Juez perdona ex cárcel de Uber-CISO por cargo de violación de datos de 2016

El 4 de mayo, un juez federal de California condenó al exdirector de seguridad de la información de Uber, Joseph Sullivan, a tres años de libertad condicional por su papel en el encubrimiento de una filtración de datos en 2016 que expuso datos de más de 50 millones de clientes.

El juez William Orrick del Tribunal Federal de Distrito para el Distrito Norte de California también ordenó a Sullivan pagar una multa de $50,000 y realizar 200 horas de servicio comunitario.

un descanso feliz

La sentencia de no ir a la cárcel probablemente será una especie de alivio para algunos en la industria que habían percibido a Sullivan como un caso de una falla de seguridad más amplia en Uber. Otros, incluidos los fiscales del caso, se habían pronunciado a favor de una 15 meses de prisiónes probable que vea el fallo como insuficiente para disuadir a los ejecutivos de un comportamiento similar en situaciones de alto riesgo.

Al pronunciar el veredicto, el propio juez Orrick parece haber dejado en claro que otros líderes de seguridad cibernética no tendrían tanta suerte si terminaran por delante de él como lo hizo Sullivan.

“Si tuviera un caso similar mañana, irían a la cárcel aunque el acusado tuviera el carácter del Papa Francisco”, dijeron algunos. medios de comunicación citó al juez Orrick durante la audiencia de sentencia. «Cuando sales y hablas con tus amigos, con tus CISO, diles que te han dado un descanso, no por lo que has estado haciendo, ni siquiera por quién eres, sino porque esto es tan inusual». caso individual fue. «

No informar y ocultar una infracción

un jurado federal encontró a Sullivan culpable en octubre pasado en dos delitos relacionados con una violación de datos en Uber en noviembre de 2016, que expuso datos de alrededor de 57 millones de clientes y 600,000 conductores del gigante de viajes compartidos. Uno de los cargos tenía que ver con Sullivan ocultando activamente la violación de los funcionarios de la Comisión Federal de Comercio, que estaban investigando una violación anterior de Uber en 2014. Los fiscales federales acusaron a Sullivan de retener y ocultar deliberadamente la violación de 2016 a los investigadores de la FTC, a pesar de que les entregó una declaración jurada sobre la violación de 2014.

El segundo cargo del que el jurado encontró culpable a Sullivan fue arrestar un delito grave o trabajar para encubrir la violación de 2016 de otros, incluidos los ejecutivos de Uber. Los fiscales dijeron que Sullivan lo hizo pagando a los dos piratas informáticos responsables de la violación $ 100,000 para evitar que lo hicieran público. Sullivan, trabajando con otros miembros de su equipo de seguridad, hizo arreglos para que los piratas informáticos recibieran pagos a través del programa oficial de recompensas por errores de Uber y luego logró que los piratas informáticos firmaran un acuerdo de confidencialidad (NDA) complementario, esencialmente comprando su silencio. Para obtener el dinero, los piratas informáticos acordaron que no habían accedido a ningún dato confidencial en Uber, cuando en realidad lo habían hecho.

La recompensa fue la más grande que Uber había pagado a los investigadores hasta ese momento como parte de su programa de recompensas por errores. El acuerdo de confidencialidad complementario también fue la primera vez que Uber ordenó tal requisito a los cazadores de errores, dijeron los fiscales, ya que destacaron hasta dónde llegó Sullivan para ocultar la violación. En su nota de sentencia, los fiscales señalaron que Sullivan casi se salió con la suya porque el conocimiento de la investigación de la FTC y el programa de ciberseguridad de Uber existían en un silo de la empresa. Pocos de los empleados de la empresa conocían la importancia de la filtración, y si no hubiera sido por un nuevo CEO de Uber, Dara Khosrowshahi, que intervino en agosto de 2017, el incidente habría permanecido en secreto, señalaron.

argumentos para la libertad condicional

En el juicio de Sullivan el año pasado Khosrowshahi dijo que despidió a Sullivan en 2017 después de descubrir que este último había tratado de engañarlo en un correo electrónico sobre la violación de datos de 2016. El CEO de Uber dijo que decidió informar a los reguladores sobre el incidente porque cree que la decisión de Sullivan de no revelar la violación fue «una decisión equivocada».

En una petición de libertad condicional, los abogados de Sullivan argumentaron que los fiscales exageraron las implicaciones de algunas de las declaraciones y acciones del ex CISO. Descubrieron que Sullivan había mantenido a Travis Kalanick, el director ejecutivo de Uber en ese momento, y a algunos miembros del equipo legal de Uber completamente informados de lo que estaba sucediendo (Kalanick renunció en 2017 bajo la presión de los accionistas de Uber en materias ajenas). Los abogados de Sullivan también argumentaron que el gobierno tergiversó la razón por la que Sullivan recibió la NDA de los piratas informáticos, diciendo que la verdadera razón tenía que ver con que él quería asegurarse de que no divulgaran los datos confidenciales a los que accedieron.

Uber en sí no participó en el proceso, ni tampoco Kalanick.

En la audiencia de sentencia, el juez Orrick señaló que había recibido 186 cartas de colegas, amigos y familiares de Sullivan, algunas pidiendo indulgencia, otras pidiendo tiempo en prisión. Una de las cartas que pedían la libertad condicional parecía ser de Kalanick.

Avishai Avivi, CISO en SafeBreach que escribió para Dark Reading en el Perspectivas para los CISO de la brecha, llama al juicio del juez Orrick justo y razonable.

«El juez Orrick consideró las numerosas cartas en apoyo de la contribución a largo plazo del señor Sullivan al público y, en particular, al área de seguridad de la información», dijo Avivi. «El juez Orrick descubrió que el ex director ejecutivo de Uber, Travis Kalanick, era ‘tan culpable’ como Joe Sullivan».

La respuesta ante filtraciones es un deporte de equipo

Según Avivi, este es un buen momento para que las organizaciones reafirmen el papel fundamental que desempeñan los CISO en las organizaciones y reconozcan los frenos de seguridad cibernética que tienen. «También es importante que el CISO cree e implemente un plan de contingencia antes de que ocurra una infracción para minimizar las consecuencias financieras y operativas si ocurre».

Christopher Hallenbeck, CISO, Americas at Tanium, dice que la conclusión clave aquí es que la respuesta a brechas es un deporte de equipo que involucra a múltiples líderes. No informar sobre una lesión ya es suficientemente malo, pero ocultarla es peor, dice.

«Por varias razones históricas, los CISO asumieron esta tarea de mantener las cosas en silencio mientras intentaban solucionar el problema por sí mismos», señala Hallenbeck. «Si te piden o te presionan para que actúes de manera poco ética o posiblemente ilegal, prepárate para alejarte y/o silbar».