IBM İhbarcısı William Barlow, Veri İhlallerinin Örtbas Edildiğini İddia Ediyor
Eski bir IBM siber güvenlik yöneticisi ihbarcı oldu ve şirketin birden fazla önemli veri ihlalini ABD hükümet yetkililerinden kasıtlı olarak gizlediğini iddia etti. William Barlow tarafından açılan dava aracılığıyla yüzeye çıkan iddialar, dünyanın en büyük kurumsal teknoloji firmalarından birinin, kamu kurumlarını ve bireyleri etkileyebilecek güvenlik olaylarını nasıl ele almış olabileceğine dair rahatsız edici bir tablo çiziyor. IBM veri ihlali örtbas ihbarı iddiaları, siber güvenlik açıklamalarında kurumsal hesap verebilirlik konusunda daha geniş bir tartışmayı yeniden alevlendirdi.
İhbarcının IBM’e Yönelik İddiaları
IBM’de üst düzey siber güvenlik yöneticisi olarak görev yapmış William Barlow, IBM’in ana ağına birden çok kez sızıldığını ve üst yönetimin bu bilgileri düzenleyici kurumlar ile ilgili ABD yetkililerinden kasten saklamak için bilinçli adımlar attığını iddia ediyor. Davaya dayandırılan haberlere göre Barlow, örtbasın uzun bir süreye yayıldığını, muhtemelen on yılı aşkın bir geçmişe dayandığını öne sürüyor.
Temel iddia, en güvenlik bilincine sahip kuruluşların bile zaman zaman yaşayabileceği ihlallerin IBM’de de meydana gelmiş olması değil; liderliğin, bu olayları uygun kanallar aracılığıyla açıklamak yerine gizlemeye yönelik hesaplı bir karar almış olmasıdır. Barlow’un davası, şirket içinde endişelerini dile getirdiğini ve dirençle karşılaştığını, bunun sonucunda kendisinin ihbarcılık yolunu seçtiğini iddia ediyor.
AT&T de ilgili iddialarda adı geçen şirketler arasında yer alıyor; bu da sorunun tek bir şirketle sınırlı olmayabileceğini, büyük kurumsal teknoloji ve telekomünikasyon firmalarının, önemli sözleşmeler veya itibarlar söz konusu olduğunda ihlal bildirimlerini nasıl ele aldıklarına dair daha geniş kalıpları yansıtabileceğini düşündürüyor.
Hangi Veriler ve Hangi Yetkililerin Karanlıkta Bırakıldığı İddia Ediliyor
Hangi verilerin açığa çıktığı ve hangi yetkililerin devre dışı bırakıldığı, devam eden hukuki sürecin merkezi soruları olmaya devam ediyor. İddialar, sözleşmesel ya da yasal yükümlülükler uyarınca normalde önemli ihlallere ilişkin bildirim alması gereken ABD düzenleyicilerinin, zamanında ya da hiç bilgilendirilmediğini gösteriyor.
Bu durum son derece önemlidir, çünkü IBM federal kurumlara, sağlık kuruluşlarına, finansal kurumlara ve kritik altyapı işletmecilerine hizmet vermektedir. Bu ölçekteki bir tedarikçi bir ihlale uğradığında ve bu bilgiyi sakladığında, zincirin devamındaki kuruluşlar kendi maruziyetlerini değerlendiremez, etkilenen bireyleri bilgilendiremez veya telafi edici kontrolleri devreye alamaz. Özellikle devlet kurumları, sınıflandırılmış veya hassas veri hatlarının incelenip korunabilmesi için tedarikçilerin olayları açıklamasına bağımlıdır.
Bu dava, IBM’in daha geniş güvenlik tablosu içinde münferit bir olay değildir. IBM’in İtalya iştirakinin Çin siber operasyonlarıyla ilişkilendirilen ihlaliyle ilgili daha önceki bir olay, IBM’e bağlı altyapıya yönelik saldırıların, kritik hizmetler için bu altyapıya dayanan kamu kurumları açısından ne kadar geniş sonuçlar doğurabileceğini göstermişti.
Kurumsal İhlal Örtbasları Bireysel Kullanıcıları Neden Risk Altına Sokar?
Şirketler ihlal bildirimlerini bastırdığında, zarar doğrudan sıradan insanlara ulaşır. İster bir sağlık hizmeti sağlayıcısı, ister bir devlet yardım programı ya da bir finans kurumu aracılığıyla olsun, kişisel verileri IBM tarafından yönetilen sistemlerde bulunan bireyler, bilgilerinin açığa çıktığını asla öğrenemeyebilir. Bu bildirim olmadan, kimlik hırsızlığı takibi yapmak, kimlik bilgilerini değiştirmek veya dolandırıcılık uyarıları yerleştirmek gibi koruyucu adımları atamazlar.
