Zviždač IBM-a William Barlow optužuje za prikrivanje povreda podataka
Bivši izvršni direktor IBM-a za kibernetičku sigurnost postao je zviždač, tvrdeći da je tvrtka namjerno prikrila više značajnih povreda podataka od američkih dužnosnika. Navodi, koji su izašli na vidjelo kroz tužbu koju je podnio William Barlow, oslikavaju zabrinjavajuću sliku o tome kako je jedna od najvećih svjetskih tehnoloških tvrtki za poduzeća mogla postupati sa sigurnosnim incidentima koji su mogli utjecati na javne institucije i privatne osobe. Optužbe zviždača o IBM-ovom prikrivanju povreda podataka ponovno su pokrenule širu raspravu o korporativnoj odgovornosti u objavljivanju kibernetičke sigurnosti.
Što zviždač tvrdi protiv IBM-a
William Barlow, bivši viši izvršni direktor IBM-a za kibernetičku sigurnost, tvrdi da je IBM-ova osnovna mreža bila probijena u više navrata i da je više rukovodstvo poduzelo namjerne korake kako bi tu informaciju sakrilo od regulatora i nadležnih američkih dužnosnika. Prema izvješćima temeljenim na tužbi, Barlow tvrdi da je prikrivanje trajalo tijekom značajnog razdoblja, potencijalno dosežući više od deset godina unatrag.
Ključna optužba nije samo da je IBM pretrpio povrede, što se povremeno događa i najsigurnosno osviještenijim organizacijama, nego da je rukovodstvo donijelo proračunatu odluku da prikrije te incidente umjesto da ih prijavi odgovarajućim kanalima. Barlowova tužba tvrdi da je interno izrazio zabrinutost i naišao na otpor, što ga je na kraju navelo da krene putem zviždača.
AT&T je također imenovan u povezanim optužbama, što sugerira da problem možda nije izoliran na jednu tvrtku, već bi mogao odražavati šire obrasce u načinu na koji velike tehnološke i telekomunikacijske tvrtke za poduzeća postupaju s objavom povreda kada su u pitanju značajni ugovori ili reputacija.
Koji podaci i koji dužnosnici su navodno držani u mraku
Pojedinosti o tome koji su podaci bili izloženi i koji su dužnosnici zaobiđeni ostaju središnja pitanja u tekućem pravnom postupku. Ono što optužbe ukazuju jest da američki regulatori koji bi inače dobili obavijest o značajnim povredama prema ugovornim ili zakonskim obvezama navodno nisu bili obaviješteni na vrijeme, ili uopće nisu bili obaviješteni.
Ovo je iznimno važno jer IBM pruža usluge saveznim agencijama, zdravstvenim ustanovama, financijskim organizacijama i operaterima kritične infrastrukture. Kada dobavljač takvog razmjera pretrpi povredu i uskrati tu informaciju, organizacije koje ovise o njemu ne mogu procijeniti vlastitu izloženost, obavijestiti pogođene pojedince niti primijeniti kompenzacijske kontrole. Vladine agencije posebno ovise o tome da dobavljači otkriju incidente kako bi se cjevovodi klasificiranih ili osjetljivih podataka mogli pregledati i zaštititi.
Ovaj slučaj nije izoliran u široj slici IBM-ove sigurnosti. Raniji incident povezan s IBM-ovom podružnicom u Italiji povezanom s kineskim kibernetičkim operacijama pokazao je kako napadi na infrastrukturu povezanu s IBM-om mogu imati široke posljedice za javne institucije koje se oslanjaju na tu infrastrukturu za kritične usluge.
Zašto korporativno prikrivanje povreda dovodi pojedine korisnike u rizik
Kada tvrtke zataje objavu povreda, šteta izravno pogađa obične ljude. Pojedinci čiji osobni podaci leže unutar sustava kojima upravlja IBM, bilo putem pružatelja zdravstvene skrbi, vladinog programa pomoći ili financijske institucije, možda nikada neće saznati da su njihovi podaci bili izloženi. Bez te obavijesti ne mogu poduzeti zaštitne korake poput praćenja krađe identiteta, promjene vjerodajnica ili postavljanja upozorenja na prijevaru.
