היסטוריית העבודה של סנודן מעוררת ויכוח על מעקב אחר כוח אדם מסולק

למדליף הסוכנות לביטחון לאומי, אדוארד סנודן, היו שלדים בארון שלו, שככל הנראה מערכות רישומי עובדים לא חלקו עם ה-NSA, מה שמעלה את הסוגיה האם צוות שאושר צריך להיות תחת מעקב מתמשך. כיום, מרגע שעובד מקבל אישור ביטחוני, סוכנויות יכולות לבצע חקירות מעקב כל חמש שנים או כאשר מתגלה מידע משפיל.

הניו יורק טיימסבשבוע שעבר דווח כי ה-NSA החמיצה תלונות מהממונה לשעבר של סנודן ב-CIA על הרגלי העבודה המטרידים של סנודן (המפקח חשד שהטכנאי ניסה לגשת באופן בלתי הולם לקבצים מסווגים), ככל הנראה מכיוון שהמערכות המנהלות אישורי עובדים תיעדו רק הפרות כללים חמורות, לא חשדות לגבי אישיים הִתְנַהֲגוּת.

בספטמבר, סגן מזכיר משרד ההגנה לשעבר, ג'ון האמרטעןבוושינגטון פוסט כי מישהו בעמדה של סנודן צריך להיות נתון למעקב רציף, אולי אוטומטי. בדיקה מתמשכת כזו צריכה לחול על כל מי שיש לו אישורים ברמה גבוהה, כולל האמר עצמו, אמר.

מעקב אלקטרוני אחר עובדים מסולקים אפשרי מבחינה טכנית, לדברי מהנדסי מחשבים. מנהלים פדרליים, למשל, יכלו לקרוא התראות מתוכנות ריגול המותקנות בטלפון הסלולרי האישי של העובד. אבל ריגול אחר כל כוח העבודה שאושר יהיה בלתי חוקי - אלא אם כן יונפקו כללים פדרליים חדשים.

כיום, התיקון הרביעי, חוק הפרטיות וחוקים ותקנות אחרים של חירויות האזרח אוסרים מעקב אחר עובדי ממשלה מחוץ למקום העבודה.

מלבד לבקש מעובדים בעלי אישורים ברמה גבוהה לוותר על זכויות הפרטיות שלהם, "הממשלה פשוט לא רשאית לבצע מעקבים באמצעות האזנות סתר" או הפעלה מרחוק של "המיקרופון של טלפונים סלולריים או מחשבים אישיים", אמר גרג רינקי, עורך דין המתמחה במשפט צבאי. מייצג מבקשי אישור ביטחון לאומי.

על פי הדיווחים סנודן הסתמך על שירות דואר אלקטרוני מוצפן, בשם Lavabit, כדי להסתיר את פעילותו. הקבלן לשעבר של ה-NSA מבוקש כעת על ידי הממשל הפדרלי בגלל חשיפת סודות המעקב הפנימי לעיתונות. לפי יום שניסיפור וושינגטון פוסט, סנודן הדליף לעיתון מסמכים המראים ש-NSA מוציאה אנשי קשר מחשבונות דואר אינטרנט אישיים והודעות מיידיות בקצב של יותר מ-250 מיליון רשימות בשנה, כולל פנקסי כתובות של אמריקאים רבים.

כל מעקב אלקטרוני מורשה עתידי של צוות מסולק יצטרך להתבצע בזהירות רבה, מזהירים תומכי הפרטיות. אחרת, התהליך עלול למרוח עובדים חפים מפשע או להמליץ ​​על הרעים.

רוב המנגנונים הקיימים לאיתור איומי פנים פוטנציאליים נגועים בתוצאות חיוביות כוזבות ומסתכנים ברצח אופי שגוי והסקות מוטעות אחרות, אמר פיטר ג' נוימן, מדען מחשבים של SRI International, מכון מחקר ללא מטרות רווח. הוא שיתף דעות אישיות, לא של מעסיקו או כל סוכנות ממשלתית שהוא ייעץ לו.

"אם מישהו גולש בנושא שמעלה התראה אוטומטית, יכול להיות שהאדם הזה מנסה לפתור תשבץ", אמר נוימן. "אם אני מקבל מספר שגוי בטלפון הנייד שלי או שיחת הונאה, אני מקושר כוזב עם המתקשר, באופן בלתי הפיך."

נוסחאות מחשב כנראה אינן חכמות מספיק כדי לחוש שחקר תרופות מועדונים באינטרנט מתוך דאגה לבריאותו של ילד שונה מחקר תרופות מועדונים כדי למצוא את השיא הטוב ביותר. "ההקשר הוא הכל, ולעתים קרובות מתעלמים ממנו", אמר נוימן.

הוא הוסיף כי כל מעקב דיגיטלי צריך להתבצע "בזהירות רבה, תוך פיקוח רציני והודאה גלויה על מה שעושים [מעסיקים]".

עם זאת, הודאה בגלוי במעקב אחר עובדים עלולה להציג חולשות אבטחה אחרות. "מה לגבי הטיעון שאם הממשלה תחשוף מה היא עושה, אולי אנשים יוכלו לעקוף את זה?" נוימן שאל אם אני משתמש בהצפנה בגלל סודיות ארגונית, האם זה אומר שאני מסתיר משהו.

ומעקב ממוחשב לבדו כנראה לא יעצור את הסנודן הבא. הוא היה מנהל מערכת שתפקידולפי הדיווחנדרש גישה והעברת מסמכים רגישים. כדי להילחם באיום פנימי מובנה שכזה, הממשלה יכולה להעניק הרשאות גישה אולטימטיביות של "משתמש-על" למנהל המודיעין הלאומי או לאנשי צוות בכירים אחרים.

אבל המהלך הזה טומן בחובו גם סיכונים.

"זהו מדרון חלקלק עצום אם מערכות המחשוב כבר לא אמינות מספיק", אמר נוימן. ומי אומר שרשויות ברמה גבוהה יותר חסינות בפני תקלות? הוא הצביע על רוברט הנסן, סוכן FBI לשעבר שמכר סודות ארה"ב למוסקבה. "האנסן קיבל את המשימה למצוא את החפרפרת בתוך ה-FBI - שהיה הנסן עצמו", אמר נוימן.

אפילו מומחי אבטחת סייבר מציינים שמכונות היו מתקשות לזהות בעיות פילוסופיות שעשויות להניע אנשים כמו סנודן לחשוף מידע מסווג. סנודן אמר שהוא התאכזב מממשלת ארה"ב בזמן שעבד בתוך סוכנויות ביון.

סוכנויות חייבות להשתמש ב"בקרות גישה עדינות", כולל כלל חדש של שני אנשים האוסר על מנהלי מערכת לגשת למידע מפתח ללא נוכחות של אדם מורשה אחר, "כמו גם ניטור מבוסס תפקידים כדי לזהות מה מנהלי המערכת שלך עושים לעומת מה שהם צריכים לעשות. לעשות", אמר אריק צ'יו, נשיא HyTrust, חברה שעוזרת לארגונים להגן על זרימת נתונים דרך האינטרנט. "זו הדרך היחידה למנוע פריצות גדולות ואסונות מרכזי נתונים בעולם אלקטרוני ומקושר".