تاکنون مقالات زيادي به شبکه پلی‌استیشن سونی، P SN، اختصاص داده شده است که در پی نفوذ هکرها از کار افتاد. این رخداد به شدت كانون توجه همگان قرار گرفت و به سبب طرح سؤالات فراوان از سونی، مایه شرمندگی مدیران اين شركت شد. سؤالاتی که به برخی از آن‌ها هنوز هم پاسخ قانع‌کننده‌ای داده نشده است. محافظت در برابر تمام مشکلات امنیتی یک محصول به سادگی امکان‌پذیر نیست؛ اما ارزیابی مناسب ریسک حداقل نشان خواهد داد که این مشکلات احتمالی چه خواهند بود و امکان تصمیم‌گیری آگاهانه را فراهم خواهد آورد. این موضوعی است که هم برای سازمان و هم برای شمابه‌عنوان مصرف کننده بسیار مهم است. شايد شما استیو جابز یا استیو بالمر نباشید يا شرکتی که در آن مشغول کار هستید، ممکن است یک جامعه بازی آنلاین نداشته باشد و ممکن است که به فروش کنسول‌های بازی نپردازد؛ اما به یقین مصرف‌کننده کالاها و خدماتی هستید که دست‌كم امیدوارید «امنیت» داشته باشد. اگر پول خود را در بانک می‌گذارید، امید دارید که تا زمانی می‌خواهید آن را برداشت کنید، سر‌جایش باقی بماند. اما مهم‌ترين موضوع این است که به دلیل استفاده بسیار محصولات از عناصر و بخش‌هایی که بر مبنای فناوری کار‌می‌کنند، امنیت در حال تبدیل شدن به مقوله‌ای با اهمیت روزافزون است. به عنوان مثال، ممکن است شما امروزه از بانکداری آنلاین استفاده کنید. در اتفاقی که برای سونی رخ داد، نكته‌هاي بسیاری وجود دارد که افراد چه از دید فنی و چه از دید تجاری می‌توانند از آن‌ها درس بگیرند. این رخداد به‌ویژه تأثیر فرهنگ‌هایی را با ارزیابی ریسک ضعیف به خوبی نشان‌می‌دهد. شاید برآورد شرکت‌ها از میزان نگرانی‌های مشتریانشان در زمینه‌های امنیتی و ریسک‌های تکنولوژیک، کمتر از حد واقعی آن باشد. شبکه پلی‌استیشن خدمات شبکه پلی‌استیشن سونی، از دید مشتریان پیشنهاد فریبنده‌ای به نظر می‌رسد. علاوه‌بر فراهم‌آوردن امکان رقابت آنلاین، مشتریان می‌توانند از طریق این شبکه به گشت‌وگذار در اینترنت پرداخته، به‌صورت آنلاین فیلم ببینند و بسیاری از کارهای دیگر را انجام دهند. نخستين جذابیت این شبکه در مجموعه بازی‌های قابل دانلود آن نهفته است. این بسته جذاب که کاربری ساده‌ای نیز دارد، در سراسر جهان 77 میلیون کاربر (فقط 3 میلیون نفر در انگلیس) را به خود جذب کرده است. اما در پشت این شبکه چه می‌گذرد؟ نکته اول: دسترسی سریع به خدمات است كه به طور معمول به هویت‌سنجی سریع و پرداخت‌های آنی و یکپارچه با سیستم تعبیر می‌شود و این خود به معنای ذخیره‌سازی اطلاعات مرتبط با کاربر (مثلاً شماره کارت اعتباری) در محل‌هایی با دسترسی ساده است. زمانی که شما چنین داده‌هایی را ذخیره کنید، چیزی در اختیار دارید که ارزش سرقت شدن را دارد. نکته دوم: کاربر نهایی (فردی که در خانه با پلی‌استیشن بازی می‌کند) ممکن است تصور کند که محصول امنی را خریداری کرده، زیرا برای اطلاعات خود کلمه عبور تعریف کرده است. اما آنچه که نمی‌تواند ببیند، این است که زیرساختی که تمام این خدمات را پشتیبانی می‌کند، چندان امن نیست. نکته سوم: اگر شما محصولی برای جوانان و افراد آشنا با فناوری عرضه می‌کنید، محصولی که باید به‌صورت جهانی قابل دسترسي باشد، شما در واقع در حال ايجاد يك نگاشت به جامعه افرادي هستيد كه بيشترين علاقه را به آزمايش فناوري‌هاي جديد دارند. هیچ‌کدام از این موارد، موضوعاتی محرمانه و ناشناخته نبودند. پس چه چیزی مایه اشتباه شد؟ داستان سونی بنا به اظهارات سونی، این رویداد نفوذی بود که از مكاني بیرون از مجموعه سونی صورت گرفته بود و به یقین به افشای بخش‌هایی از داده‌های کاربران منجر شده بود. بخش‌هایی نظیر نام کاربری، آدرس (شهر و ایالت و کدپستی)، کشور، آدرس پست الکترونیک، تاریخ تولد و کلمه عبور P SN از جمله داده‌های افشا شده بودند. علاوه بر این جزئیات به نظر می‌رسد که داده‌های بیشتری نظیر اطلاعات کارت‌های اعتباری و اطلاعات حساب‌های پایین دستی (نظیر حساب‌هایی که والدین ایجاد کرده و از طریق آن حساب‌های فرزندانشان را شارژ می‌کردند) نیز فاش شده‌اند. به يقين، گزارش‌های برخی مطبوعات نیز چنین مواردی را تأیید می‌کنند. توصیه سونی اتخاذ راهکارهای احتیاطی (مثلاً تماس با بانک و اعلام افشای اطلاعات کارت بانکی) است.نخستين ادعاهای سونی درباره رهبری و پیاده‌سازی این حمله از طریق گروه هکری «ناشناس» (Anonymous) بلافاصله توسط این گروه رد شد. گروه هکری ناشناس به سرعت و به‌صورت رسمی دخالت در این عملیات را رد کرد. به نظر می‌رسد، این ادعا تنها تلاشی برای توجیه مشکل به‌وجود آمده بود که در هر صورت چندان پذیرفتنی نبود. ریشه اصلی این رخداد نتیجه تأثیر عملیات و اتفاقات بیرونی نبود، بلکه در (سیستم‌های امنیتی) خود سونی نهفته بود. ارزیابی امنیت،بايدها و نبايدها در تئوری، اصول پذیرفته‌شده‌ای وجود دارند که هرگاه سازمانی (دولتی) یا مجموعه‌ای تجاری قصد راه‌اندازی خدمات فناورانه جدیدی (مانند یک فروشگاه آنلاین) را داشته باشد، باید به آن‌ها پای‌بند باشد. خلاصه این اصول به این شرح است: سازمان‌ها باید در سیاست‌نامه‌ای مدون، اعلام کنند که محصول جدید به ارزیابی ریسک امنیتی نیاز دارد. در یکی از مراحل آغازین پروژه جدید، با متخصصان امنیتی سازمان مشورت شود تا آن‌ها اعلام کنند که کدام نمونه از خصیصه‌های امنیتی باید در محصول جدید گنجانیده شود. پیش از راه‌اندازی محصول، آزمایش‌های لازم برای اطمینان از پیاده‌سازی خواسته‌های متخصصان امنیت انجام شود. این مورد می‌تواند حتی شامل آزمايش نفوذ (هک اخلاقی) نیز باشد. هر مشکل یافته شده، گزارش شده و پیش از ارائه محصول به بازار برطرف شود.اما در عمل قضیه بسیار متفاوت است. اگر سازمانی به این نتیجه برسد که سایر موارد (مثلاً عرضه سریع محصول به بازار) مهم‌تر از امنیت محصول است، ممکن است از این اصول تعدی‌کرده و از مراحل گفته‌شده صرف‌نظر کند. مشتریان در اغلب موارد درباره «امنیت» به عنوان بخشی از محصولی که خریداری می‌کنند، پرس‌وجو نمی‌کنند. به نظر شما چه تعداد از نوجوانانی که مشتاق خرید PS3 هستند، واقعاً درباره امنیت جزئیات حساب‌های مالی والدین‌شان فکر می‌کنند؟ ممکن است متخصصان امنیت گاهی با یافته‌ها و مواردی روبه‌رو شوند که درک آن‌ها مشکل و بسیار پیچیده باشد یا به روشنی توصیف نشده باشد. همچنین ممکن است گاهی بسیار دیرتر از آن‌که بتوانند تغییری اساسی ایجاد کنند، به یک پروژه دعوت شوند. چشم‌انداز فرهنگی؛ تصمیم‌گیری در خلاء؟ در این مورد خاص فرهنگ تجاری‌حاکم بر سونی، ممکن است یکی از عوامل بسیار مهم جریان باشد. این نخستين‌باری نیست که سونی دست به یک بازی (حرکت) سریع زده و در آن شکست خورده است. در اکتبرسال 2005 این نکته مطرح شد که دیسک‌های موسیقی سونی برای «مدیریت حقوق دیجیتال» روتکیتی را روی کامپیوترهای کاربران نصب می‌کنند. یافتن و از بین‌بردن این روتکیت کار چندان مشکلی نبود و این کار مطابق قوانین بسیاری از کشورها جرم محسوب می‌شد. این قضیه به صورت قابل بحثی کاربران را در معرض ریسک‌های امنیتی خطرناک قرار می‌داد.آیا دلیل این امر به سادگی ارزش کمتر ملاحظات امنیتی نسبت به ملاحظات تجاری بود؟ شاید توسعه‌دهندگان مجبور به عرضه محصولی شده بودند که به‌صورت ذاتی از امنیت پایینی برخوردار بود یا حتی قابلیت‌های امنیتی در آن پیش‌بینی نشده بود. این اتفاق ممکن است به این دلیل رخ دهد که آن‌ها در اين زمينه آموزشي نديده‌اند يا شرح وظایف این توسعه‌دهندگان بدون ملاحظات امنیتی تعریف شده است. اگر عرضه محصول به واسطه محدودیت زمانی تحت فشار باشد، دیگر برای آزمایش‌های سنگین امنیتی روی زیرساخت نگه‌دارنده محصول جایی وجود نخواهد داشت. به هر حال کاربر نهایی از امنیت برخوردار خواهد بود. چرا نگران چیز دیگری باشیم؟اما از نقطه نظر فرهنگی‌هنوز مشکل دیگری نیز در زمینه تصمیم‌گیری وجود دارد. در سازمان‌های به شدت سلسله مراتبی، نیروی واقعی تصمیم‌گیرنده معمولاً تماماً در بالای هرم سلسله مراتب متمرکز‌شده‌است. سطحی که در آن معمولاً از متخصصان فنی خبری نیست و این متخصصان جایی در این سطوح ندارند. ارزیابی ریسک چندان آسان نیست و اگر به واقعیت‌ها و حقایق دسترسی نداشته باشید، دشوارتر هم خواهد شد. این امر باعث خواهد شد که مدیران رده بالا به جای ارزیابی میزان ریسک (که فرآیندی پر‌دردسر و مستلزم درگیر‌شدن با جزئیات است) درباره اندازه آن «تصمیم بگیرند». با این اوصاف، آیا مدیران سونی به عنوان یک سیاست کلی درباره همه محصولات یا فقط درباره این محصول اصلی و راهبردی، در زمینه امنیت دست به «تصمیم‌گیری» زده‌اند؟ چنین کاری به سادگی زمینه را برای رخدادهای بعدی فراهم خواهد کرد.آیا ارزیابی ریسک به شیوه درست پیاده شده یا تنها میانبرهایی برای عبور سریع از مراحل مختلف تولید محصول برای رسیدن به مهلت زمانی خاصی بوده است؟ آیا شبکه به شیوه‌ای مناسب تفکیک شده بود تا بخش‌های مرتبط با بازی از بخش‌های مربوط به پرداخت‌ها مجزا شود؟ آیا برای آزمایش تمام و کمال سیستم زمان کافی اختصاص داده شده بود؟ بسیاری از شرکت‌ها با عرضه نسخه‌های بتا و فراهم آوردن امکان گزارش‌خطا برای کاربرانشان، از این مرحله به سرعت عبور می‌کنند. اگرچه این شیوه ممکن است ارزان و رضایت‌بخش به نظر برسد، اما در همه شرایط اقدامی درست و اصولی نخواهد بود.
