波仔
🛡️ 第一章 信息安全的基本概念
📄 一句话概括

内部违规要三个条件同时成立——机会、动机、正当化；三者是乘法关系，所以最划算的防守是堵最便宜的那个。

📝 本节和前面几节的关系

上一节（威胁的分类）把人为威胁分成"有意"和"无意"两半。这一节专门拆"有意"的那一半：一个人为什么会做出违规的事。

角度上这一节也换了——前三节都在看"外面有什么危险"，这一节是从内部视角看自己的组织：什么样的人、在什么样的环境里，会跨过那条线。这个模型在审计、内控、舞弊调查里已经用了几十年，拿到信息安全里同样成立。

一、三个条件，缺一不可

教材给的三条是：

条件 一句话 属于谁
机会 他能做这件事 组织给的
动机 他想做这件事 他自己的
正当化 他觉得自己做得对（或至少不算错） 他自己+环境的

三条都齐了，违规才会发生。这就是为什么它是一个乘法模型：

违规 = 机会 × 动机 × 正当化

任何一项为零，结果就是零。只有机会、没有动机的人，不会动手；只有动机、没有机会的人，动不了手。

这个模型最实用的推论是：

机会是三条里唯一由组织完全控制、并且可以当天改变的一条。

动机是人心里的，正当化是一套说法——这两个你堵不住。但账号、权限、导出入口、复核环节，全都写在制度里，你说改就能改。

二、机会：组织自己的责任

"机会"指的是：这个人在正常工作流程里，就能完成违规动作。它通常长这样：

注意这些例子的共同点——它们都"太方便了"。这就是内部违规最反直觉的地方：

很多机会是"为了提高效率"亲手造出来的。

某个人同时负责录入和审批，是因为"他熟、快"；某个文件夹对所有同事开放，是因为"方便协作"。每一条单独看都有理由，合起来就形成了一个"没人挡得住"的环境。

所以堵机会的思路不是"把人当贼防"，而是职责分离：

三、动机：你管不了，但可以看出来

动机是人心里的东西：缺钱、被得罪、想报复、被人胁迫、或者就是贪。

对组织来说，动机这一条的现实态度应该是：不试图消灭它，而是不让它单独成立。

不过有一些信号是能观察到的，而且观察它们不属于"监视员工"的范畴，属于正常管理：

这些信号的正确用法是提高关注级别，而不是"抓人"。因为一个人有动机，本身不构成任何错。

四、正当化：最需要被认真对待的一条

第三条最容易被忽略：他给自己找了一个理由。

常见的"理由"长这样：

这些说法的共同点是：它们把"违规"重新定义成了"合理"。这也是为什么第三条特别难防——你不是在跟一个人的贪念斗，你是在跟一套他已经想通的逻辑斗。

对组织来说，第三条的应对不是"讲大道理"，而是三件具体的事：

  1. 规则要清楚且一致：同样的事，对不同的人要一个标准。一旦"某某也这么干过没事"成立，规则就作废了。
  2. 让人觉得被公平对待：这是"正当化"最肥沃的土壤。怨气本身就是理由的来源。
  3. 降低"顺手"的诱惑：该给的给到位，能报销的按规矩报——把"不得不打擦边球"的场景减少。

五、动手 Demo：内部违规三条件检查器

下面这个 Demo 对八个场景逐个判定，看三个条件的组合，并给出"先堵哪一条"的建议。

def level(o, m, j):
    n = sum([o, m, j])
    if n == 3:
        return "高", "三条件齐了：违规只差一个时机"
    if n == 2:
        return "中", "缺一个条件，风险可控但要盯着"
    if n == 1:
        return "低", "单条件不构成违规"
    return "低", "条件都不成立"

实跑输出：

==============================================================================
一、逐场景判定
==============================================================================
  场景                                    机会  动机  正当化  等级
  --------------------------------------------------------------------------
  离职前一周，能导出全部客户资料，且没…   ✔     ✔     ✔       高
  夜班财务能改报销单，但公司报销从不卡    ✔     —     —       低
  采购员有回扣诱惑，但下单必须双人复核    —     ✔     ✔       中
  被降职后仍持有管理员账号，抱怨公司      ✔     ✔     —       中
  外包人员能进机房，且欠着网贷，觉得被…   ✔     ✔     ✔       高
  普通员工羡慕同事晋升，但权限只够看自…   —     ✔     —       低
  库管发现盘点常年不核，且认为是公司欠…   ✔     ✔     ✔       高
  程序员能上生产库，但每次操作留痕且被…   —     —     ✔       低

