Als Twitter Peiter „Mudge“ Zatko als seinen neuen Sicherheitsleiter einstellte November 2020, wurde er von seinem damaligen CEO Jack Dorsey, der ihn persönlich rekrutiert hatte, herzlich begrüßt.
Als Mitglied des legendären L0pht -Hacker-Kollektivs im Jahr 1990s half Mudge bei der Erfindung der Konzepte des ethischen („White Hat“) Hackings und der verantwortungsvollen Offenlegung von Schwachstellen. Er hatte für die Defense Advanced Research Projects Agency (DARPA) und Google gearbeitet, bevor er zu Twitter kam.
Nach einem verheerenden Hack vier Monate zuvor konnten Angreifer Konten übernehmen, die unter anderem dem ehemaligen Präsidenten Barack Obama und Tesla CEO Elon Musk gehörten, benötigte das Unternehmen jemanden mit dem hohen Ruf von Mudge, um seine Glaubwürdigkeit wiederherzustellen. Doch weniger als zwei Jahre später sagte der jetzt Ex-Security-Leiter vor dem Kongress über Twitters „gross fahrlässigen“ Sicherheitsansatz aus, nachdem Unternehmensleiter seine vielen Warnungen angeblich ignoriert hatten.
Wie Mudge entdeckte, ist der Weg vom Sicherheitsretter zum Whistleblower rutschig und steil. Eine hochkarätige Führungskraft, die über nicht adressierte Sicherheitsschwachstellen öffentlich bekannt wird, ist äußerst selten. Aber das kann sich bald ändern, wenn die bundesstaatlichen Cybersicherheits-Berichtsregeln in Kraft treten.
Die Fluttore öffnen sich für Whistleblowing
Im Jahr wurde März 2022der Cyber Incident Reporting for Critical Infrastructure Act (CIRCIA) in Kraft gesetzt. Sobald die endgültigen Regeln in Kraft treten, werden Cybersicherheitsexperten in Unternehmen mit kritischer Infrastruktur verpflichtet, Vorfälle und Ransomware-Zahlungen unverzüglich den Bundesbehörden zu melden.
„Manchmal habe ich meinen Badge auf den Tisch gestellt und gesagt: „Das passiert nicht auf meiner Uhr.“Malcolm Harkins, Chief Security and Trust Officer, Epiphany Systems
Rechtsexperten zufolge schafft die Handlung eine Möglichkeit für Whistleblower, die Kenntnis von einer Nichtoffenlegung von Cybersicherheitsverletzungen an die Cybersecurity and Infrastructure Security Agency (CISA) haben, um einen Verstoß durch eine Klage nach dem False Claims Act zu melden.
Die SEC hat auch neue Regeln vorgeschlagen , die börsennotierte Unternehmen verpflichten, „wesentliche Cybersicherheitsvorfälle“ innerhalb von vier Tagen nach ihrem Auftreten offenzulegen, und bietet bereits erhebliche finanzielle Anreize für Mitarbeiter, die Organisationen melden, die dies nicht einhalten. Als Folge dieser neuen Anforderungen wird erwartet, dass die Anzahl der Mitarbeiter, die den Whistleblower-Status deklarieren, zunehmen wird.
Das muss nicht so sein. Indem Unternehmen eine Kultur der Transparenz und gemeinsamen Verantwortlichkeit annehmen, können sie weniger Umstände schaffen, die zu Whistleblowing führen, während sie gleichzeitig eine bessere Arbeit beim Risikomanagement leisten.
CISOs spüren den Druck
Der Druck auf CISOs, Informationen über ernsthafte Cyberrisiken zu unterdrücken, ist allzu häufig, sagt Malcolm Harkins, Chief Security and Trust Officer für Epiphany Systems und ehemaliger Chief Security and Privacy Officer bei Intel.
Ende 2020 veröffentlichte Harkins eine Umfrage auf der Plattform Pulse.QA (jetzt Gartner Peer Insights), in der Sicherheitsexperten gefragt wurden, ob sie jemals gebeten wurden, echte Sicherheitsrisiken zu „weißwaschen“. Von den mehr als 100 Befragten gaben fast 60 % Ja an. Obwohl die Umfrage unwissenschaftlich war und eine kleine Stichprobengröße hatte, spiegelt sie eine wachsende Realität unter den Cybersecurity-Führungskräften wider, sagt Harkins.
„Wir alle haben mit der Integrität verbundene Herausforderungen erlebt, die unsere Lösung getestet haben“, schrieb er in einem Aufsatz , der Anfang des Jahres veröffentlicht wurde. „Wir konnten vorhersehen, wann Druck wahrscheinlich auftauchte ... Wir könnten es riechen, fühlen es wie ein sechster Sinn.“
Wenn Sicherheitsleiter mit unethischem Druck von oben konfrontiert werden, haben sie vier Optionen: Sie können härter zurückdrängen und versuchen, die Meinung ihres Chefs zu ändern. Sie können das Risiko so gut sie können steuern und hoffen, Katastrophen abzuwenden. Sie können ihre Badges einblenden und mehr sicherheitsbewusste Arbeitgeber finden. Oder sie können mit den Nachrichten an die Öffentlichkeit gehen, die Aufsichtsbehörden warnen und gleichzeitig ihre Karriere gefährden.
