Quando Twitter assunse Peiter “Mudge” Zatko come nuovo responsabile della sicurezza nel novembre 2020, egli fu accolto calorosamente dall’allorCEO e Jack Dorsey, che lo aveva reclutato personalmente.
In qualità di membro del leggendario collettivo di hacker “ ” L0pht nel 1990s, Mudge ha contribuito a definire i concetti di hacking etico (“white hat”) e di divulgazione responsabile delle vulnerabilità. Prima di entrare a far parte dell’ Twitter, aveva lavorato per la Defense Advanced Research Projects Agency (DARPA) e per l’ Google .
Dopo che un attacco informatico devastante , avvenuto quattro mesi prima, aveva consentito agli hacker di assumere il controllo degli account dell’ex presidente Barack Obama e di Elon Musk, amministratore delegato di Tesla CEO , tra gli altri, l’azienda aveva bisogno di una figura con la reputazione eccezionale di Mudge per ripristinare la propria credibilità. Ma meno di due anni dopo, l’ormai ex responsabile della sicurezza ha testimoniato davanti al Congresso in merito all’approccio “” (grossamente negligente") adottato da Twitter'in materia di sicurezza, dopo che i vertici dell’azienda avrebbero ignorato i suoi numerosi avvertimenti.
Come ha scoperto Mudge, il percorso che porta dall’essere un paladino della sicurezza a diventare un informatore è scivoloso e ripido. È estremamente raro che un dirigente di alto livello renda pubbliche delle vulnerabilità di sicurezza non risolte. Ma la situazione potrebbe presto cambiare, dato che stanno per entrare in vigore le norme federali in materia di segnalazione in ambito di sicurezza informatica.
Si aprono le porte alla segnalazione di irregolarità
Nel marzo 2022, è stata promulgata la legge denominata “ , the Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA)” . Una volta che le norme definitive entreranno in vigore, la legge imporrà ai professionisti della sicurezza informatica operanti presso infrastrutture critiche e alle aziende di di segnalare tempestivamente alle autorità federali eventuali incidenti e pagamenti effettuati a seguito di attacchi ransomware .
«Ci sono state occasioni in cui ho posato il mio distintivo sul tavolo e ho detto: “Questo non accadrà sotto la mia responsabilità”.»Malcolm Harkins, responsabile della sicurezza e della fiducia presso Epiphany Systems
Secondo gli esperti legali di , la legge offre agli informatori che siano a conoscenza di una mancata comunicazione tempestiva di violazioni della sicurezza informatica alla Cybersecurity and Infrastructure Security Agency (CISA) l’opportunità di segnalare tale violazione mediante un’azione legale ai sensi del False Claims Act.
La SEC ha inoltre proposto nuove norme che impongono alle società quotate in borsa di rendere noti gli “incidenti significativi in materia di sicurezza informatica” entro quattro giorni dal loro verificarsi e offre già notevoli incentivi finanziari ai dipendenti che segnalano le organizzazioni che non si attengono a tali disposizioni. A seguito di questi nuovi requisiti, si prevede che il numero di dipendenti che dichiarano di essere informatori aumenti.
Non deve per forza andare così. Adottando una cultura improntata alla trasparenza e alla responsabilità condivisa, le organizzazioni possono ridurre le circostanze che portano alla segnalazione di irregolarità, gestendo al contempo in modo più efficace i rischi.
I CISO si trovano in una situazione difficile
La pressione esercitata sui CISO affinché nascondano informazioni relative a gravi rischi informatici è fin troppo comune, osserva Malcolm Harkins, responsabile della sicurezza e della fiducia presso Epiphany Systems ed ex responsabile della sicurezza e della privacy presso Intel.
Verso la fine del 2020, Harkins ha pubblicato un sondaggio sulla piattaforma Pulse.QA (ora Gartner Peer Insights) chiedendo ai professionisti della sicurezza se fosse mai stato loro chiesto di “insabbiare” rischi reali per la sicurezza. Tra gli oltre 100 intervistati, quasi il 60% ha risposto di sì. Sebbene l’indagine non fosse di natura scientifica e si basasse su un campione di dimensioni ridotte, essa riflette una realtà sempre più diffusa tra i responsabili della sicurezza informatica, afferma Harkins.
"Tutti noi abbiamo affrontato sfide legate all’integrità che hanno messo alla prova la nostra determinazione", ha scritto in * *, un saggio pubblicato all’inizio di quest’anno su * *. "Eravamo in grado di prevedere quando sarebbe potuta insorgere una situazione di pressione…." "Riuscivamo a percepirne l'odore, a sentirlo come se fosse un sesto senso."
