حالت تاریک
فصل ۲۱ — جمعه، ۲۶ سپتامبر
با شکستن هر محدودیت سرعت در راه، بیست دقیقه دیر به جلسهٔ audit در Building 2 میرسم. وقتی وارد اتاق کنفرانس میشوم، از اینکه چقدر شلوغ است شوکه میشوم.
فوراً واضح است جلسهٔ پرریسک با ظرافتهای سیاسی است. Dick و مشاور حقوقی شرکت سر میز هستند.
روبروی آنها حسابرسان خارجی هستند که از نظر قانونی مسئول یافتن خطاهای گزارشدهی مالی و تقلباند، و با این حال هنوز میخواهند مشتری بمانند.
Dick و تیمش سعی میکنند نشان دهند هر چه حسابرسان پیدا کرده سوءتفاهم واقعی است. هدفشان جدی به نظر آمدن است، اما با indignation که وقت گرانبهایشان هدر میرود.
همه نمایش سیاسی است، اما نمایش سیاسی پرریسک که قطعاً بالاتر از سطح مسئولیت من است.
Ann و Nancy هم اینجا هستند بههمراه Wes و چند نفر دیگر که آشنا به نظر میرسند.
بعد John را میبینم و دو بار نگاه میکنم.
خدای من، وحشتناک به نظر میرسد — مثل کسی در روز سوم ترک اعتیاد. انگار فکر میکند کل اتاق هر لحظه برمیگردد و او را پارهپاره میکند، که شاید آنقدر هم از حقیقت دور نباشد.
کنار John، Erik نشسته که تصویر آرامش است.
چطور اینقدر زود رسید؟ و کجا به آن شلوار کتان و پیراهن جین عوض کرد؟ در ماشین؟ در حین راه رفتن؟
وقتی کنار Wes مینشینم، به سمت من خم میشود. به دستهٔ کاغذهای منگنهشده اشاره میکند و زمزمه میکند: «دستور جلسه این است که از این دو material weakness و شانزده significant deficiency عبور کنیم. John آنجاست، مثل کسی جلوی جوخهٔ اعدام، منتظر گلوله.»
لکههای عرق زیر بغل John را میبینم و با خودم فکر میکنم: خدایا John. خودت را جمع کن. من مدیر عملیاتی جایی هستم که همهٔ کمبودهای IT در آن جا هستند، پس واقعاً من روی خط آتش هستم، نه تو.
اما برخلاف John، از اطمینانبخشیهای مداوم Erik بهره داشتهام که همهچیز درست میشود.
از طرف دیگر، Erik پوستش در بازی نیست و برای لحظهای میپرسم آیا باید به اندازهٔ John مضطرب باشم.
پنج ساعت بعد، میز کنفرانس با کاغذهای علامتخورده و فنجانهای خالی قهوه پوشیده شده، اتاق از همهٔ تنش و بحثهای داغ بوی کهنه و تند میدهد.
به صدای شریک حسابرسی که briefcase را میبندد نگاه میکنم.
به Dick میگوید: «با این دادهٔ جدید، به نظر میرسد برای دو material weakness بالقوه، IT controlها شاید واقعاً out of scope باشند و بنابراین میتوانند خیلی سریع حل شوند. از قبل ممنون که در دسترس خواهید بود documentation لازم را بدهید تا این issueها را هرچه سریعتر close کنیم.
«همهٔ این را under advisement میگیریم و در یکی دو روز آینده چیزی میفرستیم،» ادامه میدهد. «احتمالاً میخواهیم testing بیشتر این downstream controlهای تازه مستندشده را schedule کنیم تا مطمئن شویم in place و operating بودند — تا financial statement assertionهایی که میدهید support کنند.»
وقتی بلند میشود، با باورنکردنی به شریک حسابرسی خیره میمانم. واقعاً از گلوله جان سالم در آوردیم. دور میز، تیم Parts Unlimited به همان اندازه متعجب به نظر میرسد.
یک استثنا Erik است که فقط با تأیید سر تکان میدهد، clearly عصبانی که اینقدر طول کشید تا بالاخره حسابرسان عقبنشینی کنند.
استثنای دیگر John است. extremely distraught به نظر میرسد، با شانههای افتاده آنقدر که ناگهان نگران well-being او میشوم.
