Alle 23:47 ho sentito quel clic metallico della serratura elettronica e ho capito che ero chiuso dentro. Bryce Hoffman mi aveva sigillato nel nostro data center. “Forse una notte da solo ti sistemerà l’atteggiamento”, disse, col sorriso di chi ha appena vinto alla lotteria. Li ho sentiti ridere mentre si allontanavano.
Otto ore dopo, quando hanno aperto quella porta, i loro volti sono diventati bianchi come un foglio di carta. Non avevano idea di cosa fossi riuscito a fare. Mi chiamo Warren Caldwell, ho 48 anni, e pensavo di sapere come funzionano le dinamiche aziendali. Mi sbagliavo.
Lavoravo alla Pinnacle Financial Services da 22 anni. Ero entrato a 26 anni, appena uscito dalla Marina, con la testa piena di conoscenze sulla sicurezza informatica e zero pazienza per le stupidaggini da ufficio. Avevo costruito la loro intera infrastruttura da zero. Ogni cavo, ogni router, ogni protocollo di sicurezza che proteggeva il denaro dei clienti, era opera mia.
Tre mesi fa, la nostra azienda è stata comprata da Apex Technology Consulting. Un’operazione di fusione da manuale: sorrisi, strette di mano, promesse che nulla sarebbe cambiato. Le solite bugie che raccontano prima che tutto cambi. Il primo campanello d’allarme è stato quando hanno portato Bryce Hoffman come nuovo CTO.
Trentadue anni, un MBA di Wharton e zero esperienza pratica con la tecnologia. Il tipo che pensa che la sicurezza informatica si scarichi come un’app. La grande visione di Bryce era la sua “trasformazione digitale”. Sembrava impressionante, vero?
In pratica significava spostare tutto su un servizio cloud di terze parti entro novanta giorni. Quando ho spiegato perché quella tempistica era completamente folle – piccole cose come i requisiti federali di conformità e la riluttanza a far galleggiare i dati dei clienti su internet – mi ha guardato come se avessi proposto di tornare alle tavolette di pietra. “Warren”, disse durante la prima riunione, “capisco che è qui da molto tempo, ma il pensiero legacy è esattamente ciò che sta frenando questa organizzazione. Ci servono prospettive fresche, non resistenza al progresso.
”
Pensiero legacy. Così chiamava due decenni di sistemi di sicurezza che avevano superato ogni audit federale per otto anni consecutivi senza una singola violazione. Gli stessi sistemi che proteggevano 500 milioni di dollari di asset dei clienti. Pensiero legacy.
Nelle settimane successive, Bryce iniziò a implementare la sua brillante visione di efficienza moderna. Portò consulenti che costavano il doppio dei nostri fornitori abituali. Approvò proposte di migrazione al cloud da aziende di cui non avevo mai sentito parlare – e fidatevi, conosco ogni operatore legittimo in questo settore. La cosa più preoccupante: iniziò a dare accesso ai sistemi a persone di Apex Technology senza passare dalle procedure di verifica appropriate.
Quando mantieni una rete per ventidue anni, sviluppi degli istinti. Vedi quando i modelli di traffico iniziano a comportarsi in modo strano durante le ore non lavorative. Vedi quando i pacchetti dati vengono instradati verso indirizzi IP che non sono nella tua lista di destinazioni autorizzate. Vedi quando i log di accesso ai file mostrano qualcuno che scarica i portafogli dei clienti alle 3:00 di martedì mattina.
Ho passato tre settimane a documentare tutto. Catture di pacchetti, rapporti sulla larghezza di banda, tentativi di accesso non autorizzati, tutta la trafila. Le prove indicavano una conclusione abbastanza ovvia: qualcuno stava sistematicamente rubando i dati dei clienti e le informazioni proprietarie dai nostri sistemi. Quindi ho fatto ciò che qualsiasi persona ragionevole avrebbe fatto.
Sono andato da Bryce con le mie scoperte. “Grande errore. Questi sono aggiornamenti di sistema e procedure di backup di routine”, disse, lanciando appena un’occhiata alle quarantasette pagine di documentazione che avevo preparato. “La tua paranoia sulle connessioni esterne è esattamente il tipo di teatro di sicurezza obsoleto che stiamo superando.