Quando si trovano di fronte a pressioni non etiche provenienti dai propri superiori, i responsabili della sicurezza hanno quattro opzioni: possono opporre una resistenza più decisa e cercare di far cambiare idea al proprio superiore. Possono gestire il rischio nel miglior modo possibile e sperare di scongiurare il disastro. Possono restituire i propri tesserini e trovare datori di lavoro più attenti alla sicurezza. Oppure possono rendere pubblica la notizia, allertando le autorità di vigilanza ma mettendo al contempo a rischio la propria carriera.
«Ci sono state occasioni in cui ho posato il mio distintivo sul tavolo e ho detto: “Questo non accadrà finché ci sarò io”», afferma Harkins. "Personalmente, lo farei prima ancora di diventare un informatore. Se ritiene che l’azienda stia commettendo un errore grave, dovrebbe essere disposto ad andarsene."
La sicurezza è un lavoro di squadra
I professionisti della sicurezza si trovano ad affrontare ogni giorno centinaia di vulnerabilità potenzialmente gravi del sistema di gestione dei contenuti ( ) , afferma Steve Zalewski, ex CISO di Levi Strauss e attualmente consulente per la sicurezza presso S3 Consulting. Devono decidere quali di esse rappresentino una minaccia sufficientemente grave per l’azienda e come procedere qualora l’ CEO e o il consiglio di amministrazione si rifiutino di reagire in modo adeguato.
«I CISO sono come i vigili del fuoco: corrono verso il problema, aspettandosi di essere trattati come eroi.» Ma sempre più spesso si rendono conto che la loro azienda non li tratta in questo modo.”Steve Zalewski, consulente per la sicurezza, S3 Consulting
"Spesso ci si trova nella situazione di dover accettare un rischio molto maggiore di quanto ci si senta a proprio agio, senza però avere alcun modo per gestirlo", afferma. "I CISO sono come i vigili del fuoco: corrono incontro al problema, aspettandosi di essere trattati come eroi. «Ma sempre più spesso si rendono conto che non è così che la loro azienda li tratta.»
E a volte i professionisti della sicurezza prendono decisioni sbagliate.
Come riportato su novembre 2016 , alcuni hacker hanno violato un database di Uber, ottenendo l’accesso ai dati di 57 milioni di clienti. Gli hacker hanno minacciato di rendere pubblici i dati a meno che Uber non avesse pagato loro 100.000 dollari. Dopo aver discusso la situazione con il responsabile legale interno di Uber per la sicurezza e con l’alloraCEO Travis Kalanick, il responsabile della sicurezza Joseph Sullivan ha acconsentito a pagare gli autori dell’attacco tramite il sistema di ricompensa per la segnalazione di bug dell’azienda. Egli non ha poi segnalato l’accaduto alla Commissione federale per il commercio, che stava già indagando sull’azienda in merito a una precedente violazione.
[Leggi anche: Perché i cacciatori di bug ricevono ricompense ingenti]
Lo scorso ottobre, Sullivan è stato condannato per un reato grave per aver nascosto la violazione. Al momento della pubblicazione, non era stata ancora fissata la data dell’udienza di determinazione della pena.
"Joe made a mistake based on bad advice from others in the company, and in hindsight I think he'd do things differently," says Rob Chesnut, former general counsel and chief ethics officer at Airbnb, who served on Uber's Advisory Board on Safety in 2016 and now consults on legal and ethical issues. "Ma è giusto che Joe si assuma la responsabilità esclusiva, in un procedimento penale, del fallimento dell’azienda? "Non credo proprio."
La condanna di Sullivan ha attirato l’attenzione dell’ Community nel settore della sicurezza informatica, osserva Chenxi Wang, fondatore e socio amministratore generale della società di venture capital Rain Capital, nonché investitore in numerose startup operanti nel settore della sicurezza.
"Si è discusso molto su chi, all’interno di un’organizzazione, abbia la responsabilità di prendere decisioni che abbiano implicazioni in materia di sicurezza informatica", afferma. "Su chi ricade l'onere? "Il CISO non dovrebbe essere l'unico [responsabile]."
Wang afferma che le organizzazioni devono definire una procedura per l’adozione delle decisioni chiave relative alla gestione degli incidenti informatici e stabilire quali altri dirigenti siano responsabili e debbano essere coinvolti in tale procedura. “Si parte dal responsabile dell’ufficio legale”, aggiunge Zalewski.
"I responsabili legali (GC) sono i migliori alleati di un CISO, poiché sono gli unici ad avere l’obbligo giuridico di anteporre gli interessi dell’azienda a ogni altra cosa", afferma. "Quando si introduce il GC nella discussione, il consiglio ha l’obbligo di ascoltarLa e Lei dispone di una traccia scritta di quanto accaduto."
