Quando, lo scorso anno, la SEC ( ) ha accusato SolarWinds e il suo responsabile della sicurezza informatica (CISO) di, Tim Brown, di frode intenzionale in materia di titoli per non aver segnalato alcune vulnerabilità nella sicurezza informatica, ciò ha suscitato grande scalpore nel settore. Improvvisamente, le aziende tecnologiche e, in particolare, i loro responsabili della sicurezza, sembravano essere finiti nel mirino legale del governo.
Ma la verità è che enti governativi quali la Commissione per i Titoli e gli Scambi ( ) e la Commissione per i Titoli e gli Scambi ( Exchange), il Dipartimento di Giustizia e i procuratori generali degli Stati avviano indagini, citano in giudizio i dirigenti e formulano accuse continuamente. Quando prendono di mira le aziende tecnologiche, molti di questi dirigenti si rivolgono a Jessica Nall, socia dello studio legale Baker McKenzie LLP con sede a Chicago.
Con 23 anni di esperienza alle spalle, la signora Nall è considerata una delle massime esperte a livello nazionale in materia di responsabilità penale e normativa federale per i professionisti della sicurezza informatica, in particolare i CISO. Infatti, afferma di aver rappresentato personalmente più CISO, responsabili della sicurezza informatica e membri dei relativi team in indagini federali di grande risonanza e nelle successive azioni civili di quanto forse qualsiasi altro avvocato negli Stati Uniti.
Ha inoltre difeso le persone sottoposte a interrogatorio nell’ambito di indagini interne e ha condotto innumerevoli indagini interne.
Ora che un numero crescente di CISO si chiede se possa trovarsi in difficoltà come l’ Brown – il quale ha ottenuto una sorta di tregua la scorsa settimana, quando un giudice statunitense ha respinto la maggior parte delle accuse mosse dalla SEC , pur confermando l’accusa principale di frode intenzionale in materia di titoli a suo carico – Focal Point ha ritenuto utile chiedere il parere di Nall sui modi per evitare problemi in caso di violazione della sicurezza. Interverrà inoltre su questo argomento in una sessione del Black Hat USA 2024 dedicata a “ 7 agosto ”, dal titolo “: Skirting the Tornado: Essential Strategies for CISOs to Sidestep Government Fallout in the Wake of Major Cyberattacks”.
Ecco la nostra conversazione con Nall:
(Questa intervista è stata modificata per chiarezza e lunghezza.)
Quando ha deciso di passare dalla difesa aziendale in generale al mondo della sicurezza informatica?
Circa 10 anni fa, si sono verificati alcuni dei primi casi o indagini federali che hanno coinvolto professionisti della sicurezza informatica, in cui le agenzie hanno esaminato ciò che individui e aziende avevano fatto o omesso di fare di fronte a massicci attacchi informatici. Da allora, questo ha rappresentato una parte fondamentale della mia attività.
“La mia competenza principale è il combattimento. Mentre i miei clienti nel settore della sicurezza informatica combattono contro i malintenzionati e gli autori di minacce, io combatto contro il governo.”
Sebbene possa fornire consulenza sulle migliori pratiche per evitare un intervento governativo , di solito sono io a essere chiamato quando l’edificio è già in fiamme. Di solito si tratta di qualcosa del tipo: «Abbiamo ricevuto un mandato di comparizione di grande rilevanza, oppure è in corso un’indagine molto approfondita, oppure è pervenuto una segnalazione da parte di un informatore che deve essere approfondita e che potrebbe potenzialmente portare a un intervento da parte delle autorità in futuro». La mia competenza principale è il combattimento. Mentre i miei clienti nel settore della sicurezza informatica combattono contro i malintenzionati e gli autori delle minacce, io combatto contro il governo.
Lei parla con molti CISO. Di che umore sono in questo momento?
È evidente che il livello di preoccupazione sta aumentando. Il ruolo del CISO è diventato sempre più complesso con l’introduzione di nuove tecnologie quali l’ la governance dell’IA, e tutti coloro che osservo si stanno affrettando a integrare le tecnologie più recenti. Sta diventando un lavoro sempre più difficile. E credo che, onestamente, vi sia una carenza di CISO davvero eccellenti disposti ad assumersi tale responsabilità. Ed è facile capire il motivo di ciò, dato che si assumono un livello di rischio elevato senza però poter contare sempre sul sostegno dei vertici aziendali o senza disporre di un budget sufficiente.
