חוסר מודעות או חוסר אחריות?

השבוע הגיע אלינו אדם נחמד אשר הציג עצמו כמנהל פרויקטים של אחת החברות הגדולות במשק אשר מתמחות בניהול מערכות אבטחה למבנים,בקרת פריצה וטמ"ס(מערכת טלוויזיה במעגל סגור).
מטרת הביקור הייתה שדרוג מערכת האבטחה הפיזית של הארגון בו אני עובד.
מפאת חוסר מקום הצעתי לו להתיישב אצלי בעמדה ולעבוד ממנה.
תוך מספר דקות אני מוצא בעמדה של את הלפטופ שלו פתוח , ללא כל סיסמה עם הרשאות מלאות על המחשב.
מייד זיהיתי שהמחשב היה מחובר לרשת הארגונית (סביבת Domain) ועליו היו מותקנות מספר אפליקציות כדוגמת SecureClient (חיבור VPN לרשת הארגונית) ,Antivirus אשר יכולתי לנטרל בקלות ,וחבילת ה-Office כמובן.
אני מתיישב כמעט שעה על העמדה שלי ללא כל הפרעה מצד איש והוא עובד לו להנאתו באגף השני של הארגון.
להלן מספר סנריו (תרחישים) שיכלו להתרחש:

1.גניבת המחשב .

2.אירוע דליפת מידע-גניבת המידע וזליגת המידע מחוץ לארגון(Data Leakage) הכולל מסמכים מסווגים ורגישים.

3.התקנה של Malware על המכונה אשר יאפשרו לי לחדור לארגון ולהשתמש בקורבן כ"תחנת מעבר" לשאר מקומות בארגון ע"י השתלת סוסים טרויאנים(Remote Access Trojans) ,התקנת אפליקציות אשר יאפשרו לי לעקוף את מערך ה-Firewall של הארגון כדוגמת AmmyyAdmin,TeamViewer,WebEX ושירותים כדוגמת LogmeIN וכו'.

4.השתלת Keylogers תוכנה ואפליקציות מעקב כדוגמת SpyBuddy ו-Spytech ,גניבת סיסמת ה-VPN ואינפורמציה נוספת.

5.ריגול תעשייתי ומכירת מידע לחברות מתרות כדוגמת רשימת לקוחות , מסמכי פיתוח וכו'.

6.מניעת שירות עד השבתה של הרשת(Denial of Service Attack).

לאחר שעתיים כאשר סיים את עבודותו חזר אותו מנהל פרויקטים לעמדה שלי על מנת לקחת את הלפטופ .
כאשר שאלתי אותו אם הבחין בי מתעסק לו במחשב טען בשלילה.
כמו כן שאלתי אותו שאלות נוספות כדוגמת מדוע הוא אינו מקפיד על אבטחה פיזית(שכן הוא מומחה בתחום),מדוע אינו נוהג לנעול את מחשבו ,והסברתי לו את הסיכונים הנ"ל.
הוא היה המום , פעור פה והודה שאני צודק.
אני הייתי עוד יותר פעור פה , אחרי שהוא הראה לי תוכניות אבטחת מתקנים של מבנים סודיים בצה"ל שכן דליפתם יכלו לגרום נזק עצום וללא ספק גם לפיטוריו של אותו מומחה.
עצוב שהרבה מן החברות הגדולות בתחום אינן מבצעות הדרכות על בסיס שוטף תוך העלאת המודעות לאבט"מ.