ผู้แจ้งเบาะแสอ้างว่า Microsoft ให้ความสำคัญกับผลกำไรมากกว่าความปลอดภัย

ผู้แจ้งเบาะแสอ้างว่า Microsoft เลือกผลกำไรมากกว่าความปลอดภัย จนทำให้รัฐบาลสหรัฐฯ เสี่ยงต่อการแฮ็กจากรัสเซีย

เพิกเฉยต่อคำเตือนของอดีตพนักงาน

• ประเด็นหลัก: แอนดรูว์ แฮร์ริส อดีตพนักงานของ Microsoft อ้างว่าบริษัทเพิกเฉยต่อช่องโหว่ด้านความปลอดภัยที่สำคัญ ช่องโหว่นี้ถูกใช้โดยแฮ็กเกอร์รัสเซียเพื่อเจาะหน่วยงานหลายแห่ง รวมถึง National Nuclear Security Administration (NNSA) ของสหรัฐฯ
• การค้นพบของแฮร์ริส: แฮร์ริสพบช่องโหว่ร้ายแรงในแอปพลิเคชันของ Microsoft บนคลาวด์ที่ใช้ช่วยให้ผู้ใช้ล็อกอินเข้าสู่โปรแกรมบนคลาวด์ ช่องโหว่นี้ทำให้แฮ็กเกอร์สามารถปลอมตัวเป็นพนักงานที่ถูกต้องตามกฎหมายและขโมยข้อมูลสำคัญได้
• ปฏิกิริยาของบริษัท: แฮร์ริสแจ้งเพื่อนร่วมงานเกี่ยวกับช่องโหว่นี้ แต่บริษัทเพิกเฉยเพราะกังวลว่าจะสูญเสียธุรกิจกับภาครัฐ Microsoft ระบุว่าจะจัดทำแนวทางแก้ไขระยะยาว แต่ในช่วงเวลานั้นบริการคลาวด์ยังคงอยู่ในสภาพที่เปราะบาง

เหตุการณ์แฮ็ก SolarWinds

• เกิดเหตุแฮ็กขึ้น: หลังจากแฮร์ริสลาออกจากบริษัท แฮ็กเกอร์รัสเซียได้ขโมยข้อมูลอ่อนไหวจากหน่วยงานรัฐบาลกลางหลายแห่งผ่านเหตุการณ์แฮ็ก SolarWinds ซึ่งถูกบันทึกว่าเป็นหนึ่งในการโจมตีทางไซเบอร์ครั้งใหญ่ที่สุดในประวัติศาสตร์สหรัฐฯ
• วิธีการแฮ็ก: แฮ็กเกอร์ใช้ช่องโหว่ที่แฮร์ริสค้นพบเพื่อขโมยข้อมูลจากหน่วยงานรัฐบาลกลางหลายแห่ง โดยถูกอธิบายว่าเป็นปฏิบัติการสอดแนมเพื่อเก็บรวบรวมข่าวกรองระยะยาว

การตอบสนองของ Microsoft

• จุดยืนอย่างเป็นทางการ: Microsoft ยืนยันว่าการปกป้องลูกค้าเป็นสิ่งสำคัญสูงสุด และระบุว่าบริษัทตรวจสอบปัญหาด้านความปลอดภัยทุกกรณีอย่างละเอียด อย่างไรก็ตาม แฮร์ริสวิจารณ์ว่าบริษัทให้ความสำคัญกับผลกำไรมากกว่าลูกค้า
• วัฒนธรรมด้านความปลอดภัย: Microsoft ถูกวิจารณ์ว่าขาดวัฒนธรรมด้านความปลอดภัย และภายในบริษัทเองก็มีการชี้ว่าปัญหาคือวัฒนธรรมที่ให้ความสำคัญกับผลกำไรมากกว่าความปลอดภัย

ความเห็นของ GN⁺

• สมดุลระหว่างความปลอดภัยกับผลกำไร: หากบริษัทให้ความสำคัญกับผลกำไรมากกว่าความปลอดภัย ในระยะยาวอาจสูญเสียความเชื่อมั่นจากลูกค้า ซึ่งท้ายที่สุดอาจส่งผลเสียต่อชื่อเสียงและรายได้ของบริษัท
• ความสัมพันธ์กับภาครัฐ: การเพิกเฉยต่อปัญหาความปลอดภัยเพื่อรักษาสัญญากับภาครัฐอาจให้ผลดีในระยะสั้น แต่ในระยะยาวอาจเป็นภัยคุกคามร้ายแรงต่อความมั่นคงของชาติ
• จำเป็นต้องปรับปรุงวัฒนธรรมด้านความปลอดภัย: บริษัทขนาดใหญ่อย่าง Microsoft ควรปรับปรุงวัฒนธรรมด้านความปลอดภัยและสร้างระบบที่แก้ไขปัญหาความปลอดภัยได้อย่างรวดเร็ว เรื่องนี้สำคัญต่อการรักษาความเชื่อมั่นของลูกค้าและความสำเร็จในระยะยาว
• ผลิตภัณฑ์คู่แข่ง: ยังมีผลิตภัณฑ์คู่แข่งอย่าง Okta ซึ่งให้ความสำคัญกับความปลอดภัยมากกว่า องค์กรควรพิจารณาทางเลือกต่าง ๆ เพื่อเลือกโซลูชันด้านความปลอดภัยที่เหมาะสมที่สุด
• ข้อควรพิจารณาเมื่อนำเทคโนโลยีใหม่มาใช้: เมื่อนำเทคโนโลยีใหม่มาใช้ ควรตรวจสอบประเด็นด้านความปลอดภัยอย่างรอบคอบ และระบุช่องโหว่ที่อาจเกิดขึ้นล่วงหน้าเพื่อเตรียมมาตรการรับมือ ซึ่งเป็นเรื่องสำคัญต่อการป้องกันการโจมตีทางไซเบอร์ เช่น การแฮ็ก

