Πριν από την τολμηρή κυβερνοεπίθεση της Ρωσίας που εκμεταλλεύτηκε το λογισμικό της SolarWinds Corp., αρκετοί υπάλληλοι φαίνεται ότι είχαν εκφράσει ανησυχίες για τα κενά στην ασφάλεια της επιχείρησης. Οι προειδοποιήσεις τους, τις οποίες καταγράφει η αγωγή που κατέθεσαν οι ρυθμιστικές αρχές των ΗΠΑ, θέτουν ερωτηματικά σχετικά με το αν η εταιρεία θα μπορούσε να κάνει περισσότερα ώστε να αποτρέψει την επίθεση που διείσδυσε στην κυβέρνηση των ΗΠΑ και σε μεγάλες εταιρείες.
Τον Νοέμβριο του 2020, έναν μήνα πριν από τη δημοσίευση της επίθεσης, ένας ανώτερος διευθυντής ασφάλειας έγραψε σε ένα μήνυμα άμεσης ανταλλαγής μηνυμάτων: “Είμαστε πολύ μακριά από το να είμαστε μια εταιρεία που σκέφτεται την ασφάλεια. Κάθε φορά που ακούω τους ανώτερούς μας να μιλάνε για ασφάλεια, θέλω να κάνω εμετό”.
Την προηγούμενη εβδομάδα, η Επιτροπή Κεφαλαιαγοράς και Χρηματοοικονομικών Αγορών των ΗΠΑ (SEC) υπέβαλε αγωγή εναντίον της SolarWinds, κατηγορώντας την εταιρεία για το ότι διαφήμιζε δημόσια τις πρακτικές της στον κυβερνοχώρο, ακόμη και ενώ οι ίδιοι υπάλληλοί της ήταν ανήσυχοι γι’ αυτές.
Η αγωγή περιλαμβάνει λεπτομέρειες σχετικά με τα ελαττώματα ασφαλείας στην διαχείριση της πρόσβασης της SolarWinds, την προστασία των κωδικών (ο προκαθορισμένος κωδικός σε ένα προϊόν ήταν “κωδικός πρόσβασης”) και την ανάπτυξη λογισμικού, συμπεριλαμβανομένου του δημοφιλούς Orion platform της, το οποίο τελικά δέχτηκε επίθεση από ρωσικούς κρατικούς χάκερ. Η SolarWinds παρέχει λογισμικό παρακολούθησης δικτύου που χρησιμοποιούν χιλιάδες εταιρείες και πολλοί κρατικοί φορείς για τη διαχείριση της υποδομής τους, ανέφερε η SEC.
Η SolarWinds εξέφρασε τη λύπη της για τις “αβάσιμες κατηγορίες” και εξέφρασε βαθιά ανησυχία για το ότι “αυτή η ενέργεια θα θέσει σε κίνδυνο την εθνική ασφάλεια”, όπως ανέφερε η εταιρεία σε ανακοίνωσή της.
Η Ρωσία προηγουμένως είχε αρνηθεί την εμπλοκή της.
Η αγωγή της SEC έρχεται καθώς η αρχή επιβάλλει αυστηρότερα νέα πρότυπα κυβερνοασφάλειας σε δημόσιες επιχειρήσεις, και ενώ άλλοι τομείς της αμερικανικής κυβέρνησης αντιμετωπίζουν το πρόβλημα του πώς να πείσουν τις εταιρείες να εφαρμόσουν αυστηρότερα αμυντικά μέτρα ενάντια σε αμείλικτες κυβερνοεπιθέσεις από εγκληματικές ομάδες και διάφορους ξένους αντιπάλους.
Οι εταιρείες λογισμικού “αρχίζουν να καταλαβαίνουν ότι οι παραγωγοί τελικών αγαθών θα θεωρηθούν υπεύθυνοι για την απόδοση του προϊόντος τους”, δήλωσε ο Mark Montgomery, συνταξιούχος αντιναύαρχος του Ναυτικού που διευθύνει το Κέντρο Κυβερνοασφάλειας και Τεχνολογικής Καινοτομίας στο Ίδρυμα για την Υπεράσπιση των Δημοκρατιών (Foundation for Defense of Democracies).
Πηγή: insurancejournal.com
Διαβάστε περισσότερα, εδώ.
