CISA je otkrila da je jedan od njihovih izvođača usluga ostavio ključne AWS GovCloud pristupne ključeve na GitHubu

Zamislite taj trenutak. Čovjek, očito zadužen za sigurnost, odlučuje da je javna platforma za dijeljenje koda savršeno mjesto za pohranu osjetljivih informacija. Što se događa s povjerenjem kada se otkrije da su ključni podaci bili dostupni svima s internetskom vezom? Nitko ne želi biti taj koji će se suočiti s posljedicama. U svijetu IT-a, ovakve greške se smatraju kapitulacijom, a ne nepažnjom. Ali, naravno, tko bi uopće trebao osjećati odgovornost, zar ne?

Ovo nije samo pitanje sigurnosti. Ovo je pitanje mentalnog sklopa ljudi koji rade za CISA. Kako je moguće da je netko u toj organizaciji mislio da je u redu javno dijeliti datoteke koje sadrže informacije o internim procesima, testiranju i implementaciji softverskih rješenja? Možda su mislili da je GitHub samo još jedan oblik društvenih mreža. "Hej, pogledajte što radimo. Možda se netko od vas može pridružiti i pomoći!" Jer, naravno, svi znamo koliko je važno imati više ljudi u istom brodu kada se plovi prema katastrofi.

A gdje su tu sigurnosni stručnjaci? Gdje su oni koji bi trebali pregledavati takve objave? Možda su svi na godišnjem odmoru, uživajući u suncu dok im se podaci kradu s poslužitelja. U svakom slučaju, sigurnost se ne može smatrati prioritetom kada se čini da je mentalni sklop ove organizacije bliži onom djeteta koje se igra vatrom nego ozbiljnom pristupu zaštiti podataka. To je kao da je netko zaboravio da su podaci o državnim sustavima nešto što se ne smije dijeliti s prolaznicima na internetu.

Svi bismo trebali postaviti pitanje: ako je tako lako doći do ovih podataka, što još skrivamo? Koliko je još osjetljivih informacija dostupno samo jednim klikom? U ovoj eri digitalizacije, gdje smo svi ovisni o tehnologiji, postavlja se pitanje koliko su naši podaci zaista sigurni. I ne, ne govorim o onim šiframa koje smo svi naučili u osnovnoj školi, već o pravoj sigurnosti, onoj koja se temelji na provjerenim sustavima i procedurama.

Naravno, ovaj incident neće proći bez posljedica. Možda će netko biti pozvan na odgovornost, ali to neće promijeniti činjenicu da je povjerenje narušeno. Ljudi će se pitati: "Kako možemo vjerovati sustavu koji nije u stanju zaštititi svoje vlastite informacije?" To je pitanje koje će se nastaviti postavljati dok god se ovakvi propusti događaju. A propusti se događaju često, prečesto. I to je ono što nas sve može koštati.

U svijetu tehnologije, sigurnost nije samo pitanje tehnologije. To je pitanje kulture, mentalnog sklopa i, na kraju, odgovornosti. Kada je došlo do ove provale, mnogi su se zasigurno zapitali: "Tko je odgovoran?" Ali prava istina je da nitko neće biti odgovoran. Netko će možda izgubiti posao, ali to je sve. Zaboravit ćemo ovaj incident kao i mnoge druge. Ljudi će nastaviti raditi kao i prije, a podaci će i dalje curiti kao voda kroz ruke.

U svakom slučaju, budućnost je stigla. Donijela je račun.

Izvor: krebsonsecurity.com