Где была служба безопасности Nvidia?

В августе посты главного директора по безопасности и руководителя продуктовой безопасности покинули давние сотрудники Nvidia. Спустя два с половиной месяца компания лишилась своего генерального директора Дженсена Хуана на фоне растущих вопросов о его внебрачных связях. Расследования касались как отношений с руководителем сингапурской компании Megaspeed, которую американские следователи подозревают в переправке чипов Nvidia в Китай, так и сообщений о романах с двумя сотрудницами самой корпорации.

Дэвид Ребер, занимавший должность CSO четыре года из семи лет работы в Nvidia, объяснил свой уход проблемами со здоровьем. В конце августа он опубликовал сообщение в LinkedIn, где заявил: «Это не был запланированный поворот. Но я знаю, что должно быть в приоритете: семья и здоровье». Ребер также раскрыл факт диагноза раннего начала болезни Паркинсона, поставленного более двух лет назад.

Смена руководства и вопросы к безопасности

Преемником Ребера стал Саша Зджелар, ранее проработавший 17 лет в ExxonMobil в Хьюстоне на позиции старшего менеджера IT-отдела. После ухода из нефтяного гиганта он год трудился в Salesforce и несколько лет — в компании по кибербезопасности ReversingLabs. На запросы журналистов относительно перехода или осведомленности команды безопасности Зджелар в четверг не ответил.

Никаких публичных связей между сменой кадров у Ребера или Зджелара и делом Megaspeed не выявлено. Однако возникает вопрос о том, что знала служба безопасности Nvidia о правительственном расследовании в отношении Megaspeed и о личных отношениях Хуана, а также поднимались ли эти темы внутри компании. Сам Ребер и представители Nvidia на соответствующие вопросы в четверг не ответили.

Риски инсайдерских угроз

Не все личные отношения являются предметом ведения службы безопасности. Обычно дела о связях с подчиненными находятся в компетенции HR, юридического отдела и совета директоров. Однако роман с руководителем компании, находящейся под федеральным расследованием, представляет собой иной уровень риска. Megaspeed отрицает какие-либо нарушения. Эксперты по безопасности отмечают, что подобные связи создают уязвимости, которыми могут воспользоваться иностранные спецслужбы.

Выявить такие угрозы сложно. Отставной высокопоставленный разведчик Николас Эфтимиадес, обучивший более тысячи специалистов по корпоративной безопасности, указывает, что сбор информации часто происходит через повседневное общение, а не только через хакерские атаки. По данным The New York Times, главный юрист Nvidia был вовлечен в расследование Megaspeed более года назад. Сама компания заявляет о регулярном контакте с официальными лицами.

Сообщения о связях Хуана с сотрудниками свидетельствуют о том, что коллеги знали об этом, хотя кодекс поведения Nvidia прямо не запрещает такое поведение. NYT цитирует пять сотрудников, утверждающих о связи вице-президента, подчинявшегося напрямую Хуану. Reuters, ссылаясь на два источника, позже сообщил о еще одной связи. Неясно, достигала ли эта информация уровня службы безопасности.

Ограниченность ресурсов и узкий подход

Даже если информация поступала в службу безопасности, ее ресурсы часто ограничены. Эфтимиадес, автор книги «Китайские шпионские операции и тактика» (2020), отмечает, что департаменты безопасности нередко недофинансируются, так как, в отличие от других центров затрат, они не приносят доход. Он утверждает, что типичная реакция генеральных директоров на предупреждения безопасности сводится к фразе: «Ни центом больше, чем требует комплаенс».

Многие компании определяют безопасность слишком узко. В статье для The Hill Дон Авив, CEO фирмы корпоративных расследований Interfor International, и автор Джереми Хьюревиц написали: «Слишком много компаний по-прежнему подходят к безопасности прежде всего как к вопросу защиты объектов, предотвращения кибератак и реагирования на физические угрозы». Они настаивают, что командам безопасности следует уделять больше внимания внутренним угрозам, включая вербовку руководителей и сотрудников иностранными спецслужбами, подозрительные деловые связи, конфликты интересов и попытки получить чувствительную информацию через доверительные личные контакты.

Тактика иностранных спецслужб

Эфтимиадес привел гипотетический пример, когда генеральный директор жалуется, что не может принять решение из-за сопротивления совета директоров. Для иностранного агента это сигнал о препятствии. Спецслужба затем выясняет, кто именно является «камнем преткновения», и ищет способы доступа к электронной почте и телефону этого человека. То, что нужно конкурирующей спецслужбе, часто связано не столько с технологиями, сколько с пониманием политики: кто лоббирует изменения правил экспорта и кто является главным противником.

«Мир разведки подобен раку, — сказал Эфтимиадес. — Попав в организм, он стремится распространяться и добираться до новых целей». Эта тактика не нова, особенно применительно к Китаю. Любой руководитель, работающий с этой страной, скажет, что к нему обращались. Есть множество историй о том, как американские дипломаты заходили в номер отеля и находили там женщину. Новым по сравнению с советской эпохой является то, что современные связи, культивируемые спецслужбами, длятся годами, а не неделями.

Технологии дополняют человеческую разведку. Эфтимиадес упомянул IMSI-перехватчики, имитирующие вышки сотовой связи для подключения nearby телефонов. Базовая версия такого устройства стоит около $1000 и помещается в чемодан, хотя государственные модели значительно дороже. Пока неизвестно, использовались ли такие средства против Хуана, телефон которого, вероятно, был защищен от обнаружения компрометации. Ответы на вопросы о том, что знала служба безопасности Nvidia и могла ли она действовать, станут яснее по мере хода независимого расследования совета директоров и федеральных проверок.

Эфтимиадес выразил надежду, что этот случай станет «будильником» для американской промышленности, которая, по его мнению, в основном «не имеет представления» о тактиках Китая. Его оценка потерь интеллектуальной собственности составляет триллионы долларов. «Все, что мы думаем, что делаем, не работает», — заключил эксперт.