Sygnalista IBM William Barlow ujawnia tuszowanie naruszeń danych
Były dyrektor ds. cyberbezpieczeństwa w IBM został sygnalistą, twierdząc, że firma celowo ukrywała przed przedstawicielami rządu USA wiele poważnych naruszeń danych. Zarzuty, które pojawiły się w pozwie złożonym przez Williama Barlowa, malują niepokojący obraz tego, jak jedna z największych na świecie firm technologicznych obsługujących przedsiębiorstwa mogła radzić sobie z incydentami bezpieczeństwa, które mogły dotknąć zarówno instytucje publiczne, jak i osoby prywatne. Zarzuty sygnalisty dotyczące tuszowania naruszeń danych w IBM ponownie rozpalają szerszą debatę o odpowiedzialności korporacyjnej w zakresie ujawniania incydentów cyberbezpieczeństwa.
Co sygnalista zarzuca IBM
William Barlow, były starszy dyrektor ds. cyberbezpieczeństwa w IBM, twierdzi, że główna sieć IBM była wielokrotnie naruszana, a kierownictwo wyższego szczebla podejmowało celowe kroki, aby ukryć te informacje przed organami regulacyjnymi i odpowiednimi przedstawicielami USA. Według doniesień opartych na pozwie, Barlow twierdzi, że tuszowanie trwało przez znaczny okres, potencjalnie sięgając ponad dekadę wstecz.
Główny zarzut nie dotyczy jedynie tego, że IBM doświadczył naruszeń – co zdarza się nawet najbardziej dbającym o bezpieczeństwo organizacjom – ale tego, że kierownictwo podjęło wykalkulowaną decyzję o ukryciu tych incydentów, zamiast zgłosić je odpowiednimi kanałami. Pozew Barlowa wskazuje, że zgłaszał on obawy wewnętrznie i napotykał opór, co ostatecznie skłoniło go do pójścia drogą sygnalisty.
W powiązanych zarzutach wymieniono również firmę AT&T, co sugeruje, że problem może nie dotyczyć tylko jednej firmy, ale odzwierciedlać szersze wzorce w sposobie, w jaki duże korporacje technologiczne i telekomunikacyjne podchodzą do ujawniania naruszeń, gdy w grę wchodzą znaczące kontrakty lub reputacja.
Które dane i którzy urzędnicy mieli być trzymani w niewiedzy
Szczegóły dotyczące tego, jakie dane zostały ujawnione i którzy urzędnicy zostali pominięci, pozostają kluczowymi pytaniami w toczącym się postępowaniu sądowym. Zarzuty wskazują, że amerykańskie organy regulacyjne, które normalnie otrzymałyby powiadomienia o poważnych naruszeniach na mocy zobowiązań umownych lub prawnych, rzekomo nie zostały poinformowane w odpowiednim czasie lub nie zostały poinformowane wcale.
Ma to ogromne znaczenie, ponieważ IBM obsługuje agencje federalne, instytucje opieki zdrowotnej, organizacje finansowe i operatorów infrastruktury krytycznej. Gdy dostawca o takiej skali doświadcza naruszenia i ukrywa tę informację, organizacje zależne nie są w stanie ocenić własnego ryzyka, powiadomić osób dotkniętych ani wdrożyć środków zaradczych. Agencje rządowe są szczególnie uzależnione od zgłaszania incydentów przez dostawców, aby można było zweryfikować i zabezpieczyć poufne lub wrażliwe przepływy danych.
Sprawa ta nie jest odosobniona w szerszym obrazie bezpieczeństwa IBM. Wcześniejszy incydent dotyczący włoskiej spółki zależnej IBM powiązany z chińskimi operacjami cybernetycznymi pokazał, jak ataki na infrastrukturę powiązaną z IBM mogą mieć szerokie konsekwencje dla instytucji publicznych, które polegają na tej infrastrukturze w świadczeniu kluczowych usług.
Dlaczego korporacyjne tuszowanie naruszeń naraża zwykłych użytkowników
Gdy firmy ukrywają informacje o naruszeniach, szkoda spada bezpośrednio na zwykłych ludzi. Osoby, których dane osobowe znajdują się w systemach zarządzanych przez IBM – czy to za pośrednictwem dostawcy usług medycznych, programu świadczeń rządowych czy instytucji finansowej – mogą nigdy się nie dowiedzieć, że ich informacje zostały ujawnione. Bez takiego powiadomienia nie mogą podjąć działań ochronnych, takich jak monitorowanie pod kątem kradzieży tożsamości, zmiana danych logowania czy ustawianie alertów przed oszustwami.