”
“Bryce”, dissi, cercando di mantenere la voce calma, “non è paranoia. Sono log forensi che mostrano trasferimenti di dati non autorizzati verso indirizzi IP di concorrenti. ”
“Indirizzi di concorrenti? ” Rise davvero.
“Warren, stai vedendo cospirazioni dove non esistono. Apex Technology ora fa parte della nostra famiglia aziendale. La condivisione di dati tra divisioni è una procedura operativa standard. ”
Ma Bryce non sapeva una cosa.
Avevo già rintracciato quegli indirizzi IP. Tre appartenevano alla Hamilton Strategic Partners, il nostro più grande concorrente nel settore della gestione patrimoniale. Per anni avevano cercato di sottrarci i clienti di alto valore, e all’improvviso avevano accesso a informazioni dettagliate sui portafogli e agli algoritmi di trading che ci erano costati quindici anni di sviluppo. Quindi feci quello che si rivelò un errore tattico.
Andai sopra la testa di Bryce, da Amanda Foster, la nostra consulente legale. Esposi le prove, spiegai le violazioni di conformità, raccomandai un audit di sicurezza immediato. Amanda ascoltò con attenzione, fece domande intelligenti sui dettagli tecnici e promise che avrebbe indagato. Quello che non sapevo è che Amanda andò dritta da Bryce entro due ore e gli riferì tutto.
La ritorsione fu rapida e creativa. “Warren, dobbiamo parlare”, annunciò Bryce la mattina dopo. Aveva riunito l’intero reparto IT nella sala conferenze principale, tutte le dodici persone che avevo assunto e formato nel corso degli anni. Persone che sapevano esattamente cosa significassero quei log di rete.
“È giunto alla mia attenzione”, disse Bryce, camminando avanti e indietro come se stesse tenendo un TED Talk sulla leadership, “che abbiamo un classico caso di resistenza istituzionale al cambiamento. Warren è qui da così tanto tempo che pensa di possedere questi sistemi. Non riesce ad accettare che il suo ruolo si stia evolvendo oltre i semplici compiti di manutenzione. ”
Gli altri membri del team rimasero seduti, a disagio.
Leggevo nei loro volti. Sapevano che era sbagliato, ma nessuno voleva mettere un bersaglio sulla propria schiena. “Quindi, ecco cosa faremo”, continuò Bryce, arrivando al suo gran momento. “Warren passerà un po’ di tempo di qualità nella nostra struttura sicura stanotte.
Lontano dalle distrazioni, lontano dalle teorie del complotto. Solo lui e i sistemi che dice di capire così bene. ”
Tradotto dal linguaggio aziendale: ti chiudiamo nel server room tutta la notte per darti una lezione. La “struttura sicura” era il nostro data center di livello tre.
Quel genere di posto che costa più al metro quadro dell’appartamento di molte persone. Pareti di cemento armato, controlli biometrici, sistemi ambientali in grado di mantenere i server operativi anche in mezzo a un tornado. Era anche completamente isolato dall’edificio principale, zero segnale telefonico e nessun modo di contattare il mondo esterno una volta chiusa quella porta. Alle 23:45, Bryce mi accompagnò all’ingresso della struttura come se mi stesse facendo un favore.
“Considerala un’opportunità di apprendimento”, disse, passando la sua carta di accesso esecutivo. “Quando ti faremo uscire domani mattina, mi aspetto un atteggiamento più collaborativo verso le nostre iniziative di trasformazione. ”
La porta pesante si chiuse alle mie spalle con quel tonfo meccanico definitivo che senti nei film sulle prigioni. Eccomi lì, solo con duecento server che ronzavano nell’oscurità climatizzata.
La maggior parte delle persone a questo punto andrebbe nel panico. Inizierebbe a martellare sulla porta, magari avrebbe un crollo nervoso. Ma ecco cosa Bryce non aveva considerato. Mi aveva appena chiuso dentro l’unico posto in cui avevo accesso completo a ogni dato che attraversava l’intera rete della Pinnacle.
Pensateci. Questo tizio voleva punirmi dandomi tempo illimitato con i sistemi che avevo costruito, otto ore di accesso ininterrotto per indagare esattamente su ciò che stavo cercando di indagare. Come chiudere un bambino in un negozio di caramelle aspettandosi che impari la moderazione. Iniziai dalle basi.
