2020 yılında Birleşik Krallık’taki bir okulda göreve başlayan bilişim uzmanı Daniel, kurumun siber güvenlik altyapısını denetlerken şok edici bir durumla karşılaştı. Daha önce fidye yazılımı saldırısına uğrayarak üç ay boyunca çevrimdışı kalan okulda, çalışanların yıllardır aynı şifreleri kullandığı ve hatta bazı kritik şifrelerin herkes tarafından bilindiği ortaya çıktı. Daniel’ın yeni bir şifre politikası uygulama çabaları, özellikle bir veri yöneticisinin “Herkes biliyor zaten, neden değiştireyim?” diyerek direnişiyle büyük bir krize dönüştü.
- Birleşik Krallık’taki bir okul, zayıf güvenlik önlemleri nedeniyle fidye yazılımı saldırısına maruz kaldı.
- Okulun yeni bilişim uzmanı, altı karakterli ve süresiz şifre politikasını güçlendirmek istedi.
- Bir veri yöneticisi, “letmein” şeklindeki yaygın şifresini değiştirmeyi reddetti ve masasına yapıştırdığı notla herkesin erişimine açık olduğunu savundu.
- Okul müdürü, çalışanların tepkisi üzerine başlangıçta şifre değiştirme zorunluluğunu geri çekti ancak daha sonra yeni yönetim bu politikayı yeniden uygulamaya koydu.
Bilişim Departmanında Hesap Hileleri Yaşanmıştı
Daniel, 2020 yılında Birleşik Krallık’taki bir okulda iki kişilik bilişim departmanının yerini almak üzere işe alındı. Bu pozisyona gelmeden önce okulun bilişim departmanı çalkantılı günler yaşamıştı. Önceki bilişim yöneticisi, okul fonlarıyla yüksek performanslı oyun bilgisayarları satın alıp bunları okul envanterine kaydettirmemek gibi “muhasebe usulsüzlükleri” nedeniyle görevinden ayrılmıştı. Onun yerine geçen yardımcısı ise, okulun tüm ağını üç ay boyunca çevrimdışı bırakan bir fidye yazılımı saldırısıyla başa çıkmak zorunda kalmıştı. Okul, harici yüklenicilerle aylarca süren bir yeniden yapılanma sürecine girmiş ve sadece aylar öncesine ait olan tek yedekten geri yükleme yaparak sistemi ayağa kaldırmıştı. Bu olayların ardından bilişim yöneticisi yardımcısı da ihbar süresini bile doldurmadan istifa etmişti.
Güvenlik Açıkları Tespit Edildi
Daniel boşalan bu görevi devraldı ve ilk haftasında okul müdürü tarafından ağı denetleyerek mevcut durumu iyileştirmek için bir rapor sunması istendi. Yaptığı denetimlerde Daniel, kolayca düzeltilebilecek birçok güvenlik açığı buldu. Bunlardan biri de, o dönemde altı karakterden oluşan, hiçbir karmaşıklık veya son kullanma tarihi olmayan şifre politikasıydı. Daniel, kullanıcıların fidye yazılımı saldırısından bu yana, hatta belki de hiç şifrelerini değiştirmeye zorlanmadığını tespit etti. Bu durum, okulun siber güvenlik zaafiyetinin temel nedenlerinden birini oluşturuyordu.
Yeni Şifre Politikası Uygulanmaya Başlandı
Daniel, okul müdürüne yeni bir şifre politikası önerdi. Bu politika, şifrelerin daha karmaşık olmasını, düzenli olarak değiştirilmesini ve güvenlik standartlarına uygun hale getirilmesini içeriyordu. Okul müdürü, Daniel’ın önerdiği politikayı ve herkesin şifresini derhal değiştirmesi gerekliliğini onayladı. Daniel, bu kararın yaratacağı tepkiye hazırlıklı değildi. Bu değişim, yıllardır aynı şifreleri kullanan çalışanlar arasında büyük bir rahatsızlığa yol açtı ve beklenen tepkilerin çok ötesinde bir direnişle karşılaştı.
Veri Yöneticisinden Direniş Geldi
Yeni şifre politikasının uygulanmaya başlamasıyla birlikte, şikayetler yağmaya başladı. En dikkat çekici direniş, okulun veri yöneticisinden geldi. Veri yöneticisi, 1998’den beri aynı şifreyi kullandığını gururla ifade etti ve bu şifreyi değiştirmemesini, tüm personelin bildiği gerçeğiyle savundu. “Ben yokken, diğerleri benim adıma giriş yapıp raporları çalıştırabiliyorlar” diyerek durumu normalleştirmeye çalıştı. Daha da kötüsü, bu şifre “letmein” idi ve veri yöneticisi bu şifreyi bir kağıda yazıp masasına yapıştırmıştı, herkesin kolayca erişebileceği bir yerde duruyordu.
Okul Müdürü Geri Adım Atmak Zorunda Kaldı
Daniel yeni şifre politikasını uygulamaya devam ederken, şikayetlerin ardı arkası kesilmedi. Sonunda okul müdürü, şifre değişiklikleriyle ilgili tüm soruların kendisine yönlendirilmesini emretti. Daniel, müdürün bu kararı karşısında şaşırdı. İki gün sonra müdür, Daniel’ın ofisine gelerek iç geçirdi, ellerini başına koydu ve değişiklikleri geri almasını, herkesin şifre değiştirme zorunluluğunu kaldırmasını emretti. Daniel direndiğini, ancak okulun müdürünün sözünün geçtiğini söyledi. Müdürden bu talebi yazılı olarak almayı başardı.
Yeni Yönetim Kararlı Bir Tutum Sergiledi
Üç ay sonra okul müdürü görevinden ayrıldı ve okul, kar amacı gütmeyen bir kuruluş tarafından devralındı. Daniel’ın yeni patronları, onun siber güvenlik konusundaki duruşuna katıldı ve şifre politikasını yeniden uygulamaya koydu. Veri yöneticisi, bir kez daha bu değişime karşı çıktı. Ancak Daniel ve kar amacı gütmeyen kuruluşun bilişim direktörü ile yaptığı bir toplantının ardından, veri yöneticisi yeni sistemleri öğrenmek veya çok sevdiği şifresini değiştirmek zorunda kalmamak için erken emekliliğe ayrılmaya karar verdi. Böylece okul, siber güvenlik konusunda önemli bir adımı atmış oldu.
Sizin de benzer siber güvenlik sorunları veya bir değişime karşı direnişle karşılaştığınız anlar oldu mu? Yorumlarda deneyimlerinizi bizimle paylaşın.