پرونده دستگاه ضبط صدای اوپن‌ای‌آی؛ درس‌هایی از هفته‌های پیش از کشف ماجرا
تهدیدهای داخلی؛ بررسی دقیق پرونده اخیر اوپن‌ای‌آی
موضوع تهدیدهای داخلی در سازمان‌ها بیش از گذشته مورد توجه قرار گرفته است؛ به‌ویژه پس از پرونده اخیر مربوط به یکی از مهندسان اوپن‌ای‌آی.
وزارت دادگستری آمریکا در ۱۳ اکتبر اعلام کرد که علیه مهندسی اعلام جرم شده است که متهم است مخفیانه یک دستگاه ضبط صدا را در اتاق کنفرانس مدیران شرکت، در دفتر مرکزی اوپن‌ای‌آی در سان‌فرانسیسکو، نصب کرده است.
بر اساس شکایت مطرح‌شده، این اتاق محل برگزاری نشست‌هایی درباره اطلاعات حساس فنی، تجاری و راهبردی بوده است.
مقام‌های فدرال این پرونده را مسئله‌ای مرتبط با امنیت ملی دانسته‌اند؛ موضوعی که فراتر از نظارت معمول بر فعالیت‌های یک شرکت است.
پس از کشف دستگاه، کارکنان اوپن‌ای‌آی به‌سرعت دست به کار شدند و اف‌بی‌آی تنها ۹ روز بعد مظنون را بازداشت کرد.
این شرکت از مدل‌های هوش مصنوعی خود برای بررسی ماهیت دستگاه و ردیابی منشأ آن استفاده کرد؛ بررسی‌هایی که مستقیماً به یکی از کارکنان شرکت رسید.
در روش‌های تحقیق پیش از گسترش هوش مصنوعی، شناسایی فرد مرتبط با چنین اتفاقی ممکن بود زمان بسیار بیشتری ببرد. شناسایی سریع در این پرونده، ظرفیت تحول‌آفرین هوش مصنوعی در حوزه امنیت سازمانی را نشان می‌دهد.
این رویداد ضرورت شناسایی پیش‌دستانه تهدیدهای داخلی را، به‌جای واکنش پس از وقوع حادثه، برجسته می‌کند. کشف دستگاه ضبط را باید پایان روند شکل‌گیری تهدید دانست، نه آغاز آن؛ به بیان دیگر، این اتفاق نقطه پایانی ماجرا بود، نه نقطه شروعش.
مسئله اصلی، بررسی هفته‌های پیش از کشف دستگاه است؛ دوره‌ای که فعالیت‌های ظاهراً کم‌اهمیت آن، وقتی در کنار یکدیگر قرار می‌گیرند، تصویری نگران‌کننده ترسیم می‌کنند.
کشف دستگاه؛ نقطه اوج تهدید
در بسیاری از پرونده‌های مربوط به تهدیدهای داخلی، لحظه کشف یک نقطه عطف به شمار می‌رود. این کشف ممکن است به یک شیء فیزیکی، مانند دستگاهی قابل لمس، مربوط باشد یا به نشانه‌ای دیجیتال، مانند ظاهر شدن فایل‌ها در محل‌هایی مشکوک. در هر دو حالت، تا زمانی که مسئله کشف می‌شود، تمرکز معمولاً به بررسی‌های جرم‌شناختی معطوف شده است؛ رویکردی که ذاتاً واکنشی است. در چنین شرایطی، محققان می‌کوشند رویدادهای گذشته را کنار هم بگذارند، نه اینکه پیش از وقوع حادثه از آن جلوگیری کنند.
همین مسئله اهمیت مدیریت پیش‌دستانه ریسک را برجسته می‌کند. شکایت کیفری نشان می‌دهد که روند مورد ادعا مدت‌ها پیش از پیدا شدن دستگاه آغاز شده بود و بخش قابل‌توجهی از فعالیت‌های نگران‌کننده در بستر نرم‌افزارهایی انجام گرفته بود که شرکت از قبل در اختیار داشت.
خط زمانی رفتارهای ادعایی
شکل ۱ مجموعه‌ای از نقاط قابل‌توجه پیش از وقوع حادثه را نشان می‌دهد. نخستین رویدادها در ماه ژوئیه آغاز شدند و روند وقایع تا بازداشت نهایی در اکتبر ادامه یافت.
