對許多公司來說，呼叫中心就是公司業(yè)務的命根子。所以要求它們在為員工和客戶提供的物理安全與數字安全措施之間求得平衡

呼叫中心不“安全”

　　2005年12月12日凌晨，24歲的Pratibha Srikanth Murthy在前往班加羅爾呼叫中心上班途中不幸遇害身亡。但是2008年1月印度法庭并沒有起訴審判涉嫌攻擊Murthy的出租車司機Shiv Kumar，而是把矛頭對準了Murthy當年所在公司的最高上司——Som Mittal。當年，他在Murthy服務的公司——惠普全球軟件公司（Hewlett-Packard GlobalSoft）任總經理。

　　印度法律要求公司為女性雇員在夜間上下班途中提供安全的交通方式，為此Mittal受到了指控。Mittal現擔任印度全國軟件和服務公司協會（NASSCOM）會長，它是印度規(guī)模龐大的外包和呼叫中心行業(yè)的主要行業(yè)性組織。具有諷刺意味的是，這家協會曾經擬訂了確保行業(yè)內員工享有安全交通方式的指導原則，這些原則甚至包括要求派保安陪同女性員工上下班; 女性雇員不該第一個被接送或者最后一個下車等內容。

　　印度最高法院在今年2月駁回了Mittal對此案的上訴，根據商店與公司法(Shops & Establishments Act)，一旦Mittal被判定有罪，他只會面臨1000盧比（約合25美元）的罰款，但會留下案底，而他曾經供職的惠普全球軟件公司也可能因此被牽連。

　　NASSCOM表示對此案不予評論。而惠普印度分公司稱，在開庭前不想就此案發(fā)表評論。但是顯然即使這起謀殺案已過去了三年，印度呼叫中心行業(yè)仍會與這起案子牽連在一起，而且這種牽連關系似乎還會持續(xù)幾個年頭。

　　鑒于呼叫中心和保護數據安全有著緊密的聯系，Srikanth Murthy案件正在警示世人: 確保處理數據的工作人員安全，對于數據安全同樣意義重大。

　　Patrick Chagnon供職的公司SSC設在美國康涅狄格州謝爾頓，它是一家安全咨詢公司，作為公司情報與調查部門的經理，Chagnon認為像Murthy這樣的事件會令雇主企業(yè)名聲受損，因此帶來的風險非常大。“自己的員工被人持槍攻擊或者搶劫、甚至受到傷害絕對不是什么好事，客戶也許會問，‘你連自己的員工都沒法保護，怎么能夠保護我們以及我們的數據呢？’”

　　事實也證明了這一點，近期有大量新聞報道披露，不但有充足的證據表明，呼叫中心運營商確實未能確保數據安然無恙，而且他們的員工遭受攻擊的概率也要高出普通人。

　　David Brown是總部設在伊利諾斯州斯科基的福賽思解決方案集團（Forsythe Solutions Group）負責安全咨詢服務的首席顧問。他說: “類似攻擊事件發(fā)生頻率非常高，這就像是那些夜間的自動柜員機，或者是購物中心的停車場，容易引發(fā)一些暴力傷害事件。呼叫中心的員工之所以容易遭到攻擊，就是因為呼叫中心通常是24小時不間斷運作，而且常常位于工業(yè)區(qū)或者人口稀少的辦公園區(qū)。”

　　總部設在英國倫敦的安全聯盟（Security Alliance）是由專業(yè)信息安全廠商組成的聯盟，該組織的執(zhí)行董事John Beale則認為，呼叫中心落實到位的物理安全措施和保安人員往往忽視保護員工的安全，而是在側重于保護數據的安全。

　　實際上，除了員工安全保護差強人意外，數據保護不力、系統(tǒng)保護也不力等一連串令人擔憂的呼叫中心安全漏洞更是時有發(fā)生。

　　安全培訓認證公司SCIPP International的創(chuàng)辦人Winn Schwartau是一名信息安全專家。他表示，呼叫中心安全的三個不同方面亟需審查: 第一個是針對不再是公司雇員的人，及時取消進入大樓以及訪問公司網絡的權限; 第二個是更有效地控制數據中心的工作人員對信用卡和銀行賬戶詳細資料等客戶財務數據的訪問; 第三個當然是這些工作人員的物理安全和保護。