„Es gibt Zeiten, in denen ich meinen Badge auf den Tisch gestellt und gesagt habe: „Das passiert nicht auf meiner Uhr“, sagt Harkins. „Persönlich würde ich das tun, bevor ich überhaupt ein Whistleblower werde. Wenn Sie glauben, dass das Unternehmen einen wesentlichen Fehler macht, sollten Sie bereit sein, zu gehen.“
Sicherheit ist ein Teamsport
Sicherheitsexperten kümmern sich jeden Tag um Hunderte potenziell schwerwiegende Schwachstellen , sagt Steve Zalewski, ehemaliger CISO für Levi Strauss und jetzt Sicherheitsberater bei S3 Consulting. Sie müssen entscheiden, welche eine groß genug große Bedrohung für das Unternehmen darstellen und was zu tun ist, wenn sich der CEO oder der Vorstand weigert, angemessen zu reagieren.
„CISOs sind wie Feuerwehrleute – sie gehen auf das Problem zu und erwarten, wie Helden behandelt zu werden. Aber immer mehr erkennen sie, dass das nicht die Art und Weise ist, wie ihr Unternehmen sie behandelt.“Steve Zalewski, Sicherheitsberater, S3 Consulting
„Oft sind Sie in die Lage versetzt, viel mehr Risiken zu akzeptieren, als Sie sich wohl fühlen, aber keine Möglichkeit haben, dieses Risiko zu verwalten“, sagt er. „CISOs sind wie Feuerwehrleute: Sie gehen auf das Problem zu und erwarten, wie Helden behandelt zu werden. Aber immer mehr erkennen sie, dass das nicht die Art und Weise ist, wie ihr Unternehmen sie behandelt.“
Und manchmal treffen Sicherheitsprofis die falsche Entscheidung.
Bei November 2016 Hackern hat eine Datenbank bei Uber verletzt und auf die Datensätze von 57 Millionen Kunden zugegriffen. Hacker drohten, die Daten öffentlich zu machen, es sei denn, Uber zahlte ihnen 100 000 USD. Nachdem er die Situation mit dem internen Sicherheitsanwalt von Uber und dem damaligen CEO Travis Kalanick besprochen hatte, stimmte der Chief Security Officer Joseph Sullivan zu, die Angreifer über das Bug-Bounty-System des Unternehmens zu bezahlen. Er versäumte es dann, den Vorfall der Federal Trade Commission zu melden, die das Unternehmen bereits wegen eines früheren Verstoßes untersuchte.
[Lesen Sie auch: Warum Bug Bounty-Jäger enorme Auszahlungen verdienen]
Letzten Oktober wurde Sullivan wegen eines Verbrechens für die Verschleierung des Verstoßes verurteilt. Zum Zeitpunkt der Veröffentlichung war kein Datum für eine Verurteilungsverhandlung festgelegt.
„Joe machte einen Fehler, der auf schlechten Ratschlägen anderer im Unternehmen beruhte, und im Nachhinein glaube ich, dass er die Dinge anders machen würde“, sagt Rob Chesnut, ehemaliger General Counsel und Chief Ethics Officer bei Airbnb, der 2016 im Beirat von Uber für Sicherheit tätig war und jetzt zu rechtlichen und ethischen Fragen berät. „Aber ist es fair, dass Joe in einem Strafverfahren die alleinige Verantwortung für das Scheitern des Unternehmens übernimmt? Ich glaube nicht.“
Sullivans Überzeugung erregte die Aufmerksamkeit der Cybersicherheitsgemeinschaft, bemerkt Chenxi Wang, Gründerin und Managing General Partner der Risikokapitalfirma Rain Capital und Investorin in mehreren Sicherheitsstartups.
„Es gab viele Diskussionen darüber, wer in einer Organisation die Verantwortung hat, Entscheidungen zu treffen, die Auswirkungen auf die Cybersicherheit haben“, sagt sie. „Wo fällt die Belastung? Der CISO sollte nicht der einzige sein [verantwortlich].“
[Lesen Sie auch: Unternehmen suchen nach CISOs, während die Hacking-Bedrohungen zunehmen]
Wang sagt, Unternehmen müssen einen Prozess einrichten, um wichtige Entscheidungen darüber zu treffen, wie Cybervorfälle gehandhabt werden und welche anderen Führungskräfte rechenschaftspflichtig sind und in diesen Prozess einbezogen werden müssen. Es beginnt mit dem General Counsel, fügt Zalewski hinzu.
„General Counsels (GCs) sind der beste Freund eines CISO, weil sie die einzigen sind, die gesetzlich verpflichtet sind, die besten Interessen des Unternehmens an erste Stelle zu setzen“, sagt er. „Wenn Sie den GC in die Diskussion einbringen, ist der Vorstand verpflichtet, Ihnen zuzuhören, und Sie haben eine schriftliche Aufzeichnung darüber, was passiert ist.“
Kultur ist der Schlüssel
Letztendlich geht es bei der Frage, ob ein Unternehmen zu einem unbeabsichtigten Zuchtplatz für Whistleblower wird, auf die Unternehmenskultur zurück. Fühlen sich Mitarbeiter wohl dabei, Wahrheit zu sagen, um Macht zu geben? Sind Führungskräfte bereit, zuzuhören?
