Whistleblower z IBM William Barlow obviňuje společnost z utajování úniků dat
Bývalý vedoucí pracovník kybernetické bezpečnosti IBM se stal whistleblowerem a tvrdí, že společnost záměrně zatajila několik významných úniků dat před úředníky americké vlády. Tato obvinění, která se objevila prostřednictvím žaloby podané Williamem Barlowem, vykreslují znepokojivý obrázek toho, jak jeden z největších světových dodavatelů podnikových technologií mohl zacházet s bezpečnostními incidenty, jež mohly ovlivnit veřejné instituce i soukromé osoby. Obvinění whistleblowera z IBM ohledně utajování úniku dat znovu rozdmýchala širší debatu o odpovědnosti firem při oznamování kybernetických incidentů.
Co whistleblower IBM vytýká
William Barlow, bývalý vysoký manažer kybernetické bezpečnosti v IBM, tvrdí, že hlavní síť IBM byla opakovaně napadena a že vrcholové vedení podniklo cílené kroky k utajení těchto informací před regulačními orgány a příslušnými americkými úředníky. Podle informací vycházejících ze žaloby Barlow uvádí, že utajování trvalo po delší dobu a mohlo sahat více než deset let do minulosti.
Základním tvrzením není jen to, že IBM utrpěla úniky dat – což se občas stane i těm nejbezpečněji orientovaným organizacím – ale že vedení učinilo promyšlené rozhodnutí tyto incidenty spíše skrýt, než je nahlásit příslušnými kanály. Barlowova žaloba tvrdí, že interně vznesl obavy a setkal se s odporem, což ho nakonec přivedlo k cestě whistleblowera.
V souvisejících obviněních byla jmenována také společnost AT&T, což naznačuje, že problém nemusí být izolovaný na jednu firmu, ale mohl by odrážet širší vzorce v tom, jak velké technologické a telekomunikační korporace přistupují k oznamování úniků, když jsou v sázce významné kontrakty nebo pověst.
Která data a kteří úředníci byli údajně drženi v nevědomosti
Podrobnosti o tom, jaká data byla vystavena a kteří úředníci byli obejiti, zůstávají klíčovými otázkami probíhajícího soudního řízení. Obvinění však naznačují, že americké regulační orgány, které by za normálních okolností obdržely oznámení o závažných únicích na základě smluvních či zákonných povinností, údajně nebyly informovány včas nebo nebyly informovány vůbec.
Na tom velmi záleží, protože IBM poskytuje služby federálním agenturám, zdravotnickým zařízením, finančním organizacím a provozovatelům kritické infrastruktury. Když dodavatel takového rozsahu utrpí únik a tuto informaci zadržuje, dotčené organizace nemohou posoudit vlastní expozici, informovat postižené osoby ani zavést kompenzační opatření. Vládní agentury jsou obzvláště závislé na tom, aby dodavatelé incidenty hlásili, aby mohly být přezkoumány a ochráněny datové kanály obsahující utajované či citlivé informace.
Tento případ není v širším bezpečnostním obraze IBM ojedinělý. Dřívější incident, kdy byla dceřiná společnost IBM v Itálii spojena s čínskými kybernetickými operacemi, ukázal, jak mohou útoky na infrastrukturu propojenou s IBM mít široké důsledky pro veřejné instituce, které na tuto infrastrukturu spoléhají při poskytování kritických služeb.
Proč firemní utajování úniků ohrožuje běžné uživatele
Když firmy potlačují oznamování úniků, škody plynou přímo k obyčejným lidem. Jednotlivci, jejichž osobní údaje se nacházejí v systémech spravovaných IBM – ať už prostřednictvím poskytovatele zdravotní péče, státního dávkového programu nebo finanční instituce – se možná nikdy nedozvědí, že jejich informace byly vystaveny. Bez tohoto upozornění nemohou podniknout ochranné kroky, jako je sledování krádeže identity, změna přihlašovacích údajů nebo zavedení výstrah proti podvodům.