拒絕違規(guī)訪問

　　Schwartau認為如果對呼叫中心的系統(tǒng)運作開展?jié)B透測試以及審計工作，就會發(fā)現為數眾多的員工雖然已經離開了公司，但他們仍擁有訪問公司計算機網絡和系統(tǒng)的權限。甚至在一些呼叫中心甚至有人早在兩三年前就離開了公司，卻仍擁有訪問權限，這樣的情況太司空見慣。

　　Schwartau表示，不是說許多公司沒有認識到需要取消那些不該有的訪問權限，而是說他們缺乏以一致的方式取消權限的手段。“取消訪問權限很可能是人力資源部門制訂的政策，但是控制網絡的不是人力資源部門，結果是人力資源部門只是核對了權限一覽表，而沒有切實執(zhí)行的手段。”

　　福賽思解決方案集團的Brown表示，對于訪問權限的有效解決辦法就是用“極其明確的”流程來取代執(zhí)行起來乏力的機制。“這種流程要充分考慮到有可能出現的各種場景。比如有人按規(guī)定退休與有人被公司以正當理由開除，它們就應該是兩種全然不同的情況。”

　　Brown以被公司以“正當理由”開除的這種情況為例解釋到:“正當理由包括操縱數據或者竊取數據，必須遵循的程序應當包括: 除了法務部人員、執(zhí)法部門聯絡員、媒體關系人員甚至危機管理人員外，還應該讓安保人員在場（目的是防止被開除的人仍舊強行訪問系統(tǒng)），要求哪些人在場取決于被發(fā)現的不法活動的后果可能有多嚴重。明確規(guī)定這些程序很重要，因為肯定需要用到它們。這樣的事情發(fā)生的頻率越來越頻繁了，人們越來越認識到數據中心具有的價值——越認識到這種價值，面臨的風險就越大。”

　　Schwartau補充說，更大的風險來自那些使用單次登錄系統(tǒng)來進行登錄的公司。雖然單次登錄機制具有提高工作效率的優(yōu)點，但是一旦密碼被竊取或者被濫用，就增加了數據丟失（或受損）的風險。“有了單次登錄機制，一個密碼就可以訪問多個系統(tǒng)。如果某人離開了使用單次登錄技術的一家公司，取消其權限非常重要。”

確保呼叫中心安全可靠

　　說到確保呼叫中心數據安全，Greg Boles認為有必要做好基本工作，先從調查新員工入手。Boles是風險管理咨詢公司Aon Consulting派駐加利福尼亞州威脅管理和安全服務部門的負責人。

　　Boles說: “雇主們通常會進行表面調查，但常常不夠深入全面，隨后又不采取后續(xù)措施。雇主應當開展非常深入全面的背景調查，然后按規(guī)定不斷進行背景調查和毒品檢驗，并把它作為一項工作條件。要是某個員工出現財務緊張、家庭暴力、違反限制令，或者對毒品有依賴性，那么他有可能存在濫用職位的動機。”

　　一旦發(fā)現如果某個人有竊取信息的動機，公司的下一道防線就是盡量加大竊取數據的難度。Boles表示，要對允許帶入數據中心的設備進行限制，這實際上禁止使用以數字方式裝入數據的任何設備，比如光盤、USB驅動器和閃存。這樣做，對防范不太明顯的獲取機密信息的方式比較有效。

　　Boles同時還認為，技術雖然會帶來風險，但是也助于緩解風險。“比方說，瘦客戶機和虛擬機就可以讓呼叫中心運營商對工作人員的桌面系統(tǒng)能夠處理哪些任務實行最大限度的控制，而且更重要的是可以控制規(guī)定哪些任務不能處理，這樣就可以禁止有人在未經允許的情況下下載數據。”

　　Howard Schmidt曾經在微軟和e-Bay擔任首席信息安全官，如今是非營利組織ISC的一員。他認為通過技術來控制員工的行為只能是后備機制。“基本工作必須放在首位。”

　　除了員工審查和設備限制等控制措施外，列入Schmidt自己“基本工作”清單的還有“數據修訂”。“在工作人員的屏幕上只顯示數據字段的一部分，比如從不顯示完整的信用卡號碼和出生日期。工作人員很少需要這樣的信息，所以有必要限制數據完整性。在大多數情況下，工作人員只需要信用卡的后四位數字，或者出生的年份和月份。”Schmidt說。

