[從電影看資安] 引狼入室 - 孤兒怨

孤兒怨 這部電影講的是一對夫妻領養了一位小女孩，這位原本看似完美的小女孩卻在進入主角們的家庭後，漸漸的露出了真面目。小女孩不但個性暴戾，骨子裡更是個殺人不眨眼的女魔頭。

良好的氣質，當然是裝的。

彬彬有禮，當然也是裝的。

幹壞事 (殺人) 絕對是真的。

一般家庭要領養小孩的比例或許不是那麼高，但是在組織運作的過程中，卻一定都需要從外面引進人才。如何才能避免踩到地雷，成為下一個犧牲者呢？答案就是所謂的背景調查。背景調查的歷史相當悠久，絕對不只是侷限於資訊安全的領域。背景調查不但是公司用來確認員工背景資料的手法，同時也是有心分子用來研究目標的手法 (如之前描述過的社交工程攻擊)。手法本身沒有善惡之分，端看使用者的心態來決定。

通常一般人在應徵工作時，公司會要求繳交一些證明文件，不過大多侷限在畢業證書、退伍證明這類基本資料。可惜的是，公司通常不會去驗證這些文件的真實性，因此我們常常可以聽到假冒學歷的新聞發生。比較有制度一點的公司，有可能會要求員工繳交所謂的 良民證，簡單來說就是確認你沒有犯罪紀錄。除了這些資訊之外，另外包含像是財務資料、過去的聘僱紀錄、推薦者的推薦內容等等，也都可能屬於背景調查的範圍。即使是同一個組織，往往也會因為職務的不同而要求不同程度的背景調查。一般而言，職務越高或是越容易接觸到重要資訊的職務，就需要進行比較嚴格的背景調查。

只是一般公司比較容易忽略的事情是，通常 IT 人員的職務等級並不是很高，但是其接觸重要資訊的機會卻相當高，如果沒有做好相關的背景調查，一旦發生問題其危害程度將是相當的高。除此之外，所有背景調查所獲得的資料其真實性為何，一定要加以確認，否則徒具形式的流程只是徒增勞資雙方的困擾。其實在片中孤兒院院長已經發現一些端倪，但是主角們太過心急於進行領養的動作，導致事後要弭補過失不但相當困難、甚至也已經付出了極大的代價。

最後要提醒的是，即使組織進行背景調查的出發點是善意的，最好還是能夠對被調查的對象真誠以告，否則衍生出隱私權的爭議可就得不償失了。