טראמפ, פנס, קלינטון, והגישה למיילים בארגון

החלפת נשיא בארצות הברית היא תמיד תהליך מסודר ומאורגן בדקדקנות; תהליך החפיפה בין המשטרים נמשך מספר חודשים (החל מתוצאות הבחירות בתחילת נובמבר ועד ה-20 בינואר, יום ההשבעה), ובמסגרתו מעבר לחפיפה בנושאים שלטוניים שונים, הנשיא החדש גם בוחר פריטי ריהוט ועיצוב פנים בהתאם להעדפות המשפחה הראשונה עבור המשרדים וחדרי המגורים. ביום כניסתו של הנשיא החדש לתפקיד, צוותים של עשרות אנשים דואגים לארוז, להוביל, לארגן ולעצב מחדש את הבית בשעה שכל המכובדים נמצאים באירועי ההשבעה. יש אפילו חוק מיוחד שמסדיר את התהליך.

זמן קצר לאחר כניסתו של הנשיא טראמפ לבית הלבן, דיווח אתר Politico דווקא על בלגאן בהתנהלות של אנשי טראמפ בימיו הראשונים בתפקיד. על פי הדיווח, חלק מאנשי התקשורת של הבית הלבן המשיך להשתמש בחשבונות האימייל הפרטיים שלהם, מכיוון שהחשבונות הרשמיים שלהם עדיין לא הוגדרו והיה צורך לתת מענה מיידי לשאלות מגורמי התקשורת.

Disorganization continued to be a running theme at the White House. Some of the White House’s press wranglers continued using personal email addresses because their official ones had yet to be set up, and there was confusion as to whether or not the prayer service was open to the press (it was).

איך זה שתהליך כל כך מסודר באומה שכל כך אוהבת נהלים ופרוצדורות, כשל בנקודה קטנה כזאת ועם זאת כה בסיסית? מכיוון שאין לי מידע פנים על הנעשה בבית הלבן או בצוותו של טראמפ, אני יכול רק לשער.
ייתכן שצוותו של טראמפ העביר את פרטי האנשים שצריכים כתובות מייל בשלב מאוחר יחסית לגורמי מערכות המידע בבית הלבן, ולכן לא הספיקו להקים להם משתמשים. ייתכן שהשמות הועברו מראש בזמן, אבל מכיוון שהחלפת הממשל נעשית ביום אחד תוך שעות ספורות לא ניתן היה לתת להם גישה לכתובות מייל רשמיות לפני כניסת הנשיא החדש לתפקידו בפועל, ופתיחת כתובות מייל לכמה מאות אנשים לוקחת זמן. ייתכן שהייתה תקלה טכנית במערכות המידע של הבית הלבן. וייתכן שהפרוצדורות של החלפת ממשל עדיין עוסקות בעיקר בהחלפת צבע הוילונות בחדר הסגלגל ואריזת הנעליים של הגברת הראשונה, ולא נותנות את הדעת לסידורים טכניים קטנים אחרים. 

כאשר בעלי תפקידים בארגונים משתמשים בכתובות מייל אישיות (לדוגמה: jon@castleblack.org), נוצרת בעיה ברצף הטיפול בנושאים שבתחום אחריותם ברגע שהם עוזבים את הארגון. כתובת מייל אישית היא לפעמים סימן למעמד בארגון – אדם שהוא מספיק חשוב והתפקיד שלו מספיק ייחודי כדי להצדיק כתובת מייל משל עצמו, ולפעמים היא דבר שגרתי שכל עובד מקבל לצורך עבודתו השוטפת.

מסיבות פרקטיות בדרך כלל לא נהוג שכל הארגון משתמש באותה כתובת מייל, ולפעמים אין לנו אינטרס לעשות חיים קלים למי שיבוא אחרינו, כמו במקרה של החלפת ממשל על ידי יריב אידיאולוגי. דווקא בגלל נסיבות כאלה, ומכיוון שלארגון כמערכת יש אינטרס של המשכיות ורצף תפעולי ברוב הנושאים, כדי לשקול הכנסה של שיטות עבודה וטכנולוגיות שיאפשרו זאת.

דרך אחת, למשל, היא שימוש בכתובת מייל צוותית או מחלקתית, ממנה ינותבו תכתובות מקצועיות לגורמים הרלוונטיים. כתובת מייל כזאת לא צריכה להחליף בעלים בכל פעם שמתחלפת הנהלה או שאנשים בצוות עוזבים. מספיק להחליף סיסמאות ולתת את הסיסמה העדכנית לצוות החדש. במקרה של אנשי התקשורת בממשל טראמפ, אילו הייתה להם כתובת מייל צוותית קבועה, הם היו יכולים להשתמש בה במקום בכתובות המייל הפרטיות שלהם כדי לתקשר עם כלי התקשורת.

אפשרות נוספת היא קביעת נהלים ברורים להקמה של משתמשים וכתובות מייל לעובדים חדשים במערכות המידע הארגוניות, כולל לוח זמנים קשיח לביצוע. בלא מעט ארגונים גדולים יש מערכת פנימית של העברת בקשות להקמת משתמשים ופתיחת הרשאות למערכות ארגוניות, והבקשות אמורות לעבור באופן מסודר, אבל בעלי תפקיד חדשים לעתים ממתינים זמן ממושך לטיפול בבקשות כאלה. בדרך כלל ידוע לארגון על כניסתו של בעל תפקיד מסוים מספר ימים לפחות לפני תחילת עבודתו בפועל, ואין סיבה שבקשות למערכות המידע השונות לא יועברו ויטופלו בזמן.