[GN⁺]

ความเห็นจาก Hacker News

• โมเดล Zero Trust: สิ่งสำคัญคือการปฏิบัติต่อเครือข่ายภายในองค์กรเสมือนเป็นเครือข่ายภายนอกและไม่ไว้วางใจอย่างสมบูรณ์ Google นำแนวคิดนี้ไปใช้ผ่าน BeyondCorp เพื่อป้องกันการถูกเจาะจากภายใน

• ความไม่สอดคล้องกันระหว่างความปลอดภัยกับผลกำไร: ความขัดแย้งระหว่างความปลอดภัยกับผลกำไรแก้ไขได้ยากหากไม่มีการเปลี่ยนแปลงทางวัฒนธรรม ขณะนี้ยังไม่ชัดเจนว่าอะไรจะเป็นตัวกระตุ้นให้เกิดการเปลี่ยนแปลงนั้น

• ความเป็นจริงของความมั่นคงปลอดภัยไซเบอร์: อุตสาหกรรมไซเบอร์ซีเคียวริตี้มักให้ความสำคัญกับการทำตามข้อกำหนดมากกว่าความปลอดภัยจริง มาตรฐานด้านการปฏิบัติตามข้อกำหนดยังไม่เพียงพอหรือไม่ได้ถูกบังคับใช้อย่างเหมาะสม

• ความสัมพันธ์ระหว่างรัฐบาลกับบริษัท: บริษัทที่ขายผลิตภัณฑ์ให้ภาครัฐสามารถทำเงินได้มาก และเพื่อสิ่งนั้นก็มักปกปิดด้านลบเอาไว้ สิ่งนี้นำไปสู่การเสื่อมถอยของจริยธรรมพื้นฐานและความซื่อสัตย์

• แรงจูงใจด้านความปลอดภัย: แรงจูงใจด้านความปลอดภัยมีไม่เพียงพอ พนักงานฝ่ายขายได้รับรางวัลตามผลงาน แต่พนักงานด้านความปลอดภัยกลับถูกไล่ออกหากไม่มีผลงาน สิ่งนี้บ่อนทำลายวัฒนธรรมด้านความปลอดภัย

• การให้ความสำคัญกับความปลอดภัยเป็นอันดับแรก: คำพูดของผู้บริหารที่ว่า "ให้ความสำคัญกับความปลอดภัยก่อน" ไม่ได้สำคัญนัก หากไม่มีการให้รางวัลกับวัฒนธรรมด้านความปลอดภัย พนักงานก็จะปรับตัวไปตามลำดับความสำคัญอื่น

• แนวทางด้านความปลอดภัยของ Microsoft: Satya Nadella ซีอีโอของ Microsoft กล่าวว่าบริษัทให้ความสำคัญกับความปลอดภัยเป็นอันดับแรก แต่ในความเป็นจริงกลับมุ่งเน้นไปที่โฆษณาและการบันทึกกิจกรรมของผู้ใช้

• การใช้สมาร์ตการ์ดของรัฐบาล: รัฐบาลสหรัฐใช้การยืนยันตัวตนด้วยสมาร์ตการ์ดเพื่อเสริมความปลอดภัย อย่างไรก็ตาม หากปิดใช้งาน Seamless SSO ผู้ใช้จะเข้าถึงคลาวด์ได้ยากขึ้น

• การให้ความสำคัญกับผลกำไรเป็นอันดับแรก: บริษัทส่วนใหญ่ให้ความสำคัญกับผลกำไรมากกว่าความปลอดภัย นี่ไม่ใช่ปัญหาของ Microsoft เพียงรายเดียว

• การโจมตีแบบ Golden SAML: Golden SAML ไม่ใช่ช่องโหว่ แต่เป็นประเภทของการโจมตี หากโครงสร้างพื้นฐาน SSO ถูกเจาะ ทุกอย่างก็จะตกอยู่ในความเสี่ยง

• คำอธิบายเชิงอุปมา: มีการยกอุปมาถึงบริษัทก่อสร้างสะพานที่เพิกเฉยต่อข้อบกพร่องเชิงโครงสร้างจนสะพานถล่ม เพื่ออธิบายว่าสิ่งที่คล้ายกันนี้ก็เกิดขึ้นในอุตสาหกรรมไอทีเช่นกัน

• ความจำเป็นของกฎระเบียบทางกฎหมาย: จำเป็นต้องมีกฎระเบียบทางกฎหมายเกี่ยวกับความปลอดภัยของเครือข่าย และกำลังมีการตระหนักมากขึ้นว่าเทคโนโลยีไม่สามารถกำกับดูแลตัวเองได้ หากรัฐบาลสหรัฐไม่ไว้วางใจคลาวด์ของ Microsoft ก็แทบไม่มีทางเลือกอื่นมากนัก