صدمة أمنية جديدة تضرب عالم الشركات، هذه المرة من خلال قصة كشف عنها خبير الأمن السيبراني Dahvid Schloss، المدير التنفيذي للعمليات في Suzu Labs. أثناء تدقيق أمني روتيني لشبكة إحدى شركات الصيدلة الكبرى في الولايات المتحدة، وجد Schloss ما لا يمكن تصوره: جدار حماية طرفي (Edge Firewall) من Cisco، الذي يواجه الإنترنت مباشرة، كان يستخدم كلمة «password» ككلمة مرور إدارية.
لم يقم Schloss بتخمين كلمة المرور، بل تمكن من فك تشفير الملف الذي يحتوي على كلمات المرور بسهولة، مستغلاً حماية Cisco IOS type 7. هذه الطريقة ليست في الواقع تشفيرًا قويًا، بل هي ترميز قابل للعكس بمفتاح معروف للعامة، وكان يُعد ممارسة سيئة حتى وقت الاكتشاف. يسمح هذا بالوصول الإداري إلى الجدار الناري، مما يمنح أي مهاجم القدرة على التحكم في تدفق حركة المرور وإحداث فوضى كبيرة في الشبكة.
صنف Schloss هذا الاكتشاف على أنه «high find» (اكتشاف عالي الخطورة) ويتطلب إصلاحًا فوريًا. لكن ما تلا ذلك كان أكثر إثارة للقلق من الثغرة نفسها. عندما عرض Schloss نتائج تدقيقه على قسم التدقيق بالشركة، عُقد اجتماع ضم فريق التدقيق وفريق تقنية المعلومات ومديري الجانبين. تحول الاجتماع إلى صراع حاد، حيث أعرب فريق التدقيق عن قلقه البالغ بينما قلل فريق تقنية المعلومات من خطورة المشكلة، مدعين أنها ليست أولوية قصوى.
تجاوز الشجار حول كلمة المرور الساعة، ولم يتمكن Schloss من إكمال عرض بقية نتائجه. لاحقًا، علم Schloss أن السبب الحقيقي وراء هذا النزاع كان مرتبطًا بمكافآت فريق تقنية المعلومات. كانت سياسات الشركة تنص على أن أي «high finding» سيؤدي إلى إلغاء هذه المكافآت، مما يعني أن فريق تقنية المعلومات لم يكن يدافع عن وجهة نظر أمنية، بل كان يدافع عن مستحقاته المالية.
ماذا يعني هذا للمطورين والمصممين؟
هذه القصة ليست مجرد تذكير آخر بأهمية عدم استخدام كلمات مرور ضعيفة مثل «password». إنها تسلط الضوء على مشكلة أعمق بكثير في بيئة الشركات: تضارب الحوافز. عندما ترتبط حوافز الفرق أو الأفراد بمدى «نظافة» سجلهم الأمني، دون الأخذ في الاعتبار طبيعة التهديدات أو حجم العمل اللازم للإصلاح، فإن ذلك قد يؤدي إلى إخفاء المشاكل أو التقليل من شأنها بدلاً من معالجتها بجدية. برأينا، هذا نهج خاطئ يضع المنظمة بأكملها في خطر.
نرى أن بناء ثقافة أمنية قوية يتطلب الشفافية والمساءلة، مع الفصل الواضح بين تقييم المخاطر الأمنية وتقييم أداء الفرق. يجب على المطورين والمصممين دائمًا إعطاء الأولوية لأفضل ممارسات الأمن السيبراني، مثل استخدام كلمات مرور قوية ومعقدة، وتفعيل المصادقة متعددة العوامل (MFA)، والتأكد من أن الأجهزة الشبكية والأنظمة تستخدم طرق تشفير قوية وغير قابلة للعكس لتخزين بيانات الاعتماد، خاصة في الأنظمة الحساسة التي تلامس الإنترنت.
المصدر: theregister.com