Ένα πρώην στέλεχος κυβερνοασφάλειας της IBM έγινε πληροφοριοδότης, καταγγέλλοντας ότι η εταιρεία απέκρυψε σκόπιμα πολλαπλές σημαντικές παραβιάσεις δεδομένων από Αμερικανούς κυβερνητικούς αξιωματούχους. Οι ισχυρισμοί, που αναδύονται μ...

Ο πληροφοριοδότης της IBM Γουίλιαμ Μπάρλοου καταγγέλλει συγκάλυψη παραβίασης

Ένα πρώην στέλεχος κυβερνοασφάλειας της IBM έγινε πληροφοριοδότης, καταγγέλλοντας ότι η εταιρεία απέκρυψε σκόπιμα πολλαπλές σημαντικές παραβιάσεις δεδομένων από Αμερικανούς κυβερνητικούς αξιωματούχους. Οι ισχυρισμοί, που αναδύονται μέσα από μια αγωγή που κατέθεσε ο Γουίλιαμ Μπάρλοου, σκιαγραφούν μια ανησυχητική εικόνα για το πώς μία από τις μεγαλύτερες εταιρείες επιχειρηματικής τεχνολογίας στον κόσμο μπορεί να διαχειρίστηκε συμβάντα ασφαλείας που θα μπορούσαν να είχαν επηρεάσει δημόσιους φορείς και ιδιώτες. Οι καταγγελίες του πληροφοριοδότη για συγκάλυψη παραβίασης δεδομένων της IBM αναζωπύρωσαν μια ευρύτερη συζήτηση για την εταιρική λογοδοσία στη γνωστοποίηση περιστατικών κυβερνοασφάλειας.

Τι καταγγέλλει ο πληροφοριοδότης κατά της IBM

Ο Γουίλιαμ Μπάρλοου, πρώην ανώτερο στέλεχος κυβερνοασφάλειας στην IBM, ισχυρίζεται ότι το κεντρικό δίκτυο της IBM παραβιάστηκε πολλές φορές και ότι η ανώτερη διοίκηση έλαβε σκόπιμα μέτρα για να αποκρύψει αυτές τις πληροφορίες από τις ρυθμιστικές αρχές και τους αρμόδιους Αμερικανούς αξιωματούχους. Σύμφωνα με δημοσιογραφικές πληροφορίες που βασίζονται στην αγωγή, ο Μπάρλοου ισχυρίζεται ότι η συγκάλυψη διήρκεσε για σημαντικό χρονικό διάστημα, πιθανώς περισσότερο από μια δεκαετία.

Ο κεντρικός ισχυρισμός δεν είναι απλώς ότι η IBM υπέστη παραβιάσεις —κάτι που συμβαίνει περιστασιακά ακόμη και στους πιο συνειδητοποιημένους οργανισμούς σε θέματα ασφάλειας— αλλά ότι η ηγεσία έλαβε μια υπολογισμένη απόφαση να αποκρύψει αυτά τα συμβάντα αντί να τα γνωστοποιήσει μέσω των κατάλληλων διαύλων. Η αγωγή του Μπάρλοου ισχυρίζεται ότι εξέφρασε τις ανησυχίες του εσωτερικά και αντιμετώπισε αντίσταση, με αποτέλεσμα τελικά να ακολουθήσει την οδό του πληροφοριοδότη.

Η AT&T έχει επίσης κατονομαστεί σε σχετικούς ισχυρισμούς, υποδηλώνοντας ότι το πρόβλημα μπορεί να μην είναι μεμονωμένο σε μία εταιρεία αλλά θα μπορούσε να αντανακλά ευρύτερα μοτίβα στον τρόπο με τον οποίο μεγάλες εταιρείες επιχειρηματικής τεχνολογίας και τηλεπικοινωνιών διαχειρίζονται τη γνωστοποίηση παραβιάσεων όταν διακυβεύονται σημαντικά συμβόλαια ή φήμες.

Ποια δεδομένα και ποιοι αξιωματούχοι φέρονται να παρέμειναν στο σκοτάδι

Οι λεπτομέρειες για το ποια δεδομένα εκτέθηκαν και ποιοι αξιωματούχοι παρακάμφθηκαν παραμένουν κεντρικά ερωτήματα στην εν εξελίξει νομική διαδικασία. Αυτό που υποδηλώνουν οι ισχυρισμοί είναι ότι οι Αμερικανοί ρυθμιστές που κανονικά θα λάμβαναν ειδοποίηση για σημαντικές παραβιάσεις βάσει συμβατικών ή νομικών υποχρεώσεων, σύμφωνα με πληροφορίες, δεν ενημερώθηκαν έγκαιρα ή δεν ενημερώθηκαν καθόλου.

