對(duì)許多公司來說，呼叫中心就是公司業(yè)務(wù)的命根子。所以要求它們?cè)跒閱T工和客戶提供的物理安全與數(shù)字安全措施之間求得平衡
呼叫中心不“安全”
2005年12月12日凌晨，24歲的Pratibha Srikanth Murthy在前往班加羅爾呼叫中心上班途中不幸遇害身亡。但是2008年1月印度法庭并沒有起訴審判涉嫌攻擊Murthy的出租車司機(jī)Shiv Kumar，而是把矛頭對(duì)準(zhǔn)了Murthy當(dāng)年所在公司的最高上司——Som Mittal。當(dāng)年，他在Murthy服務(wù)的公司——惠普全球軟件公司（Hewlett-Packard GlobalSoft）任總經(jīng)理。
印度法律要求公司為女性雇員在夜間上下班途中提供安全的交通方式，為此Mittal受到了指控。Mittal現(xiàn)擔(dān)任印度全國(guó)軟件和服務(wù)公司協(xié)會(huì)（NASSCOM）會(huì)長(zhǎng)，它是印度規(guī)模龐大的外包和呼叫中心行業(yè)的主要行業(yè)性組織。具有諷刺意味的是，這家協(xié)會(huì)曾經(jīng)擬訂了確保行業(yè)內(nèi)員工享有安全交通方式的指導(dǎo)原則，這些原則甚至包括要求派保安陪同女性員工上下班; 女性雇員不該第一個(gè)被接送或者最后一個(gè)下車等內(nèi)容。
印度最高法院在今年2月駁回了Mittal對(duì)此案的上訴，根據(jù)商店與公司法(Shops & Establishments Act)，一旦Mittal被判定有罪，他只會(huì)面臨1000盧比（約合25美元）的罰款，但會(huì)留下案底，而他曾經(jīng)供職的惠普全球軟件公司也可能因此被牽連。
NASSCOM表示對(duì)此案不予評(píng)論。而惠普印度分公司稱，在開庭前不想就此案發(fā)表評(píng)論。但是顯然即使這起謀殺案已過去了三年，印度呼叫中心行業(yè)仍會(huì)與這起案子牽連在一起，而且這種牽連關(guān)系似乎還會(huì)持續(xù)幾個(gè)年頭。
鑒于呼叫中心和保護(hù)數(shù)據(jù)安全有著緊密的聯(lián)系，Srikanth Murthy案件正在警示世人: 確保處理數(shù)據(jù)的工作人員安全，對(duì)于數(shù)據(jù)安全同樣意義重大。
Patrick Chagnon供職的公司SSC設(shè)在美國(guó)康涅狄格州謝爾頓，它是一家安全咨詢公司，作為公司情報(bào)與調(diào)查部門的經(jīng)理，Chagnon認(rèn)為像Murthy這樣的事件會(huì)令雇主企業(yè)名聲受損，因此帶來的風(fēng)險(xiǎn)非常大?！白约旱膯T工被人持槍攻擊或者搶劫、甚至受到傷害絕對(duì)不是什么好事，客戶也許會(huì)問，‘你連自己的員工都沒法保護(hù)，怎么能夠保護(hù)我們以及我們的數(shù)據(jù)呢？’”
事實(shí)也證明了這一點(diǎn)，近期有大量新聞報(bào)道披露，不但有充足的證據(jù)表明，呼叫中心運(yùn)營(yíng)商確實(shí)未能確保數(shù)據(jù)安然無恙，而且他們的員工遭受攻擊的概率也要高出普通人。
David Brown是總部設(shè)在伊利諾斯州斯科基的福賽思解決方案集團(tuán)（Forsythe Solutions Group）負(fù)責(zé)安全咨詢服務(wù)的首席顧問。他說: “類似攻擊事件發(fā)生頻率非常高，這就像是那些夜間的自動(dòng)柜員機(jī)，或者是購物中心的停車場(chǎng)，容易引發(fā)一些暴力傷害事件。呼叫中心的員工之所以容易遭到攻擊，就是因?yàn)楹艚兄行耐ǔＪ?4小時(shí)不間斷運(yùn)作，而且常常位于工業(yè)區(qū)或者人口稀少的辦公園區(qū)。”
總部設(shè)在英國(guó)倫敦的安全聯(lián)盟（Security Alliance）是由專業(yè)信息安全廠商組成的聯(lián)盟，該組織的執(zhí)行董事John Beale則認(rèn)為，呼叫中心落實(shí)到位的物理安全措施和保安人員往往忽視保護(hù)員工的安全，而是在側(cè)重于保護(hù)數(shù)據(jù)的安全。