„Wenn Sie in einem Unternehmen sind, in dem Sie nur salutieren und ausführen sollen, werden Sie mehr von diesen Problemen haben“, bemerkt Harkins. „Wenn Mitarbeitern das Recht fehlt, sich zu widersprechen und herauszufordern, werden Sie mehr dieser ethischen Dilemmas sehen.“
Der Schlüssel ist die Förderung von Transparenz und Kommunikation von unten nach oben und von der Mitte nach außen, sagt Marene Allison, die als CISO für Johnson & Johnson in den Ruhestand gehen wird.
[Lesen Sie auch: Wie CISOs über Cyberrisiken sprechen können, sodass CEOs tatsächlich zuhören]
Nach der Verabschiedung des Sarbanes-Oxley Act im Jahr 2002 waren börsennotierte Unternehmen verpflichtet, Ethik-Hotlines zu unterhalten, bei denen Mitarbeiter potenzielles Fehlverhalten anonym melden können. Allison sagt, dass jedes Unternehmen eine Möglichkeit für Mitarbeiter benötigt, den Alarm auszulösen , wenn sie etwas Falsches sehen.
„Schlechte Nachrichten früh sind gute Nachrichten“, sagt sie. „Wenn ein Unternehmen transparent sein möchte, muss es Mitarbeitern und externen Auftragnehmern die Möglichkeit bieten, sich zu Praktiken zu äußern. Ja, Sie erhalten die Person, die auf der 5 -Uhr-Neuigkeit sein möchte, aber Sie erhalten auch die Person, die etwas sieht und versucht, es Ihnen zu sagen, aber niemand wird zuhören.“
Sicherheitsleiter haben eine moralische Notwendigkeit, an die Öffentlichkeit zu gehen, wenn ein Cybervorfall das Leben gefährden könnte, argumentiert Harkins. Aber unter weniger schlimmen Umständen ist eine häufigere Reaktion, wegzugehen. Er rät Sicherheitsprofis, zuerst alles zu dokumentieren und es dem General Counsel und anderen Top-Führungskräften mitzuteilen. Diese Taktik kann einen Papierpfad der Verantwortlichkeit schaffen, falls Regulierungsbehörden klopfen.
Eine graue Linie
Die Bedrohungen sind stark und nicht zu ignorieren. Aber Cybersicherheit gibt es in verschiedenen Grautönen. Whistleblower-Szenarien können entstehen, wenn es eine Fehlausrichtung zwischen der Wahrnehmung des Risikos durch Sicherheitsleiter und dem Rest der C-Suite gibt.
„Der beste Weg, um Whistleblower anzusprechen, ist, eine Umgebung zu schaffen, in der sie nicht benötigt werden.“Rob Chesnut, ehemaliger General Counsel und Chief Ethics Officer, Airbnb
Seit Jahrzehnten wird Cybersicherheit mit Angst verkauft, und Sicherheitsprofis können etwas übereifrig werden, wenn sie über Risiken sprechen, sagt Harkins. Diese Haltung kann bei der Budgetgenehmigung hilfreich sein, kann aber auch die Glaubwürdigkeit eines CISO beeinträchtigen, wenn der von ihm vorhergesagte Kataclysm nicht eintritt.
Führungskräfte hingegen können möglicherweise nicht vollständig verstehen, wie sich eine Schwachstelle auf das Endergebnis des Unternehmens auswirkt. Und obwohl es relativ einfach ist, den Schaden zu messen, den ein schwerwiegender Vorfall verursacht, ist es viel schwieriger, den Wert der Investition zu messen, die den Vorfall verhindert. Es ist die Aufgabe des CISO, diesen Fall zu machen, ohne ihn zu überhypern.
„Viele Unternehmen verstehen Cybersicherheit nicht; sie wissen nur, dass sie sie benötigen“, sagt Zalewski. „CISOs müssen Unternehmen dabei helfen, das wahre Ausmaß der Risiken zu verstehen, die sie eingehen.“
[Lesen Sie auch: Um Cyber-Metriken gut zu nutzen, zeigen Sie den Pinnwänden das Geld]
Aber es ist unmöglich, jeden Vermögenswert gleich zu schützen. Unternehmen können aus Sicherheitsperspektive alles tun, was darüber hinausgeht, und werden dennoch verletzt. Wie sie reagieren, ist am wichtigsten. Und die Regeln, wie das auf einheitliche Weise zu tun ist, müssen noch definiert werden.
„Nur weil ein Unternehmen eine Datenschutzverletzung hat, bedeutet das nicht, dass es ein schlechtes Unternehmen ist“, sagt Chesnut. „Sind sie transparent darüber, was passiert ist, und scheinen sie sich ernsthaft für die Behebung des Problems zu engagieren? Der beste Weg, Whistleblower anzusprechen, ist, eine Umgebung zu schaffen, in der sie nicht benötigt werden.“
