Im letzten Monat war eine unter dem Radar liegende Klage ein heißes Gesprächsthema in den Vorstandsetagen und Sicherheitsabteilungen von Fortune-500-Unternehmen.
Im Oktober verklagte die Börsenaufsichtsbehörde (Securities and Exchange Commission) ein Softwareunternehmen, das im Jahr 2020 von russischen Agenten gehackt wurde, und warf ihm vor, Investoren durch die Nichtoffenlegung angeblich bekannter Cybersicherheitsrisiken und -schwachstellen betrogen zu haben.
In der Klage wurde nicht nur das Unternehmen SolarWinds genannt, sondern auch sein Chief Information Security Officer, Timothy Brown. Ein Jahr zuvor wurde ein ehemaliger Sicherheitschef von Uber, Joe Sullivan, für schuldig befunden, eine Datenpanne nicht den Bundesaufsichtsbehörden gemeldet zu haben. Führungskräfte, die für Cybersicherheit verantwortlich sind, haben das Gefühl, dass ihr persönliches Risiko zunimmt.
„Ich mache das seit 25 Jahren und habe mich immer für den Schutz anderer eingesetzt“, sagte George Gerchow, Chief Security Officer und Senior Vice President für Informationstechnologie bei Sumo Logic, einem Softwareunternehmen. „Jetzt bin ich plötzlich in einer seltsamen Situation, in der ich mich schützen muss.“
Was die Vorstandsetagen vielleicht noch beunruhigender macht, ist die Tatsache, dass SolarWinds einige Cybersicherheitsrisiken offengelegt hat – genauso wie fast alle börsennotierten Unternehmen.
„Man kann bei hundert verschiedenen Unternehmen verfolgen, dass sie im Grunde alle genau die gleiche Sprache verwenden“, sagte Josephine Wolff, außerordentliche Professorin für Cybersicherheitspolitik an der Tufts University.
Nun scheint es, dass die SEC diese Standardoffenlegungen nicht mehr für ausreichend hält, wenn das Unternehmen spezifischere Risiken kennt. Nach Angaben der Anwaltskanzlei White & Case ist die Klage die erste, in der die SEC ein Unternehmen wegen vorsätzlichen Betrugs im Zusammenhang mit Offenlegungen zur Cybersicherheit angeklagt hat.
In seinem ersten Interview seit der SEC-Beschwerde sagte der CEO von SolarWinds, Sudhakar Ramakrishna, gegenüber DealBook, dass das Unternehmen nichts von dem Problem gewusst habe, das es dem Cyberangriff im Jahr 2020 aussetzte, und dass die Klage „ein Versuch war, unserer Meinung nach, von der SEC, um die Politik voranzutreiben.“
Die Klage könnte „CISOs tatsächlich noch ängstlicher machen und nicht mehr dazu ermutigen, ihre Stimme zu erheben“, sagte er.
Die meisten Experten sind sich einig, dass sich die Klage unabhängig vom Ausgang der Klage darauf auswirken könnte, wie Unternehmen mit Cybersicherheitsrisiken umgehen. Sie sind sich jedoch uneinig darüber, ob dadurch bessere oder schlechtere Praktiken gefördert werden.
Die Klage ist nicht das einzige Zeichen dafür, dass die SEC der Cybersicherheit Aufmerksamkeit schenkt. Im Juli verabschiedete die Behörde neue Offenlegungspflichten im Bereich Cybersicherheit, die im Dezember in Kraft treten sollen. Sie verlangen von Unternehmen, dass sie wesentliche Angriffe innerhalb von vier Tagen melden und jährlich Offenlegungen über ihr Cybersicherheitsrisikomanagement, ihre Strategie und ihre Governance vorlegen. In einer Rede im Juni sagte Gurbir Grewal, der Leiter der Strafverfolgungsbehörden der SEC, dass sie „keine Toleranz gegenüber Spielmacherei“ in Bezug auf Cybersicherheitsoffenlegungen hege.
Einige Experten befürchten, dass die Klage eine abschreckende Wirkung haben könnte. „Es gab einige ernste Warnsignale dafür, dass er und sein Team aufgetaucht waren“, sagte Wolff über den CISO von SolarWinds. „Und jetzt wird das gezielt gegen ihn verwendet, um zu sagen: ‚Sie wussten davon, Sie haben es in den SEC-Unterlagen nicht offengelegt.‘ Was meiner Meinung nach tatsächlich einen Anreiz darstellt, Schwachstellen niemals zu dokumentieren oder irgendwo zu finden.“ Das könnte es für die IT-Abteilung schwierig machen, Geld für Cybersicherheit zu verlangen, sagte sie.
