Đội bảo mật của Nvidia ở đâu?

Người ngoài có rất ít lý do để chú ý khi giám đốc an ninh lâu năm và người đứng đầu bộ phận bảo mật sản phẩm của Nvidia từ chức vào tháng 8. Chỉ hai tháng rưỡi sau, chính CEO Jensen Huang đã rời công ty vì những nghi vấn ngày càng tăng về mối quan hệ ngoài hôn nhân của ông – bắt đầu với một giám đốc điều hành tại Megaspeed, một công ty trung tâm dữ liệu Singapore mà các nhà điều tra Hoa Kỳ nghi ngờ chuyển chip Nvidia sang Trung Quốc, sau đó mở rộng sang báo cáo về hai vấn đề riêng biệt với nhân viên Nvidia.

Vào thời điểm đó, David Reber, người đã có 4 năm làm CSO và 7 năm làm việc tại Nvidia, cho biết ông sẽ rời đi vì lý do sức khỏe. “Đây không phải là bước ngoặt mà tôi đã lên kế hoạch. Nhưng tôi biết điều gì cần phải đặt lên hàng đầu: gia đình và sức khỏe”, anh viết trên LinkedIn vào cuối tháng 8, tiết lộ rằng anh đã được chẩn đoán mắc bệnh Parkinson khởi phát ở tuổi trẻ hơn hai năm trước.

Người thay thế Reber, Saša Zdjelar, trước đây đã làm việc 17 năm tại ExxonMobil ở Houston, rời vị trí giám đốc CNTT cấp cao trước khi làm việc một năm tại Salesforce và vài năm tại công ty an ninh mạng ReversingLabs. Zdjelar đã không trả lời các câu hỏi hôm thứ Năm về quá trình chuyển đổi hoặc những gì nhóm bảo mật biết.

Không có gì công khai kết nối những thay đổi trong vai trò của Reber hoặc Zdjelar với vấn đề Megaspeed, nhưng có vẻ công bằng khi tự hỏi nhóm bảo mật của Nvidia biết gì về sự giám sát của chính phủ đối với Megaspeed và về các mối quan hệ của Huang, cũng như liệu có ai nêu lên mối lo ngại hay không. Reber đã không trả lời các câu hỏi vào thứ năm. Nvidia cũng chưa trả lời các câu hỏi liên quan của chúng tôi.

Không phải tất cả những mối quan hệ đó đều là việc của đội ngũ bảo mật. Mối quan hệ với cấp dưới thường thuộc về nhân sự, pháp lý và hội đồng quản trị. Nhưng ngoại tình với một giám đốc điều hành của một công ty đang bị liên bang điều tra lại là một chuyện khác. (Megaspeed đã phủ nhận mọi hành vi sai trái.) Các chuyên gia bảo mật cho biết các vấn đề có thể tạo ra những lỗ hổng mà các cơ quan tình báo nước ngoài tìm cách khai thác.

Bắt được kiểu tiếp xúc đó không phải là điều dễ dàng. Theo sĩ quan tình báo cấp cao đã nghỉ hưu Nicholas Eftimiades, cách các cơ quan tình báo thu thập thông tin, phần lớn thông qua cuộc trò chuyện hàng ngày thay vì hack, khiến các đội an ninh đặc biệt khó xác định rủi ro.

Một số người bên trong Nvidia biết rõ các phần của bức tranh. Luật sư hàng đầu của Nvidia đã tham gia vào cuộc điều tra Megaspeed của chính phủ hơn một năm trước, tờ New York Times đưa tin vào đầu tuần này. (Nvidia cho biết họ thường xuyên liên hệ với các quan chức.) Các báo cáo về mối quan hệ của Huang với nhân viên cho thấy các đồng nghiệp cũng biết về họ, ngay cả khi hành vi đó không bị quy tắc ứng xử của Nvidia cấm rõ ràng. The Times trích dẫn năm nhân viên của Nvidia cho biết anh ta có quan hệ với một phó chủ tịch, người đã báo cáo trực tiếp với anh ta, và Reuters, trích dẫn hai người, sau đó đã báo cáo về mối quan hệ thứ hai. Điều chưa rõ ràng là liệu có điều nào trong số đó đạt được an ninh hay không.

Ngay cả khi nó đã đến tay đội bảo mật của Nvidia, Eftimiades, người đã viết Hoạt động và chiến thuật gián điệp của Trung Quốc vào năm 2020, nguồn lực của nhóm bảo mật thường bị hạn chế. Có một điều, chúng thường bị thiếu vốn vì không giống như một số trung tâm chi phí khác, chúng không thúc đẩy doanh thu. Ông cho biết, việc các CEO trả lời cảnh báo của đội bảo mật là điều hết sức bình thường.