Aprii l’accesso terminale ai nostri sistemi di routing core. Da lì potevo monitorare ogni connessione attiva in tempo reale, una vista a volo d’uccello su tutto il traffico di rete. Entro trenta minuti, avevo identificato diciassette flussi di dati separati che instradavano informazioni sui clienti verso destinazioni esterne. Ma non era un hacker qualsiasi che tirava spaghetti al muro.
Qualcuno aveva costruito protocolli di estrazione sofisticati che si attivavano in specifiche finestre temporali. Dati sui portafogli dei clienti esportati ogni martedì alle 2:30 di notte. Aggiornamenti degli algoritmi di trading inoltrati a sistemi esterni ogni venerdì sera. Persino i nostri modelli proprietari di valutazione del rischio – roba che aveva richiesto tre anni di lavoro ai nostri quant – venivano copiati su server che non riconoscevo.
La sofisticatezza tecnica mi disse che era un lavoro interno. Non inciampi per caso in questo livello di accesso. Qualcuno con privilegi amministrativi aveva costruito queste backdoor nell’architettura dei nostri sistemi. Qualcuno che conosceva abbastanza bene i nostri protocolli di sicurezza da nascondere i trasferimenti in quello che sembrava traffico di manutenzione ordinaria.
Così iniziai a scavare nei log di accesso degli ultimi novanta giorni. Ogni modifica di configurazione non autorizzata era stata implementata usando le credenziali esecutive di Bryce. Ma ecco dove diventava interessante: i tempi non corrispondevano al suo programma noto. Queste modifiche avvenivano durante i weekend e le festività, quando Bryce era presumibilmente a giocare a golf o a fare qualunque cosa facciano i ragazzini ricchi con il loro tempo libero.
Ed è lì che ho trovato la pistola fumante. Seppellita circa quattrocento righe in profondità nei log di autenticazione c’era un account secondario creato tre settimane dopo la fusione. L’account aveva privilegi amministrativi identici al login principale di Bryce, ma era legato a un numero di ID dipendente diverso. Un ID dipendente che, quando lo rintracciai nel database delle risorse umane, apparteneva al sistema di pagamento della Hamilton Strategic Partners.
Lasciatemi essere chiaro. Bryce non stava solo implementando pratiche di sicurezza scadenti. Questo tizio stava attivamente facilitando lo spionaggio industriale. Passai le quattro ore successive a costruire il percorso di audit più completo che abbiate mai visto.
Schermate dei trasferimenti di dati non autorizzati con timestamp, mappe della topologia di rete che mostravano esattamente come le informazioni rubate venivano instradate verso i sistemi dei concorrenti, log di autenticazione che provavano l’esistenza dell’account di accesso occulto, documenti finanziari che mostravano quali clienti specifici erano stati presi di mira per il furto. Alle 4:00 del mattino avevo abbastanza prove per far finire carriere e innescare indagini federali. Ma non avevo ancora finito. Quando lavori nella sicurezza IT per ventidue anni impari a pensare come i cattivi, e i cattivi hanno sempre procedure di pulizia.
Così iniziai a cercare segni che qualcuno stesse cercando di coprire le proprie tracce. E certo, c’erano script di cancellazione programmati per essere eseguiti il lunedì mattina successivo. Script progettati per cancellare i log di autenticazione, ripulire i registri di instradamento ed eliminare ogni traccia dei trasferimenti di dati non autorizzati. Se non fossi stato chiuso qui dentro stanotte, queste prove sarebbero sparite per sempre entro la prossima settimana.
Copiai tutto in più posizioni di backup: drive crittografati, storage offsite, persino copie cartacee stampate sulla stampante di emergenza che tenevamo nel data center. Nessuna possibilità che queste prove sparissero ora. Verso le 6:00 del mattino iniziai a preparare la mia presentazione. Non una noiosa presentazione PowerPoint.
Parlo di una dimostrazione in tempo reale che avrebbe mostrato esattamente come avveniva il furto. Configurai i sistemi di monitoraggio per visualizzare i trasferimenti non autorizzati in tempo reale, impostai strumenti di visualizzazione di rete che avrebbero tracciato i percorsi dei dati e preparai rapporti forensi che avrebbero fatto piangere di gioia gli specialisti di cybercrime dell’FBI. Poi mi sedetti e aspettai il ritorno dei miei carcerieri. La porta si sbloccò esattamente alle 8:15.