Αυτό έχει τεράστια σημασία διότι η IBM εξυπηρετεί ομοσπονδιακές υπηρεσίες, ιδρύματα υγειονομικής περίθαλψης, χρηματοπιστωτικούς οργανισμούς και φορείς διαχείρισης κρίσιμων υποδομών. Όταν ένας προμηθευτής αυτού του βεληνεκούς υφίσταται παραβίαση και αποκρύπτει αυτές τις πληροφορίες, οι οργανισμοί-πελάτες δεν μπορούν να εκτιμήσουν τη δική τους έκθεση, να ειδοποιήσουν τα επηρεαζόμενα άτομα ή να εφαρμόσουν αντισταθμιστικά μέτρα. Οι κρατικές υπηρεσίες ειδικότερα εξαρτώνται από τη γνωστοποίηση συμβάντων από τους προμηθευτές, ώστε οι αγωγοί διαβαθμισμένων ή ευαίσθητων δεδομένων να μπορούν να επανεξεταστούν και να προστατευθούν.

Αυτή η υπόθεση δεν είναι μεμονωμένη στην ευρύτερη εικόνα ασφάλειας της IBM. Ένα προηγούμενο περιστατικό που αφορούσε τη θυγατρική της IBM στην Ιταλία και συνδέθηκε με κινεζικές κυβερνοεπιχειρήσεις έδειξε πώς οι επιθέσεις κατά υποδομών συνδεδεμένων με την IBM μπορούν να έχουν εκτεταμένες συνέπειες για δημόσιους φορείς που βασίζονται σε αυτή την υποδομή για κρίσιμες υπηρεσίες.

Γιατί οι εταιρικές συγκαλύψεις παραβιάσεων θέτουν σε κίνδυνο τους απλούς χρήστες

Όταν οι εταιρείες αποκρύπτουν τις γνωστοποιήσεις παραβιάσεων, η ζημία ρέει άμεσα στους απλούς ανθρώπους. Άτομα των οποίων τα προσωπικά δεδομένα βρίσκονται σε συστήματα που διαχειρίζεται η IBM, είτε μέσω ενός παρόχου υγειονομικής περίθαλψης, ενός κρατικού προγράμματος παροχών ή ενός χρηματοπιστωτικού ιδρύματος, μπορεί να μην μάθουν ποτέ ότι οι πληροφορίες τους εκτέθηκαν. Χωρίς αυτή την ειδοποίηση, δεν μπορούν να λάβουν προστατευτικά μέτρα όπως ο έλεγχος για κλοπή ταυτότητας, η αλλαγή διαπιστευτηρίων ή η ενεργοποίηση ειδοποιήσεων απάτης.

Ο ευρύτερος κίνδυνος είναι συστημικός. Οι επιχειρήσεις που διαχειρίζονται δεδομένα για λογαριασμό εκατομμυρίων ανθρώπων φέρουν μια σιωπηρή υποχρέωση εμπιστοσύνης. Όταν αυτή η υποχρέωση παραβιάζεται μέσω απόκρυψης αντί για διαφάνεια, υπονομεύεται ολόκληρο το πλαίσιο των νόμων περί γνωστοποίησης παραβιάσεων που υπάρχουν για την προστασία των καταναλωτών. Νόμοι όπως ο Νόμος περί Φορητότητας και Λογοδοσίας Ασφάλισης Υγείας (HIPAA) και διάφορα καταστατικά γνωστοποίησης παραβιάσεων σε πολιτειακό επίπεδο υπάρχουν ακριβώς επειδή οι νομοθέτες αναγνώρισαν ότι οι εταιρείες, αν αφεθούν μόνες τους, μπορεί να δώσουν προτεραιότητα στη φήμη έναντι της γνωστοποίησης.