實(shí)際上，除了員工安全保護(hù)差強(qiáng)人意外，數(shù)據(jù)保護(hù)不力、系統(tǒng)保護(hù)也不力等一連串令人擔(dān)憂的呼叫中心安全漏洞更是時(shí)有發(fā)生。
安全培訓(xùn)認(rèn)證公司SCIPP International的創(chuàng)辦人Winn Schwartau是一名信息安全專家。他表示，呼叫中心安全的三個(gè)不同方面亟需審查: 第一個(gè)是針對(duì)不再是公司雇員的人，及時(shí)取消進(jìn)入大樓以及訪問公司網(wǎng)絡(luò)的權(quán)限; 第二個(gè)是更有效地控制數(shù)據(jù)中心的工作人員對(duì)信用卡和銀行賬戶詳細(xì)資料等客戶財(cái)務(wù)數(shù)據(jù)的訪問; 第三個(gè)當(dāng)然是這些工作人員的物理安全和保護(hù)。
拒絕違規(guī)訪問
Schwartau認(rèn)為如果對(duì)呼叫中心的系統(tǒng)運(yùn)作開展?jié)B透測(cè)試以及審計(jì)工作，就會(huì)發(fā)現(xiàn)為數(shù)眾多的員工雖然已經(jīng)離開了公司，但他們?nèi)該碛性L問公司計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)的權(quán)限。甚至在一些呼叫中心甚至有人早在兩三年前就離開了公司，卻仍擁有訪問權(quán)限，這樣的情況太司空見慣。
Schwartau表示，不是說許多公司沒有認(rèn)識(shí)到需要取消那些不該有的訪問權(quán)限，而是說他們?nèi)狈σ砸恢碌姆绞饺∠麢?quán)限的手段。“取消訪問權(quán)限很可能是人力資源部門制訂的政策，但是控制網(wǎng)絡(luò)的不是人力資源部門，結(jié)果是人力資源部門只是核對(duì)了權(quán)限一覽表，而沒有切實(shí)執(zhí)行的手段?！?/FONT>
福賽思解決方案集團(tuán)的Brown表示，對(duì)于訪問權(quán)限的有效解決辦法就是用“極其明確的”流程來取代執(zhí)行起來乏力的機(jī)制?！斑@種流程要充分考慮到有可能出現(xiàn)的各種場(chǎng)景。比如有人按規(guī)定退休與有人被公司以正當(dāng)理由開除，它們就應(yīng)該是兩種全然不同的情況。”
Brown以被公司以“正當(dāng)理由”開除的這種情況為例解釋到:“正當(dāng)理由包括操縱數(shù)據(jù)或者竊取數(shù)據(jù)，必須遵循的程序應(yīng)當(dāng)包括: 除了法務(wù)部人員、執(zhí)法部門聯(lián)絡(luò)員、媒體關(guān)系人員甚至危機(jī)管理人員外，還應(yīng)該讓安保人員在場(chǎng)（目的是防止被開除的人仍舊強(qiáng)行訪問系統(tǒng)），要求哪些人在場(chǎng)取決于被發(fā)現(xiàn)的不法活動(dòng)的后果可能有多嚴(yán)重。明確規(guī)定這些程序很重要，因?yàn)榭隙ㄐ枰玫剿鼈?。這樣的事情發(fā)生的頻率越來越頻繁了，人們?cè)絹碓秸J(rèn)識(shí)到數(shù)據(jù)中心具有的價(jià)值——越認(rèn)識(shí)到這種價(jià)值，面臨的風(fēng)險(xiǎn)就越大。”
Schwartau補(bǔ)充說，更大的風(fēng)險(xiǎn)來自那些使用單次登錄系統(tǒng)來進(jìn)行登錄的公司。雖然單次登錄機(jī)制具有提高工作效率的優(yōu)點(diǎn)，但是一旦密碼被竊取或者被濫用，就增加了數(shù)據(jù)丟失（或受損）的風(fēng)險(xiǎn)?！坝辛藛未蔚卿洐C(jī)制，一個(gè)密碼就可以訪問多個(gè)系統(tǒng)。如果某人離開了使用單次登錄技術(shù)的一家公司，取消其權(quán)限非常重要?！?/FONT>
確保呼叫中心安全可靠