Bryce entrò con quella stessa sicurezza arrogante, probabilmente aspettandosi di trovarmi a pezzi e remissivo dopo una notte di punizione aziendale. Invece mi trovò seduto con calma alla mia postazione, circondato da tre monitor pieni di prove sufficienti ad affondare l’intera sua operazione. “Buongiorno, Warren”, disse, ancora nel suo ruolo da dirigente. “Spero che abbia avuto tempo di riconsiderare la sua posizione sui nostri sforzi di modernizzazione.
”
“In realtà sì”, risposi, girando la sedia perché potesse vedere gli schermi. “Ho avuto una notte molto produttiva. ”
Il suo viso passò dalla sicurezza esecutiva al terrore genuino in circa due secondi. “Cosa… cosa è questo?
”
“Questo”, dissi, indicando i display, “è un’analisi forense completa della tua operazione di estrazione dati non autorizzata. Ventitré distinte violazioni delle normative federali sulla protezione dei dati finanziari, spionaggio industriale mirato a quarantasette clienti di alto valore, e prove che hai gestito un account di accesso occulto direttamente collegato alla Hamilton Strategic Partners. ”
Le mani di Bryce iniziarono a tremare. Vedo ancora il sudore formarsi sulla sua fronte.
“Warren, penso che stia fraintendendo alcune operazioni di sistema di routine. ”
“La divisione cybercrime dell’FBI determinerà cosa costituisce un’operazione di routine”, lo interruppi. “Ho già programmato un incontro con l’agente speciale Patterson per oggi alle 14:00. ”
“Non puoi semplicemente…”
“Possiamo risolvere tutto internamente.
Non c’è bisogno di coinvolgere agenzie esterne. ”
“La risoluzione interna era sicuramente un’opzione”, dissi, alzandomi lentamente. “Fino a quando non mi hai chiuso qui dentro tutta la notte come un prigioniero aziendale. Ora questa è una questione federale che coinvolge furto di dati finanziari e spionaggio industriale.
”
L’espressione sul viso di Bryce non aveva prezzo. Conoscete quell’espressione che fa la gente quando si rende conto di stare giocando a scacchi mentre l’altro sta giocando a scacchi tridimensionali? Ecco, Bryce era esattamente quello. Indietreggiò inciampando contro lo stipite della porta.
“Senta, Warren”, iniziò, cercando di ritrovare la sua compostezza dirigenziale. “Penso che ci sia stato un grave malinteso qui. Forse dovremmo chiamare il mio avvocato prima di prendere decisioni affrettate sul coinvolgimento federale. ”
“Il suo avvocato?
” Non potei fare a meno di ridere. “Amico, ti servirà un intero studio legale e magari pure un bravo penalista. ”
Fezzo scorrere le prove sui monitor. Traffico di rete in tempo reale che mostrava i pacchetti di dati fluire verso Hamilton Strategic, log di autenticazione con le sue credenziali occulte, documenti finanziari che mostravano quali clienti erano stati presi di mira.
Era come assistere a una masterclass di spionaggio aziendale, tranne che il “maestro” stava per essere arrestato. “Da quanto tempo va avanti? ” chiesi, genuinamente curioso. “Voglio dire, l’hai pianificato dal primo giorno o ti ha reclutato Hamilton Strategic dopo l’annuncio della fusione?
”
Bryce fissò i monitor come se fossero scritti in greco antico. “Non capisci il quadro generale”, disse infine, tentando un’ultima mossa d’autorità. “Apex Technology ha rapporti in molteplici settori industriali. Gli accordi di condivisione dati sono prassi standard negli ambienti aziendali moderni.
”
“Accordi di condivisione dati? ” ripetei lentamente. “È così che chiamiamo lo spionaggio industriale al giorno d’oggi? ”
Aprii un’altra schermata che mostrava gli script di cancellazione programmati per lunedì mattina.
“E suppongo che questi protocolli di distruzione delle prove facciano parte della gestione standard del ciclo di vita dei dati. ”
Il suo viso divenne ancora più pallido, se possibile. “Guarda”, dissi, rigirandomi verso di lui sulla sedia, “ecco cosa succederà. Tra circa sei ore, l’agente Patterson della divisione cybercrime dell’FBI entrerà da quella porta con un mandato per fare un’immagine dei nostri server.
Dietro di lui ci saranno revisori forensi specializzati in frodi finanziarie. Troveranno tutto quello che ho trovato io, più probabilmente cose che mi sono sfuggite. ”
“Ma, Warren”, disse Bryce, e giuro che la sua voce si incrinò un po’, “possiamo risolvere tutto internamente. Sono autorizzato a offrirti una promozione, un aumento sostanzioso, stock option…”
“Una promozione?
