Rozbił telefon za 4 tysiące i żądał wyłączenia zabezpieczeń firmy. Odpowiedź IT ścięła go z nóg

Upadek telefonu na twardą posadzkę to moment, w którym czas na chwilę zwalnia. Dla większości ludzi oznacza to wizytę w serwisie i spore wydatki. Dla pracowników korporacji potłuczony ekran bywa jednak pretekstem do próby zburzenia całego systemu cyberbezpieczeństwa firmy.

Pewien pracownik pojawił się w dziale wsparcia technicznego z telefonem, którego wyświetlacz przypominał gęstą pajęczynę. Bez zbędnych wstępów zażądał, aby kody do uwierzytelniania dwuskładnikowego (MFA) zaczęły przychodzić bezpośrednio do aplikacji Teams na jego komputerze. Gdy specjalista IT przytomnie zauważył, że zalogowanie się do aplikacji Teams również wymaga potwierdzenia kodem MFA, poszkodowany podsunął jeszcze prostsze rozwiązanie: 'To po prostu wyłącz mi MFA'.

Read nextKsięgowość z XX wieku i chmura z XXI: Jak opanować serwerowy chaos bez Active Directory?

Odpowiedź wsparcia technicznego była natychmiastowa. Administrator zgodził się na wyłączenie zabezpieczeń, pod warunkiem uzyskania pisemnej zgody od Szefa Bezpieczeństwa IT. W tym momencie wizja rozmowy z szefem cyberbezpieczeństwa skutecznie wyleczyła pracownika z nierealnych żądań. Wybrał naprawę ekranu.

Ta sytuacja wywołała gorącą dyskusję wśród specjalistów od technologii. Jedni określają podobne uszkodzenia mianem 'wysypki grawitacyjnej' i wskazują na zatrważający fakt: ludzie noszą w kieszeniach drogie urządzenia, żałując kilkudziesięciu złotych na solidne etui czy szkło ochronne.

Zjawisko ucieczki przed procedurami bezpieczeństwa jest jednak szersze. Jeden z branżowych ekspertów wspomina przypadek, w którym sam dyrektor generalny firmy domagał się wyłączenia MFA, bo denerwowało go ciągłe klikanie w telefon. Dopiero groźba utraty kluczowych certyfikatów ISO i SOC, co zablokowałoby kontrakty handlowe, skłoniła prezesa do pokory.

Your brand, right here.Reach story-obsessed listeners in 45+ languages → advertise on Avonetics

Z drugiej strony pojawiają się głosy obrony użytkowników. Wielu specjalistów zwraca uwagę na błędy samych polityk IT. Najbardziej kontrowersyjną praktyką jest zmuszanie pracowników do instalowania firmowych aplikacji uwierzytelniających na prywatnych telefonach. Gdy prywatne urządzenie ulegnie awarii, pracownik zostaje bez narzędzi do pracy, a procedury awaryjne często po prostu nie istnieją.

Znane są przypadki, gdy pracownicy rejestrowali MFA na telefonach stacjonarnych przy biurku. Gdy wyjeżdżali na delegację oddaloną o kilkaset kilometrów, byli całkowicie odcinani od systemu, bo dział IT nie przewidział elastycznego resetu uprawnień na odległość.

Problem potęguje fakt, że sfrustrowani brakiem dostępu pracownicy zaczynają nadużywać kanałów alarmowych. Działy IT zgłaszają, że przyciski priorytetowe, przeznaczone wyłącznie dla awarii infrastruktury całego przedsiębiorstwa, są masowo wykorzystywane przez osoby, które po prostu zapomniały hasła.

Czy zasady bezpieczeństwa powinny być bezwzględne, czy też IT powinno wykazywać więcej elastyczności? W najnowszym odcinku podcastu Błąd Systemu prowadzący ścierają się o to, gdzie kończy się wygoda użytkownika, a zaczyna cybernetyczny chaos.