Si avvertono chiaramente sentimenti di frustrazione, preoccupazione e timore, soprattutto dopo l’azione di contrasto intrapresa dalla SEC nei confronti di SolarWinds. Le agenzie governative che vi danno la caccia possono essere come una bomba nucleare che cade dal cielo. In definitiva, non c'è molto che si possa fare per prevenirlo. È semplicemente una di quelle cose che potrebbero verificarsi in qualsiasi momento a seguito di un evento negativo di grande risonanza. Ed è proprio questo l’aspetto più terrificante per chi lavora nel settore tecnologico, dove solitamente un passo segue l’altro: il fatto che esista questo pericolo imprevedibile ed esistenziale qualora si abbia la sfortuna di subire un attacco riuscito.
Perché ritiene che il governo stia intensificando il controllo sui CISO?
Beh, hanno un conto in sospeso. Il loro obiettivo è scoraggiare determinati comportamenti. E in caso di gravi incidenti di sicurezza, specialmente quando si tratta di attacchi sponsorizzati dallo Stato, il governo degli Stati Uniti non dispone di molte risorse a cui ricorrere. Non possono fare molto per perseguire i criminali informatici in Russia, in Cina o in altri paesi in cui non esistono vie praticabili per l’estradizione o la cooperazione con le forze dell’ordine straniere.
“[A seguito] di una grave violazione, l’opinione pubblica si aspetta che le forze dell’ordine intervengano e che vengano adottate misure per impedire che ciò si ripeta in futuro.”
Quando si verifica un grave reato informatico, come una violazione su vasta scala, l’opinione pubblica si aspetta che le forze dell’ordine intervengano e che vengano adottate misure per impedire che ciò si ripeta in futuro. Pertanto, poiché il nostro governo non può intervenire contro l’FSB (Servizio federale di sicurezza della Federazione Russa, ex KGB), deve fare qualcosa. E poiché il CISO è considerato la punta di diamante della risposta in materia di sicurezza informatica, spesso diventa il bersaglio più comodo quando il governo vuole che qualcuno paghi le conseguenze.
Ritengo che sia profondamente sbagliato, ingiusto e iniquo, ed è per questo che mi oppongo al governo con tanto ardore, poiché sono convinto che non sia questo il modo giusto di agire. Ma troppo spesso è proprio così che va.
Se non possiamo ricorrere alle leggi per rendere le aziende responsabili in materia di sicurezza informatica e Lei ritiene che ricorrere a misure coercitive sia ingiusto nei confronti dei CISO, come possiamo procedere?
Questo è un ambito in cui ritengo che la responsabilità collettiva e aziendale rappresenti la strada da seguire. Un esempio in tal senso è rappresentato dall’ordinanza n. 2018 della SEC nella causa “ ” SEC contro Altaba, nella quale sono state evidenziate alcune carenze collettive relative alla comunicazione degli incidenti informatici ed è stata inflitta una pesante sanzione (35 milioni di dollari) a carico della società, senza tuttavia che venissero formulate accuse nei confronti di singoli individui. Ha invece emanato delle linee guida che altre società possono seguire per evitare multe ingenti che incidono sugli azionisti e sul prezzo delle azioni, favorendo così – a detta di alcuni – un cambiamento positivo senza mettere sul patibolo le persone sbagliate.
[Leggi anche: In che modo i CISO possono contrastare il burnout e prolungare la propria carriera]
Purtroppo, negli ultimi circa 10 anni i sistemi penali e normativi federali si sono evoluti notevolmente, al punto da imporre al governo di individuare in modo aggressivo i soggetti da ritenere responsabili nell’ambito delle azioni di applicazione della legge e dei procedimenti penali. Si tratta di un imperativo sempre più pressante per il governo sin dalla pubblicazione, nel 2015, del “Memo Yates” del Dipartimento di Giustizia (DOJ) intitolato “” (). Il Dipartimento di Giustizia ha diffuso tale nota a seguito delle proteste dell’opinione pubblica, dopo che il crollo del mercato 2008 non aveva portato all’assunzione di responsabilità da parte di alcun individuo. Ma questo è un ambito in cui tale approccio risulta davvero fuori luogo.
Il governo deve proprio tenervi in grande considerazione, vero?
Mi piace pensare che sia così. A dirla francamente, vi è una notevole fluidità tra gli uffici dei procuratori federali, gli avvocati specializzati in procedimenti di applicazione della legge della SEC e gli avvocati specializzati nella difesa dei reati finanziari. La credibilità è fondamentale, e avvalersi della collaborazione di avvocati della difesa altamente qualificati e competenti non può che essere di aiuto. Quindi, ovviamente, sì, mi vogliono bene. E li adoro, soprattutto quando lasciano andare la mia gente.