Η έκθεση διαπιστευτηρίων και δεδομένων μεγάλης κλίμακας είναι μια επίμονη απειλή σε όλο το επιχειρηματικό οικοσύστημα. Εξελιγμένα πλαίσια επίθεσης, όπως αυτά που περιγράφονται σε δημοσιογραφικές αναφορές για το κακόβουλο λογισμικό PCPJack που εκμεταλλεύεται ευπάθειες σε διαπιστευτήρια cloud, δείχνουν πώς οι επιτιθέμενοι στοχεύουν ενεργά το είδος της εκτεταμένης υποδομής cloud που διαχειρίζονται επιχειρηματικοί προμηθευτές όπως η IBM. Όταν παραβιάσεις σε τέτοια περιβάλλοντα δεν αναφέρονται, οι επιτιθέμενοι διατηρούν ένα μεγαλύτερο χρονικό παράθυρο για να εκμεταλλευτούν τα κλεμμένα δεδομένα.

Το αποτρεπτικό αποτέλεσμα σε άλλους πιθανούς πληροφοριοδότες είναι επίσης πραγματικό. Εάν οι εργαζόμενοι σε μεγάλες εταιρείες βλέπουν ότι η έκφραση ανησυχιών ασφαλείας εσωτερικά οδηγεί σε αντίποινα αντί για αποκατάσταση, λιγότεροι άνθρωποι θα μιλήσουν. Αυτή η σιωπή αυξάνει τον κίνδυνο σε ολόκληρο τον κλάδο.

Πώς θα έπρεπε να μοιάζει η ουσιαστική διαφάνεια στις παραβιάσεις

Οι καταγγελίες για την IBM υπογραμμίζουν το χάσμα ανάμεσα στο πώς θα έπρεπε να είναι η διαφάνεια στις παραβιάσεις και στο τι συμβαίνει συχνά στην πράξη. Η πραγματική διαφάνεια απαιτεί άμεση εσωτερική κλιμάκωση, έγκαιρη ειδοποίηση προς τις ρυθμιστικές αρχές και τους επηρεαζόμενους πελάτες, ειλικρινή γνωστοποίηση του εύρους και της φύσης της παραβίασης και σαφή επικοινωνία με τα άτομα των οποίων τα δεδομένα ενδέχεται να έχουν παραβιαστεί.

Τα ρυθμιστικά πλαίσια στις Ηνωμένες Πολιτείες είναι συνονθύλευμα σε ομοσπονδιακό επίπεδο, γεγονός που δημιουργεί περιθώρια ασάφειας που οι μεγάλοι οργανισμοί μπορούν να εκμεταλλευτούν. Η Επιτροπή Κεφαλαιαγοράς (SEC) έχει κινηθεί τα τελευταία χρόνια για να αυστηροποιήσει τους κανόνες γνωστοποίησης παραβιάσεων για τις εισηγμένες εταιρείες, αλλά η επιβολή παραμένει άνιση. Η υπόθεση Μπάρλοου θα μπορούσε να προσφέρει ώθηση για αυστηρότερες υποχρεωτικές προθεσμίες και βαρύτερες ποινές για τη σκόπιμη απόκρυψη.

Για τις επιχειρήσεις που συνάπτουν συμβάσεις με μεγάλους τεχνολογικούς προμηθευτές, αυτή η υπόθεση είναι μια υπενθύμιση να ενσωματώνουν απαιτήσεις γνωστοποίησης παραβιάσεων απευθείας στις συμβάσεις, με σαφή χρονοδιαγράμματα και οικονομικές κυρώσεις για τη μη αποκάλυψη. Τα προγράμματα διαχείρισης κινδύνου προμηθευτών που βασίζονται αποκλειστικά στην αυτο-αναφορά είναι εγγενώς ευάλωτα σε ακριβώς τέτοιου είδους συμπεριφορές που καταγγέλλει ο Μπάρλοου.

Τι σημαίνει αυτό για εσάς

Εάν εργάζεστε για έναν οργανισμό που χρησιμοποιεί υπηρεσίες της IBM, αυτή είναι μια στιγμή να επανεξετάσετε τα συμβόλαια με τους προμηθευτές σας και να θέσετε ευθείες ερωτήσεις σχετικά με την αντιμετώπιση συμβάντων και τις υποχρεώσεις γνωστοποίησης. Για τους ιδιώτες, η πρακτική πραγματικότητα είναι ότι τα προσωπικά σας δεδομένα μπορεί να περνούν από επιχειρηματικούς προμηθευτές με τους οποίους δεν αλληλεπιδράτε ποτέ άμεσα, καθιστώντας την έκθεσή σας δύσκολο να εντοπιστεί.