Ramakrishna, der CEO von SolarWinds, sagte, dass die Offenlegung jeder potenziellen Sicherheitslücke es Angreifern leichter machen könnte, diese auszunutzen. „Zum einen werden es zu viele sein, als dass der durchschnittliche Anleger sie verstehen könnte“, sagte er. „Zum anderen denke ich, dass wir der Bedrohung in die Hände spielen werden.“
Andere argumentieren, dass die Androhung von Maßnahmen der SEC die für Cybersicherheit verantwortlichen Führungskräfte stärken könnte. Jake Williams, ein Sicherheitsexperte, der Unternehmen bei Datenschutzverletzungen berät, sagte, er habe regelmäßig gesehen, wie CISOs gebeten wurden, „ein rosiges Bild zu zeichnen oder vielleicht ein rosigeres Bild zu zeichnen, als es mit der Realität übereinstimmt“. Aber er fügte hinzu: „Ich glaube, diese Praxis starb an dem Tag, an dem die SolarWinds-Klage von der Agentur eingereicht wurde.“ Kein CISO kann es jetzt riskieren, grundsätzlich ein unrealistisch positives Bild der Cybersicherheit zu zeichnen.“
Harley Geiger ist eine auf Cybersicherheit spezialisierte Anwältin bei der Anwaltskanzlei Venable und Teil des Teams, das eine Koalition von Technologieunternehmen vertritt, darunter Cisco, Broadcom, Microsoft und Google. Er sagte, es gäbe für CISOs andere Möglichkeiten, auf ein erhöhtes persönliches Risiko zu reagieren, als die Dokumentation von Bedenken und Empfehlungen zu vermeiden, unter anderem indem sie sich auf die Seite eskalierender Risiken und Schwachstellen stellten.
„Vielleicht möchten sie durch die Versicherungspolice eines Unternehmens abgesichert werden. Sie möchten möglicherweise eine Entschädigung in ihren Arbeitsverträgen“, sagte Geiger. „Ich denke, es wäre die falsche Botschaft oder die falsche Schlussfolgerung für CISOs, sich dafür zu entscheiden, wesentliche Cybersicherheitsinformationen zu ignorieren oder nicht zu eskalieren.“
Wenn allgemeine Offenlegungen nicht ausreichen, was dann? Eine zu genaue Beschreibung von Schwachstellen könnte Angreifern wertvolle Informationen liefern, während eine zu umfassende Beschreibung für Anleger nicht wertvoll ist. „Die Frage“, sagte Wolff, „ist, kann die SEC einen klaren Mittelweg definieren.“ – Sarah Kessler
FALLS DU ES VERPASST HAST
Eine überraschende Inflation löst eine Marktrallye aus. Der am Dienstag veröffentlichte Bericht zum Verbraucherpreisindex zeigte, dass sich die Inflation im letzten Monat stärker abgekühlt hat als von Analysten erwartet, was durch einen Rückgang der Energiepreise unterstützt wurde. Die Anleger begrüßten die Nachricht, als eine Schar von Wall-Street-Ökonomen zu dem Schluss kam, dass die Federal Reserve höchstwahrscheinlich mit der Zinserhöhung fertig sei.
Ein weiterer Republikaner scheidet aus dem Präsidentschaftswahlkampf aus. Tim Scott, der Senator von South Carolina, hat diese Woche seinen Wahlkampf ausgesetzt. Er und der Rest des republikanischen Feldes liegen seit Monaten zweistellig hinter Donald Trump. Nikki Haley, die ehemalige Gouverneurin von South Carolina, hatte eine bessere Woche. Sie schien kurz davor zu stehen, große konservative Geldgeber, darunter Ken Griffin von Citadel, für sich zu gewinnen.
Trumps Social-Media-Plattform hat Probleme. Die Trump Media & Technology Group, das Unternehmen, das Truth Social betreibt, hat große Verluste gemacht und könnte ohne neue Finanzierung nicht überleben, wie diese Woche in einem behördlichen Antrag bekannt gegeben wurde. Truth Social setzt seine Zukunft auf eine lange aufgeschobene Fusion mit einer Briefkastenfirma, die das Unternehmen an die Börse bringen und so Zugang zu rund 300 Millionen US-Dollar an Finanzmitteln verschaffen soll.
Eine KI-Pionierin über ihr Leben und ihre Wissenschaft
Als Fei-Fei Li, Co-Direktorin des Stanford Institute for Human-Centered Artificial Intelligence, einem ihrer Kollegen den ersten Entwurf ihres Buchprojekts zeigte, forderte er sie auf, ihn wegzuwerfen.
„Er sagte, dass es viele Wissenschaftler gibt, die über die Ideen der Technologie schreiben können“, sagte Li gegenüber DealBook. Aber die Kollegin fügte hinzu: „Mein einzigartiger persönlicher Weg als Einwanderin, als Frau, als jemand, dessen Erwachsenwerden als Wissenschaftlerin so eng mit dem Erwachsenwerden der modernen KI verknüpft ist, würde selbst denen, die es sind, etwas bescheren.“ Traditionell gibt es in der Welt der Technik keine Stimme, mit der man sich identifizieren kann.“
Li hielt durch und das Buch „The Worlds I See: Curiosity, Exploration, and Discovery at the Dawn of AI“ wurde diesen Monat veröffentlicht und erzählt die Geschichte des Wachstums der KI und ihre eigene Geschichte als Einwanderin aus China, die es wurde einer der weltweit führenden Experten auf diesem Gebiet.
