Los cargos de la SEC contra el CISO de SolarWinds provocan conmoción en los departamentos de seguridad

La Comisión de Bolsa y Seguridad (SEC) ha designado a SolarWinds Corp. acusado, junto con su CISO Tim Brown, de fraude y fallas de control interno relacionadas con el ciberataque a la cadena de suministro de 2020 en la plataforma Orion de la compañía; En última instancia, esto llevó al compromiso de las agencias gubernamentales estadounidenses por parte de la inteligencia rusa.

Las acusaciones ya están causando conmoción en toda la comunidad CISO.

Según la SEC, el problema es la discrepancia entre Brown y otros. Vientos solares Los empleados dijeron internamente frente a lo que compartieron con los inversores.

Las comunicaciones internas revelaron que después de que se descubrió la vulnerabilidad de Orion, los empleados eran muy conscientes de que estaban engañando a los clientes. la SEC afirmó en su denuncia.

«Bueno, acabo de mentir».

“Poco después del ataque a la empresa de ciberseguridad B en octubre de 2020, los empleados de SolarWinds, incluido Brown, reconocieron similitudes entre el ataque a la agencia gubernamental estadounidense A”, afirma la denuncia de la SEC. “Pero cuando los empleados de la empresa de ciberseguridad B preguntaron a los empleados de SolarWinds si habían visto una actividad similar antes, el empleado F de InfoSec dijo incorrectamente que no. Luego envió un mensaje a un colega: “Bueno, acabo de mentir”.

Pero según el regulador, la incapacidad de SolarWinds para implementar controles de ciberseguridad adecuados comenzó ya en 2018. La SEC alega que Brown estaba al tanto de las advertencias sobre las vulnerabilidades de la compañía, pero las ignoró, incluida una presentación de un ingeniero de SolarWinds en 2018, que señaló la «Básicamente hacemos todo lo que hacemos sin darnos cuenta hasta que sucede». «Básicamente hacemos todo lo que hacemos sin darnos cuenta hasta que sucede». se retrasa», afirma el documento.

Al ignorar estas advertencias sobre la postura de ciberseguridad de la empresa y no plantear el problema en la cadena de mando, la SEC acusa a Brown de dejar intencionalmente desprotegidos los sistemas de la empresa.

Brown está acusado de sobrevender acciones de SolarWinds

SolarWinds presentó una divulgación 8-K incompleta ante la SEC en diciembre de 2020 y Brown se benefició personalmente del precio inflado de las acciones, según las acusaciones.

«El precio de las acciones de SolarWinds fue inflado por las declaraciones erróneas, omisiones y maquinaciones discutidas en esta denuncia», dijo la SEC.

La SEC también acusó a Brown de sobrevender acciones de SolarWinds antes de que su valor colapsara cuando el impacto total del compromiso se hizo público. Entre febrero de 2020 y finales de agosto de 2020, Brown vendió 9.000 acciones de SolarWinds con una ganancia de 170.000 dólares, según los registros de la Bolsa de Valores de Nueva York de la SEC. A finales de diciembre de 2020, el precio de las acciones de SolarWinds cayó un 35%.

Otras acusaciones incluyen que SolarWinds hizo “declaraciones materialmente falsas y engañosas” sobre sus prácticas de ciberseguridad al afirmar que programas como el marco del Instituto Nacional de Estándares y Tecnología (NIST) estaban completamente implementados, cuando en realidad solo se implementaron parcialmente.

SolarWinds y Brown prometen pelear en los tribunales

En respuesta, SolarWinds prometió un litigio inminente.

««Estamos decepcionados por las acusaciones infundadas de la SEC sobre un ciberataque ruso a una empresa estadounidense y estamos profundamente preocupados de que esta acción ponga en peligro nuestra seguridad nacional», dijo un portavoz de SolarWinds en un comunicado a Dark Reading. «La determinación de la SEC de hacer esto». Presentar una demanda contra nosotros y nuestro CISO es otro ejemplo de la extralimitación de la agencia y debería alarmar a todas las empresas públicas y profesionales dedicados a la ciberseguridad en todo el país. Esperamos dejar las cosas claras en los tribunales y continuar apoyando a nuestros clientes a través de nuestros compromisos de Secure by Design”.

El abogado de Brown, Alec Koch, también prometió una enérgica defensa de su cliente.

«Tim Brown desempeñó sus funciones en SolarWinds como vicepresidente de seguridad de la información y luego como director de seguridad de la información con cuidado, integridad y distinción», dijo Koch en un comunicado. «El Sr. Brown ha trabajado incansable y responsablemente durante su tiempo en SolarWinds para mejorar continuamente la postura de ciberseguridad de la empresa, y esperamos defender su reputación y corregir las imprecisiones en la denuncia de la SEC».

Los CISO se están preparando para las consecuencias

Responsabilidad del CISO es algo que la comunidad de la ciberseguridad ha estado observando de cerca durante el año pasado. Los nuevos cargos de la SEC contra Brown y SolarWinds siguen a la sentencia de un juez del CISO de Uber, Jake Sullivan, a tres años de libertad condicional por su papel en un encubrimiento corporativo de 2016. Violación de datos en Uber y promete castigos más severos en el futuro.

El CISO de Amtrak, Jesse Whaley, no está del todo seguro de cómo la acusación de la SEC contra SolarWinds afectará el papel del CISO de manera más amplia.

«Es realmente bueno o realmente malo», dice Whaley. «Esto podría contribuir más a mejorar la ciberseguridad que otra década de infracciones».

Por otro lado, Whaley cuestiona si la SEC realmente está haciendo lo correcto al acusar a Brown, y agrega que tiene preguntas sobre por qué el director financiero o el abogado general de la compañía no fueron nombrados también en la acusación.

Jessica Sica, CISO de Weave, teme que la decisión de la SEC de acusar a Brown obligue a más personas a abandonar el puesto de CISO.

«Probablemente tendrá un efecto paralizador, que ya estamos viendo, con los CISO dejando sus trabajos para convertirse en CISO de campo para proveedores», dice Sica.

El problema cada vez más grave para los CISO, explica, es que casi nadie tiene los recursos que necesita para hacer su trabajo.

««Creo que la principal preocupación es si la SEC y otras empresas comenzarán a responsabilizar a los CISO por las violaciones causadas por no tener los recursos que necesitan para hacer su trabajo», pregunta Sica.

Sin embargo, añade que cuando se trata de revelaciones, decir la verdad es siempre la decisión más inteligente. «No mientas. “No ocultes nada y asegúrate de abordar los problemas más críticos que afectan a tu negocio”, aconseja Sica.

Los CISO también deben tener mucho cuidado con cualquier declaración que hagan en el futuro que pueda contener un lenguaje demasiado optimista, aconseja el experto en ciberseguridad Jake Williams.

“A menudo se engaña al CISO para que firme una declaración que indica la existencia de un programa de trabajo”, dice Williams. “Incluso trabajé con empresas que cotizan en bolsa y discutí públicamente un programa que aún estaba en las etapas de planificación como si estuviera completamente implementado. No creo que encuentres un CISO a corto plazo que juegue juegos de palabras como ese».