Υπάρχουν συγκεκριμένα βήματα που μπορείτε να λάβετε. Ελέγχετε τακτικά τις πιστωτικές αναφορές και τους χρηματοοικονομικούς λογαριασμούς για σημάδια μη εξουσιοδοτημένης δραστηριότητας. Χρησιμοποιείτε μοναδικούς κωδικούς πρόσβασης σε διαφορετικές υπηρεσίες, ώστε μια μεμονωμένη παραβίαση διαπιστευτηρίων να μην έχει αλυσιδωτές συνέπειες. Εξετάστε υπηρεσίες παρακολούθησης ταυτότητας που σας ειδοποιούν όταν οι πληροφορίες σας εμφανίζονται σε γνωστές βάσεις δεδομένων παραβιάσεων.

Οι καταγγελίες του Μπάρλοου είναι μια υπενθύμιση ότι η λογοδοσία στην κυβερνοασφάλεια δεν σταματά στην εταιρική περίμετρο. Είτε είστε καταναλωτής, εργαζόμενος στον δημόσιο τομέα ή επιχείρηση που αξιολογεί προμηθευτές, η κατανόηση του πώς διαχειρίζονται τα δεδομένα σας και τι συμβαίνει όταν κάτι πάει στραβά, δεν είναι πλέον προαιρετική. Απαιτήστε διαφάνεια από τις εταιρείες που κατέχουν τα δεδομένα σας και υποστηρίξτε τα νομικά και ρυθμιστικά πλαίσια που καθιστούν αυτή τη διαφάνεια εφαρμόσιμη.

FAQ: Q1: Ποιος είναι ο Γουίλιαμ Μπάρλοου; A1: Ο Γουίλιαμ Μπάρλοου είναι ένα πρώην ανώτερο στέλεχος κυβερνοασφάλειας στην IBM, ο οποίος κατέθεσε αγωγή ως πληροφοριοδότης, καταγγέλλοντας ότι η εταιρεία απέκρυψε πολλαπλές σημαντικές παραβιάσεις δεδομένων από Αμερικανούς κυβερνητικούς αξιωματούχους. Q2: Τι ισχυρίζεται η αγωγή του Γουίλιαμ Μπάρλοου για την IBM; A2: Ισχυρίζεται ότι το κεντρικό δίκτυο της IBM παραβιάστηκε κατ' επανάληψη, πιθανώς για περισσότερο από μια δεκαετία, και ότι η ανώτερη διοίκηση έλαβε μια υπολογισμένη απόφαση να αποκρύψει αυτά τα συμβάντα από τις ρυθμιστικές αρχές και τους αξιωματούχους. Q3: Ποιοι Αμερικανοί αξιωματούχοι ή ρυθμιστικές αρχές φέρονται να παρέμειναν στο σκοτάδι; A3: Οι ισχυρισμοί υποδηλώνουν ότι οι Αμερικανοί ρυθμιστές που κανονικά θα λάμβαναν ειδοποιήσεις παραβιάσεων βάσει συμβατικών ή νομικών υποχρεώσεων, σύμφωνα με πληροφορίες, δεν ενημερώθηκαν έγκαιρα ή καθόλου. Q4: Γιατί η φερόμενη συγκάλυψη αποτελεί σοβαρή ανησυχία για τους πελάτες της IBM; A4: Επειδή η IBM εξυπηρετεί ομοσπονδιακές υπηρεσίες, ιδρύματα υγειονομικής περίθαλψης, χρηματοπιστωτικούς οργανισμούς και φορείς διαχείρισης κρίσιμων υποδομών, και η απόκρυψη πληροφοριών παραβίασης τους εμποδίζει να εκτιμήσουν τη δική τους έκθεση, να ειδοποιήσουν τα επηρεαζόμενα άτομα ή να εφαρμόσουν αντισταθμιστικά μέτρα. Q5: Το άρθρο αναφέρει άλλα παρόμοια περιστατικά που αφορούν την IBM; A5: Ναι, σημειώνει ότι η AT&T κατονομάστηκε σε σχετικούς ισχυρισμούς και αναφέρεται σε ένα προηγούμενο περιστατικό κατά το οποίο η θυγατρική της IBM στην Ιταλία παραβιάστηκε και συνδέθηκε με κινεζικές κυβερνοεπιχειρήσεις, υποδηλώνοντας ένα ευρύτερο μοτίβο. ---END---