הגורם האנושי הוא הבעיה

הקלות שבה השיגו עובדי לאומי קארד לשעבר את פרטי משתמשי כרטיסי האשראי של החברה אינם מפתיעים את הילה בר הויזמן, שותפה תחום אבטחת מידע בדלויט. "בכל מקרה כזה חייבים לחפש אחד משלושה דברים: האם היתה להם הזדמנות, כלומר מערכת הגנה שלא עובדת או יכולת לעקוף בקלות את המערכת, מניע שהיה לאדם לעשות את זה - האם חסר לו כסף או הוא תחת איומים? וסיבה כלשהי לעשות את זה, כגון: האם האדם פוטר לאחרונה ממקום עבודתו או קיבל הערכה נמוכה".

גניבה של מידע ממקומות עבודה אינו דבר חדש והאיום הפנימי נחשב כיום למסוכן ביותר על ידי מומחי אבטחת המידע. הנוכחות של האדם בתוך המערכות וההכרות שלו איתה מאפשרות לו לעשות שמות במערכות של הארגון. המקרה של אדאורד סנודן שלמעשה לקח כל מידע אפשרי ממחשבי ה-NSA הוא דוגמא טובה וכך גם המקרה של ענת קם שהעתיקה אלפי מסמכים בשירותה הצבאי.

"כשמדברים על אירועים כאלה כגון פריצה מתוך הארגון, יש שני מרכיבים שאחד מהם הטכנולוגי. יש מערכות שאמורות למנוע מצב של הוצאת כמות גדולה כזו של נתונים, וצריך לבדוק היטב האם היו שם מערכות כאלה ואיך עקפו אותן. המרכיב האנושי הוא השני. אי אפשר להוציא מן הכלל שלאדם שעשה את העבירה הייתה הרשאה להוציא את המידע", מסבירה בר הויזמן.

"בכדי למנוע הישנות של מצב מעין זה, החברות חייבות מערכות בקרה וניטור, אבל גם מערכות שמפקחות על אנשים מסויימים באופן ספציפי. החל באנשים שקרובים לכמויות גדולות של מידע וכלה באנשים אשר נמצאים במצב רגיש: אנשים שפוטרו, קיבלו הערכה לא טובה, מצב נפשי רגיש וכדומה", מסכמת בר הויזמן.