内部威胁的三种来源
内部风险并不等同于恶意员工，实际更多来自三类情形。第一是无意：抢修时随手改配置、把私人 U 盘插到工程师站、跳过审批直接用管理员账号操作。第二是有意但动机简单：为了少走流程而绕过控制、把口令告诉同事、把工程文件带回家备份。第三是第三方：供应商、承包商与短期施工人员在现场使用自带设备、开通临时通道、接触关键设备。有效的控制方向不是「防所有员工」，而是让高风险动作可被复核：谁能做、做过什么、有没有第二个人确认过。
基本信息
| 高风险动作 | 程序下载、参数修改、配置变更、旁路绕行、介质使用、临时通道开通、权限调整 |
|---|---|
| 技术控制 | 最小权限与一人一号、操作留痕与集中日志、关键操作双人确认、外设与介质管控 |
| 管理控制 | 变更审批流程、临时接入登记与时限、离场流程（账号、卡片、介质、门禁） |
| 审计与告警 | 针对高风险动作的专项告警与定期抽查，而非对全部人员行为的普遍监控 |
| 第三方管理 | 外来人员登记、接入范围限定、操作监督、离场核对 |
| 组织措施 | 职责明确、培训到位、违规处理有据，并保留正常的沟通与申诉渠道 |
落地措施
- 账号一人一号：取消共享账号与通用维护账号，让操作能归属到个人
- 最小权限：能读的不要给写权限，能监视的不要给组态权限，下载权限只给少数人
- 关键操作双人确认：程序下载、参数修改与旁路操作约定第二人确认或事后复核
- 留痕机制：把高风险动作写入集中日志，并定期抽查而不是只存不查
- 离场流程完整：离职、调岗与承包商退场时，账号、门禁卡、介质与钥匙逐项核销
- 介质与外设管控：把移动介质与外部接口纳入统一流程，避免个人设备进入控制网络
- 正向机制：明确责任与举报渠道，让发现异常的人愿意上报，而不是掩盖
威胁类型与控制
| 类型 | 典型表现 | 控制方向 |
|---|---|---|
| 无意失误 | 误改配置、误插介质、跳过审批 | 流程简化到可执行、关键操作双人确认、培训与演练 |
| 便利性绕过 | 共享账号、口令外传、文件私带 | 消除绕过诱因、留痕与抽查 |
| 有意破坏 | 越权下载、删除程序、植入逻辑 | 最小权限、留痕告警、职责分离与关键操作复核 |
| 第三方人员 | 自带设备、临时通道、超范围操作 | 登记与监督、通道限时、离场核对 |
| 信息带出 | 工程文件与数据私自复制 | 介质与文件流转管控、存取记录 |
内部威胁控制最容易走向两个极端：完全不设防，或者以监控所有人的方式制造对立。判断控制是否合理的一个标准是：措施是否聚焦在高风险动作上、是否有明确的流程依据、以及是否让合规操作变得更容易而不是更难。