باید تأکید کرد که اطلاعاتی که در ادامه می‌آید، بر ادعاهای مطرح‌شده در شکایت و اطلاعیه وزارت دادگستری آمریکا استوار است و نباید آن‌ها را یافته‌های قطعی تلقی کرد.
خط زمانی تنظیم‌شده، الگویی آشنا را آشکار می‌کند: شناسایی محیط و جمع‌آوری اطلاعات، برنامه‌ریزی، تهیه ابزار و در نهایت اجرا.
نکته مهم این است که کشف دستگاه در انتهای این روایت قرار می‌گیرد، در حالی که نخستین مرحله، یعنی شناسایی و بررسی محیط، از فعالیت‌های دیجیتال آغاز شده بود.
اقداماتی ظاهراً بی‌ضرر با پیامدهایی نگران‌کننده
پیچیدگی تهدیدهای داخلی در سازمان‌های امروزی از آنجا ناشی می‌شود که رفتارهای ظاهراً عادی می‌توانند بخشی از مجموعه‌ای هماهنگ از اقدامات باشند که در جریان فعالیت‌های مشروع روزمره انجام می‌گیرند.
هر یک از نشانه‌های اولیه در این پرونده را می‌شد به‌راحتی با دلیلی بی‌ضرر توضیح داد: مهندسانی که اتاق جلسه رزرو می‌کنند، پرس‌وجو درباره نحوه چیدمان صندلی‌های مدیران یا رفت‌وآمدهای معمول در نزدیکی اتاق‌های کنفرانس. ابزارهای متعارف نظارتی ممکن است چنین رفتارهایی را شناسایی نکنند.
رویه‌های امنیتی موجود ممکن است از کنار این جزئیات بگذرند. جابه‌جایی داده‌ها شاید هیچ هشداری ایجاد نکند و در نتیجه اقدامی صورت نگیرد. همچنین، ممکن است هیچ‌یک از رویدادها به‌تنهایی از آستانه تعیین‌شده برای هشدار عبور نکند و سامانه‌های تشخیص تهدید همچنان غیرفعال بمانند.
امتیاز ناهنجاری رفتاری ممکن است اندکی تغییر کند، اما از آنجا که هر انحرافی به‌خودی‌خود به معنای وجود خطر نیست، چنین تغییراتی اغلب نویزهای کم‌اهمیت تلقی می‌شوند و نادیده گرفته می‌شوند.
نکته اساسی، تفسیر این الگوها در بستر مناسب است. وقتی مهندسی که مستقیماً در جلسات مدیران حضور ندارد، محل گردهمایی مدیران را بررسی می‌کند و در نزدیکی جلسات آن‌ها پرسه می‌زند، پرسش‌های مهمی مطرح می‌شود: «چه عاملی پشت این رفتار است؟» و «کدام فعالیت‌های پیشین می‌توانند به درک این وضعیت کمک کنند؟»
برای عبور از تشخیص صرف ناهنجاری و رسیدن به ارزیابی واقعی ریسک، باید این انحراف‌ها را در کنار هم قرار داد و از آن‌ها روایتی منسجم ساخت. هر رفتار به‌تنهایی ممکن است بی‌ضرر باشد، اما هم‌زمانی و هم‌گرایی چند رفتار می‌تواند نشانه‌ای جدی از خطر باشد.
تحلیل پس از حادثه؛ نقشه راه
سازمان‌ها اغلب می‌پرسند چگونه می‌توان تهدیدهای داخلی را پیش از وقوع حادثه شناسایی کرد. در ادامه، چند راهکار عملی ارائه شده است:
- شناسایی و بررسی محیط را نشانه‌ای کلیدی بدانید. بیشتر سامانه‌های تشخیص تهدید بر رویدادهای خروج غیرمجاز داده‌ها تمرکز دارند. با این حال، فرصت مهم‌تر برای شناسایی خطر زمانی است که افراد در حال آشنایی با محیط و برنامه‌ریزی اقدامات خود هستند.
- زمینه انسانی را در ارزیابی‌ها لحاظ کنید. داده‌ای مانند «جست‌وجو برای یافتن تقویم جلسات مدیران» بدون در نظر گرفتن زمینه، معنای چندانی ندارد. شناخت مسئولیت‌های فرد و تغییراتی که در موقعیت او رخ داده است، به محققان کمک می‌کند رفتارهای مورد انتظار را از فعالیت‌هایی که نیازمند بررسی دقیق‌ترند، تفکیک کنند.
