Bir Hukuk Bürosunda Dijital Felaket: 'Tek Şifre' İnadı

Bir hukuk bürosunda BT departmanının tüm sorumluluğunu devralan Manny adındaki uzman, şirketin teknoloji altyapısında akıl almaz bir güvenlik ihmaliyle karşılaştı. Kurumdaki tüm veriler ve uygulamalar, müşteri türlerine göre kategorize edilmiş tek bir web arayüzünde yönetiliyordu; ancak bu sistem, sistemi tamamen savunmasız bırakan tek bir 'ana şifre' ile korunuyordu. Bu şifreye sahip olan herhangi bir kişi, sisteme giriş yaparak bir personel veya müşteriymiş gibi davranabiliyor, sağlık kayıtları da dahil olmak üzere en hassas kişisel bilgilere kolaylıkla ulaşabiliyordu.

Sistemin yarattığı büyük riski fark eden Manny, durumu vakit kaybetmeden yönetime raporladı. Ancak aldığı cevap, siber güvenlik dünyasındaki en büyük klişelerden biriydi: "Bu yönetici şifresi, herkes bunu kullanıyor, sakın dokunma." Büronun işleyiş tarzına göre, herhangi bir çalışan hasta olduğunda veya bir müşteri veri girişi yapamadığında, bu şifre kullanılarak söz konusu kişinin kimliğine bürünülüyor ve işlemler onun adına gerçekleştiriliyordu. Bu durum, kurum içindeki tüm sorumluluk mekanizmalarının ve veri gizliliği kurallarının tamamen devre dışı kalması anlamına geliyordu.

Teknoloji açısından 15 yıllık, oldukça eski bir altyapıya sahip olan sistemin yenilenmesi gerektiğinde Manny, modern bir yazılım geliştirme görevini üstlendi. Yönetimin, yeni sistemde de benzer bir arka kapı (back door) oluşturulması yönündeki talebini ise prensipleri gereği reddetti. Bunun üzerine şirket yönetimi, güvenlik önlemlerini iyileştirmek yerine tüm kullanıcıları sistem yöneticisi yetkisine yükselterek kaotik ve güvensiz çalışma düzenini olduğu gibi sürdürmeyi tercih etti.

Bu olay, günümüzde hala birçok kurumun siber güvenlik kültürünü benimsemekte ne kadar zorlandığını kanıtlıyor. Manny gibi yetkin bilişim profesyonelleri bile, yönetimin teknik bilgisizlik ve idari baskıları karşısında çoğu zaman çaresiz kalabiliyor. Sonuç olarak, kurumsal güvenlik politikalarının yalnızca teknik bir sorun değil, aynı zamanda yönetim vizyonuyla doğrudan ilişkili bir kültürel değişim meselesi olduğu bir kez daha acı bir şekilde ortaya çıkıyor.