” Mi alzai e gli andai incontro. “Intendi come la promozione che mi avresti dato prima di scoprire che stavo documentando la tua attività criminale? ”
Il fatto è che i tipi come Bryce non capiscono mai gente come me. Pensano che tutti abbiano un prezzo, che ogni problema si possa risolvere con i soldi o con la politica aziendale.
Non riescono a comprendere l’idea che alcune persone tengano davvero a fare la cosa giusta. “Ecco cosa farai”, dissi. “Uscrai da questa stanza e andrai direttamente nell’ufficio di Amanda Foster. Le racconterai esattamente cosa stai facendo.
Poi chiamerai Hamilton Strategic e comunicherai loro che il loro piccolo buffet di dati è ufficialmente chiuso. ”
“Non posso semplicemente…” iniziò. “Oppure”, lo interruppi, “puoi aspettare che sia l’FBI a spiegartelo. La scelta è tua.
”
Bryce guardò intorno al server room come se sperasse di trovare un passaggio segreto nascosto dietro uno degli scaffali. “E Apex Technology? Questo va ben oltre me. Ci sono direttive aziendali, partnership strategiche.
”
“È esattamente ciò che l’agente Patterson vorrà sentire”, dissi. “Più grande è la cospirazione, più i procuratori federali sono interessati. ”
Potevi vedere il momento esatto in cui la realtà lo colpì. Le sue spalle si abbassarono, la sua postura esecutiva crollò completamente, e sembrò esattamente quello che era: un ragazzo di trentadue anni che si era cacciato in un guaio molto più grande di lui.
“Come hai fatto a capirlo così in fretta? ” chiese. “In fretta? ” Risì.
“Bryce, lo sto tracciando da tre settimane. Mi hai appena dato otto ore ininterrotte per mettere insieme tutti i pezzi. E gli script di cancellazione dovevano essere eseguiti lunedì mattina. Oggi è venerdì.
Questo mi ha dato tutto il weekend per documentare tutto prima che i tuoi protocolli di pulizia entrassero in azione. ”
Mi sedetti di nuovo e iniziai a preparare il pacchetto di prove finale. La cosa divertente è che, se mi avessi semplicemente lasciato in pace, forse non sarei riuscito a provare il collegamento con Hamilton Strategic. Ma chiudermi dentro con accesso illimitato ai sistemi, quello fu un errore tattico di proporzioni epiche.
Bryce rimase lì per un altro minuto, probabilmente calcolando le sue opzioni. Spoiler: non ne aveva di buone. “Cosa succederà all’azienda? ” chiese infine.
“Pinnacle starà bene. Meglio che bene, in realtà. Una volta che la cosa verrà fuori, ogni società di gestione patrimoniale del paese vorrà sapere come abbiamo costruito sistemi di sicurezza così robusti che nemmeno i nostri stessi dirigenti potevano comprometterli senza farsi beccare. E la mia squadra di Apex, quelli che erano complici, avranno conversazioni molto interessanti con gli agenti federali.
Quelli che non lo erano, probabilmente troveranno rapidamente un nuovo lavoro. Gli specialisti di spionaggio aziendale sono sempre richiesti da qualche parte. ”
Finii di compilare il pacchetto di prove e avviai il trasferimento sicuro verso le mie posizioni di backup. “Sai qual è la parte davvero ironica?
Se avessi semplicemente ascoltato le mie preoccupazioni sulla sicurezza invece di liquidarle come pensiero legacy, avremmo potuto evitare tutto questo pasticcio. ”
“Come? ”
“Semplice. Controlli di accesso adeguati, monitoraggio delle attività, protocolli di prevenzione della perdita di dati.
Tutta la roba che volevi eliminare in quanto teatro di sicurezza obsoleto. Quei sistemi non sono progettati solo per tenere fuori i cattivi. Sono progettati per rilevare quando qualcuno cerca di rubare dati, indipendentemente dal suo livello di autorizzazione. ”
Bryce annuì lentamente, come uno studente che finalmente capisce un concetto matematico che lo ha confuso per tutto il semestre.
“Ora uscirò di qui”, disse a bassa voce. “Devo fare qualche telefonata. ”
“Buona idea. Se fossi in te, inizierei da un avvocato.
