SECURITY
一般的な社員以上のアクセス権を持っていたにもかかわらず、IT部門は何を無効化すべきか把握していませんでした
人気記事
PWNED PWNEDコーナーへようこそ。このコーナーでは、自らのミスで痛手を負ってしまった組織について取り上げています。今回ご紹介するのは、不満を抱えた元社員が、報復の手段と機会の両方を手にしてしまったという毒々しいテック業界の一幕です。
今回のエピソードは、テキサス州ダラスにあるProject Management Training InstituteのCEOを務めるYad Senapathy氏の提供によるものです。同氏は何年も前、従業員数1,000人を超える企業でIT部門に勤務していた頃の出来事を振り返ります。
Senapathy氏がその会社に在籍していた当時、ある社員が解雇されたものの、誰も社内システムへのアクセス権を取り消しませんでした。この怒りを抱えた元社員は再びログインし、ファイルを削除したり、他の従業員のアカウントをロックアウトしたり、さらにはデータベースを破損させたりしました。
「その人物が給与支払い対象から外れてから数日が経過していましたが、認証情報は有効なままでした」とSenapathy氏は語ります。「アクセス権を停止する担当者が明確に決まっていなかったのです。人事部門は解雇処理が完了すればIT部門が対応すると思い込んでいましたし、IT部門は人事部門からの正式な依頼を待っていました。誰が責任を負うのか明確でなく、期限も設定されていない場合、問題が実際に発生するまでこうしたことは簡単に見落とされてしまうのだと、身をもって学びました」
この責任の所在をめぐる不備により、解雇された元社員は共有の管理者権限、アカウント管理機能、プロジェクト管理システムへのアクセス権を保持し続けることになりました。これらはそれぞれ他のシステムへのアクセス権にもつながっており、不適切なアクセスがドミノ倒しのように連鎖しました。元社員はこれを利用して組織全体に報復を行ったのです。
Senapathy氏によると、被害額は数十万ドルに上ったといいます。同様に深刻だったのは、重要なプロジェクトに数週間もの遅延が生じたことでした。
皮肉なことに、システムを最も熟知していた本人によって破壊されたため、復旧作業は特に難航しました。
「その社員は天才的なハッカーだったわけではありません。ただ退職後もアクセス権が残っており、誰も認証情報を変更したり管理者権限を見直したりしなかっただけなのです」とSenapathy氏はThe Register紙に語りました。「一人の人物にシステムに関する知識をこれほど集中させてしまったことで、その人物が去った後に扉を閉めるのに想定以上の時間がかかってしまいました」
Senapathy氏は、オフボーディング(退職時対応)のチェックリストとアクセス権の見直しを、「ノートパソコンの返却」と同じくらい重要な項目として扱うべきだと勧めています。今回のケースで問題だったのは、解雇された社員が一般的な社員以上のアクセス権を持っていたため、IT部門が何を無効化すべきか把握していなかった点です。
「残念ながら、アクセス権を即日削除し、共有アカウントへのアクセス権を強制的に再確認し、一人の人物がシステム全体を単独で保有することを一切許さない体制にしていれば、防げたはずです」と同氏は述べています。
この状況には、筆者自身も身に覚えがあります。以前勤めていた職場を退職した際、メール、チャット、共有ドライブへのアクセス権は失いましたが、数か月後、元上司から「外部でホストされている重要なデータベースにまだログインできるか、使い方を教えてほしい」と頼まれたことがありました。実際、何の問題もなくログインできてしまいました。
ネットワークに大穴を開けたまま去っていった人物についてのエピソードをお持ちの方は、ぜひ[email protected]までお寄せください。匿名希望の場合も対応いたします。®
