IBM:n ilmiantaja William Barlow väittää tietomurtojen peittelystä
Entinen IBM:n kyberturvallisuusjohtaja on ryhtynyt ilmiantajaksi väittäen, että yhtiö salasi tahallaan useita merkittäviä tietomurtoja Yhdysvaltain viranomaisilta. Väitteet, jotka nousevat esiin William Barlow'n nostamasta kanteesta, piirtävät huolestuttavan kuvan siitä, miten yksi maailman suurimmista yritysteknologiayrityksistä on saattanut käsitellä tietoturvapoikkeamia, jotka ovat voineet vaikuttaa niin julkisiin laitoksiin kuin yksityishenkilöihinkin. IBM:n tietomurron peittelyä koskevat ilmiantajaväitteet ovat sytyttäneet laajemman keskustelun yritysten vastuuvelvollisuudesta kyberturvallisuuden julkistamisessa.
Mitä ilmiantaja väittää IBM:ää vastaan
William Barlow, entinen IBM:n korkea-arvoinen kyberturvallisuusjohtaja, väittää, että IBM:n ydinverkkoon murtauduttiin useita kertoja ja että ylin johto ryhtyi tarkoituksellisiin toimiin salatakseen tiedot sääntelyviranomaisilta ja asianomaisilta Yhdysvaltain viranomaisilta. Kanteeseen perustuvan uutisoinnin mukaan Barlow väittää peittelyn jatkuneen huomattavan ajan, mahdollisesti yli vuosikymmenen ajan.
Keskeinen väite ei ole vain se, että IBM kärsi tietomurroista – mitä tapahtuu ajoittain kaikkein turvallisuustietoisimmillekin organisaatioille – vaan että johto teki harkitun päätöksen piilottaa nuo poikkeamat sen sijaan, että olisi julkistanut ne asianmukaisia kanavia pitkin. Barlow'n kanne väittää, että hän toi huolenaiheensa esiin sisäisesti ja kohtasi vastustusta, mikä lopulta johti hänet ilmiantajan polulle.
AT&T on myös mainittu liittyvissä väitteissä, mikä viittaa siihen, ettei ongelma ehkä rajoitu yhteen yritykseen, vaan voi heijastella laajempia käytäntöjä siinä, miten suuret yritysteknologia- ja televiestintäyritykset käsittelevät tietomurtojulkistuksia, kun vaakalaudalla on merkittäviä sopimuksia tai maineita.
Mitkä tiedot ja viranomaiset jätettiin väitetysti pimentoon
Yksityiskohdat siitä, mitä tietoja paljastui ja mitkä viranomaiset kierrettiin, ovat edelleen keskeisiä kysymyksiä käynnissä olevassa oikeusprosessissa. Väitteet viittaavat siihen, että Yhdysvaltain sääntelyviranomaisille, jotka normaalisti saisivat ilmoituksen merkittävistä tietomurroista sopimus- tai lakisääteisten velvoitteiden nojalla, ei raportoitu ajoissa tai lainkaan.
Tällä on valtava merkitys, koska IBM palvelee liittovaltion virastoja, terveydenhuollon laitoksia, rahoitusalan organisaatioita ja kriittisen infrastruktuurin toimijoita. Kun tällaisen mittakaavan toimittaja kärsii tietomurrosta ja pimittää tiedon, alavirran organisaatiot eivät voi arvioida omaa altistumistaan, ilmoittaa asianosaisille henkilöille tai ottaa käyttöön kompensoivia suojatoimia. Valtion virastot ovat erityisen riippuvaisia siitä, että toimittajat julkistavat poikkeamat, jotta salattuja tai arkaluonteisia tietoputkia voidaan tutkia ja suojata.
Tämä tapaus ei ole poikkeus IBM:n laajemmassa tietoturvakuvassa. Aiempi tapaus, jossa IBM:n Italian tytäryhtiön tietomurto yhdistettiin Kiinan kyberoperaatioihin, osoitti, miten IBM:ään liittyvään infrastruktuuriin kohdistuvilla hyökkäyksillä voi olla laajoja seurauksia julkisille laitoksille, jotka luottavat tuohon infrastruktuuriin kriittisten palveluiden tuottamisessa.
Miksi yritysten tietomurtojen peittely vaarantaa yksittäiset käyttäjät
Kun yritykset pimittävät tietomurtojulkistuksia, haitat virtaavat suoraan tavallisille ihmisille. Yksilöt, joiden henkilötietoja säilytetään IBM:n hallinnoimissa järjestelmissä – olipa kyse sitten terveydenhuollon tarjoajasta, valtion etuusohjelmasta tai rahoituslaitoksesta – eivät ehkä koskaan saa tietää, että heidän tietonsa ovat paljastuneet. Ilman tuota ilmoitusta he eivät voi ryhtyä suojaaviin toimenpiteisiin, kuten identiteettivarkauden seurantaan, tunnistetietojen vaihtamiseen tai petosvaroitusten asettamiseen.