Širi rizik je sustavan. Poduzeća koja upravljaju podacima u ime milijuna ljudi nose implicitnu obvezu povjerenja. Kada se ta obveza prekrši prikrivanjem umjesto transparentnošću, to podriva cijeli okvir zakona o obavještavanju o povredama koji postoje radi zaštite potrošača. Zakoni poput Zakona o prenosivosti i odgovornosti zdravstvenog osiguranja i razni zakoni o obavještavanju o povredama na razini saveznih država postoje upravo zato što su zakonodavci prepoznali da bi tvrtke prepuštene same sebi mogle dati prednost reputaciji ispred objavljivanja.
Velika izloženost vjerodajnica i podataka stalna je prijetnja u cijelom ekosustavu poduzeća. Sofisticirani okviri napada, poput onih opisanih u izvješćima o malveru PCPJack koji iskorištava ranjivosti vjerodajnica u oblaku, ilustriraju kako napadači aktivno ciljaju na takvu vrstu prostrane infrastrukture u oblaku koju upravljaju dobavljači za poduzeća poput IBM-a. Kada se povrede u ovakvim okruženjima ne prijavljuju, napadači zadržavaju duži vremenski okvir za iskorištavanje ukradenih podataka.
Zastrašujući učinak na druge potencijalne zviždače također je stvaran. Ako zaposlenici u velikim korporacijama vide da izražavanje sigurnosnih zabrinutosti interno dovodi do osvete umjesto do rješavanja problema, manje će ljudi istupiti. Ta tišina povećava rizik u cijeloj industriji.
Kako bi trebala izgledati smislena transparentnost o povredama
Optužbe protiv IBM-a naglašavaju jaz između onoga kako bi transparentnost o povredama trebala izgledati i onoga što se često događa u praksi. Istinska transparentnost zahtijeva brzo interno eskaliranje, pravovremeno obavještavanje regulatora i pogođenih klijenata, iskreno objavljivanje opsega i prirode povrede te jasnu komunikaciju s pojedincima čiji su podaci možda bili ugroženi.
Regulatorni okviri u Sjedinjenim Državama su na saveznoj razini neujednačeni, što stvara prostor za dvosmislenost koju velike organizacije mogu iskorištavati. Komisija za vrijednosne papire i burzu posljednjih je godina poduzela korake da pooštri pravila o objavljivanju povreda za javna poduzeća, ali provedba ostaje neravnomjerna. Slučaj Barlow mogao bi dati zamah strožim obveznim rokovima i oštrijim kaznama za namjerno prikrivanje.
Za poduzeća koja sklapaju ugovore s velikim tehnološkim dobavljačima, ovaj je slučaj podsjetnik da se zahtjevi za obavještavanje o povredama ugrade izravno u ugovore, uz jasne rokove i financijske kazne za neobjavljivanje. Programi upravljanja rizicima dobavljača koji se oslanjaju isključivo na samoprijavljivanje inherentno su ranjivi na upravo onakvo ponašanje kakvo Barlow tvrdi.
Što ovo znači za vas
Ako radite za organizaciju koja koristi IBM-ove usluge, ovo je trenutak da pregledate svoje ugovore s dobavljačima i postavite izravna pitanja o odgovoru na incidente i obvezama objavljivanja. Za pojedince, praktična stvarnost je da vaši osobni podaci mogu prolaziti kroz dobavljače za poduzeća s kojima nikada izravno nemate interakciju, što vašu izloženost čini teško pratiti.
Postoje konkretni koraci koje možete poduzeti. Redovito provjeravajte kreditna izvješća i financijske račune u potrazi za znakovima neovlaštene aktivnosti. Koristite jedinstvene lozinke na različitim uslugama kako jedno izlaganje vjerodajnice ne bi dovelo do lančane reakcije. Razmislite o uslugama praćenja identiteta koje vas upozoravaju kada se vaši podaci pojave u poznatim bazama podataka o povredama.
Optužbe Barlowa podsjetnik su da odgovornost za kibernetičku sigurnost ne prestaje na korporativnom perimetru. Bilo da ste potrošač, zaposlenik javnog sektora ili tvrtka koja procjenjuje dobavljače, razumijevanje kako se postupa s vašim podacima i što se događa kada stvari krenu po zlu više nije opcionalno. Zahtijevajte transparentnost od tvrtki koje drže vaše podatke i podržite pravne i regulatorne okvire koji tu transparentnost čine provedivom.
