Де була команда безпеки Nvidia?

У серпні Nvidia залишив свій довголітній директор з безпеки та керівник продуктової безпеки Девід Ребер. Для сторонніх ця зміна майже не була помітною. Проте вже за два з половиною місяці компанію покинув генеральний директор Дженсен Хуанг — на тлі питань щодо його позашлюбних стосунків. Спершу йшлося про зв’язок із представником керівництва Megaspeed, сингапурської компанії, що займається центрами обробки даних і яку американські слідчі підозрюють у переправленні чипів Nvidia до Китаю, а згодом з’явилися повідомлення про два окремі романи з працівниками Nvidia.

Ребер пропрацював у Nvidia сім років, з яких чотири — на посаді директора з безпеки. У LinkedIn наприкінці серпня він написав, що йде з причин, пов’язаних зі здоров’ям. За його словами, це не був запланований крок, але спершу мають бути родина і здоров’я. Він також розповів, що понад два роки тому йому діагностували хворобу Паркінсону з раннім початком.

Новим директором з безпеки став Саша Зджелар. До Nvidia він 17 років працював в ExxonMobil у Х’юстоні, звідки пішов на посаді старшого ІТ-менеджера, потім рік провів у Salesforce і кілька років — у компанії з кібербезпеки ReversingLabs. У четвер Зджелар не відповів на запитання про перехід і про те, що саме знала команда безпеки.

Наразі немає публічних даних, які б пов’язували зміни на посадах Ребера чи Зджелара зі справою Megaspeed. Водночас постає закономірне питання: що саме знала команда безпеки Nvidia про увагу уряду США до Megaspeed і про стосунки Хуанга, а також чи хтось усередині компанії висловлював занепокоєння. Ребер не відповів на запитання в четвер, а Nvidia не надала відповіді на пов’язані запитання.

Стосунки між генеральним директором і працівниками зазвичай перебувають у площині відповідальності кадрових служб, юристів і ради директорів, а не служби безпеки. Проте фахівці з безпеки зазначають, що навіть роман усередині компанії може дати іноземній розвідці важіль тиску на керівника, який хоче зберегти це в таємниці. Випадок із представником керівництва Megaspeed, компанії, що перебуває під федеральним розслідуванням, узагалі не був внутрішнім офісним питанням. Megaspeed заперечує будь-які правопорушення.

Водночас розпізнати такі ризики непросто. За словами відставного старшого офіцера розвідки Ніколаса Ефтіміадеса, який, за його твердженням, навчив понад тисячу корпоративних фахівців із безпеки, розвідувальні служби часто збирають інформацію не через злом, а через повсякденні розмови. Це робить виявлення загроз особливо складним для корпоративних команд безпеки.

Деякі люди всередині Nvidia, очевидно, знали частину картини. The New York Times повідомила на початку цього тижня, що головний юрист Nvidia був залучений до запиту уряду щодо Megaspeed понад рік тому. Nvidia наголошує, що регулярно контактує з посадовцями. Повідомлення про стосунки Хуанга з працівниками свідчать, що колеги також могли про них знати, навіть якщо така поведінка прямо не заборонена кодексом поведінки Nvidia. The Times посилалася на п’ятьох працівників Nvidia, які стверджували, що він мав стосунки з віцепрезидентом, який підпорядковувався йому напряму, а Reuters, посилаючись на двох людей, згодом повідомив про другий роман. Невідомо, чи ця інформація дійшла до служби безпеки.

Навіть якщо ця інформація сягнула команди безпеки Nvidia, ресурси таких підрозділів часто обмежені. Ефтіміадес, автор книги Chinese Espionage Operations and Tactics 2020 року, зазначив, що служби безпеки часто недофінансовані, оскільки, на відміну від деяких інших центрів витрат, вони не приносять доходу. За його словами, керівники нерідко відповідають на попередження служби безпеки тезою, що не виділять ані цента понад те, чого вимагає комплаєнс.

Фахівці також зазначають, що багато компаній надто вузько розуміють безпеку. У колонці для The Hill Дон Авів, генеральний директор фірми корпоративних розслідувань Interfor International, і автор Джеремі Хурейвіц написали, що надто багато компаній досі розглядають безпеку передусім як захист об’єктів, запобігання кібератакам і реагування на фізичні загрози. Вони наполягали, що команди безпеки мають більше уваги приділяти внутрішнім загрозам, зокрема обробці керівників і працівників іноземними розвідувальними службами, підозрілим діловим зв’язкам, конфліктам інтересів і спробам отримати чутливу інформацію через довірені особисті контакти.

Враховуючи масштаб Nvidia і її ділових партнерів, було б дивно, якби служба безпеки компанії мала вужчі повноваження, ніж у більшості інших компаній, але це можливо.

Водночас частина ризиків, за словами Ефтіміадеса, є поза межами можливостей будь-якої команди. Говорячи загалом, а не про Хуанга, він навів гіпотетичний приклад, коли генеральний директор поскаржився, що не може чогось зробити через опір ради директорів. Це показує розвідувальному активу, хто є перепоною. Далі служба шукає, хто саме є ключовим блокером, і намагається дістатися до його пошти та телефону.

За словами Ефтіміадеса, конкурентна розвідка часто полює не стільки на технології, скільки на інформацію про політику: хто просуває зміни в експортних правилах і хто є найбільшим блокером. Він також зазначив, що розвідувальний світ подібний до ракової пухлини: потрапивши в організм, вона прагне поширюватися й захоплювати нові ділянки.

Ефтіміадес додав, що цей підхід не новий, особливо для Китаю. Будь-який керівник, який має справу з цією країною, за його словами, розповість, що до нього намагалися підступитися. Він також згадав чимало історій про дипломатів, коли американські дипломати заходили до готельного номера й бачили в ліжку жінку. На його думку, порівняно з радянською добою нове полягає в тому, що тепер такі зв’язки можуть тривати роками, а не тижнями.

Технології можуть підсилювати цю людську розвідку. Ефтіміадес навів приклад IMSI-перехоплювачів: ці пристрої імітують вишку стільникового зв’язку, щоб телефони поруч підключалися до них. За його словами, базова версія коштує близько 1000 доларів і поміщається у валізу, тоді як урядові моделі коштують значно більше. Він також згадав кілька випадків минулого року, пов’язаних із китайським шпигунством, де ці пристрої відіграли роль.

Невідомо, чи такі пристрої використовували проти Хуанга. Ефтіміадес зазначив, що його телефон, імовірно, був захищений так, щоб компрометацію можна було виявити, якщо не повністю запобігти. Те, що саме знала команда безпеки Nvidia і чи могла вона діяти, стане зрозумілішим лише після завершення незалежного розслідування ради директорів і федеральних розслідувань.

Тим часом Ефтіміадес висловлює надію, що весь цей епізод стане пробудженням для американської індустрії, яка, за його словами, переважно не тямить у тактиці Китаю. Він припускає, що через це було втрачено трильйони доларів інтелектуальної власності. «Те, що ми, як нам здається, робимо, не працює», — додав він.

Матеріал підготовлено на основі публікації TechCrunch.

Ніщо публічне не пов’язує зміни посад Ребера чи Зджелара зі справою Megaspeed, але видається справедливим поцікавитися, що саме знала команда безпеки Nvidia про увагу уряду до Megaspeed і про стосунки Хуанга та чи хтось висловлював занепокоєння.

— TechCrunch