Nvidia’nın uzun süre görev yapan güvenlikten sorumlu üst yöneticisi David Reber, ağustosta görevinden ayrıldı. Şirketin Üst Düzey Güvenlik Yöneticisi (CSO) olarak dört yıl, Nvidia’da toplam yedi yıl çalışan Reber, ayrılık nedeninin sağlık sorunları olduğunu açıkladı. LinkedIn’de ağustos sonunda, “Bu, planladığım bir değişiklik değildi. Ancak önce neye öncelik vermem gerektiğini biliyorum: ailem ve sağlığım” diye yazan Reber, iki yıldan uzun süre önce genç yaşta başlayan Parkinson hastalığı teşhisi aldığını duyurdu. Reber’in yerine Saša Zdjelar getirildi. Zdjelar, Houston’da ExxonMobil’de 17 yıl çalıştı ve kıdemli BT yöneticisi olarak ayrıldı. Ardından Salesforce’ta bir yıl, siber güvenlik şirketi ReversingLabs’te ise birkaç yıl görev yaptı. Zdjelar, perşembe günü geçiş süreci ve güvenlik ekibinin bildikleriyle ilgili sorulara yanıt vermedi; Reber de soruları yanıtsız bıraktı. Nvidia da konuyla ilgili sorulara cevap vermedi.
Megaspeed soruşturması ve ilişkiler
Reber’in ve Zdjelar’ın görev değişiklikleriyle Megaspeed meselesi arasında kamuya açık bir bağlantı bulunmuyor. Ancak Nvidia CEO’su Jensen Huang, Megaspeed adlı Singapur merkezli veri merkezi şirketinden bir yöneticiyle evlilik dışı ilişkisi bulunduğuna yönelik soruların artmasının ardından şirketten ayrıldı. ABD’li soruşturmacılar, Megaspeed’in Nvidia çiplerini Çin’e aktardığından şüpheleniyor. Huang hakkındaki haberler daha sonra Nvidia çalışanlarıyla yaşandığı bildirilen iki ayrı ilişkiyi de kapsadı. Megaspeed ise herhangi bir yanlış yaptığını reddetti. Huang’ın çalışanlarla ilişkileri güvenlik ekibinin görev alanında olmayabilir; astlarla kurulan ilişkiler genellikle insan kaynakları, hukuk birimleri ve yönetim kurulunu ilgilendiriyor. Ancak federal soruşturma altındaki bir şirketin yöneticisiyle yaşanan ilişki farklı bir durum. Güvenlik uzmanları, yabancı istihbarat servislerinin istismar etmeye çalışabileceği açıklar doğurabileceğini söylüyor. Eski kıdemli istihbarat yetkilisi Nicholas Eftimiades, 1.000’den fazla kurumsal güvenlik çalışanına eğitim verdiğini belirterek, istihbarat servislerinin bilgiyi çoğu zaman siber saldırı yerine gündelik konuşmalarla toplamasının riskleri tespit etmeyi zorlaştırdığını söyledi. The New York Times, Nvidia’nın en üst düzey hukuk yetkilisinin Megaspeed soruşturması kapsamında hükümetle bir yıldan uzun süre önce temas kurduğunu bu haftanın başında yazdı. Nvidia, yetkililerle düzenli olarak iletişim kurduğunu belirtti. Huang’ın çalışanlarla ilişkileri hakkındaki haberler, bazı çalışma arkadaşlarının da durumdan haberdar olduğuna işaret ediyor. The New York Times, doğrudan Huang’a bağlı bir başkan yardımcısıyla ilişkisi olduğunu söyleyen beş Nvidia çalışanına dayandı; Reuters ise iki kişiye atıfla ikinci bir ilişki bulunduğunu bildirdi. Bunlardan herhangi birinin güvenlik ekibine ulaşıp ulaşmadığı bilinmiyor.
Kurumsal güvenliğin sınırları
Eftimiades, güvenlik ekiplerinin kaynaklarının çoğu zaman kısıtlı olduğunu ve gelir getirmedikleri için yeterince bütçe alamadıklarını söyledi. Üst yöneticilerin güvenlik uyarılarına sıkça “mevzuata uyumdan fazlasına bir kuruş ayırmam” yanıtını verdiğini belirtti. Kurumsal soruşturma şirketi Interfor International’ın CEO’su Don Aviv ile yazar Jeremy Hurewitz de The Hill’de yayımlanan yazılarında, şirketlerin güvenliği çoğunlukla tesisleri korumak, siber saldırıları önlemek ve fiziksel tehditlere müdahale etmek olarak gördüğünü ifade etti. İkili, “Güvenlik ekipleri; içeriden gelen tehditlere, yabancı istihbarat servislerinin yöneticileri ve çalışanları kendi tarafına çekme girişimlerine, şüpheli iş ilişkilerine, çıkar çatışmalarına ve güvenilen kişisel bağlantılar üzerinden hassas bilgi edinme çabalarına daha fazla dikkat etmeli” diye yazdı. Eftimiades, Huang’dan söz etmeden verdiği varsayımsal örnekte, bir CEO’nun “Bunu yapmak istemeyen bir yönetim kuruluyla mücadele ediyorum” demesinin, istihbarat kaynağına engelin kim olduğunu gösterebileceğini anlattı. Servisler daha sonra o kişinin e-posta ve telefonuna ulaşmanın yollarını arayabilir. Rakip istihbarat servisleri teknoloji bilgisinden çok, ihracat kurallarını değiştirmeye kimin çalıştığı ve buna kimin karşı çıktığı gibi politika bilgileriyle ilgilenebilir. Eftimiades, “İstihbarat dünyası kansere benzer; vücuda girdikten sonra yayılmaya ve başka yerlere ulaşmaya çalışır” dedi. Bu yöntemin, özellikle Çin açısından yeni olmadığını belirterek, bu ülkeyle çalışan yöneticilerin “yaklaşım girişimleriyle karşılaştıklarını” söyledi. ABD’li diplomatların otel odalarına girip yatakta bir kadınla karşılaştığına dair “bir sürü diplomat hikâyesi” bulunduğunu da ekledi. Ona göre Sovyet dönemine kıyasla yeni olan, servislerin kurduğu ilişkilerin haftalar değil yıllar sürmesi. Eftimiades, insan istihbaratını teknoloji araçlarının da destekleyebileceğini belirterek IMSI yakalayıcıları örnek gösterdi. Baz istasyonunu taklit ederek yakındaki telefonların kendisine bağlanmasını sağlayan bu cihazların temel bir modeli yaklaşık 1.000 dolara alınabiliyor ve bir bavula sığabiliyor; devlet düzeyindeki modeller ise çok daha pahalı. Bu cihazların Huang’a karşı kullanılıp kullanılmadığı bilinmiyor. Eftimiades, Huang’ın telefonunun ihlalleri tespit edecek, hatta engelleyecek biçimde korumalı olduğunu varsaydığını söyledi. Nvidia yönetim kurulunun bağımsız soruşturması ve federal incelemeler ilerledikçe güvenlik ekibinin ne bildiğinin ve harekete geçme imkânının olup olmadığının daha açık hale gelmesi bekleniyor. Eftimiades, yaşananların ABD sanayisi için “bir uyanış çağrısı” olmasını umduğunu söyledi; Çin’in yöntemleri konusunda sektörün büyük ölçüde “hiçbir şeyden habersiz” olduğunu savundu. “Trilyonlarca dolarlık fikri mülkiyet kaybettik” diyen Eftimiades, “Yaptığımızı düşündüğümüz hiçbir şey işe yaramıyor” ifadesini kullandı.