میخواهم بلند شوم سراغ John بروم وقتی شریک حسابرسی دست Dick را میدهد و، به تعجب من، Erik بلند میشود تا او را در آغوش بگیرد.
«Erik، خیلی وقت است از GAIT و Orlando،» شریک حسابرسی گرم میگوید. «مطمئن بودم دوباره مسیرمان به هم میخورد، اما هرگز حدس نمیزدم در engagement مشتری! lately چه کار میکنی؟»
Erik میخندد و میگوید: «بیشتر وقتها، با خوشحالی روی قایقم قایقرانی میکنم. یک دوست خواست به هیئتمدیره Parts Unlimited بپیوندد، تا حدی بهخاطر حسابرسان خارجیشان که با bunchی حسابرسان جوان bottom-up دردسر میسازند که از خط خارج شدهاند. باید میدانستم تو درگیر هستی.»
شریک حسابرسی genuinely embarrassed به نظر میرسد و با هم huddle میکنند، whispering.
پنج ساعت گذشته، John، Wes و من روی sidelines نشسته بودیم در حالی که business managers auditors را از discussion دقیق عبور دادند که چطور IT control issueها simply نمیتوانستند به undetected financial reporting error منجر شوند. چیزی به نام document «GAIT Principles» را بیرون کشیدند و بعضی flowchartهای داخل را cite کردند.
مثل تماشای tennis match، توپ بین تیم ما و auditors رفت و آمد کرد، با کلماتی مثل linkage، significance و controls reliance. گاه Dick bunchی expert از business areaهای مرتبط میآورد تا نشان دهد حتی اگر کسی malicious managed کند failure در IT control ایجاد کند، fraud هنوز توسط control دیگری downstream catch میشود.
Managers از Materials Management، Order Entry، Treasury و Human Resources نشان دادند حتی اگر application، database، operating system و firewall riddled with security holes و thoroughly compromised بود، fraudulent transaction هنوز توسط some daily یا weekly inventory reconciliation report catch میشد.
بارها و بارها، scenarios را رفتند که فرض میکرد همهٔ IT infrastructure Swiss cheese است، جایی هر disgruntled یا wrongdoing employee یا external، malicious hacker میتواند log in کند و fraud با impunity commit کند.
اما هنوز هر material error در financial statements detect میکردند.
یک بار، Dick اشاره کرد کل department بیست نفره مسئول spotting erroneous، let alone fraudulent، orders است. آنها، نه IT control، safety net کسبوکار بودند.
هر بار، auditors، often reluctantly، موافقت کردند controls reliance روی finance doing reconciliations گذاشته شده. و نه روی IT systems یا IT controls داخل.
این برای من news بود. اما قطعاً disagree نمیکردم. در واقع، اگر shut up کردن و silent ماندن اجازه میداد Parts Unlimited از همهٔ audit findingها escape کند، happy بودم drool کنم و pretend کنم نمیتوانم بخوانم.
«یک دقیقه وقت داری؟» صدای John را کنارم با voice scratchy میشنوم.
هنوز slumped است، سرش در دستها.
«البته،» میگویم و دور اتاق تقریباً خالی را نگاه میکنم. فقط John و من پشت میز conference بزرگ، در حالی که Erik whispered powwow با audit partner را در گوشهٔ دور ادامه میدهد.
John وحشتناک به نظر میرسد. اگر پیراهنش فقط کمی چروکتر بود و شاید لکهای یا دو جلو داشت، تقریباً میتوانست مثل یک بیخانمان به نظر برسد.
«John، داری مریض میشوی؟ خوب به نظر نمیآیی،» میگویم.
چهرهاش تلخ میشود: «میدانی در دو سال گذشته چقدر سرمایهٔ سیاسی خرج کردم تا همه کار درست را انجام دهند؟ این سازمان ده سال است قوطی امنیت اطلاعات را به تعویق انداخته. همهچیز را روی خط گذاشتم. به آنها گفتم دنیا فرو میپاشد اگر فراتر از lip service نروند و حداقل سعی کنند بعضی از این مسائل systemic امنیت IT را درست کنند… یعنی، باید حداقل وانمود کنیم اهمیت میدهیم.»
از طرف دیگر اتاق، Erik به ما برمیگردد و نگاه میکند. به نظر نمیرسد شریک حسابرسی John را شنیده باشد. با این حال، Erik بازویش را دور او میاندازد و دوستانه گفتگو را به راهرو میبرد و در را با صدای بلند پشت سرش میبندد.
