Где была служба безопасности Nvidia?

Смена руководителей

В конце августа Ребер сообщил в LinkedIn, что уходит по состоянию здоровья. Более двух лет назад ему диагностировали болезнь Паркинсона с ранним началом. Он написал, что не планировал такой перемены, но на первом месте должны быть семья и здоровье.

Преемником Ребера стал Саша Зджелар. До Nvidia он 17 лет работал в ExxonMobil в Хьюстоне и ушёл оттуда с должности старшего ИТ-менеджера. Затем год провёл в Salesforce, а после — несколько лет в компании по кибербезопасности ReversingLabs. В четверг Зджелар не ответил на вопросы о переходе и о том, что могла знать служба безопасности. Ребер также не ответил на вопросы, а Nvidia не предоставила ответы на связанные с этой темой запросы.

О смене руководителей и деле Megaspeed публично ничего не связывает. При этом остаётся вопрос, знала ли служба безопасности о внимании властей к Megaspeed и об отношениях Хуанга и поднимал ли кто-нибудь эти темы.

Какие риски могла видеть компания

Не все личные отношения относятся к работе службы безопасности. Связи руководителей с подчинёнными обычно входят в сферу ответственности отдела кадров, юристов и совета директоров. Но отношения с руководителем компании, которую расследуют федеральные власти, — другой случай. Megaspeed отрицает нарушения.

Специалисты по безопасности предупреждают, что отношения могут создать уязвимости, которыми попытаются воспользоваться иностранные разведки. Выявлять такие риски сложно: по словам Николаса Эфтимиадеса, бывшего старшего сотрудника разведки, спецслужбы собирают сведения не только взломами, но и через повседневные разговоры. Эфтимиадес говорит, что обучил более 1000 специалистов по корпоративной безопасности.

Некоторые сотрудники Nvidia, судя по публикациям, знали отдельные детали. Как сообщила ранее на этой неделе The New York Times, главный юрист Nvidia участвовал в контактах с властями по расследованию Megaspeed более года назад. Nvidia заявляла, что регулярно общается с представителями властей.

Публикации об отношениях Хуанга с сотрудницами компании также указывают, что о них могли знать коллеги, хотя кодекс поведения Nvidia прямо их не запрещает. The New York Times сослалась на пятерых сотрудников Nvidia, которые рассказали об отношениях Хуанга с вице-президентом, напрямую ему подчинявшимся. Позднее Reuters со ссылкой на двух собеседников сообщило о второй связи. Дошла ли эта информация до службы безопасности, неизвестно.

Ограниченные ресурсы и задачи службы безопасности

Даже если служба безопасности Nvidia получила такую информацию, её возможности могли быть ограничены. Эфтимиадес, автор книги «Операции и тактика китайского шпионажа» 2020 года, говорит, что корпоративным службам безопасности часто не хватает финансирования: в отличие от некоторых других подразделений, они не приносят доход. По его словам, руководители компаний нередко отвечают на предупреждения о рисках, что готовы выделить лишь средства, необходимые для соблюдения требований.

Специалисты также отмечают, что многие компании понимают безопасность слишком узко. В статье для The Hill Дон Авив, генеральный директор компании по корпоративным расследованиям Interfor International, и автор Джереми Хуревиц писали, что компании по-прежнему сосредоточены главным образом на защите объектов, предотвращении кибератак и реагировании на физические угрозы. По их мнению, службам безопасности следует уделять больше внимания внутренним угрозам: попыткам иностранных разведок завербовать руководителей и сотрудников, подозрительным деловым связям, конфликтам интересов и попыткам получить чувствительные сведения через доверительные личные контакты.

При этом часть угроз может оказаться неподвластна даже службе безопасности. Эфтимиадес привёл гипотетический пример: генеральный директор жалуется, что не может предпринять какие-либо действия, потому что совет директоров против. Для разведывательного источника это раскрывает, кто именно мешает. Затем спецслужба может выяснить, кто является препятствием, и искать доступ к почте и телефону этого человека.

Соперничающая разведка может интересоваться не столько технологиями, сколько политикой: кто добивается изменения экспортных правил и кто сильнее всех этому противится. Эфтимиадес сравнил работу разведки с раком, который, попав в организм, распространяется дальше.

Методы разведки и роль технологий

По словам Эфтимиадеса, такие методы не новы, особенно для Китая: руководители, работающие с этой страной, рассказывают, что к ним обращались. Он также упомянул многочисленные истории дипломатов о том, как американские представители находили в гостиничных номерах женщин, ожидавших их на кровати. Новым по сравнению с советской эпохой он назвал длительность связей, которые спецслужбы выстраивают с людьми: теперь они могут продолжаться годами, а не неделями.

Разведывательную работу людей могут дополнять технологии. Один из примеров — устройства, имитирующие сотовую вышку и подключающие к себе находящиеся рядом телефоны. По словам Эфтимиадеса, простая версия такого устройства стоит около 1000 долларов и помещается в чемодан; модели для государственных структур стоят намного дороже.

Эфтимиадес не знает, применяли ли такие устройства против Хуанга. Его телефон, предположил он, был защищён так, чтобы попытки вмешательства можно было обнаружить, если не предотвратить полностью. Что именно знала служба безопасности Nvidia и могла ли она действовать, должно проясниться по мере продвижения независимого расследования совета директоров и федеральных расследований.

Эфтимиадес надеется, что эта история станет предупреждением для промышленности США, которая, по его оценке, плохо понимает методы Китая. Он предполагает, что страна потеряла триллионы долларов интеллектуальной собственности, и считает, что нынешние меры не работают.

По оценке Dataist, эта история показывает пределы корпоративной безопасности: даже если сотрудники замечают риск, у службы может не быть ресурсов или полномочий, чтобы на него повлиять. Что именно происходило в Nvidia, должны установить расследования; пока публичных ответов о действиях службы безопасности нет.