İngiliz Teknoloji Haberleri 'The Register', okullar ve kurumlar için şifre güvenliği politikasının ne kadar hayati olduğunu gösteren korkutucu bir hikayeyi yayımladı. Bir İngiliz okulunun kurumsal veri müdürü, iki kere ransomware saldırısına maruz kaldığı halde, temel güvenlik pratiklerini uygulamakta direnen tavrıyla kurumsal güvenlik kültürünün ne ölçüde zayıf olabileceğini ortaya koymaktadır. Hikaye, BT müdürü Daniel'in çabalarına rağmen kişisel kaprislerin kurumsal güvenliği nasıl baltalayabileceğini gösteriyor.
Güvenlik krizinin başlaması ve arka plan
Hikayenin başında BT müdürü Daniel'in 2020 yılında okula işe alınması var. Önceki BT müdürü "muhasebe düzensizlikleri" nedeniyle ayrılmıştı; bu ayrılış, aynı zamanda büyük güvenlik problemlerinin işaret olmuştur. Daniel'in göreve başlaması ile neredeyse aynı esnada okul ağına ransomware saldırısı oldu. Bu saldırı ağı tamamen çevrimdışı bıraktı ve üç ay boyunca sistem hiçbir şekilde hizmet veremedi. Harici müteahhitler ağı sıfırdan yeniden inşa etti; ancak yalnızca saldırıdan birkaç ay önceki bir yedeğin geri yüklemesi mümkün olabildi. Bu veri kaybı okuldaki operasyonları ciddi şekilde aksattı.
Güvenlik politikasının ihmal edilmiş durumu
Daniel'in yaptığı ilk kapsamlı denetim, şifre politikasının açıkça ihmal edilmiş olduğunu ortaya koymıştır. Sistem yöneticiler tarafından minimum altı harfe ayarlanmıştı; hiçbir karmaşıklık koşulu yoktu (harf+rakam+sembol türü) ve şifre süresi dolma koşulu bulunmuyordu. Kullanıcılar ransomware saldırısından sonra bile şifrelerini değiştirmeye zorlanmamıştı; yani potansiyel olarak saldırganlar eski yakalanan şifreler üzerinden sisteme geri erişebilirdi.
Şifre politikası önerisi ve ilk direnç
Daniel yeni bir güvenli şifre politikası önerdi ve okul müdürünün yazılı onayını aldı. Politika herkesin hemen şifrelerini değiştirmesini zorunlu kılıyordu, minimum 12 karakteri zorunlu tutuyordu ve karmaşıklık kuralları vardı. Ancak personelden büyük direnç geldi. En dikkat çeken olay, müdür yardımcısı veri müdürüsünün tavrı oldu.
Veri müdürüsünün şaşırtıcı tutumu ve argümanı
Veri müdürüsü açıkça söyledi: "1998'den beri aynı şifreyi kullanıyorum ve bunu değiştirmeyeceğim." Şifre değişikliğine karşı verdiği gerekçe ise çok şaşırtıcıydı: "Eğer ben yoksa, herkes benim hesabımla giriş yapabilir ve raporları çalıştırabilir." Bu argüman mantıksal olarak yanlış; bir şifre ne kadar kolay bilinirse, bu durumda o kadar da riskli hale gelir. Şifrenin kendisi de hassas değildi: basit İngilizcesiyle "letmein" (beni içeri al) idi. Daha da çarpıcı olanı, şifre masasına Scotch bandı ile yapıştırılmış bir kağıda yazılıydı; bu güvenlik ihlali kültürünün ne kadar kök salmış olduğunu gösteriyordu. Bilişim güvenliği uzmanları şifreyi kağıda yazılması konusunda açıkça uyarıyor; ancak açık yazılmış şifreler bile çalıştırılabilir.
Müdürün müdahalesi ve ilk geri çekilme
Okul müdürü Daniel'den tüm şifre değişiklikleriyle ilgili soruları kendisine yönlendirmesini istedi. Ertesi gün müdür Daniel'in odasına geldi ve şifre değişikliğini geri almayı emretti. Müdür, politika uygulamasını durdurmasını ve değişiklik zorunluluğunu kaldırmasını talep etti. Daniel direnmek istedi ancak okul müdür sahibi konumundaydı. Daniel müdürü emri yazılı olarak vermeye ikna etti; bu nedenle yapılan politika geri çekilmiş oldu.
Yönetim değişikliği ve ikinci politika girişimi
Üç ay sonra okul müdürü başka bir okula işe alınmak üzere ayrıldı. Okul, kâr amacı gütmeyen bir eğitim kuruluşu tarafından satın alındı. Yeni yönetim ekibi Daniel'in şifre politikasına destek verdi; güvenlik risklerini anladığı için. Politika yeniden uygulandı ve bu sefer veri müdürüsü tekrar direndi. Ancak bu defa Daniel ve kâr amacı gütmeyen kuruluşun yeni BT müdürüyle yapılan toplantıdan sonra, veri müdürüsü pes etti. Resmi açıklaması ilginçti: "Yeni sistemleri öğrenmek istemediği ve sevdiği şifreyi değiştirmek istemediği için" emeklilik aldığını söyledi. Kurumdan ayrılmakla, en azından politika başarıyla uygulanmış oldu.