Laajempi riski on systeeminen. Yrityksillä, jotka hallinnoivat miljoonien ihmisten tietoja, on implisiittinen luottamusvelvollisuus. Kun tuo velvollisuus rikotaan peittelyllä eikä läpinäkyvyydellä, se heikentää koko tietomurtoilmoituslakien viitekehystä, joka on olemassa kuluttajien suojelemiseksi. Lait, kuten Health Insurance Portability and Accountability Act ja useat osavaltioiden tietomurtoilmoituksia koskevat säädökset, ovat olemassa juuri siksi, että lainsäätäjät ymmärsivät, että omille laitteilleen jätetyt yritykset saattavat asettaa maineen julkistamisen edelle.
Laajamittainen tunnistetietojen ja datan paljastuminen on pysyvä uhka koko yritysekosysteemissä. Kehittyneet hyökkäyskehykset, kuten ne, joita kuvataan PCPJack-haittaohjelmasta, joka hyödyntää pilvipalveluiden tunnistetietohaavoittuvuuksia, havainnollistavat, miten hyökkääjät kohdistavat aktiivisesti juuri sellaista laajaa pilvi-infrastruktuuria, jota yritystoimittajat kuten IBM ylläpitävät. Kun tietomurroista tällaisissa ympäristöissä ei ilmoiteta, hyökkääjillä on pidempi toimintaikkuna varastettujen tietojen hyödyntämiseen.
Myös kylmentävä vaikutus muihin mahdollisiin ilmiantajiin on todellinen. Jos suuryritysten työntekijät näkevät, että tietoturvahuolien esittäminen sisäisesti johtaa kostotoimiin eikä korjaamiseen, yhä harvempi uskaltaa tulla esiin. Tämä hiljaisuus kärjistää riskejä koko toimialalla.
Mitä todellisen tietomurtojen läpinäkyvyyden pitäisi olla
IBM-väitteet korostavat kuilua sen välillä, mitä tietomurtojen läpinäkyvyyden tulisi olla ja mitä käytännössä usein tapahtuu. Aito läpinäkyvyys edellyttää nopeaa sisäistä eskalaatiota, oikea-aikaista ilmoitusta sääntelyviranomaisille ja asiakkaille, rehellistä tietoa tietomurron laajuudesta ja luonteesta sekä selkeää viestintää niille henkilöille, joiden tiedot ovat saattaneet vaarantua.
Sääntelykehykset Yhdysvalloissa ovat liittovaltiotasolla hajanaisia, mikä luo tulkinnanvaraisuutta, jota suuret organisaatiot voivat hyödyntää. Arvopaperi- ja pörssikomitea (SEC) on viime vuosina pyrkinyt tiukentamaan julkisesti noteerattujen yhtiöiden tietomurtojulkistamissääntöjä, mutta täytäntöönpano on edelleen epätasaista. Barlow'n tapaus voi antaa pontta tiukemmille pakollisille aikatauluille ja ankarammille rangaistuksille tahallisesta peittelystä.
Niille yrityksille, jotka solmivat sopimuksia suurten teknologiatoimittajien kanssa, tämä tapaus on muistutus rakentaa tietomurtoilmoitusvaatimukset suoraan sopimuksiin, selkeine aikatauluineen ja taloudellisine sanktioineen ilmoittamatta jättämisestä. Toimittajien riskinhallintaohjelmat, jotka luottavat pelkästään omaehtoiseen raportointiin, ovat lähtökohtaisesti haavoittuvaisia juuri sellaiselle käytökselle, jota Barlow väittää.
Mitä tämä tarkoittaa sinulle
Jos työskentelet organisaatiossa, joka käyttää IBM:n palveluita, nyt on oikea hetki tarkastella toimittajasopimuksianne ja esittää suoria kysymyksiä poikkeamien hallinnasta ja julkistamisvelvoitteista. Yksityishenkilöille käytännön todellisuus on, että henkilötietosi voivat kulkea sellaisten yritystoimittajien kautta, joiden kanssa et koskaan ole suoraan tekemisissä, mikä tekee altistumisesi seuraamisen vaikeaksi.
On konkreettisia toimia, joihin voit ryhtyä. Seuraa säännöllisesti luottotietojasi ja taloustilejäsi luvattoman toiminnan merkkien varalta. Käytä ainutlaatuisia salasanoja eri palveluissa, jotta yhden tunnistetiedon paljastuminen ei aiheuta ketjureaktiota. Harkitse identiteetinvalvontapalveluita, jotka hälyttävät, jos tietojasi ilmenee tunnetuissa tietomurtotietokannoissa.
Barlow'n väitteet ovat muistutus siitä, ettei kyberturvallisuusvastuu pysähdy yrityksen suojamuurin reunalle. Olitpa sitten kuluttaja, julkisen sektorin työntekijä tai yritys, joka arvioi toimittajia, sen ymmärtäminen, miten tietojasi käsitellään ja mitä tapahtuu, kun asiat menevät pieleen, ei ole enää valinnaista. Vaatikaa läpinäkyvyyttä yrityksiltä, jotka hallussaan pitävät tietojanne, ja tukekaa niitä lainsäädännöllisiä ja sääntelyllisiä puitteita, jotka tekevät tuosta läpinäkyvyydestä täytäntöönpanokelpoista.
