‧ 寒冬裁員，如何保證公司機密不被洩露？

最近一段時間，“資本寒冬”成了熱詞，在中國，從阿里宣佈削減校招人數，到百度停止社招，騰訊停止外包招聘。一時間，這三大巨頭似乎要領著中國的網路公司集體”過冬”，這期間不斷有創業公司倒下，O2O公司的燒錢浪潮漸弱，裁員風波倒是一波接一波。而在許多公司正因為在裁員時，沒有做好相應措施，把自己給“栽”了。

企業可以為了安穩度過“資本寒冬”進行裁員，那麼員工同樣可能為了“過冬”而帶走公司敏感性資料，以利用這些敏感資訊作為資源換取下一份工作。公司客戶的聯繫資訊、公司各種密碼、資料，都可能成為竊取目標。

據安全機構Ponemon Institute公佈的一份以離職員工為研究物件的調查報告顯示：

59%的離職員工承認曾在離職時私自帶走公司機密檔資料。

由於利益的驅使，經不住誘惑的員工，將公司商業機密出賣給競爭對手是很有可能的。在被竊取的資料中，電子郵寄地址名錄、員工記錄及客戶資料所佔比例較高，當然不排除商業機密的惡意竊取，且有相當部分資訊，是通過電子郵件的方式外泄。

所以，企業進行裁員時如處理不當，企業內部重要研究成果被盜或商業機密外傳，都將給企業帶來致命的打擊。因此這裡要向準備“過冬”的企業提醒一句：

裁員之前有考慮過資訊安全這件事兒嗎？

許多企業在雇用員工時花心思進行了背景調查、採用多人負責制等，但卻在最後一環疏忽了。以為收回門卡，交接了工作，刪除電腦帳號就完事了，其實這些還遠遠不夠。

殘存的各種帳號“藕斷絲連”

一個企業往往有很多資訊系統，辦公系統、客戶系統、財務系統等。許多企業的資訊化成熟度不高，這些系統並沒有集成在一起，也就有了各式各樣的帳號密碼。

一般員工可能有幾個密碼，而對於IT部門運維人員來說，伺服器密碼更是數不勝數。作為員工離職手續執行者的人力資源部員工，沒有能力瞭解那麼多，也不可能及時通知到所有系統的管理員進行刪除。

這樣，殘存下來的各種帳號，就可能讓離職員工“藕斷絲連”，最關鍵的是企業中很少再會有人注意到這些帳號。而這些帳號就成了“潜伏”的資本。

多人共用帳號，出了問題誰負責？

企業中一個員工很可能無意或有意地知道了別人的帳號密碼：密碼貼螢幕上，由於工作原因，共用的一個帳號等情況大部分企業都存在。

假設某個網路系統管理員離職之前，將公司的資料庫拖走，這些資訊即使不直接被利用，也可能有意無意地，提供給其他有犯罪意圖的人或在黑市售賣，讓整個公司陷入信任危機，卻因為帳號共用等原因從何追查，只能“吃啞巴虧”。

殘存的資源許可權是小問題還是大問題

VPN帳號、E-mail郵箱，甚至是WiFi，如果要細數的話，一個員工擁有的許可權非常多，許多常常被忽視。以公司WiFi密碼為例，只要有一個員工離職就把WiFi密碼改掉，未免顯得有些神經兮兮，小題大做。但不改的話誰又能保證其不利用WiFi對企業進行入侵報復或是將密碼洩露呢？一個小小的資源許可權，能做的事情太多了……

防止藕斷絲連，企業可以怎麼做？

就以上問題，根據我的個人經驗建議：

加強人資部門和IT部門的溝通

人資部門應該和IT部門保持足夠的溝通，在裁員或重組之前能預先通知IT部門，IT部門要根據情況，事先評估這些員工在企業資訊系統中的各種帳號、許可權等，並預先設計好工作範圍和操作流程。

即使是裁員，也應對員工保持尊重

在解雇員工的時候非常專制，限制員工將個人資料備份、不給員工足夠的收拾物品的時間等，這些做法往往會引起離職員工的不滿和敵意，另一方面，還可能引起其他在職員工的危機感，造成不穩定因素。所以，在解雇員工時也要有理有據，在保證公司機密的同時給予足夠誠意的尊重。

建立統一的許可權管理系統

盡可能將企業的各個系統應該整合在一起，在一個平臺上集中控制和管理企業內部的帳號、許可權、角色等。以洋蔥權杖為例，部署洋蔥權杖後的內網許可權都在一個平臺進行管理，員工離職時只需要在洋蔥內網管理系統的平臺上進行一次性刪除即可去除其在各個系統的登錄許可權。

同時，在沒有統一管理之前，企業應該注意這些問題：

• 盡可能避免共用帳號：即使在不得共用帳號的情況下，一旦有員工離職則需立即修改掉共用的密碼。

• 用好系統日誌功能：日誌就是用來記錄員工登錄行為的證據，如果不幸發生洩漏，起碼能做到有據可查。

• 最小化許可權控制：根據員工的具體職責、資歷來決定擁