El jefe de seguridad de SolarWinds pide leyes cibernéticas más estrictas

Manténgase informado con actualizaciones gratuitas

Sólo regístrate para seguridad cibernética myFT Digest: entregado directamente a su bandeja de entrada.

El primer jefe cibernético de la historia, que se resistió a los esfuerzos de la Comisión de Bolsa y Valores de Estados Unidos de responsabilizar a las personas por un hackeo masivo ruso, pidió a los reguladores globales que aprobaran leyes de ciberseguridad más estrictas.

Tim Brown, director de seguridad de la información de SolarWinds, enfrentó los siguientes desafíos: demanda innovadora Lo acusó a él y a la empresa de engañar a los inversores al no revelar “riesgos conocidos” y tergiversar las medidas de seguridad de la empresa.

En su primera entrevista con el Financial Times desde que la mayoría de las quejas fueron desestimadas por un tribunal federal en julio, Brown dijo que la regulación cibernética global todavía estaba “en constante cambio” y que esto significaba que los jefes cibernéticos tenían que ” “Definitivamente está aumentando la tensión en torno a el mundo.”

“Cuando no tienes reglas que seguir, es muy difícil seguirlas”, dijo Brown. “Hay muy poco personal de seguridad que hará algo que no está bien, pero sólo necesitan decirnos qué es lo correcto para hacerlo”, añadió.

SolarWinds era una empresa de cadena de suministro de TI poco conocida con sede en Austin hasta que fue atacada por piratas informáticos rusos. espionaje a gran escala En 2020.

La demanda de la SEC se produce en medio de presiones sobre la agencia para abordar de manera más agresiva los riesgos cibernéticos durante el mandato del presidente Gary Gensler y una fuerte señal de la propia SEC y otras autoridades de que las personas pueden estar en riesgo. asumir la responsabilidad Por hackear.

El año pasado, las autoridades estadounidenses condenaron a Joe Sullivan, exdirector de seguridad de Uber, a tres años de libertad condicional y una multa de 50.000 dólares por encubrir una violación de datos de 2016. Esta fue la primera vez que un ejecutivo de una empresa fue procesado penalmente por manejo de datos. violación.

El año pasado, la SEC introdujo nuevas reglas cibernéticas con respecto a la divulgación de violaciones de datos, exigiendo que las empresas públicas describan elementos de sus procesos, estrategias y gobernanza de gestión de riesgos cibernéticos en sus informes anuales.

Brown dijo que tiene esperanzas de que la regulación cibernética global esté avanzando en la dirección correcta. Dijo que los profesionales de la seguridad se beneficiarían de una legislación cibernética comparable a la Ley Sarbanes-Oxley aprobada en 2002 después del escándalo de Enron.

“Recuerden que los problemas cibernéticos existen desde hace 20 o 30 años. Otros problemas regulatorios existen desde hace cientos de años. Estamos poniéndonos al día con la madurez del modelo”, añadió.

La demanda, que cita comunicaciones internas entre Brown y otros empleados de SolarWinds, se considera un momento decisivo para la industria. Los abogados que representan a expertos en seguridad advirtieron que era peligroso. “Horripilante” Los ciberexpertos, temiendo que sus comentarios puedan ser sacados de contexto y utilizados en su contra, han intensificado sus esfuerzos internos para mejorar la seguridad corporativa.

El juez de distrito Paul Engelmayer dictaminó en julio que el intento de la SEC de aplicar reglas contables a los procesos de ciberseguridad era “inadmisible”. Desestimó la mayoría de los reclamos contra SolarWinds y Braun, pero confirmó una acusación de fraude de valores basada en una declaración que SolarWinds publicó en su sitio web corporativo.

Un portavoz de SolarWinds dijo en un comunicado que la compañía tiene la intención de impugnar las afirmaciones restantes, que, según dijo, eran “materialmente inexactas”. La SEC se negó a hacer comentarios.

Brown dijo que la demanda, aunque personalmente molesta, ayudó a que los profesionales de seguridad corporativa tuvieran voz a nivel ejecutivo.

“Es mucha presión, pero también es un punto de inflexión”, afirmó. “es, [chief information security officer] posición y me aseguré de que la junta estuviera teniendo estas conversaciones. ”

Brown se unió este mes al consejo asesor de la empresa israelí de gestión de crisis Cytactic, pero dijo que todavía estaba comprometido a permanecer en su puesto en SolarWinds.

“En cuanto al incidente en Solar Winds, ocurrió bajo mi mando. ¿Fui yo el responsable final? Bueno, no, pero ocurrió bajo mi mando, así que quiero hacerlo bien”, dijo.

La compañía reportó ingresos de 193 millones de dólares en los tres meses que terminaron en junio, frente a los 246 millones de dólares del mismo período de 2020, antes de que se descubriera el hack. Si bien la acción ha comenzado a recuperarse de sus mínimos de 2022, todavía ha bajado más del 40% desde el llamado incidente del estallido solar.