信息系統廣泛應用后，企業員工或多或少擁有一定的訪問權限。但當員工離職后，大多數企業卻沒有適當的機制消除員工的訪問權限，由此帶來的風險是: 殘存的權限將有可能被員工本人或被其他黑客利用，影響網絡安全。

員工離職的風險

有的企業對員工采取了許多正確的雇用策略，比如對員工進行背景調查、定期工作輪換、多人負責制等，但卻在最后一環馬虎了。對于離職員工，企業往往只是簡單地收回門卡、刪除計算機賬號等，但這些是遠遠不夠的。

1．殘存的各種賬號

企業有可能有多個信息系統，比如銷售系統、客戶系統、應用系統、辦公系統等。由于許多企業的信息化成熟度并不高，這些系統并沒有集成在—起，也就有了各式各樣的賬號。而作為員工離職手續執行者的人力資源部的工作人員并沒有能力了解這么多，也不可能及時通知到所有系統的管理者對賬號進行禁用或刪除。這樣，很可能會有—部分賬號被保留下來，更可怕的是，企業中很少有人會知道并關心這些賬號的繼續存在。而離職員工仍可能利用這些賬號來繼續使用系統，甚至獲得銷售、客戶、產品等保密資料。

2．殘存的各種資源權限

員工很可能擁有VoIP、VPN、Modem接入、遠程主機、E-mail等權限。如果一個離開很久的員工還用著公司的E-mail，這可能被別有用心的人利用，比如用來欺騙客戶、散播謠言、收取公司的廣播郵件等。另外要特別注意的是一些技術開發人員，他們擁有的權限更多，而且有些員工在工作中可能為了方便打開了一些后門，或是有意無意地安裝了一些木馬程序，這些更難被發現和刪除。

3．其他內部信息及隱性信息

企業中，—個員工很可能無意或有意地得到其他人的權限或賬號，如一些公用測試賬號、要好同事的賬號、某人常用的密碼等。還有的員工可能了解企業網絡中的一些漏洞、后門等不公開的信息，這些信息如果透露給黑客，很可能危害到系統的安全。

這些殘存的信息，不僅可能被原來的員工所利用，原來的員工也可能會有意無意地把它們提供給其他有犯罪意圖的人。實際上，隨著員工電腦技能的提高和一些黑客工具的泛濫，再加上多數企業對待離職員工的賬號終結等問題的重視度不夠，這些現象已經開始有擴大的趨勢，所以一定不要低估這個問題所帶來的風險。

幾點建議

企業認識到這個問題所帶來的風險后，如何降低甚至消滅這個風險呢？我們幾乎找不出什么有效的通用辦法。不過，可以根據自己的實際情況參考以下幾點建議。

1．建立和完善的企業安全策略、標準、指南和操作程序

這是非常必要的，能使您處處主動，而不是“頭痛醫頭，腳痛醫腳”。在策略中要考慮到配置管理、變更管理，從而能有效地發現和防止員工隨意安裝非授權的軟件等。

2．盡可能建立專用管理系統

當信息系統發展到比較成熟的階段，企業的各個系統應該整合在一起，同時擁有完善的數據控制機制，這樣就能避免目前這種一個員工有多個賬號、角色混亂的現象了。

但是在這之前，企業也可以建立一個專用的管理系統，由它來集中控制和管理企業內部的賬號、權限、角色等。這個管理系統能夠減少人工處理的難度和工作量，可以提供諸如自動檢查和刪除過期賬號、定期要求修改密碼、查詢和修改員工賬號等功能。

3．在安全管理中要注意的問題

如果不能建立一個專用的管理系統，就要靠人工來管理，在安全管理中有很多問題值得注意。

（1）小心公共賬號。對于公共賬號要嚴格控制其權限，只能訪問工作所需的有限的內容；公共賬號不用后要立即刪除；告誡員工不得向無關的人員透露。

（2）小心常用密碼。教育員工避免對別人公開自己的常用密碼。

（3）加強系統日志功能。各種日志就是將來跟蹤用戶行為的證據，如果有事情發生還可以成為司法取證的重要證據。

（4）小心分配資源，及時收回不用的資源。要根據員工的工作職責、資歷、業務要求等決定員工需要接入哪些公司資源，以及為什么需要接人。當實際情況變化后，要及時收回不用的資源。

（4）精簡資源。IT管理人員要減少冗余資源，要使資源有序，這樣可以減少員工資源使用上的混亂現象。

4．加強人力資源部門和IT部門的溝通

人力資源部門和IT部門在很多方面都要通力合作。人力資源部門在裁員或重組之前最好能預先通知IT部門，IT部門要根據情況事先評估這些員工在企業信息系統中的各種賬號、權限等，并預先設計好工作范圍和操作流程。

5．尊重員工，保持良好的關系

有些公司在解雇員工的時候顯得非常專制，比如限制員工將個人數據備份、不給員工足夠的收拾物品的時間等，孰不知這樣做一方面會引起離職員工的不滿和敵意，另一方面，還可能引起其他在職員工的危機感，造成不穩定因素。所以，在解雇員工時也要有理有據，在保證公司機密的同時給予足夠誠意的尊重。

6．利用多種途徑進行約束

要和員工簽訂明確的保密合同，通過各種方式來提高員工的安全意識，讓員工明白如果不注意保密，或者攻擊和破壞公司信息安全的后果和法律責任。

雖然風險始終存在，但也不必太過害怕。只要我們對風險有足夠的認識，采取了正確的措施，就可以將損失減到最小。最后要提醒管理層的是，離職員工的安全問題只是眾多安全問題中比較容易被忽視的一環，類似的安全問題可能存在于企業的任何環節中，而最根本的對策是要為企業建立一整套的安全策略、標準、指南和操作程序，并在安全實踐中不斷更新和完善。