La cultura è fondamentale
In definitiva, il fatto che un’azienda diventi o meno, involontariamente, un terreno fertile per gli informatori dipende dalla cultura aziendale. I dipendenti si sentono a proprio agio nel dire la verità a chi detiene il potere? I dirigenti aziendali sono disposti ad ascoltare?
«Se si lavora in un’azienda in cui ci si deve limitarsi a obbedire e ad agire senza discutere, si finirà per avere un numero maggiore di problemi di questo tipo», osserva Harkins. "Se ai dipendenti viene negato il diritto di dissentire e di contestare, si assisterà a un aumento di questi dilemmi etici."
La chiave sta nel promuovere la trasparenza e la comunicazione dal basso verso l’alto e dal centro verso l’esterno, osserva Marene Allison, che sta per andare in pensione dalla carica di CISO presso Johnson & Johnson.
A seguito dell’approvazione del Sarbanes-Oxley Act nel 2002, alle società quotate in borsa è stato imposto di istituire linee telefoniche dedicate alla segnalazione di comportamenti scorretti, attraverso le quali i dipendenti possano segnalare in forma anonima potenziali irregolarità. Allison sostiene che ogni azienda debba disporre di un sistema che consenta ai propri dipendenti di dare l’allarme qualora notino qualcosa di anomalo.
«Una brutta notizia ricevuta presto è una buona notizia», afferma. "Se un'azienda desidera essere trasparente, deve offrire ai propri dipendenti e ai collaboratori esterni la possibilità di esprimere il proprio parere sulle pratiche aziendali. «Sì, ci sarà chi vuole apparire nel telegiornale delle 5 , ma ci sarà anche chi vede qualcosa e cerca di dirvelo, ma nessuno lo ascolta.»
I responsabili della sicurezza hanno l’imperativo morale di rendere pubblica la notizia qualora un incidente informatico possa finire per mettere in pericolo delle vite umane, sostiene Harkins. Tuttavia, in circostanze meno gravi, la reazione più comune è quella di allontanarsi. Egli consiglia ai professionisti della sicurezza di documentare innanzitutto ogni aspetto e di condividerlo con il responsabile legale e gli altri dirigenti di alto livello. Tale strategia può garantire una traccia documentale che ne attesti la responsabilità nel caso in cui le autorità di vigilanza dovessero intervenire.
Una linea grigia
Le minacce sono evidenti e impossibili da ignorare. Tuttavia, la sicurezza informatica si caratterizza per una serie di sfumature di grigio. Possono verificarsi situazioni di segnalazione di irregolarità quando vi è una discrepanza tra il modo in cui i responsabili della sicurezza e il resto dei vertici aziendali percepiscono il rischio.
«Il modo migliore per affrontare la questione degli informatori è creare un ambiente in cui non ce ne sia bisogno.»Rob Chesnut, ex responsabile legale e responsabile della conformità etica di Airbnb
Da decenni, la sicurezza informatica viene promossa facendo leva sulla paura, e gli esperti del settore possono talvolta lasciarsi prendere dall’eccessivo zelo quando parlano di rischio, afferma Harkins. Questo atteggiamento può rivelarsi utile quando si tratta di ottenere l’approvazione del bilancio, ma può anche minare la credibilità di un CISO qualora il disastro da lui previsto non dovesse verificarsi.
I dirigenti aziendali, d’altra parte, potrebbero non essere in grado di comprendere appieno in che modo una vulnerabilità incida sui profitti dell’azienda. E mentre è relativamente facile quantificare il danno causato da un incidente grave, è molto più difficile quantificare il valore dell’investimento che impedisce che l’incidente si verifichi. È compito del CISO illustrare tale argomento senza esagerarne l’importanza.
"Molte aziende non comprendono appieno la sicurezza informatica; sanno semplicemente che è necessario disporne", afferma Zalewski. "I CISO devono aiutare le aziende a comprendere la reale portata dei rischi che stanno correndo."
Ma è impossibile proteggere ogni bene allo stesso modo. Le aziende possono adottare tutte le misure di sicurezza necessarie e, nonostante ciò, subire comunque una violazione. Ciò che conta di più è il modo in cui reagiscono. E le regole su come procedere in modo uniforme devono ancora essere definite.
«Il fatto che un’azienda subisca una violazione dei dati non significa che sia un’azienda scadente», afferma Chesnut. "Sono trasparenti riguardo a quanto accaduto e sembrano sinceramente determinati a risolvere il problema? «Il modo migliore per affrontare la questione degli informatori è creare un ambiente in cui non ce ne sia bisogno».