Uno bravo. ”
Dopo che se ne fu andato, mi sedetti sulla sedia e guardai il server room. Ventidue anni della mia vita erano andati nella costruzione di quella infrastruttura. Ogni cavo, ogni configurazione, ogni protocollo di sicurezza.
E in una notte, aveva fatto esattamente ciò per cui l’avevo progettato: proteggere l’azienda e catturare i cattivi, anche quando uno dei cattivi indossava un titolo esecutivo e cercava di distruggere tutto ciò che avevo costruito. Tre ore dopo ero nella sala conferenze di Amanda Foster a guardare gli agenti federali montare le loro apparecchiature. L’agente Patterson si rivelò esattamente ciò che ti aspetteresti da uno specialista di cybercrime dell’FBI: sulla quarantina, atteggiamento di chi non scherza e una conoscenza tecnica che mi fece rispettare molto di più le forze dell’ordine. “Signor Caldwell”, disse, esaminando il pacchetto di prove che avevo preparato, “questa è una delle documentazioni più complete che abbiamo mai visto in un caso di spionaggio aziendale.
Quanto tempo ci è voluto per compilare tutto questo? ”
“Circa otto ore”, risposi, “anche se avevo monitorato attività sospette per tre settimane prima di ieri notte. ”
“Otto ore? ” Patterson sembrò impressionato.
“La maggior parte dei team di revisione contabile forense impiega settimane per costruire questo livello di prove. ”
“Beh, mi hanno chiuso nel server room senza nient’altro da fare. A volte il modo migliore per catturare i criminali è dare loro abbastanza corda per impiccarsi. ”
Entro mezzogiorno, la portata dell’operazione era chiara.
Apex Technology non aveva preso di mira solo Pinnacle. Avevano usato lo stesso copione in altre quattro aziende nei due anni precedenti. Spionaggio industriale mascherato da modernizzazione aziendale. Rubavano elenchi di clienti, algoritmi proprietari e strategie di trading, poi vendevano le informazioni ai concorrenti prima di passare al prossimo obiettivo di acquisizione.
L’impatto finanziario era sconcertante. Hamilton Strategic aveva usato i nostri dati dei clienti rubati per soffiarci ventitré account di alto valore, pari a circa 84 milioni di dollari di asset gestiti. I nostri algoritmi proprietari di valutazione del rischio erano stati sottoposti a reverse engineering e venduti a tre diversi hedge fund. Persino i nostri materiali di formazione per i dipendenti erano stati copiati e ricommercializzati come servizi di consulenza.
“Questa non era solo spionaggio aziendale”, spiegò Patterson durante una pausa delle indagini. “Era un’impresa criminale sistematica che usava le attività di fusione e acquisizione come copertura per il furto di proprietà intellettuale. ”
Entro le 15:00, Bryce era in custodia federale. Il suo account di accesso occulto era stato rintracciato fino a una rete sofisticata di società di comodo tutte controllate da Hamilton Strategic.
Gli script di cancellazione che aveva programmato non erano progettati solo per coprire il furto di Pinnacle. Erano identici ai protocolli di pulizia usati nelle quattro aziende precedentemente prese di mira. Amanda Foster mi chiamò nel suo ufficio intorno alle 16:00. Sembrava una persona che ha appena scoperto che casa sua è stata svaligiata mentre era in vacanza.
“Warren”, disse, “ti devo delle scuse, e probabilmente molto di più. ”
“Stavi facendo il tuo lavoro”, risposi. “Bryce era un tuo cliente e hai riferito quello che ti ho detto. Capisco la posizione in cui ti trovavi.
”
“Ancora… se avessi insistito di più per quell’audit di sicurezza invece di limitarmi a trasmettere le tue preoccupazioni. ”
“Amanda, non startene a rimproverarti. Questi erano professionisti. Sapevano esattamente come manipolare i processi aziendali per evitare i controlli.
”
Annuì, ma capivo che stava ancora elaborando la portata di ciò che era accaduto. “Il consiglio di amministrazione vuole incontrarti lunedì mattina. Ci saranno significativi cambiamenti organizzativi. ”
Quello si rivelò l’eufemismo del secolo.
