گزارش امنیتی: تسهیل رفتارهای پرخطر توسط تیم فناوری اطلاعات در یک بیمارستان

Hospital gave very sick doctor a special PC for his personal, erm, pleasure

یک مورد نقض امنیتی در یک بیمارستان نشان می‌دهد که چگونه نادیده گرفتن سیاست‌های سازمانی و فراهم کردن تجهیزات اختصاصی برای فعالیت‌های غیرکاری یک پزشک، منجر به آلودگی‌های مکرر بدافزاری و پیامدهای حقوقی شده است. این گزارش به بررسی چگونگی تبدیل شدن یک ایستگاه کاری به منبع انتشار کرم‌های رایانه‌ای و سهل‌انگاری مدیریتی در این زمینه می‌پردازد.

شرح حادثه و نقص امنیتی

یکی از پزشکان برجسته در یک بیمارستان به دلیل استفاده از سیستم‌های کاری برای مشاهده محتوای غیراخلاقی، به‌طور مداوم باعث آلودگی رایانه‌های آزمایشگاهی به بدافزار می‌شد. با وجود گزارش‌های مکرر تیم پشتیبانی فنی (با نام مستعار Mason) به مدیریت، به دلیل جایگاه علمی این پزشک، هیچ اقدام انضباطی صورت نگرفت.

در جریان یک حمله سایبری گسترده توسط یک کرم رایانه‌ای، لاگ‌های سیستم نشان داد که منبع اصلی آلودگی، رایانه این پزشک بوده است. با این حال، مدیریت بیمارستان به جای برخورد، تصمیم گرفت یک رایانه مجزا از بخش ضایعات الکترونیکی (e-waste) آماده کرده و در اختیار وی قرار دهد تا فعالیت‌های شخصی خود را در آن انجام دهد.

پیامدهای فنی و حقوقی

این اقدام نه تنها باعث تداوم آلودگی‌های بدافزاری شد (که هر ساله منجر به از کار افتادن سیستم می‌شد)، بلکه از نظر امنیتی و حقوقی نیز بیمارستان را در معرض ریسک‌های جدی قرار داد. تیم IT تحت فشار مستقیم CIO مجبور به اجرای این دستور شد.

سال‌ها بعد، این رایانه اختصاصی به عنوان مدرک کلیدی در دادخواستی که توسط دانشجویان تحصیلات تکمیلی علیه بیمارستان مطرح شد، مورد استفاده قرار گرفت. این مدرک ثابت کرد که مدیریت بیمارستان نه تنها از رفتارهای نامناسب پزشک آگاه بوده، بلکه با فراهم کردن تجهیزات، عملاً آن را تسهیل کرده است.

نکته‌های کلیدی

• استفاده از تجهیزات سازمانی برای فعالیت‌های شخصی غیرمجاز، منبع اصلی ورود بدافزار به شبکه بیمارستان بود.
• مدیریت بیمارستان با نادیده گرفتن سیاست‌های امنیتی و فراهم کردن سخت‌افزار اختصاصی برای فعالیت‌های غیرکاری، ریسک‌های امنیتی را تشدید کرد.
• تسهیل رفتارهای پرخطر توسط مدیریت، در نهایت به عنوان مدرک حقوقی علیه سازمان در دادگاه استفاده شد.

چه باید کرد

• اجرای دقیق سیاست‌های استفاده قابل‌قبول (AUP) برای تمامی کارکنان بدون استثنا قائل شدن برای سطوح مدیریتی یا علمی.
• جلوگیری از استفاده از سخت‌افزارهای غیرایمن یا بازیافتی برای فعالیت‌های حساس در شبکه بیمارستانی.
• پشتیبانی از تیم‌های امنیتی و IT در برابر فشارهای مدیریتی برای نادیده گرفتن پروتکل‌های امنیتی.
• استقرار سیستم‌های نظارتی و فیلترینگ محتوا برای جلوگیری از دسترسی به وب‌سایت‌های آلوده در محیط شبکه سازمانی.