یک گزارش جدید از چالش‌های مدیریتی در حوزه امنیت سایبری، حکایت از درگیری شدید میان تیم فناوری اطلاعات (IT) و واحد حسابرسی (Audit) در یک زنجیره بزرگ دارو فروشی در ایالات متحده دارد. این اختلاف نظر که بر سر استفاده از یک رمز عبور بسیار ضعیف در تجهیزات سیسکو (Cisco) شکل گرفت، ریشه‌ای فراتر از مسائل فنی داشت.
جزئیات فنی آسیب‌پذیری
در جریان یک حسابرسی امنیتی، مشخص شد که یکی از فایروال‌های مرزی (Edge Firewall) این سازمان، برای دسترسی سطح مدیر یا همان رمز عبور Enable، از کلمه بسیار ساده “password” استفاده می‌کند. این فایروال وظیفه مدیریت ترافیک ورودی و خروجی از اینترنت را بر عهده دارد.
علاوه بر ضعف در انتخاب رمز عبور، نحوه ذخیره‌سازی آن نیز بسیار آسیب‌پذیر بود. این رمز عبور با استفاده از استاندارد Cisco IOS Type 7 ذخیره شده بود که در واقع یک هش (Hash) امن نیست، بلکه یک کدگذاری (Encoding) برگشت‌پذیر است که با استفاده از یک کلید عمومی به راحتی قابل رمزگشایی است. این نقص امنیتی به مهاجم اجازه می‌دهد تا در صورت دسترسی اولیه به سطح کاربر معمولی (از طریق پروتکل SSH یا یک اکسپلویت دیگر)، به راحتی سطح دسترسی خود را به مدیر سیستم (Administrator) ارتقا داده (Privilege Escalation) و کنترل کامل شبکه را در اختیار بگیرد.
ریشه مشکل: تضاد منافع و ساختار پاداش‌ها
نکته بحث‌برانگیز این گزارش، واکنش تیم IT به یافته‌های حسابرسان بود. در حالی که تیم حسابرسی این مورد را یک آسیب‌پذیری با سطح اهمیت بالا (High Finding) طبق استانداردهای امنیتی طبقه‌بندی کرده بود، تیم IT با اصرار بر اینکه این مورد تنها یک آسیب‌پذیری متوسط (Medium) است، با آن مخالفت کرد. این بحث‌های طولانی و تنش‌آلود، مانع از تکمیل فرآیند ارائه گزارش شد.
تحقیقات بعدی نشان داد که علت اصلی این مقاومت، ساختار پاداش‌های سالانه تیم IT بود. در این سازمان، هرگونه یافته با سطح اهمیت “High” در گزارش‌های حسابرسی، مستقیماً منجر به حذف پاداش‌های مالی کارکنان بخش IT می‌شد. در واقع، این درگیری نه بر سر امنیت شبکه، بلکه بر سر جبران خدمات و پاداش‌های مالی بود.
درس‌های مدیریتی برای مدیران امنیت
این حادثه نشان می‌دهد که پیوند دادن شاخص‌های امنیتی (Security Metrics) به سیستم پاداش و جبران خدمات کارکنان، می‌تواند پیامدهای مخربی داشته باشد. اگرچه هدف از این کار ایجاد انگیزه برای رعایت Best Practiceهاست، اما در عمل می‌تواند منجر به پنهان‌کاری، کوچک‌نمایی ریسک‌ها و انکار مسئولیت‌پذیری در برابر آسیب‌پذیری‌های واقعی شود.