　　Schmidt提倡的這種“修訂”機制也是全球數據安全標準（PCI DSS）的推薦措施之一，并且得到VISA、萬事達和運通等信用卡組織的竭力提倡。

　　支付卡行業(yè)安全標準委員會（Security Standards Council）的總干事Bob Russo表示，像這樣一項面向整個行業(yè)的數字數據安全標準，可能比一種甚至更多種不同的解決方案更加安全可靠。

　　PCI DSS在2004年12月發(fā)布了相關數字數據安全標準的1.0版本，2006年9月推出了1.1更新版本。Russo表示，處理信用卡支付的任何呼叫中心都應當遵守這項標準。“如果一家呼叫中心存儲、處理或傳輸信用卡數據，那么它基本上就要滿足遵守這項標準的要求。雖然遵守這項標準是強制性的，但只有‘一級’呼叫中心（每年處理的信用卡交易超過600萬筆的呼叫中心）通過審計來證明它遵守了該標準。”

杜絕危險的停車場

　　除了數據安全，呼叫中心外面的安全狀況又怎樣呢？

　　SSC公司的Chagnon表示，對于呼叫中心外部的安全，提高自我防范顯得很重要。他說: “鼓勵員工與同事結伴而行，那樣不會出現員工在凌晨2點一人走出辦公室去開車的情況。讓員工們結伴離開大樓，停車時彼此的車子盡量靠近些。”

　　Chagono同時表示，呼叫中心雇主的防范措施也很重要。“確保停車場各個方向視線清晰、沒有阻擋、燈光通明，理想情況下，要對停車場實行全天監(jiān)控。專家的建議就是，把安全范圍擴大到停車場邊緣。”

　　福賽思解決方案集團的Brown也認為，良好的夜晚照明至關重要，監(jiān)控攝像頭也很有幫助，燈柱上最好安裝緊急呼叫按鈕。一旦有人摁下緊急按鈕，或者攝像頭拍到了危險情況，安全人員要能夠在第一時間趕到。

　　除此之外，諸如所有員工上下班是否都有適當的安全交通方式，還有哪些公司在呼叫中心的所在地區(qū)辦公，這些公司是否會對呼叫中心安全問題帶來積極或者負面影響這樣的問題，都應該被劃入考慮范圍內。

健全數據安全標準

　　無論是關于安全的停車場還是訪問權限取消，諸如此類的建議措施并無新意。一些安全標準包括了不少與信息保護有關的內容，除了上述的PCI DSS標準外，還包括ISO 27001及其相應的最佳實踐規(guī)范ISO 27002。Unisys公司的董事兼首席安全官Gerhard Knecht表示:“呼叫中心缺少的是進行監(jiān)控及遵從法規(guī)，而不是了解該怎么辦。”

　　Knecht現在負責的所有呼叫中心（大約有14個，分布在波哥大、布達佩斯、悉尼、圣保羅和鹽湖城等城市）都通過了ISO 27001的認證，他強調這僅僅是達到了最低標準。“實際上，我們爭取符合更高的標準。”

　　Knecht希望每個呼叫中心必須完成每個季度一次的成熟度報告審計，審計對象包括91個不同問題，每個問題都有四個“響應場景”，而每個響應場景對應于特定的成熟度級別。比方說，就訪問權限取消而言，成熟度報告要求呼叫中心不但在有人離開公司后取消訪問權限，還要在離開部門后立即取消權限。

　　Knecht 說: “86%的問題來自ISO 27002; 5%來自《薩班斯－奧克斯利法案》的要求。對于每個問題，每個呼叫中心都要基于響應場景，指定適用于哪個級別的安全成熟度，然后證明有沒有必要進行評估。”

　　值得關注的是，Unisys公司的客戶很少主動詢問同樣的問題。但是即使如此，Knecht還是經常把成熟度衡量標準發(fā)給他的客戶，鼓勵他們進行審計。“《薩班斯－奧克斯利法案》等監(jiān)管制度相當明確——公司可以把業(yè)務活動外包出去，但確保與該業(yè)務活動有關的安全的責任不能外包出去。”

　　在Knecht看來，對于數據安全，呼叫中心所能做的畢竟有限，很大程度上還是要依賴于外包客戶自身加強安全審計