¿Cuáles son las peores infracciones de la política de TI que ha hecho o escuchado en su empresa?

Hace algunos trabajos, la compañía para la que trabajé contrató a un contratista para mejorar el rendimiento y la eficiencia de la red. Esta era una especialidad suya, y saltó de contrato en contrato, de compañía en compañía.

Era contrario a nuestras políticas conectar recursos personales o de otro tipo (computadoras) a nuestra red. Varios empleados notaron que este contratista tenía cables de ethernet, teclado, mouse y monitor que conducían a un gabinete cerrado con llave.

Tenía una personalidad abrasiva y había molestado a casi todos los empleados que tuvieron la desgracia de trabajar con él. Esto, junto con la violación de la política, hizo que la decisión de apoderarse de lo que estaba ocultando fuera fácil.

Un día que no estaba trabajando, abrimos la cerradura y encontramos su computadora portátil personal. Quitamos el disco duro, hicimos una copia forense y comencé a investigar el contenido. En los primeros 30 minutos, estaba claro que estaba guardando todos los detalles de cada uno de sus trabajos de consultoría en esta computadora portátil. Estos detalles incluyen diagramas, direcciones y credenciales de inicio de sesión para todos los enrutadores, conmutadores, firewalls y otros equipos de red de una empresa. Las llaves del reino más o menos.

Nada de eso estaba encriptado. Su disco no estaba encriptado, y ninguna de las direcciones IP, nombres de usuario o contraseñas estaban encriptadas.

Aparte de nuestra empresa, había trabajado para algunas organizaciones muy sensibles de DOD / DOE. Esta unidad contenía todo lo que necesitarías para entrar en su red, suponiendo que no hubieran cambiado todas sus contraseñas después de que él se fuera (lo que deberían haber hecho, pero sé que por experiencia en consultoría, probablemente no) notifiqué inmediatamente al FBI, y les entregó el disco duro original. Estaba muy enojado porque no recuperó su disco duro, y no parecía entender lo que había hecho mal.

La peor que recuerdo fue una utilidad de servicio de asistencia que almacenaba contraseñas de texto sin cifrar y números de tarjetas de crédito en los directorios personales de las personas en un servidor utilizado para el correo electrónico. Todos los usuarios tenían el inicio de sesión deshabilitado, pero aún podía ingresar desde la cuenta de cualquier usuario y recorrer los directorios de inicio de otros usuarios. Entonces, pude encontrar rápidamente la contraseña y el número de tarjeta de crédito del CEO. Estaba trabajando como técnico de soporte telefónico hasta que encontré esto, casi inmediatamente después de que fui promovido a administrador de sistemas. 😉

He visto algunos muy malos a lo largo de los años, pero nada que comparar con eso. La misma utilidad de servicio de asistencia se escribió como un script de shell, y se puede romper fácilmente para obtener un mensaje de Unix. Hay partes de mí que desearían poder vivir en un mundo en el que ese tipo de cosas estuviera bien, porque no había personas tratando de forzar las cosas y utilizar la información de manera maliciosa.