Širší riziko je systémové. Podniky, které spravují data milionů lidí, nesou implicitní povinnost důvěry. Když je tato povinnost porušena zatajováním namísto transparentnosti, podkopává to celý rámec zákonů o oznamování úniků, které existují právě na ochranu spotřebitelů. Zákony jako HIPAA (Health Insurance Portability and Accountability Act) a různé státní předpisy o ohlašování úniků vznikly právě proto, že zákonodárci rozpoznali, že firmy ponechané samy sobě by mohly upřednostnit pověst před oznámením.
Rozsáhlé vystavení přihlašovacích a jiných údajů je v podnikovém ekosystému trvalou hrozbou. Sofistikované útočné rámce, jako je ten popsaný v článku o malwaru PCPJack zneužívajícím zranitelnosti cloudových přihlašovacích údajů, ukazují, jak útočníci aktivně cílí na rozsáhlou cloudovou infrastrukturu, kterou provozují firemní dodavatelé jako IBM. Pokud úniky v takových prostředích nejsou hlášeny, útočníci získávají delší časové okno pro zneužití ukradených dat.
Odrazující účinek na další potenciální whistleblowery je rovněž reálný. Pokud zaměstnanci velkých korporací vidí, že vznesení bezpečnostních obav interně vede spíše k odvetě než k nápravě, méně lidí se odhodlá vystoupit. Toto ticho riziko v celém odvětví násobí.
Jak by měla vypadat smysluplná transparentnost při únicích
Obvinění vůči IBM zdůrazňují propast mezi tím, jak by transparentnost při únicích měla vypadat, a tím, co se v praxi často děje. Skutečná transparentnost vyžaduje rychlou interní eskalaci, včasné oznámení regulačním orgánům a dotčeným klientům, upřímné zveřejnění rozsahu a povahy úniku a jasnou komunikaci vůči jednotlivcům, jejichž data mohla být kompromitována.
Regulační rámce ve Spojených státech jsou na federální úrovni roztříštěné, což vytváří prostor pro nejednoznačnost, kterou mohou velké organizace zneužít. Komise pro cenné papíry (SEC) v posledních letech zpřísnila pravidla pro oznamování úniků u veřejně obchodovaných společností, avšak vymáhání zůstává nerovnoměrné. Barlowův případ by mohl dodat impuls pro přísnější povinné lhůty a tvrdší tresty za úmyslné zatajování.
Pro podniky, které uzavírají smlouvy s velkými technologickými dodavateli, je tento případ připomínkou, aby do smluv zakomponovaly požadavky na oznamování úniků s jasnými časovými lhůtami a finančními sankcemi za neoznámení. Programy řízení rizik dodavatelů, které se spoléhají výhradně na vlastní hlášení, jsou ze své podstaty zranitelné právě tím druhem chování, které Barlow popisuje.
Co to znamená pro vás
Pokud pracujete pro organizaci, která využívá služby IBM, je toto okamžik k revizi dodavatelských smluv a k přímým dotazům na způsob reakce na incidenty a oznamovací povinnosti. Pro jednotlivce je praktickou realitou, že vaše osobní údaje mohou procházet firemními dodavateli, s nimiž nikdy přímo nepřijdete do styku, takže vaše expozice se obtížně sleduje.
Existují konkrétní kroky, které můžete podniknout. Pravidelně kontrolujte úvěrové zprávy a finanční účty, zda nevykazují známky neoprávněné aktivity. Používejte unikátní hesla napříč službami, aby jediné prolomení přihlašovacích údajů nevedlo k řetězové reakci. Zvažte služby monitorování identity, které vás upozorní, pokud se vaše údaje objeví ve známých databázích úniků.
Barlowova obvinění připomínají, že odpovědnost za kybernetickou bezpečnost nekončí na hranici firemního perimetru. Ať už jste spotřebitel, zaměstnanec veřejného sektoru nebo firma, která hodnotí dodavatele, porozumění tomu, jak je s vašimi daty nakládáno a co se děje, když se něco pokazí, už není dobrovolné. Vyžadujte transparentnost od firem, které vaše data uchovávají, a podporujte právní a regulační rámce, které tuto transparentnost činí vymahatelnou.
