德国联邦情报局是德国主要的对外情报机构，总部设在柏林南部的普拉赫。大家都知道它的安保级别肯定非常高，但就是在这家以严谨著称的机构里，也出了内部泄密的事。一名在内部网络管理岗位工作的雇员，利用自己的内网查询权限，在几年时间里获取了数百份机密文件，然后把这些文件传给了俄罗斯情报部门。这人不是那种负责核心分析的高层情报官，而是搞网络系统运维的技术人员。但恰恰是这种技术人员，在网络访问权限上往往比普通情报分析员还要大。他拥有一把可以打开大部分门的钥匙，而情报机构的安全体系恰恰对拿钥匙的人缺乏足够的约束。
这名雇员的岗位是系统管理员，日常职责包括维护内网服务器、给用户分配权限和监控网络流量。这种工作性质意味着他拥有整个机构内部网络系统的超级管理员权限。他可以进入大部分数据存储节点，可以查看日志文件，可以绕过普通用户的访问限制。在正常情况下，系统管理员的日常操作应该受到双层审核和实时监控，但这家的内部审计制度在具体执行层面上出现了松弛。他的操作日志虽然有人记录，但并没有人去定期审核这些日志，导致他长期在内网里进进出出都没人发现。
他是怎么把机密文件弄出去的呢？手法并不高级，但因为审计薄弱所以一直未被察觉。他利用自己的工作权限，把感兴趣的文件从各部门的数据服务器上复制到管理员专用的临时目录里，然后分批刻录成光盘带回家。为了防止有人注意到大量数据从内网外流，他每次只复制少量文件，频率控制在一个月一到两次。光盘带回家以后，他再用家用电脑上的加密软件将文件打包，然后上传到境外情报机构指定的服务器上。整个过程持续了几年都没被发现，说明内部审计系统有严重滞后的缺陷。
他泄露的文件包括与邻国的情报交流记录、该机构在特定地区的情报人员名单和行动部署计划、从其他渠道获取的外国情报汇总、以及对重大国际事件的内部评估分析报告。这些信息对接收方来说价值巨大，因为通过这些文件可以了解德国情报机构的情报能力边界、情报来源的可靠程度、重点关注的方向和评估的方法论。知道这些就等于知道了很多底牌。
这个案子告诉我们几个教训。内部技术岗位人员的安全管理是情报机构最容易忽视的盲区。大家往往把注意力放在约束直接接触机密的分析员身上，却忽略了系统管理员这种拥有内网超高权限的技术人员。权限越大，风险越大。权限不能一个人独大，系统管理员的超级权限应该分散给多人共同持有，敏感操作必须经过至少两人授权。操作日志不是存了档就完事的，必须定期进行人工或自动化审计，通过分析操作行为来发现异常。另外，光盘刻录等外设操作也应该有更加严格的审批和留痕制度，不能让人随便在内网电脑上插刻录光驱。保密工作不能只做在嘴上，要实实在在地落在制度和流程上。情报机构内部的安全管理应该是一场动态的对抗，而不是一套写在纸上就不变的静态规则。所有掌握高权限的技术人员，都应该纳入定期的行为审查和忠诚度评估范围。一个人今天忠诚可靠，不代表他五年后仍然是这样。德国情报局的这个案子清楚地说明了一个道理：堡垒最容易从内部被攻破，而内部最大的漏洞往往不是来自分析机密的人，而是来自最了解系统的人。
