如果企业认为自己的数据存储已经非常安全了，那就大错特错了。目前，企业数据泄露的问题非常突出，这里我们介绍五种常见的数据安全风险，并给出规避风险的建议。
让我们一起来思考一个问题: 企业数据所面临的最大安全威胁是什么？如果你的回答是黑客攻击或者说是IT人员的违规行为的话，那并不完全正确。的确，黑客的恶意攻击总能引起人们的高度重视，IT人员的恶意违规行为更是不能容忍，但事实上，最有可能泄露企业数据的却往往是那些没有丝毫恶意的员工，换句话说，内部员工使用网络文件共享或者乱用笔记本电脑造成数据泄露的可能性最大。
据Ponemon Institute最新的调查报告显示，内部员工的粗心大意是到目前为止企业数据安全的最大威胁，由此造成的数据安全事故高达78%。在这份报告中还指出，在企业不断尝试和应用最新企业内部数据保护技术的同时，却没有充分意识到企业内部员工的笔记本电脑以及其他移动存储设备所存在的安全隐患。
存储网络工业协会（SNIA）曾发布过企业存储安全性自我评估方法，用来测试企业对数据的保护程度。结果显示，目前大多数企业受到数据泄露问题的困扰。ITRC（Identity Theft Resource Center）的资料也显示，在美国，2008年出现的数据泄露事件比上一年增长了47%。“况且这些还只是有记载的数字，我的电子邮箱里就经常收到一些促销信息，显然我的个人信息通过某种渠道被泄露了。” ITRC的创始人、身份认证管理专家Craig Muller说。
事实上，现在人们应该充分意识到问题的严重性了。Ponemon Institute在2008年进行的另一项调查显示，在1795名受访者中有超过一半以上的人表示其在过去24个月中被告知数据泄露的次数大于两次，而8%的人则表示收到过四次以上这样的通知。但是，到目前为止，企业还不知道该如何保护自己。在Ponemon Institute的这份调查中显示，在577名安全专家中仅有16%的人认为当前的安全措施足以保护企业的数据安全了。
目前，解决问题惟一的方法就是借鉴其他企业的前车之鉴，以避免自己出现类似的问题。下面介绍五种常见的数据泄露问题，每种情况我们都给出了规避安全风险的建议。
内部窃取
2007年11月，Certegy Check Services（Fidelity National Information Services的一家子公司）的高级管理员利用特许的数据存取权限偷走了超过850万客户的数据资料。随后，他将数据卖给了一家中间商，价格是50万美元，之后这家中间商又将数据卖给了其他商家。事情败露后，这名员工被判入狱四年并负责赔偿320万美元的经济损失。Certegy Check Services官方宣称事情很快就得到了解决，客户的个人信息并没有被泄露，不过，其客户还是收到了其他厂商发来的促销信息，而这些厂商恰恰购买了被窃数据。
还有一个案例，一位在DuPont工作的技术专家在离开公司之前拷贝了价值4亿美元的商业机密，然后跳槽到了一家与DuPont竞争的亚洲公司。根据法院的记录，他利用特许存取权限下载了大约2.2万份摘要以及1.67万份PDF文件，这些文件记录了DuPont的主要产品线，其中还包括一些开发中的新技术。他在下载数据之前与DuPont的竞争对手讨价还价了两个月之久，并最终达成了“协议”。依据这些犯罪记录，法院宣判其服刑18个月。
代价：在DuPont的案例中，虽然最终美国政府为其损失补偿了18万美元，但其被泄露的商业机密估计价值超过4亿美元。而且，没有任何证据可以证明，DuPont泄露的数据已经被竞争对手，也就是上述那位技术专家的“同谋”得到，这就使得DuPont无法通过更有效的法律途径解决问题。
据Semple的研究显示，客户信息失窃比知识产权失窃带来的损失更大。在2008年，Certegy Check Services公司为客户信息丢失所付出的代价是每人每次2万美元。
分析：ITRC的报告中显示，在2008年发生且被记录下来的泄露事件中有16%是由内部窃取所造成的，是2007年的两倍。原因是，现在很多企业在“猎头”的同时，还伴随着商业犯罪—根据卡内基梅隆大学计算机应急响应小组（CERT）的研究，1996年到2007年企业内部犯罪有一半是窃取商业机密。
CERT指出，内部人员窃取商业机密有两大诱因：一是能够获得金钱；二是能够获得商业优势。虽然后者多是从员工准备跳槽开始的，但这类情况大都是在员工离开以后才被发现，因为其留下了秘密访问数据的记录。可见，内部威胁是数据安全管理的难题之一，尤其是对那些有特许权限的员工的管理更是如此。
建议：首先，建议企业做好对数据库非正常访问的监督，为不同用户的当前可用访问权设定限制，这样系统就可以很容易地检测出负责特定工作的员工是否访问了超出工作范围的数据。比如，Dupont公司就是因为检测到该技术专家异常访问了电子数据图书馆才发现了其非法行为的。此外，一旦检测到了数据泄露，最重要的就是快速行动以减小信息扩散的可能性，并提交法律机关迅速展开取证调查。
其次，企业应当使用个人访问控制工具，保证系统记录下每一个曾经访问过重要信息的人。此外，保存客户和员工信息的数据库更应当对访问加以严格限制。事实上，就日常工作而言，能有多少人在没有许可的情况下有查阅身份证件号码和社会保险号码的需要呢！因此，个人信息应该与商业机密有着相同的保密级别。
再次，建议使用防数据丢失工具以防止个人数据在通过电子邮件、打印或者复制到笔记本电脑及其他外部存储设备时发生泄露。这类工具会在有人尝试拷贝个人身份数据时向管理员发出警告，并做记录。但是目前，很多企业都没有应用类似的审查记录工具。
此外，加强内部控制和审计也非常重要。举个例子，企业可以通过设立网络审查或记录数据库活动等方式来进行监督。保存详细记录可能并不够，企业还需要通过审计方式来检查是否有人更改或者非法访问了记录。当然，单独依靠技术手段是不行的，企业还需要确保你所信任的数据使用者是真正值得信任的。