝大多数雇主并不担心浪费时间。“如果人力资源部门在监控员工的网上行为，那么这种行为几乎总是与数据泄露或者机密信息被偷有关——而不是浪费时间的行为。担心工作效率是否受到影响是次要得多的问题。

毕竟，单单浪费些时间不会让你的股东价值损失数百万美元之巨。” 不过，数据泄露和数据被偷未必与网上行为有关。美国退伍军人管理局（VA）传出重大的数据泄露丑闻后，事后查明原来是一名IT员工把笔记本电脑给丢了。随着与便携式存储设备有关的费用越来越低，发生类似事件的可能性却越来越大。

由于如今市面上出现了数GB容量的USB驱动器，而且价位很低，每天晚上都会出现类似VA的风险，因为你的员工有可能怀揣数GB的信息离开办公楼。

SkyRecon Systems公司的首席运营官兼美国业务部总裁Philippe Honigman说：“要像管理敏感应用软件那样来认真管理外部存储设备及外设。公司提供的大多数USB驱动器没有内置的验证或者数据加密机制，大多数公司完全忽视了这些设备带来的风险。”

预防数据泄露需要多管齐下

数据泄露问题非常严重、复杂，甚至足以让精明的IT专业人士都束手无策。不过，现在市面上出现了能够助你一臂之力的数据防泄漏工具。

据专家们声称，第一步就是制订政策、培训员工。Young说：“我们告诉客户的其中一点就是，如果你没有针对博客、维基和社交网络等方面制订政策，那么你到头来会面临风险。”他说，员工谈论工作是很自然不过的事情，谈论内容常常会出现在博客上。说白了，博客与街头角落的酒吧或者教友联谊会没什么两样。

他说：“问题在于，互联网是非常公开的环境。我只要抽出点时间在网上搜索调查一下，就能对大公司内部发生的情况了解得一清二楚。”

政策加培训通常只是一种权宜之计。网络监控软件供应商利用这老套的办法来堵住它们的技术所无法堵住的漏洞。毕竟，依赖最终用户行为的任何信息安全做法都是有风险的。

不过，由于数据泄露很容易进入到法律领域，特别是如果这种数据泄露涉及知识产权窃取这一类，那么这种情况下，政策加培训这种做法具有可以量化的优点。一旦数据受到危及，重视数据的公司就能够要求获得比较高的赔偿金。如果粗心大意的员工把不该公布的信息公之于众，公司就能够以正当理由开除这些员工。如果某人被追究泄露敏感信息的责任，内容清楚的政策和定期进行的培训足以反驳员工声称“我不知情”的辩护。

话虽如此，政策与培训的作用还是非常有限。局域网网络监控技术仍然必不可少，不过有助于遏制数据泄露问题的许多工具甚至不是局域网信息安全工具。