Entro due settimane, Pinnacle aveva interrotto i rapporti con Apex Technology e avviato una causa civile per il risarcimento dei danni. L’indagine dell’FBI si espanse fino a includere i dirigenti di Hamilton Strategic e di altre tre società di gestione patrimoniale che avevano acquistato informazioni rubate. Due dirigenti furono arrestati e i procuratori federali valutavano accuse RICO per l’esercizio di un’impresa criminale. Quanto a me, il consiglio mi offrì il ruolo di Chief Information Security Officer con il mandato di ricostruire la nostra infrastruttura di sicurezza e fungere da testimone esperto nel procedimento federale.
L’aumento di stipendio fu sostanziale, ma onestamente non era quello che contava di più. Ciò che contava era che ventidue anni di esperienza avevano improvvisamente di nuovo valore. Tutti quei protocolli di sicurezza legacy che Bryce voleva eliminare erano diventati le fondamenta di un nuovo standard di settore per la protezione dei dati finanziari. Sei mesi dopo, fui invitato a parlare alla conferenza annuale della National Association of Corporate Security Directors.
Il titolo della mia presentazione era “Quando il tuo stesso team esecutivo diventa il vettore di minaccia: un caso di studio nella rilevazione dello spionaggio interno”. La sala era piena. Trecento professionisti della sicurezza alle prese con la stessa sfida: come proteggere un’azienda quando le minacce più grandi potrebbero indossare titoli esecutivi e portare carte di credito aziendali. Durante la sessione di domande e risposte, un CISO di una grande compagnia assicurativa fece la domanda che riassumeva tutto.
“Come bilanciamo le iniziative di modernizzazione con le questioni di sicurezza quando l’alta dirigenza vede i requisiti di conformità come ostacoli all’innovazione? ”
“Semplice”, risposi. “Documentate tutto. Costruite sistemi che rilevino l’accesso non autorizzato indipendentemente dal livello di autorizzazione.
E non scendete mai a compromessi sui protocolli di protezione dei dati solo perché qualcuno con un MBA pensa che siano obsoleti. ”
Il pubblico rise, ma capivano anche il punto serio. La competenza tecnica non riguarda solo sapere come funzionano i sistemi. Riguarda capire come i sistemi falliscono e progettare protezioni che funzionino anche quando il giudizio umano fallisce.
Oggi, l’infrastruttura di sicurezza di Pinnacle è considerata un modello per il settore. Tre grandi società di consulenza hanno cercato di assumere l’intero nostro team di sicurezza e due università hanno chiesto di usare i nostri protocolli come casi di studio nei loro programmi di cybersecurity. Ancora più importante, abbiamo prevenuto altri due tentativi di spionaggio. Entrambi sono stati rilevati in poche ore invece che in settimane, e entrambi sono stati fermati prima che qualsiasi dato dei clienti fosse compromesso.
I sistemi di monitoraggio che ho progettato durante quella notte di reclusione di otto ore sono diventati lo standard di settore per il rilevamento delle minacce in tempo reale. Il procedimento federale ha portato alla condanna di sette dirigenti in quattro aziende. Bryce ha ricevuto cinque anni per cospirazione e frode telematica. Hamilton Strategic è stata multata di 47 milioni di dollari e bandita dagli appalti federali per dieci anni.
Apex Technology è stata sciolta completamente e tre dei loro consulenti per la modernizzazione sono ancora in attesa di giudizio. Ma ecco cosa ho davvero imparato da tutta questa esperienza, e questo è importante, quindi prestate attenzione. Quando qualcuno cerca di sminuire la tua competenza sulla base dell’età o dell’esperienza, quando liquida le tue preoccupazioni come pensiero legacy o resistenza al cambiamento, di solito è un campanello d’allarme che sta cercando di nascondere qualcosa. La vera innovazione si costruisce su fondamenta provate.
Non richiede di distruggere tutto ciò che è venuto prima. La tua esperienza ha valore. La tua conoscenza istituzionale conta. E quando qualche trentaduenne con un MBA di una prestigiosa università cerca di dirti che tutto ciò che hai imparato in decenni di lavoro è obsoleto, allora è il momento di iniziare a documentare tutto e a fare domande scomode.
Perché, nella mia esperienza, le persone più desiderose di aggirare i protocolli di sicurezza di solito hanno ragioni per voler evitare i controlli. Fidati dei tuoi istinti, proteggi il tuo lavoro e non lasciare mai che nessuno ti convinca che la competenza sia un limite solo perché arriva con i capelli grigi.