Dieses Interview wurde aus Gründen der Klarheit bearbeitet und gekürzt.
Was sollte ein Unternehmensleiter aus Ihrem Buch mitnehmen?
Es gibt so viele Debatten und Verwirrung und, ehrlich gesagt, Angst um KI. Ein Teil der Angst kommt daher, dass man nicht weiß, was es ist. Ein Teil davon ist darauf zurückzuführen, dass man nicht weiß, was es bewirken wird. Ich hoffe, dass dieses Buch beides irgendwie beseitigt.
Werkzeuge werden von Menschen hergestellt, von Menschen entworfen und von Menschen verwendet. Wir haben sowohl Verantwortung als auch Handlungsspielraum.
Sie schreiben über die komplexen Folgen kommerzieller Investitionen in KI. Können Sie mir mehr darüber erzählen?
Zu Beginn meiner Karriere war es nur reine wissenschaftliche Forschung, Neugier. Niemand hat aufgepasst. Je leistungsfähiger die KI wurde, je mehr Ressourcen aus der Industrie in sie flossen und wie ihre gesellschaftlichen Auswirkungen sichtbar wurden – es ist ein natürlicher Verlauf eines tiefgreifenden technologischen Wandels, der Komplexität mit sich bringt.
Unser Innovationsökosystem in Amerika wird hoffentlich von einer Kombination aus Privatsektor, öffentlichem Sektor und Regierung vorangetrieben. Im Moment haben wir ein Ungleichgewicht. Ich hoffe, dass der öffentliche Sektor weiterhin eine vertrauenswürdige Quelle für die Bewertung, Bewertung, das Verständnis und die Erklärung dieser Technologie sein kann, aber auch an der Spitze der wissenschaftlichen Entdeckungen zum Wohle der Allgemeinheit stehen kann.
Auf welche Risiken konzentrieren Sie sich am meisten?
Ich persönlich konzentriere mich auf gesellschaftliche Risiken, von Desinformation über Voreingenommenheit und Datenschutz, Verstöße bis hin zu Arbeitsunterbrechungen und der Verwendung von Waffen.
Ich denke, dass es insbesondere bei den Medien und der Regierung eine Verantwortung gibt, diesen Diskurs verantwortungsvoll zu führen. Ich mache mir Sorgen, wenn die Medien ihre Megafone auf sehr wenige Stimmen ausrichten, die viel übertriebener sind und sich auf existenzielle Krisen konzentrieren, anstatt auf die tatsächlichen sozialen Risiken, die ganz normale Menschen, insbesondere Menschen aus unterversorgten Gemeinschaften, tiefgreifend treffen werden.
Tut die Regierung genug?
Die Durchführungsverordnung von Präsident Biden war ein guter erster Schritt, weil sie umfassend und relativ ausgewogen ist. Aber das ist wirklich ein erster Schritt. Was wirklich wichtig ist, ist die Demut, insbesondere für politische Entscheidungsträger und Wirtschaftsführer, zu erkennen, dass dies neu ist. Informieren Sie sich also darüber, was das ist, bevor Sie eine Politik machen.
DealBook-Leser antworten: Sam Bankman-Fried
Wie Beobachter von Krypto-Kriminalität wissen, wurde Sam Bankman-Fried am 2. November wegen seiner Rolle beim Zusammenbruch von FTX, der bankrotten Kryptowährungsbörse, für schuldig befunden. Bleibt die große Frage: Wie lange wird die Haftstrafe für den 31-Jährigen drohen?
Die maximale Laufzeit beträgt mehr als 100 Jahre. Letzten Samstag haben wir DealBook-Leser gefragt, was ein fairer Satz wäre. Viele Befragte teilten ihre Ansicht, dass der Richter Bankman-Fried bei der für März geplanten Anhörung nicht schonen sollte.
Hier ist eine Auswahl dessen, was Leser über Bankman-Fried, das amerikanische Justizsystem und den gesamten Kryptowährungsmarkt zu sagen hatten:
-
„Vielleicht weil ich ein ehemaliger Staatsanwalt bin, glaube ich, dass Wirtschaftskriminelle genauso bestraft werden sollten wie Gewalttäter, vielleicht sogar härter, weil die gesellschaftlichen Auswirkungen im Allgemeinen umfassender sind und die mildernden Faktoren (sozioökonomischer Status usw.) weniger überzeugend sind .“ – Ted Baker
Danke fürs Lesen! Wir sehen uns am Montag.
Wir freuen uns über Ihr Feedback. Bitte senden Sie Ihre Gedanken und Vorschläge per E-Mail an [email protected].
Andrew Ross Sorkin hat zur Berichterstattung beigetragen.