John بیخبر ادامه میدهد: «میدانی، گاهی فکر میکنم تنها کسی در کل این شرکت هستم که واقعاً به امنیت سامانهها و دادههایمان اهمیت میدهد. میدانی چه حسی دارد وقتی کل سازمان Dev فعالیتهایش را از من پنهان میکند و باید التماس کنم بگویند کجا جلسه میگذارند؟ این چیست، دبستان؟ فقط میخواهم کمک کنم کارشان را انجام دهند!»
وقتی چیزی نمیگویم، فقط به من تحقیرآمیز نگاه میکند. «اینطور به من نگاه نکن. میدانم به من نگاه تحقیرآمیز میکنی، Bill.»
با تعجب واقعی به او نگاه میکنم.
«میدانم هرگز ایمیلهایم را نمیخوانی. باید زنگ بزنم تا حتی بازشان کنی — میدانم، چون read receiptها را میگیرم در حالی که روی تلفن هستیم، آدم احمق.»
آه.
اما بسیاری از ایمیلهایش را بدون اینکه اول زنگ بزند خواندهام.
اما قبل از جواب، با سرعت ادامه میدهد: «همه به من نگاه تحقیرآمیز میکنند. میدانی، من هم مثل تو server manage میکردم. اما callingام information security بود. میخواستم بدبختها را بگیرم. میخواستم به سازمانها کمک کنم از کسانی که دنبالشان بودند محافظت شوند. از حس وظیفه و میل به بهتر کردن دنیا آمد.
«اما از وقتی اینجا هستم، تمام کاری که میکنم جنگ با بوروکراسی شرکت و کسبوکار است، با اینکه سعی میکنم آنها را از خودشان محافظت کنم.» با خندهٔ تلخ میگوید: «حسابرسان supposed بود screws را بگذارند. supposed بود گناهکاران را برای راههای ungodly punish کنند. و میدانی؟ تمام بعدازظهر فقط تماشا کردیم شریک حسابرسی با دستکش بچهگانه با ما رفتار کند. اصلاً معنای داشتن برنامهٔ information security چیست؟ حتی حسابرسان هم اهمیت نمیدهند! همه زیر فرش جارو شد به بهای یک بازی گلف.»
John تقریباً فریاد میزند: «حسابرسان ما باید بهخاطر نالایی محاکمه شوند! همهٔ یافتههایی که رد کردند مسائل بهداشت پایه بودند! در گرداب چرخان ریسک زندگی میکنیم. شگفتزدهام این جا از کمبود اهمیتدادن فرو نمیپاشد. سالها منتظر بودم همهچیز روی سرمان فرو بریزد.»
مکث میکند و زمزمه میکند: «و با این حال، هنوز اینجاییم…»
در همان لحظه، Erik دوباره وارد اتاق میشود و در را پشت سر با ضربه میبندد. نزدیکترین صندلی به در را میگیرد و با چهرهٔ جدی به John نگاه میکند.
«میدانی مشکلت چیست، Jimmy؟» Erik میگوید و انگشتش را به او میگیرد. «مثل commissar سیاسی هستی که به plant floor میآید، با افتخار badge را به کارگران خط نشان میدهد، با sadism دماغت را در کار همه فرو میکنی و آنها را میترسانی تا دستور تو را انجام دهند، فقط برای بزرگ کردن حس puny self-worth خودت. نصف وقت بیشتر خراب میکنی تا درست کنی. بدتر، برنامهٔ کاری همهٔ کسانی که واقعاً کار مهم انجام میدهند را به هم میریزی.»
این خیلی زیاد است.
John گنگ میگوید: «فکر میکنی کی هستی؟ سعی میکنم این سازمان را امن نگه دارم و حسابرسان را دور نگه دارم! من—»
«چرا، ممنون بابت هیچ، آقای CISO،» Erik interrupt میکند. «همانطور که دیدی، سازمان میتواند حسابرسان را دور نگه دارد بدون اینکه تو کاری بکنی. مثل لولهکش هستی که حتی نمیفهمد دارد به هواپیما سرویس میدهد، چه برسد به مسیری که پرواز میکنی یا وضعیت کسبوکار خطوط هوایی.»
تا اینجا John سفید مثل پارچه است، آروارهاش باز مانده.