Daha büyük risk sistemiktir. Milyonlarca kişi adına veri yöneten kuruluşlar örtülü bir güven yükümlülüğü taşır. Bu yükümlülük, şeffaflık yerine gizleme yoluyla ihlal edildiğinde, tüketicileri korumak için var olan ihlal bildirim yasalarının tüm çerçevesini zedeler. Sağlık Sigortası Taşınabilirlik ve Hesap Verebilirlik Yasası ve çeşitli eyalet düzeyindeki ihlal bildirim tüzükleri tam da, yasa koyucuların kendi hallerine bırakılan şirketlerin açıklama yerine itibarı önceleyebileceğini fark etmeleri sayesinde mevcuttur.
Büyük ölçekli kimlik bilgisi ve veri ifşası, kurumsal ekosistemin tamamında süregelen bir tehdittir. PCPJack zararlı yazılımının bulut kimlik bilgisi açıklarından yararlanmasına ilişkin haberde açıklananlar gibi sofistike saldırı çerçeveleri, saldırganların IBM gibi kurumsal tedarikçilerin işlettiği türden geniş bulut altyapılarını nasıl aktif biçimde hedef aldığını göstermektedir. Bu tür ortamlardaki ihlaller rapor edilmediğinde, saldırganlar çalınan verileri istismar etmek için daha uzun bir fırsat penceresine sahip olur.
Diğer potansiyel ihbarcılar üzerindeki caydırıcı etki de gerçektir. Büyük şirketlerdeki çalışanlar, güvenlik endişelerini dile getirmenin iyileştirme yerine misillemeye yol açtığını gördüklerinde, daha az kişi öne çıkacaktır. Bu sessizlik, sektör genelinde riski artırır.
Anlamlı Bir İhlal Şeffaflığı Nasıl Olmalıdır?
IBM iddiaları, ihlal şeffaflığının olması gereken ile uygulamada sıklıkla yaşanan arasındaki farkı gözler önüne sermektedir. Gerçek şeffaflık; hızlı iç eskalasyon, düzenleyicilere ve etkilenen müşterilere zamanında bildirim, ihlalin kapsamı ve niteliğinin dürüstçe açıklanması ve verileri tehlikeye girmiş olabilecek bireylere net bir iletişim yapılmasını gerektirir.
Amerika Birleşik Devletleri’ndeki düzenleyici çerçeve federal düzeyde parçalı bir yapıdadır; bu da büyük kuruluşların istismar edebileceği bir belirsizlik alanı yaratır. Menkul Kıymetler ve Borsa Komisyonu son yıllarda halka açık şirketlerin ihlal bildirim kurallarını sıkılaştırmaya yönelik adımlar attı, ancak yaptırım hâlâ dengesizdir. Barlow davası, daha katı zorunlu zaman çizelgeleri ve kasıtlı gizleme için daha ağır cezalar getirilmesi yönünde ivme sağlayabilir.
Büyük teknoloji tedarikçileriyle sözleşme yapan kuruluşlar için bu dava, ihlal bildirim yükümlülüklerini net zaman çizelgeleri ve bildirim yapılmaması durumunda mali cezalar ile doğrudan sözleşmelere eklemeleri gerektiğini hatırlatmaktadır. Yalnızca tedarikçinin kendi beyanına dayanan tedarikçi risk yönetimi programları, Barlow’un iddia ettiği türden davranışlara karşı doğası gereği savunmasızdır.
Bu Sizin İçin Ne Anlama Geliyor?
IBM hizmetlerini kullanan bir kuruluşta çalışıyorsanız, bu, tedarikçi sözleşmelerinizi gözden geçirme ve olay müdahalesi ile açıklama yükümlülükleri hakkında doğrudan sorular sorma zamanıdır. Bireyler için pratik gerçeklik, kişisel verilerinizin hiçbir zaman doğrudan etkileşimde bulunmadığınız kurumsal tedarikçilerden geçebileceği ve bu durumun maruziyetinizi izlemeyi zorlaştırdığıdır.
Atabileceğiniz somut adımlar vardır. Yetkisiz faaliyet belirtileri için düzenli olarak kredi raporlarınızı ve finansal hesaplarınızı izleyin. Hizmetler arasında benzersiz parolalar kullanın ki tek bir kimlik bilgisi ifşası yayılmasın. Bilgilerinizin bilinen ihlal veritabanlarında göründüğüne dair sizi uyaran kimlik izleme hizmetlerini değerlendirin.
Barlow iddiaları, siber güvenlik hesap verebilirliğinin kurumsal çevre sınırında sona ermediğini hatırlatmaktadır. İster bir tüketici, ister bir kamu sektörü çalışanı, isterse tedarikçi değerlendiren bir işletme olun, verilerinizin nasıl işlendiğini ve işler ters gittiğinde ne olduğunu anlamak artık bir seçenek değil zorunluluktur. Verilerinizi elinde tutan şirketlerden şeffaflık talep edin ve bu şeffaflığı uygulanabilir kılan yasal ve düzenleyici çerçeveleri destekleyin.