Potrebbe indicarci alcune strategie che i CISO possono adottare per evitare di trovarsi in situazioni delicate?
Innanzitutto, è importante comprendere le dinamiche che regolano il funzionamento delle cose. Perché i diversi partiti agiscono in quel modo? Si chieda: «Quali sono gli incentivi dell’azienda quando si verifica un grave incidente di sicurezza e il governo inizia a interessarsene, e come può anticipare tale situazione per assicurarsi di avere il massimo controllo possibile su tale comunicazione?»
“Quali sono gli incentivi per l’azienda quando si verifica un grave incidente di sicurezza e il governo inizia a interessarsene, e come è possibile anticipare tale situazione?”
Inoltre, è opportuno esaminare attentamente le linee di comunicazione all’interno dell’azienda. Prima di assumere il ruolo di CISO, si assicuri di sapere a chi dovrà riferire. La situazione tende a variare notevolmente da un’azienda all’altra. Tuttavia, se fossi una persona che sta valutando l’opportunità di accettare una promozione a tale ruolo o di entrare a far parte di una nuova azienda, vorrei esserne pienamente consapevole e assicurarmi che, in caso di violazione, la tutela si estenda anche a me e non sia limitata alla sola protezione dell’azienda stessa.
È inoltre importante essere in grado di individuare i segnali di allarme. Se è accaduto qualcosa e Le viene chiesto di presentarsi per un colloquio nell’ambito di un’indagine interna, se la pressione sta aumentando e Lei sta affrontando la situazione senza il proprio avvocato, questo rappresenta uno dei tanti possibili segnali di allarme.
I problemi legali non derivano sempre dagli enti governativi. Talvolta le compagnie assicurative specializzate in rischi informatici intentano cause contro i CISO o i team di sicurezza informatica. Cosa consiglia ai clienti di fare per prevenire tali difficoltà?
Nel corso dei miei decenni di attività professionale, ho avuto spesso a che fare con le compagnie assicurative . E ho constatato più e più volte ogni strategia che essi adottano per cercare di evitare di pagare in ogni modo possibile, che si tratti di rescindere una polizza sulla base di informazioni che non sono state comunicate o che non sono state fornite in modo sufficientemente dettagliato, oppure di qualche clausola di esclusione. Anche i limiti di copertura possono rappresentare un problema.
«Se è successo qualcosa e vi viene chiesto di presentarvi per un colloquio nell’ambito di un’indagine interna… e lo state facendo senza il vostro avvocato, questo è uno dei tanti possibili segnali di allarme.»
Pertanto, nella mia sessione al Black Hat, parlerò di assicurazioni e delle domande fondamentali che dovete porvi se ricoprite un ruolo nel campo della sicurezza. Vi illustrerò ciò che è necessario sapere in merito alla copertura assicurativa e quale potrebbe essere un livello adeguato di copertura, affinché possiate disporre di una solida rete di sicurezza.
Abbiamo sentito alcune compagnie assicurative affermare che il modo migliore per evitare problemi è collaborare con loro. È d'accordo?
In una certa misura, è vero. Ho dedicato molte ore a informare le compagnie assicurative su quanto sta accadendo nell’ambito di varie indagini governative. Ma non sempre gli interessi di tutti coincidono.
Direi che c’è sempre il rischio di incontrare difficoltà quando si ha a che fare con la propria compagnia assicurativa, poiché queste tendono a mostrarsi amichevoli mentre incassano i premi, ma quando arriva il momento di pagare, non sono più così disponibili. Si tratta quindi di una delicata manovra che deve essere eseguita in modo strategico. Capisco il loro punto di vista, ma si tratta di una posizione che assumono molto spesso per rifiutarsi di pagare. Non dovrebbe guardare la questione con gli occhiali rosa.
C’è qualcos’altro che vorrebbe anticiparci in merito alla sua prossima presentazione al Black Hat?
L’obiettivo è quello di fornire al pubblico una serie di strategie su cui riflettere, affinché non si trovino mai a dover affrontare le terribili situazioni vissute da Tim Brown e da altri. Il governo federale dispone di un potere enorme. Che potenza! E può davvero stravolgere la vita delle persone. Quello che vorrei fare è cercare di aiutare tutti a non finire in quella situazione e, qualora ciò dovesse accadere, a sapere a chi rivolgersi.