==============================================================================
二、汇总与对策
==============================================================================
  高风险场景 3 个（三条件齐全）
  其中【机会】是唯一可以直接动手堵掉的一个：

    · 离职前一周，能导出全部客户资料，且没…  → 先收权限
    · 外包人员能进机房，且欠着网贷，觉得被…  → 先收权限
    · 库管发现盘点常年不核，且认为是公司欠…  → 先收权限

  ④ 为什么先堵【机会】：
     动机是人心里的，公司管不了；正当化是说法，堵不住；
     只有机会——账号、权限、导出入口、复核环节——是能当天改的东西。

  ⑤ 反过来也成立：查内部事件时，先问【他为什么能做这件事】，
     再问【他为什么想做】。前者通常有制度答案，后者常常没有。

读这个输出：留意"夜班财务能改报销单"这一行——它有机会但被判为低。这不是说它没问题，而是说按这个模型，单有机会不构成高风险。反过来看第二行"采购员有回扣诱惑，但下单必须双人复核"：动机和正当化都在，唯独机会被堵住了，所以它是"中"而不是"高"。这就是职责分离的价值——它不改变人的心思，但它让心思没法落地。

六、⚠️ 2026 现状

30 秒实验

回想你工作或学习环境里，你手上权限最大的一件事（能看到的资料、能操作的系统），然后回答三个问题：

  1. 机会：这件事你现在能一个人做完吗？有没有第二个人会看到？
  2. 动机：假设你明天突然很需要钱、或者很生气，这件事有没有变现或报复的价值？
  3. 正当化：如果你真的做了，你能给自己找到一个说得过去的理由吗？

三个都能答"是"，那就有一个"高"风险场景存在——而且它的第一顺位解法是堵机会：加一道复核、或者让自己没有那个权限。这件事组织该做，但你也可以主动提出来。

常见误区

  1. 错误：内部违规主要是"人品问题"，防不住。——纠正：模型的意义恰恰在于它不是人品问题。三条件里有一条（机会）完全由组织掌握，另一条（正当化）很大程度上受制度公平性影响。把人当变量，你会发现大部分是可改的。

  2. 错误：既然动机管不了，那就不用管。——纠正：管不了不等于看不见。行为信号是可以观察的（异常访问、离职前期行为、对无关数据的兴趣），观察的目的是提高关注级别和补上控制，而不是给人定性。

  3. 错误：职责分离就是"多一个人签字"，走个形式。——纠正：如果第二个签字的人不看内容，那这条控制等于不存在。有效的复核要求有实质的检查动作——哪怕只是抽查，也要真的抽。

  4. 错误：信任员工就不该做这些监控。——纠正：留痕和复核不是不信任某个人，而是让守规矩的人更容易自证清白——出问题时能说清"这不是我"，本身就是对老实人的保护。反过来，什么都不记录的环境里，最容易被冤枉的恰恰是老实人。

自测三问（点开对答案） 1. 为什么说"机会"这一条是防守方的主战场？ —— 因为它是三条里**唯一能被组织完全控制、并且当天就能改变**的。动机和正当化属于个人心理，制度只能间接影响；而权限、流程、复核环节都写在制度里，改一行就生效。 2. 一个员工被降职后仍保留着原来的系统权限，按三条件模型，风险落在了哪里？ —— **机会和动机都成立**（能操作＋有情绪），是否构成高风险取决于第三条。这类情况的正确处理是**立刻按新岗位重设权限**——这是标准的"堵机会"动作，也往往能顺带缓解动机（"公司做事是有章法的"）。 3. 为什么说"正当化"这一条最难防，也最难讲清？ —— 因为它是一个**人已经说服了自己**的状态，你面对的不是贪念而是逻辑。有效做法是三条具体的：规则清楚、执行一致、让人觉得被公平对待。**规则一旦不一致（有人这么做没事），正当化就自动成立了。**

相关笔记