說到確保呼叫中心數(shù)據(jù)安全，Greg Boles認(rèn)為有必要做好基本工作，先從調(diào)查新員工入手。Boles是風(fēng)險(xiǎn)管理咨詢公司Aon Consulting派駐加利福尼亞州威脅管理和安全服務(wù)部門的負(fù)責(zé)人。
Boles說: “雇主們通常會(huì)進(jìn)行表面調(diào)查，但常常不夠深入全面，隨后又不采取后續(xù)措施。雇主應(yīng)當(dāng)開展非常深入全面的背景調(diào)查，然后按規(guī)定不斷進(jìn)行背景調(diào)查和毒品檢驗(yàn)，并把它作為一項(xiàng)工作條件。要是某個(gè)員工出現(xiàn)財(cái)務(wù)緊張、家庭暴力、違反限制令，或者對(duì)毒品有依賴性，那么他有可能存在濫用職位的動(dòng)機(jī)。”
一旦發(fā)現(xiàn)如果某個(gè)人有竊取信息的動(dòng)機(jī)，公司的下一道防線就是盡量加大竊取數(shù)據(jù)的難度。Boles表示，要對(duì)允許帶入數(shù)據(jù)中心的設(shè)備進(jìn)行限制，這實(shí)際上禁止使用以數(shù)字方式裝入數(shù)據(jù)的任何設(shè)備，比如光盤、USB驅(qū)動(dòng)器和閃存。這樣做，對(duì)防范不太明顯的獲取機(jī)密信息的方式比較有效。
Boles同時(shí)還認(rèn)為，技術(shù)雖然會(huì)帶來風(fēng)險(xiǎn)，但是也助于緩解風(fēng)險(xiǎn)?！氨确秸f，瘦客戶機(jī)和虛擬機(jī)就可以讓呼叫中心運(yùn)營(yíng)商對(duì)工作人員的桌面系統(tǒng)能夠處理哪些任務(wù)實(shí)行最大限度的控制，而且更重要的是可以控制規(guī)定哪些任務(wù)不能處理，這樣就可以禁止有人在未經(jīng)允許的情況下下載數(shù)據(jù)。”
Howard Schmidt曾經(jīng)在微軟和e-Bay擔(dān)任首席信息安全官，如今是非營(yíng)利組織ISC的一員。他認(rèn)為通過技術(shù)來控制員工的行為只能是后備機(jī)制。“基本工作必須放在首位。”
除了員工審查和設(shè)備限制等控制措施外，列入Schmidt自己“基本工作”清單的還有“數(shù)據(jù)修訂”?！霸诠ぷ魅藛T的屏幕上只顯示數(shù)據(jù)字段的一部分，比如從不顯示完整的信用卡號(hào)碼和出生日期。工作人員很少需要這樣的信息，所以有必要限制數(shù)據(jù)完整性。在大多數(shù)情況下，工作人員只需要信用卡的后四位數(shù)字，或者出生的年份和月份?！盨chmidt說。
Schmidt提倡的這種“修訂”機(jī)制也是全球數(shù)據(jù)安全標(biāo)準(zhǔn)（PCI DSS）的推薦措施之一，并且得到VISA、萬事達(dá)和運(yùn)通等信用卡組織的竭力提倡。
支付卡行業(yè)安全標(biāo)準(zhǔn)委員會(huì)（Security Standards Council）的總干事Bob Russo表示，像這樣一項(xiàng)面向整個(gè)行業(yè)的數(shù)字?jǐn)?shù)據(jù)安全標(biāo)準(zhǔn)，可能比一種甚至更多種不同的解決方案更加安全可靠。
PCI DSS在2004年12月發(fā)布了相關(guān)數(shù)字?jǐn)?shù)據(jù)安全標(biāo)準(zhǔn)的1.0版本，2006年9月推出了1.1更新版本。Russo表示，處理信用卡支付的任何呼叫中心都應(yīng)當(dāng)遵守這項(xiàng)標(biāo)準(zhǔn)?！叭绻患液艚兄行拇鎯?chǔ)、處理或傳輸信用卡數(shù)據(jù)，那么它基本上就要滿足遵守這項(xiàng)標(biāo)準(zhǔn)的要求。雖然遵守這項(xiàng)標(biāo)準(zhǔn)是強(qiáng)制性的，但只有‘一級(jí)’呼叫中心（每年處理的信用卡交易超過600萬筆的呼叫中心）通過審計(jì)來證明它遵守了該標(biāo)準(zhǔn)?！?/FONT>
