مدیریت نشت اعتبارنامه‌ها و مسئولیت‌پذیری در سازمان‌ها
What a security leader should tell the CEO about leaked credentials
اریک فوریه، مدیرعامل GitGuardian، بر اهمیت تفکیک مسئولیت‌پذیری از سرزنش در مواجهه با نشت اعتبارنامه‌ها تأکید می‌کند. او معتقد است فرهنگ سازمانی باید به گونه‌ای باشد که کارکنان بدون ترس از تنبیه، نشت‌های امنیتی را گزارش کنند تا سازمان بتواند به سرعت نسبت به ابطال دسترسی‌ها اقدام نماید.
چالش‌های فرهنگی و مسئولیت‌پذیری
افزایش مسئولیت‌پذیری مدیران و هیئت‌مدیره‌ها، به ویژه با قوانینی مانند NIS2، باعث شده است که امنیت سایبری به اولویتی جدی تبدیل شود. با این حال، اگر این مسئولیت‌پذیری به فرهنگ سرزنش تبدیل شود، کارکنان برای پنهان کردن اشتباهات خود تلاش می‌کنند. حذف یک کامیت یا خصوصی کردن مخزن کد، اعتبارنامه را ابطال نمی‌کند و تنها باعث می‌شود تیم‌های امنیتی دید کمتری نسبت به ریسک‌های موجود داشته باشند.
هدف اصلی باید ایجاد محیطی باشد که در آن گزارش سریع اشتباهات تشویق شود و تمرکز سازمان بر اقدامات اصلاحی مانند ابطال اعتبارنامه، بررسی ریشه‌ای نشت و یادگیری از آن باشد.
شاخص‌های کلیدی برای مدیران ارشد
مدیران امنیتی باید بتوانند به مدیرعامل اطمینان دهند که فرآیندهای لازم برای شناسایی و واکنش به نشت اعتبارنامه‌ها وجود دارد. این شامل پایش کدهای عمومی (حتی خارج از مخازن تحت کنترل شرکت)، تشخیص اعتبارنامه‌های فعال و شناسایی مالکان آن‌هاست.
علاوه بر این، سازمان باید یک کانال رسمی برای گزارش‌دهی توسط اشخاص ثالث داشته باشد که به طور دوره‌ای تست شود. در صورت کشف نشت، اولویت باید ابطال فوری دسترسی باشد، نه صرفاً حذف شواهد ظاهری. همچنین، اندازه‌گیری زمان بین گزارش تا ابطال، شاخصی حیاتی برای سنجش کارایی تیم امنیتی است.
تغییر ماهیت نشت‌ها با ظهور هوش مصنوعی
تا سال 2027، چالش‌های امنیتی به دلیل استفاده گسترده از ابزارهای هوش مصنوعی و عوامل خودکار (Agents) پیچیده‌تر خواهند شد. ابزارهای هوش مصنوعی به افراد غیرمتخصص اجازه می‌دهند نرم‌افزار تولید کنند، اما این افراد ممکن است فاقد دانش امنیتی لازم برای مدیریت صحیح اسرار (Secrets) باشند.
عوامل هوش مصنوعی با جابه‌جایی اطلاعات در محیط‌های مختلف، سطوح حمله جدیدی ایجاد می‌کنند. بنابراین، پایش مخازن رسمی شرکت دیگر کافی نیست و تیم‌های امنیتی باید نشت اعتبارنامه‌ها از طریق حساب‌های شخصی توسعه‌دهندگان، پروژه‌های جانبی و جریان‌های کاری مبتنی بر هوش مصنوعی را نیز رصد کنند.
نکته‌های کلیدی
- حذف کد حاوی اعتبارنامه نشت‌یافته کافی نیست و باید بلافاصله ابطال (Revocation) انجام شود.
- ترس از سرزنش باعث کاهش دید تیم امنیتی نسبت به نشت‌های واقعی می‌شود.
- شاخص‌های امنیتی باید بر سرعت شناسایی و مهار ریسک تمرکز کنند، نه فقط تعداد هشدارهای دریافتی.
- هوش مصنوعی و عوامل خودکار، مسیرهای جدیدی برای نشت اعتبارنامه‌ها ایجاد کرده‌اند که فراتر از مخازن کد رسمی سازمان است.
چه باید کرد
- ایجاد یک کانال رسمی و تست‌شده برای گزارش‌دهی نشت اعتبارنامه‌ها توسط اشخاص ثالث.
- اولویت‌بندی ابطال اعتبارنامه به عنوان اولین واکنش در برابر نشت، پیش از هر اقدام دیگری.
- پایش مستمر کدهای عمومی برای یافتن اعتبارنامه‌های شرکتی، حتی در مخازن شخصی توسعه‌دهندگان.
- سنجش عملکرد امنیتی بر اساس زمان سپری شده از شناسایی تا ابطال دسترسی‌ها.