Nhiều công ty cũng định nghĩa bảo mật rất hẹp, các chuyên gia cho biết. Trong một ý kiến ​​trên tờ The Hill, Don Aviv, Giám đốc điều hành của công ty điều tra doanh nghiệp Interfor International và tác giả Jeremy Hurewitz, đã viết: “Quá nhiều công ty vẫn tiếp cận vấn đề bảo mật chủ yếu như vấn đề bảo vệ cơ sở vật chất, ngăn chặn các cuộc tấn công mạng và ứng phó với các mối đe dọa vật lý”. Hai người lập luận rằng “(các) nhóm an ninh cần chú ý nhiều hơn đến các mối đe dọa nội bộ, bao gồm cả việc các cơ quan tình báo nước ngoài lôi kéo các giám đốc điều hành và nhân viên, các mối quan hệ kinh doanh đáng ngờ, xung đột lợi ích và nỗ lực lấy thông tin nhạy cảm thông qua các liên hệ cá nhân đáng tin cậy”.

Tuy nhiên, một số điều đó vượt xa những gì mà bất kỳ đội nào có thể làm được. Nói chung, không phải về Huang, Eftimiades đưa ra một giả thuyết trong đó một CEO phàn nàn rằng anh ta không thể làm điều gì đó vì “Tôi đang đấu tranh với một hội đồng quản trị không muốn làm điều này”. Điều đó cho tài sản tình báo biết ai là chướng ngại vật. Sau đó, dịch vụ sẽ hỏi, “Ai là điểm mấu chốt ở đây?” và tìm cách xâm nhập vào email và điện thoại của người đó.

Điều mà cơ quan tình báo đối thủ mong muốn thường là ít công nghệ hơn là hiểu biết sâu sắc về chính sách, bao gồm cả việc ai đang thúc đẩy thay đổi các quy tắc xuất khẩu và ai là người cản trở lớn nhất. Ông nói: “Thế giới Intel có xu hướng giống như căn bệnh ung thư. “Một khi nó xâm nhập vào cơ thể, nó có vẻ sẽ lan rộng và có vẻ vươn ra ngoài.”

Eftimiades nói thêm rằng cuốn sách này không phải là mới, “đặc biệt đối với Trung Quốc”. Bất kỳ nhà điều hành nào làm việc với đất nước “sẽ cho bạn biết rằng họ đã được tiếp cận”. Ông cho biết cũng có “hàng tấn câu chuyện ngoại giao” về việc các nhà ngoại giao Mỹ bước vào phòng khách sạn và phát hiện một người phụ nữ trên giường. Ông cho biết điều mới hơn so với hoạt động gián điệp thời Liên Xô là các mối quan hệ mà các cơ quan này ngày nay xây dựng thường xuyên trong nhiều năm qua chứ không phải hàng tuần.

Công nghệ có thể nâng cao trí thông minh của con người, Eftimiades cho biết, chỉ ra máy bắt IMSI là một ví dụ. Các thiết bị này mô phỏng tháp di động để các điện thoại ở gần kết nối với chúng. Ông cho biết, một phiên bản cơ bản có thể có giá khoảng 1.000 USD và có thể nhét vừa trong vali, mặc dù các mẫu cấp chính phủ có giá cao hơn nhiều.

Eftimiades cho biết vẫn chưa ai biết liệu những thứ này có được sử dụng để chống lại Huang hay không, chiếc điện thoại của ông được cho là đã được tăng cường độ cứng để có thể phát hiện ra các hành vi xâm phạm, nếu không muốn nói là dừng hẳn. Nhưng dù thế nào đi nữa, những gì nhóm bảo mật của Nvidia biết và liệu họ có thể hành động theo đó hay không sẽ trở nên rõ ràng hơn khi cuộc điều tra độc lập của hội đồng quản trị và các cuộc điều tra liên bang được tiến hành.

Trong khi đó, Eftimiades cho biết ông hy vọng toàn bộ sự việc là “lời cảnh tỉnh” đối với ngành công nghiệp Hoa Kỳ, mà ông cho rằng hầu hết là “không biết gì” về chiến thuật của Trung Quốc. Ông phỏng đoán: “Chúng ta đã mất hàng nghìn tỷ đô la về sở hữu trí tuệ”. “Bất cứ điều gì chúng ta nghĩ chúng ta đang làm đều không hiệu quả.”