- شواهد پراکنده را به روایتی منسجم تبدیل کنید. در این پرونده، کنار هم گذاشتن اطلاعات ابزار بهره‌وری، یک حساب کاربری چت‌بات و تصاویر دوربین‌های نظارتی، تصویری جامع‌تر ارائه می‌دهد. تنظیم شواهد مرتبط بر اساس ترتیب زمانی به تیم‌های امنیتی کمک می‌کند ارتباط میان رویدادها و رفتارهای بالقوه نگران‌کننده را بهتر تشخیص دهند.
- بررسی دقیق را بر اتهام‌زنی مقدم بدانید. نشانه‌های اولیه باید بررسی بیشتر را در پی داشته باشند، نه اینکه به نتیجه‌گیری شتاب‌زده منجر شوند. تیم‌ها می‌توانند فردی را برای نظارت دقیق‌تر علامت‌گذاری کنند و اطمینان یابند که بخش‌های مرتبط، از جمله امنیت، منابع انسانی و حقوقی، از نقش و مسئولیت خود آگاه هستند.
- محدودیت‌های نظارتی را بپذیرید. برخی نشانه‌ها ممکن است خارج از محدوده ابزارهای متعارف نظارت قرار بگیرند. فعالیت‌های دیجیتال و فیزیکی که از طریق سوابق تردد با کارت شناسایی یا تصاویر دوربین‌ها ثبت می‌شوند، باید جداگانه از داده‌های تله‌متری دیجیتال ارزیابی شوند. برنامه‌های مؤثر باید بررسی رفتارها را با امنیت فیزیکی و منابع انسانی هماهنگ کنند و مرزهای روشنی برای فعالیت‌هایی که تحت نظارت قرار می‌گیرند، تعیین کنند.
رویکردی پیش‌دستانه در برابر تهدیدها
بیشتر راهکارهای مدیریت ریسک داخلی رویکردی واکنشی دارند؛ یعنی منتظر می‌مانند تا نقض یک سیاست یا عبور از آستانه‌ای مشخص رخ دهد و سپس به کارکنان امنیتی هشدار می‌دهند و روند تحقیق را آغاز می‌کنند.
این روش زمانی کارآمد است که خطر در قالب ناهنجاری‌هایی آشکار بروز کند، اما در مواجهه با الگوهای ظریف رفتاری که طی مدتی طولانی شکل می‌گیرند، کارایی کمتری دارد؛ وضعیتی که در پرونده اخیر نیز دیده می‌شود.
اتخاذ رویکردی پیش‌دستانه مستلزم بررسی پیوسته رفتارها در همان زمانی است که در حال شکل‌گیری هستند؛ رویکردی که به قواعد از پیش تعیین‌شده محدود نمی‌ماند.
تحقیقات مبتنی بر هوش مصنوعی می‌توانند هویت افراد، پلتفرم‌های نرم‌افزاری به‌عنوان خدمت (SaaS) و نقاط پایانی شبکه را بررسی کنند و پرسش‌هایی مشابه پرسش‌های یک تحلیلگر امنیتی باتجربه مطرح سازند: «این فرد کیست؟ رفتار معمول او چگونه است؟ چه تغییراتی رخ داده است و چرا اکنون؟»
در پرونده‌هایی که به بررسی بیشتر نیاز دارند، تحلیلگران باید به اطلاعات زمان‌بندی‌شده و استدلالی جامع دسترسی داشته باشند، نه اینکه صرفاً با هشدارهای جداگانه‌ای روبه‌رو شوند که برای فهم ارتباط میان آن‌ها باید به‌طور مستقل بررسی شوند.
رسیدگی به تهدیدهای داخلی بیش از آنکه صرفاً مسئله‌ای مربوط به سیاست‌ها و مقررات باشد، چالشی در زمینه تحقیق و کشف واقعیت است.
زمان‌بندی نقشی اساسی دارد؛ هرچه الگوهای زیان‌بار زودتر شناسایی شوند، گزینه‌های بیشتری برای رسیدگی به وضعیت در اختیار سازمان قرار می‌گیرد و احتمال گفت‌وگو به‌جای رویارویی افزایش می‌یابد.
چالش اصلی، شناسایی زمانی است که خطر شروع به شکل‌گیری می‌کند، نه انتظار کشیدن تا زمانی که دستگاه ضبط صدا کشف شود.