میخواهم مداخله کنم به نفعش، وقتی Erik بلند میشود و به John فریاد میزند: «تا ثابت کنی فهمیدهای در این اتاق چه شد، چیز بیشتری برای گفتن به تو ندارم. کسبوکار توانست از گلولهٔ audit SOX-404 جان سالم در ببرد، بدون هیچ کمکی از تیم تو. تا بفهمی چطور و چرا، حق نداری در عملیات روزانهٔ این سازمان دخالت کنی. این باید اصل راهنمای تو باشد: وقتی میبری که سازمان را محافظت کنی بدون کار بیمعنی در سامانهٔ IT. و بیشتر میبری وقتی کار بیمعنی را از سامانهٔ IT بیرون بکشی.»
بعد به من برمیگردد و میگوید: «Bill، شاید حق با تو باشد. شما اینجا واقعاً information security را کاملاً خراب کردهاید.»
هرگز چنین چیزی نگفتم. به John برمیگردم، قصد دارم بفهمانم هیچ ایدهای ندارم چه میگوید، اما John متوجه نمیشود. با چهرهٔ نفرت شدید به Erik خیره است.
Erik به من میگوید و با انگشت شست به John اشاره میکند: «این آدم مثل مدیر QA است که گروهش میلیونها test جدید برای محصولی که دیگر ship نمیکنیم مینویسد و بعد میلیونها bug report برای featureهایی که دیگر وجود ندارند ثبت میکند. obviously، همان چیزی است که تو و من scoping error مینامیم.»
John از خشم میلرزد. میگوید: «چطور جرأت میکنی! بهعنوان potential board director، باورم نمیشود به ما میگویی دادهٔ مشتری و صورتهای مالی را در معرض risk بگذاریم!»
Erik با آرامش به John برمیگردد. «واقعاً نمیفهمی، نه؟ بزرگترین risk برای Parts Unlimited ورشکستگی است. و تو انگار مصمم هستی حتی سریعتر ورشکستگیاش کنی، با همهٔ جزئیات فنی irrelevant و ill-conceivedت. عجیب نیست marginalized شدهای! بقیه حداقل سعی میکنند به بقای کسبوکار کمک کنند. اگر episode Survivor بود، long ago رأی out میشدی!»
تا اینجا Erik بالای John ایستاده. «Jimmy، Parts Unlimited حداقل چهار شمارهٔ credit card خانوادهٔ من را در systems شما دارد. میخواهم آن data را محافظت کنی. اما هرگز adequately محافظت نمیکنی وقتی work product already in production است. باید در processes که work product را میسازند محافظت کنی.»
دستهایش را در جیب میگذارد و نرمتر میگوید: «میخواهی سرنخ؟ برو plant MRP-8 و plant safety officer را پیدا کن. با او حرف بزن، بفهم دارد چه accomplish میکند و how.»
چهرهٔ Erik کمی روشن میشود و اضافه میکند: «و لطفاً سلام مرا به او برسان. وقتی Dick بگوید واقعاً میخواهد تو را نگه دارد، آمادهٔ حرف زدن با تو هستم.»
با آن، از در بیرون میرود.
John به من نگاه میکند: «این چه جهنمی بود؟»
از صندلی بیرون میکشم و میگویم: «بگذار تحت تأثیر قرار نگیری. چیزهای مشابه به من هم میگوید. خستهام و میروم خانه. پیشنهاد میکنم تو هم همین کار را بکنی.»
John بیسخن بلند میشود. با چهرهٔ آرام، three-ring binder را از میز هل میدهد. با صدای بلند به زمین میخورد و همهٔ محتوا پراکنده میشود. صدها صفحه حالا روی کف پخش شده.
با لبخند بیمزه به من نگاه میکند و میگوید: «میروم. خانه، یعنی. نمیدانم فردا میآیم — یا ever. اصلاً چه معنایی دارد؟»
بعد از اتاق بیرون میرود.
به binder John خیره میمانم، باورم نمیشود carelessly دور انداخت. بیش از دو سال با خودش حمل میکرد. جلوی جایی که نشسته بود یک برگه، تقریباً خالی با چند خط scribble. فکر میکنم suicide note یا resignation letter است، سریع نگاه میاندازم که به نظر poem میآید.
یک haiku?
Here I sit, hands tied
Room angry, I could save them
If only they knew