Nvidia'nın güvenlik ekibi neredeydi? Huang olayı kurumsal güvenliğin insider threat ve karşı istihbarat açığını tartışmaya açtı
TechCrunch, Nvidia'nın uzun süreli güvenlik şefinin Ağustos'ta ayrılmasının ardından gelen CEO krizini güvenlik açısından ele aldı. Emekli bir istihbarat yetkilisi, yabancı servislerin bilgiyi çoğunlukla hacklemeyle değil gündelik konuşmalarla topladığını ve çoğu kurumsal güvenlik ekibinin bunu yakalayacak donanıma sahip olmadığını söylüyor.
Jensen Huang'ın Nvidia CEO'luğundan ayrılmasıyla sonuçlanan kriz, artık kurumsal güvenlik sorusuna da dönüştü. TechCrunch'ın 14 Kasım tarihli analizi, Nvidia'nın dört yıldır güvenlik şefi (CSO) olan David Reber'in Ağustos'ta sağlık nedenleriyle görevi bıraktığını, yerine ExxonMobil, Salesforce ve ReversingLabs geçmişi olan Saša Zdjelar'ın geldiğini hatırlatıyor.
Huang'ın ayrılığı, kişisel ilişkilerine dair sorularla başlamıştı; bunlardan biri, ABD'li soruşturmacıların Nvidia çiplerini Çin'e aktarmakla şüphelendiği Singapurlu veri merkezi şirketi Megaspeed'deki bir yöneticiyle ilgiliydi. Megaspeed suçlamaları reddediyor. TechCrunch, güvenlik ekibindeki değişikliklerle Megaspeed konusu arasında kamuya açık bir bağ bulunmadığını özellikle not ediyor. Reber, Zdjelar ve Nvidia soruları yanıtlamadı.
Asıl soru: bilgi güvenlik ekibine ulaştı mı?
Habere göre şirket içinde tablonun bazı parçalarını bilenler vardı: New York Times, Nvidia'nın baş hukukçusunun Megaspeed soruşturmasıyla bir yıldan uzun süredir temas halinde olduğunu yazdı. Belirsiz olan, bu bilginin güvenlik ekibine ulaşıp ulaşmadığı. Uzmanlara göre astlarla ilişkiler İK, hukuk ve yönetim kurulunun alanında; ancak federal soruşturma altındaki bir şirketin yöneticisiyle kurulan yakınlık, yabancı istihbarat servislerinin kullanmak isteyeceği bir zafiyet türü.
Uzman görüşü: istihbarat konuşmayla toplanır
Binden fazla kurumsal güvenlik uzmanına eğitim verdiğini söyleyen emekli istihbarat yetkilisi Nicholas Eftimiades'e göre:
- Servisler bilginin büyük kısmını hacklemeyle değil gündelik sohbetlerle topluyor; bu da riskin tespitini zorlaştırıyor.
- Güvenlik ekipleri gelir getirmediği için çoğu zaman bütçe sıkıntısı yaşıyor; yöneticilerin "uyumluluğun gerektirdiğinden fazlası yok" yaklaşımı yaygın.
- Rakip servislerin peşinde olduğu şey çoğu zaman teknolojiden çok politika bilgisi: ihracat kurallarını kimin değiştirmek istediği, en büyük engelin kim olduğu.
- IMSI catcher gibi sahte baz istasyonu cihazları insan istihbaratını destekleyebiliyor; Eftimiades, bunun Huang'a karşı kullanılıp kullanılmadığının bilinmediğini vurguluyor.
Interfor International CEO'su Don Aviv ve Jeremy Hurewitz da The Hill'deki yazılarında şirketlerin güvenliği hâlâ tesis koruma ve siber saldırı önleme olarak dar tanımladığını savunuyor.
Ne yapılmalı?
- Güvenlik programının kapsamı yalnızca teknik kontrollerle sınırlı kalmamalı; yöneticilere yönelik sosyal mühendislik ve uzun vadeli ilişki kurma girişimleri insider threat programına dahil edilmeli.
- Hukuk, İK ve güvenlik arasında, soruşturma altındaki iş ortakları gibi riskleri paylaşmak için tanımlı bir bildirim kanalı olmalı.
- Kritik yöneticilerin mobil cihazları için hardening ve seyahat güvenliği uygulanmalı.
- Yönetim kurulu, güvenlik ekibinin uyarılarını ve kaynak taleplerini düzenli olarak gündemine almalı.
