در دنیای امنیت سایبری، تکنولوژی تنها بخشی از معادله است و عامل انسانی اغلب بزرگ‌ترین چالش برای مدیران IT و SOC محسوب می‌شود. یک گزارش اخیر از تجربیات یک متخصص IT در مدرسه‌ای در بریتانیا، نمونه‌ای عینی از مقاومت کاربران در برابر استانداردهای پایه امنیتی را به تصویر می‌کشد.
میراث یک مدیریت ضعیف و حمله باج‌افزاری
این متخصص که با نام مستعار «دانیل» شناخته می‌شود، در سال ۲۰۲۰ برای جایگزینی دپارتمان IT یک مدرسه استخدام شد. این مدرسه پیش از آن، یک حمله باج‌افزار (Ransomware) گسترده را تجربه کرده بود که باعث قطع کامل شبکه برای سه ماه شده بود. در آن زمان، تنها بک‌آپ موجود مربوط به چندین ماه قبل از حمله بود و بازیابی داده‌ها با دشواری زیادی همراه شد.
آسیب‌پذیری‌های ابتدایی در سیاست‌های دسترسی
دانیل در اولین هفته‌های حضور خود، شروع به بررسی (Audit) شبکه کرد و با وضعیت تکان‌دهنده‌ای روبرو شد. سیاست رمز عبور در مدرسه تنها به ۶ حرف محدود شده بود؛ بدون هیچ‌گونه شرط پیچیدگی (Complexity) یا تاریخ انقضا. نکته عجیب‌تر این بود که کاربران از زمان پیش از حمله باج‌افزاری، هرگز رمزهای خود را تغییر نداده بودند.
مقاومت در برابر تغییر و توجیهات غیرمنطقی
پس از تصویب سیاست جدید رمز عبور توسط مدیر مدرسه، واکنش‌های شدیدی از سوی کارکنان شکل گرفت. یکی از مدیران داده (Data Manager) مدرسه به شدت با تغییر رمز عبور مخالفت کرد و استدلال کرد که از سال ۱۹۹۸ از یک رمز ثابت استفاده می‌کند زیرا «همه کارکنان آن را می‌دانند و در صورت غیبت او، دیگران می‌توانند با حساب او وارد شده و گزارش‌ها را استخراج کنند».
بررسی‌ها نشان داد که رمز عبور این کاربر عبارت ساده “letmein” بوده و حتی روی تکه‌ای کاغذ به میز او چسبانده شده بود. با وجود تلاش‌های متخصص IT، مدیر مدرسه تحت فشار کارکنان، دستور داد که تمامی تغییرات در سیاست رمز عبور لغو شود و سیستم به حالت ناامن قبلی بازگردد.
نتیجه‌گیری و تغییر رویکرد
این وضعیت تا زمان تغییر مدیریت مدرسه ادامه یافت. پس از آنکه یک سازمان غیرانتفاعی مدیریت مدرسه را بر عهده گرفت، سیاست‌های سخت‌گیرانه امنیتی مجدداً اعمال شد. در نهایت، همان مدیر داده که با تغییر رمز عبور مخالف بود، ترجیح داد بازنشسته شود تا مجبور به یادگیری سیستم‌های جدید یا تغییر رمز عبور قدیمی خود نباشد.