杜絕危險(xiǎn)的停車場(chǎng)
除了數(shù)據(jù)安全，呼叫中心外面的安全狀況又怎樣呢？
SSC公司的Chagnon表示，對(duì)于呼叫中心外部的安全，提高自我防范顯得很重要。他說: “鼓勵(lì)員工與同事結(jié)伴而行，那樣不會(huì)出現(xiàn)員工在凌晨2點(diǎn)一人走出辦公室去開車的情況。讓員工們結(jié)伴離開大樓，停車時(shí)彼此的車子盡量靠近些。”
Chagono同時(shí)表示，呼叫中心雇主的防范措施也很重要?！按_保停車場(chǎng)各個(gè)方向視線清晰、沒有阻擋、燈光通明，理想情況下，要對(duì)停車場(chǎng)實(shí)行全天監(jiān)控。專家的建議就是，把安全范圍擴(kuò)大到停車場(chǎng)邊緣?！?/FONT>
福賽思解決方案集團(tuán)的Brown也認(rèn)為，良好的夜晚照明至關(guān)重要，監(jiān)控?cái)z像頭也很有幫助，燈柱上最好安裝緊急呼叫按鈕。一旦有人摁下緊急按鈕，或者攝像頭拍到了危險(xiǎn)情況，安全人員要能夠在第一時(shí)間趕到。
除此之外，諸如所有員工上下班是否都有適當(dāng)?shù)陌踩煌ǚ绞?，還有哪些公司在呼叫中心的所在地區(qū)辦公，這些公司是否會(huì)對(duì)呼叫中心安全問題帶來積極或者負(fù)面影響這樣的問題，都應(yīng)該被劃入考慮范圍內(nèi)。
健全數(shù)據(jù)安全標(biāo)準(zhǔn)
無論是關(guān)于安全的停車場(chǎng)還是訪問權(quán)限取消，諸如此類的建議措施并無新意。一些安全標(biāo)準(zhǔn)包括了不少與信息保護(hù)有關(guān)的內(nèi)容，除了上述的PCI DSS標(biāo)準(zhǔn)外，還包括ISO 27001及其相應(yīng)的最佳實(shí)踐規(guī)范ISO 27002。Unisys公司的董事兼首席安全官Gerhard Knecht表示:“呼叫中心缺少的是進(jìn)行監(jiān)控及遵從法規(guī)，而不是了解該怎么辦?！?/FONT>
Knecht現(xiàn)在負(fù)責(zé)的所有呼叫中心（大約有14個(gè)，分布在波哥大、布達(dá)佩斯、悉尼、圣保羅和鹽湖城等城市）都通過了ISO 27001的認(rèn)證，他強(qiáng)調(diào)這僅僅是達(dá)到了最低標(biāo)準(zhǔn)?！皩?shí)際上，我們爭(zhēng)取符合更高的標(biāo)準(zhǔn)?！?/FONT>
Knecht希望每個(gè)呼叫中心必須完成每個(gè)季度一次的成熟度報(bào)告審計(jì)，審計(jì)對(duì)象包括91個(gè)不同問題，每個(gè)問題都有四個(gè)“響應(yīng)場(chǎng)景”，而每個(gè)響應(yīng)場(chǎng)景對(duì)應(yīng)于特定的成熟度級(jí)別。比方說，就訪問權(quán)限取消而言，成熟度報(bào)告要求呼叫中心不但在有人離開公司后取消訪問權(quán)限，還要在離開部門后立即取消權(quán)限。
Knecht 說: “86%的問題來自ISO 27002; 5%來自《薩班斯－奧克斯利法案》的要求。對(duì)于每個(gè)問題，每個(gè)呼叫中心都要基于響應(yīng)場(chǎng)景，指定適用于哪個(gè)級(jí)別的安全成熟度，然后證明有沒有必要進(jìn)行評(píng)估。”
值得關(guān)注的是，Unisys公司的客戶很少主動(dòng)詢問同樣的問題。但是即使如此，Knecht還是經(jīng)常把成熟度衡量標(biāo)準(zhǔn)發(fā)給他的客戶，鼓勵(lì)他們進(jìn)行審計(jì)。“《薩班斯－奧克斯利法案》等監(jiān)管制度相當(dāng)明確——公司可以把業(yè)務(wù)活動(dòng)外包出去，但確保與該業(yè)務(wù)活動(dòng)有關(guān)的安全的責(zé)任不能外包出去。”
在Knecht看來，對(duì)于數(shù)據(jù)安全，呼叫中心所能做的畢竟有限，很大程度上還是要依賴于外包客戶自身加強(qiáng)安全審計(jì)