Szersze ryzyko ma charakter systemowy. Przedsiębiorstwa zarządzające danymi milionów ludzi ponoszą dorozumiany obowiązek zaufania. Gdy ten obowiązek jest łamany przez ukrywanie zamiast przejrzystości, podważa to całe ramy przepisów dotyczących powiadamiania o naruszeniach, które istnieją po to, by chronić konsumentów. Przepisy takie jak ustawa HIPAA (Health Insurance Portability and Accountability Act) oraz różne stanowe ustawy o powiadamianiu o naruszeniach istnieją właśnie dlatego, że ustawodawcy zdawali sobie sprawę, że firmy pozostawione same sobie mogą przedkładać reputację nad ujawnianie informacji.
Ujawnienie danych uwierzytelniających i danych osobowych na dużą skalę stanowi stałe zagrożenie w całym ekosystemie przedsiębiorstw. Zaawansowane struktury ataków, takie jak te opisane w doniesieniach o złośliwym oprogramowaniu PCPJack wykorzystującym luki w zabezpieczeniach danych uwierzytelniających w chmurze, ilustrują, jak atakujący aktywnie celują w rozległą infrastrukturę chmurową obsługiwaną przez dostawców dla przedsiębiorstw, takich jak IBM. Gdy naruszenia w takich środowiskach nie są zgłaszane, atakujący mają dłuższe okno możliwości na wykorzystanie skradzionych danych.
Efekt mrożący dla innych potencjalnych sygnalistów jest również realny. Jeśli pracownicy dużych korporacji widzą, że zgłaszanie obaw dotyczących bezpieczeństwa wewnętrznie prowadzi do odwetu zamiast do naprawy, mniej osób zgłosi się na przód. Ta cisza potęguje ryzyko w całej branży.
Jak powinna wyglądać rzeczywista przejrzystość w zakresie naruszeń
Zarzuty wobec IBM uwypuklają rozdźwięk między tym, jak powinna wyglądać przejrzystość w zakresie naruszeń, a tym, co często dzieje się w praktyce. Prawdziwa przejrzystość wymaga szybkiej eskalacji wewnętrznej, terminowego powiadomienia organów regulacyjnych i dotkniętych klientów, uczciwego ujawnienia zakresu i charakteru naruszenia oraz jasnej komunikacji z osobami, których dane mogły zostać naruszone.
Ramy regulacyjne w Stanach Zjednoczonych są niejednolite na poziomie federalnym, co stwarza pole do niejasności, które duże organizacje mogą wykorzystywać. Komisja Papierów Wartościowych i Giełd (SEC) w ostatnich latach podjęła działania mające na celu zaostrzenie zasad ujawniania naruszeń przez spółki publiczne, ale egzekwowanie pozostaje nierównomierne. Sprawa Barlowa może nadać impetu do wprowadzenia bardziej rygorystycznych obowiązkowych terminów i surowszych kar za celowe ukrywanie.
Dla przedsiębiorstw zawierających umowy z dużymi dostawcami technologii sprawa ta jest przypomnieniem, aby wbudowywać wymogi dotyczące powiadamiania o naruszeniach bezpośrednio w umowy, z jasno określonymi terminami i karami finansowymi za ich nieujawnienie. Programy zarządzania ryzykiem dostawców, które opierają się wyłącznie na samodzielnym raportowaniu, są z natury podatne na dokładnie taki rodzaj zachowań, jakie zarzuca Barlow.
Co to oznacza dla Ciebie
Jeśli pracujesz dla organizacji korzystającej z usług IBM, to jest moment, aby przejrzeć umowy z dostawcami i zadać bezpośrednie pytania dotyczące reagowania na incydenty i obowiązków informacyjnych. Dla osób prywatnych praktyczna rzeczywistość jest taka, że Twoje dane osobowe mogą przechodzić przez dostawców dla przedsiębiorstw, z którymi nigdy nie masz bezpośredniego kontaktu, co utrudnia śledzenie narażenia.
Istnieją konkretne kroki, które możesz podjąć. Regularnie monitoruj raporty kredytowe i konta finansowe pod kątem oznak nieautoryzowanej aktywności. Używaj unikalnych haseł w różnych serwisach, aby pojedyncze ujawnienie danych uwierzytelniających nie rozprzestrzeniało się kaskadowo. Rozważ usługi monitorowania tożsamości, które ostrzegają Cię, gdy Twoje informacje pojawią się w znanych bazach danych o naruszeniach.
Zarzuty Barlowa przypominają, że odpowiedzialność za cyberbezpieczeństwo nie kończy się na granicy korporacyjnego obwodu. Niezależnie od tego, czy jesteś konsumentem, pracownikiem sektora publicznego, czy firmą oceniającą dostawców, zrozumienie, w jaki sposób Twoje dane są przetwarzane i co się dzieje, gdy coś pójdzie nie tak, nie jest już opcjonalne. Domagaj się przejrzystości od firm przechowujących Twoje dane i wspieraj ramy prawne i regulacyjne, które czynią tę przejrzystość egzekwowalną.
