עובד של דיסני שינה מידע על אלרגנים בתפריט והזכיר כי ניהול הרשאות זה לא רק “גישה למערכת”

תמונה: dreamstime

מאת אלי כהן  

דמיינו תרחיש שבו שינוי קטן בתפריט מסעדה יכול לסכן חיי אדם. זה בדיוק מה שקרה באחרונה בענקית הבידור העולמית דיסני.

ביוני האחרון חברת דיסני פיטרה את מייקל שוייר, שהיה אחראי על הפקת תפריטים, אבל לא שינתה את ההרשאות שלו. התוצאה: הוא ביצע שינויים לא מורשים בתפריטי אלרגנים, הסיר מידע על אלרגיות לבוטנים, שינה גופנים ומחירים ואף הוסיף שפה גסה. לטענת דיסני, שוייר אף ניסה לחסום גישה למערכות החברה עבור עובדים אחרים באמצעות מתקפות דיגיטליות. הפרשה עוררה סערה סביב בטיחות מידע של האלרגנים בתפריטי המסעדות של דיסני, וגררה כמובן תלונות שהשינויים שבוצעו היו עלולים להוות סיכון בריאותי לאנשים הסובלים מאלרגיות חמורות. שוייר, נציין, טען שהוא חף מפשע וכי החברה “תפרה לו תיק”.

כך נקמה של עובד זועם חשפה פרצת אבטחה מטרידה שמעלה שאלות נוקבות על אופן ניהול ההרשאות בארגונים. עד כה רוב אירועי אבטחת המידע שעליהם שמענו מתמקדים בגניבת מידע או נזק כלכלי, המקרה בדיסני חושף תרחיש מטריד במיוחד. העובד לשעבר לא הסתפק בשיבוש תפעולי – הוא שינה מידע על אלרגנים במערכת התפריטים, צעד שהיה עלול להוביל לתגובה אלרגית מסכנת חיים. זוהי עליית מדרגה ותזכורת נוקבת לכך שאבטחת מידע אינה רק עניין של הגנה על נכסים דיגיטליים, אלא גם על חיי אדם.

הסיפור של דיסני הוא למעשה משל למציאות מורכבת בהרבה. בעולם שבו כל מערכת ארגונית הפכה לדיגיטלית, ההרשאות שאנו מעניקים לעובדינו הן הרבה יותר מסתם “גישה למערכת”; הן מפתחות דיגיטליים רבי עוצמה, ובידיים הלא נכונות אלה יכולים להפוך לכלי נשק של ממש.

המינימום ההכרחי הוא לא סתם קלישאה

העיקרון של הגבלת הרשאות למינימום ההכרחי, שנשמע לעיתים כמו קלישאה, מקבל משמעות מוחשית כשבוחנים את המקרה הזה. האם באמת היה צורך במתן גישה מלאה למערכת התפריטים לעובד בודד? האם לא ניתן היה להטמיע מערכת בקרה כפולה לשינויים במידע רגיש? אלו שאלות שדיסני שואלת את עצמה מאוחר מדי וכל ארגון חייב לשאול את עצמו עכשיו.

המקרה חושף את הפרדוקס המטריד של עידן המידע: ככל שהמערכות שלנו הופכות למתוחכמות יותר, כך גם הסיכונים הופכים למורכבים ובלתי צפויים. מי היה מאמין שמערכת לניהול תפריטים יכולה להוות סיכון בטיחותי? שפונט יכול להשבית מערכת שלמה? שקוד QR יכול להפוך לכלי תעמולה?

תמונה: dreamstime

למרבה המזל, במקרה הנוכחי המערכות המתקדמות של דיסני הצליחו לזהות את השינויים החשודים בזמן. אבל מה לגבי ארגונים קטנים יותר? עסקים שאין להם המשאבים של תאגיד ענק? כמה פצצות מתקתקות כאלה מסתתרות במערכות הארגוניות שלנו?

המקרה של דיסני מדגיש גם את החשיבות של מערכות ניטור והתראה. זיהוי שינויים חריגים במערכת, כמו שינוי פונטים המוני או עדכון מידע רגיש, צריך להדליק נורות אזהרה באופן מיידי. למזלה של דיסני, מערכות הגיבוי והניטור שלהם אפשרו זיהוי מהיר של השינויים ומנעו אסון פוטנציאלי.

הכאב האמיתי: הקולגות שלנו

בעוד שלנו, כאנשי אבטחת מידע, קל להתמקד בטכנולוגיה – בחומות האש, במערכות ההצפנה ובכלי האבטחה המתקדמים – המקרה של דיסני מלמד אותנו שלעיתים האיומים המשמעותיים טמונים דווקא באלמנט האנושי – כ-65% ממקרי הפריצות לארגונים נעשים בגלל גורם אנושי. קל להתמקד בהרשאות שנשכחו, בגישות שלא נוטרלו, בתהליכים ארגוניים שנתפסים כשגרתיים וטכניים, אבל כשמדברים על הגורם האנושי, זה שאינו “ניטרלי” כמו מערכת כזו או אחרת, קשה לנו להבין לעתים את המניעים של חברינו לארגון.

וכעת עלינו לשאול את עצמנו, מעבר להיותנו אנשי מקצוע אלא גם מנהלים וקולגות, האם אנו מקדישים מספיק תשומת לב להיבט האנושי של אבטחת המידע? האם אנחנו מבינים באמת את עומק האחריות שלנו? כשאנחנו מעניקים הרשאות לעובד, אנחנו לא רק נותנים לו גישה למערכת – אנחנו מפקידים בידיו את האמון של הלקוחות שלנו, את הביטחון שלהם, ולעיתים אף את בריאותם.

התובנה החשובה ביותר ממקרה דיסני היא שאבטחת מידע אינה מוצר שקונים, אלא תהליך מתמשך שדורש תשומת לב, משאבים ומחויבות ארגונית. רק כאשר נתייחס לניהול הרשאות באותה רצינות שבה אנו מתייחסים לכל היבט קריטי אחר בעסק. אולי הגיע הזמן לחשוב על אבטחת מידע הרבה מעבר למשימה טכנית, אלא כחלק בלתי נפרד מהאחריות והמוסריות שלנו כארגונים בעידן הדיגיטלי. כך נוכל באמת להגן על הארגונים והלקוחות שלנו מפני איומים פנימיים וחיצוניים כאחד.

הכותב הוא מנכ”ל y-tech