הסיפור שפרסם משרד המבקר הפנימי של NASA צריך להטריד כל ארגון שמחזיק ידע רגיש, קוד, תוכנה, תכנון הנדסי או מידע עסקי בעל ערך.
לפי הפרסום, אזרח סיני בשם Song Wu התחזה במשך שנים למהנדסים, חוקרים ופרופסורים אמריקאים, ופנה לעובדי NASA, חוקרים באקדמיה, אנשי צבא וחברות פרטיות. המטרה שלו לא הייתה לקבל סיסמה לחשבון. הוא ביקש משהו הרבה יותר פשוט והרבה יותר מסוכן: עותקים של תוכנות, קוד מקור וכלים הנדסיים רגישים שיכולים לשמש לתכנון אווירונאוטי ולפיתוח מערכות נשק.
וזה בדיוק העניין.
בהרבה ארגונים, כששומעים את המילה 'פישינג', חושבים מיד על מייל עם לינק חשוד, אתר מזויף או בקשה להזין סיסמה.
אבל במקרים מתוחכמים יותר, הפישינג לא נראה כמו מתקפת סייבר. הוא נראה כמו בקשה מקצועית לגיטימית מאדם מוכר. 'שלח לי בבקשה את הקוד'. 'אני צריך את הגרסה האחרונה של התוכנה'. 'תעביר לי את הקובץ, אני עובד על זה עם הצוות'.
הקורבן לא מרגיש שהוא נופל למתקפה. הוא מרגיש שהוא עוזר לקולגה.
וזו בדיוק הסכנה.
הטעות המקצועית שאני רואה שוב ושוב היא שארגונים מתייחסים לאיום הזה רק כבעיה טכנולוגית. אבל במקרה הזה, החולשה המרכזית לא הייתה רק במערכת. היא הייתה באמון האנושי, בתרבות העבודה, ובהיעדר מנגנון ברור שמחייב עצירה ובדיקה לפני שמידע רגיש יוצא החוצה.
מבחינתי יש כאן כמה לקחים חשובים.
לא כל בקשה שמגיעה מאדם 'מוכר' באמת מגיעה ממנו.
לא כל שיתוף מידע בין קולגות הוא פעולה תמימה, במיוחד כשמדובר בקוד, תוכנה, תוכניות, דאטה, מודלים או תשתיות.
עובדים צריכים לדעת לזהות לא רק לינקים חשודים, אלא גם בקשות חריגות: בקשות חוזרות לאותה תוכנה, חוסר הסבר למה המידע נדרש, שינוי פתאומי באמצעי התשלום או ההעברה, שימוש בערוצים לא מקובלים, או לחץ להעביר חומר בלי תהליך מסודר.
והכי חשוב: בארגון רציני, עובד לא אמור להחליט לבד אם מותר להעביר חומר רגיש לגורם אחר, גם אם הגורם נראה מוכר, בכיר או מקצועי.
צריך נוהל. צריך אימות זהות. צריך בדיקת הרשאות. צריך הבנה של מגבלות רגולציה, ייצוא, סודיות וקניין רוחני. וצריך תרבות שבה עצירה לבדיקה לא נתפסת כבירוקרטיה, אלא כחלק מהאחריות המקצועית.
הסיפור של NASA הוא תזכורת חדה לכך שאיום פנימי לא תמיד מתחיל מעובד זדוני. לפעמים הוא מתחיל מעובד טוב, מקצועי, שרוצה לעזור, אבל לא מבין שמפעילים אותו.
וזה אולי אחד האיומים המסוכנים ביותר: סוס טרויאני אנושי שלא יודע שהוא כזה.