שימוש בכתובות מייל פרטיות (כמו jon@hotmail.com) הוא בעייתי ביותר ממגוון סיבות. בהקשר שלנו, הבעיות כוללות שוב קושי לאתר תכתובות רלוונטיות לצורך שמירה על רצף בטיפול בנושאים שונים, מניעת העברה של מסרים סותרים, ובקרה כדי שדברים לא יפלו בין הכסאות.
בתכתובת ממשלתית רשמית יש הכרח נוסף והוא המחויבות לפרסם את התכתובות הרשמיות במסגרת חופש המידע. זה בדיוק מה שקרה לסגנו של טראמפ, מייק פנס.

לאחרונה נודע שסגן נשיא ארה"ב נעזר בחשבון האימייל הפרטי שלו כדי לנהל עניינים רשמיים של מדינת אינדיאנה בעת כהונתו כמושל. על פי הדיווחים בתקשורת האמריקנית, שימוש בחשבון מייל פרטי אינו אסור עפ"י החוק באינדיאנה, והטענות כלפי פנס הן בעיקר בשני נושאים: משלוח מיילים בנושאים רגישים בערוצים לא מאובטחים, ואי הכללת תוכן המיילים הפרטיים במסגרת דרישות חופש המידע שמחייבות פרסום של כל תכתובת רשמית. לאחר שחשבון האימייל האישי של פנס נפרץ על ידי האקרים, הוא עבר להשתמש בחשבון מייל פרטי אחר, כל זאת במקביל לשימוש במייל הרשמי שלו.

פרשת המיילים של פנס עוררה באופן טבעי השוואות לתופעה המקבילה אצל קלינטון. בתקופת מערכת הבחירות בארה"ב אי אפשר היה להתחמק מעיסוק בעניין שרת המיילים הפרטי של שרת החוץ לשעבר הילארי קלינטון, אשר גם היא הפעילה שירות מיילים פרטי במקביל לכתובת המייל הממשלתית שלה.

מדוע האנשים האלה, שנמצאים במשרות ציבוריות בכירות, לא יכולים להסתפק בכתובת המייל הרשמית שמסופקת להם על ידי הארגונים שבהם הם נמצאים?
יכול להיות שכתובת המייל הפרטית שלהם הייתה בשימוש עוד לפני שהתמנו לתפקיד, והמשיכו להשתמש בה מכח ההרגל מול גורמים שונים. זאת לא נראית כמו אפשרות סבירה בעיני, וזה לא מסביר למה מייק פנס עבר להשתמש בכתובת מייל פרטית אחרת לאחר שהמייל שלו נפרץ.
אפשרות אחרת היא שלמדינת אינדיאנה ולממשלה הפדרלית של ארצות הברית אין מדיניות, נהלים ואכיפה ברורים בנושא, ולא הייתה מודעות לבעייתיות שבשימוש במייל פרטי. גם האפשרות הזאת מאוד לא סבירה בעיני.
והאפשרות הנוספת היא שהם עשו את זה כי זה היה להם נוח.

בעידן שבו מדי יום אנחנו שומעים על מתקפת סייבר אחרת, ובכל רגע נתון יש נסיונות של פצחנים לפרוץ למערכות של כל ארגון בעולם, מנהלי מערכות מידע נוהגים לא פעם ליישם מדיניות אבטחה מחמירה ולהציב מגבלות על האופן שבו ניתן להשתמש במייל הארגוני מחוץ למשרדי הארגון (ולפעמים גם בתוכם) על מנת להגן על הארגון. יש ארגונים שלא מאפשרים לעובדים בכלל או מדרג מסוים לגשת למייל הארגוני מרחוק. כמובן שאבטחת מידע היא מדיניות חיונית, אבל היישום שלה צריך לקחת בחשבון את הגורם האנושי בארגון.

כשהמשאבים שהארגון מספק לאנשיו לא מתאימים או לא נוחים להם, הם ימצאו דרכים עוקפות. לפעמים הדרכים העוקפות יהיו על חשבון העובד (כמו מישהו שקונה לעצמו עכבר ארגונומי שהארגון לא מספק) ולפעמים הן יהיו על חשבון הארגון, כמו במקרה של המייל הפרטי.

מדיניות הגישה למערכות הארגון נקבעת לא פעם באופן בלעדי על ידי מנהלי מערכות המידע. לדעתי רצוי שמדיניות כזאת תגיע לדיון בפורום הנהלה מגוון יותר, שיכול לראות את הצרכים ודפוסי השימוש של אנשי הארגון ומגוון הגורמים שבאים איתם בקשר, וכך לייצר איזון טוב יותר בין רצונו של הארגון להגן על עצמו ובין הצורך לספק לאנשיו כלים נוחים ושימושיים לביצוע המשימות שלהם, כדי שלא יפנו לדרכים עוקפות.

הארגון לא תמיד יידע אם עובדים משתמשים בדרך עוקפת, אלא אם תתגלה חלילה זליגת מידע או פרצת אבטחה אחרת, ולכן חשוב גם לשלב כלים לניטור ובקרה בתחום הטכנולוגי לצד כלים מתחום משאבי האנוש לבדיקת עמדות וצרכים של עובדים ביחס למשאבים הארגוניים שניתנים להם.