“La licenzio con effetto immediato. ”
Le parole arrivarono dall’altro lato del tavolo di conferenza rifinito, pronunciate con l’autorità disinvolta di chi è abituato a porre fine a carriere prima di pranzo. Victoria Hoffman, la neo-nominata CEO di Eastern Grid Protection Systems, non si degnò nemmeno di alzare lo sguardo dal suo portfolio di pelle quand’è che lo disse. Mi chiamo Bradley Pierce.
Ho 54 anni e ho passato gli ultimi 18 a proteggere la rete elettrica americana dagli attacchi informatici. Non il tipo di lavoro affascinante che ti fa finire sulle riviste tecnologiche o ti invita alle conferenze sull’innovazione. Il lavoro ingrato. Quello che tiene accese le luci per 47 milioni di persone in sei stati.
Victoria aveva poco più di trent’anni, un blazer impeccabile. Quella postura sicura che viene da un MBA a Stanford e da zero esperienza operativa. Sfogliava fogli di calcolo, penna rossa in mano, sottolineando voci di spesa come se fossero offese personali. Io sedevo lì, le mani incrociate sul tavolo, a guardarla mentre metteva in scena quella che credeva fosse una leadership decisa.
«Il passaggio sarà immediato», continuò, sempre senza guardarmi. «Stiamo internalizzando le operazioni di sicurezza. Più efficiente, meglio gestione dei costi. »
Dietro di lei c’erano due persone che non conoscevo.
Una donna delle risorse umane dall’aria nervosa con un tablet stretto al petto, e un uomo più giovane in un abito costoso con la parola “consulente” scritta in faccia. Nessuno delle operazioni. Nessuno del vecchio team di leadership. Solo Victoria e la sua esperienza importata.
Finalmente alzò lo sguardo, con un’espressione tra il seccato e l’irritato, come se stessi sprecando il suo tempo prezioso solo per essere ancora nella stanza. «Prima che vada», disse, battendo la penna sul portfolio, «mi consegni i protocolli di sicurezza. Tutti. Credenziali d’accesso, codice sorgente, documentazione.
Mi serve tutto entro fine giornata. »
La stanza ammutolì. La donna delle risorse umane si spostò a disagio. Il consulente smise di scrivere sul portatile.
Io non mi mossi. Sedevo lì, il viso neutro, e lasciai che il silenzio si allungasse. Il sopracciglio di Victoria si alzò leggermente. «C’è un problema?
»
Sorrisi con calma. Quel tipo di sorriso che fai quando sai qualcosa che gli altri non sanno. «Temo di non potercela dare», dissi. La penna si fermò a mezz’aria.
«Come, scusi? »
«I protocolli di sicurezza», continuai con voce ferma e professionale, «sono infrastrutture classificate. Non sono sue da accessare. »
La postura sicura di Victoria vacillò appena.
Un lampo di confusione le attraversò il viso prima che la maschera aziendale tornasse al suo posto. «Abbiamo pagato per lo sviluppo», disse, con un tono che si stava facendo tagliente. «Questo lo rende proprietà dell’azienda. »
Scossi lentamente la testa.
«Ha pagato per servizi di protezione operativa, non per la proprietà. La distinzione è chiaramente definita nella sezione 12 del suo accordo di conformità federale. »
Quello che Victoria Hoffman non sapeva – quello che il suo consulente, il suo team HR e tutto il suo piano di trasformazione digitale avevano completamente ignorato – era che il sistema di sicurezza che proteggeva l’infrastruttura di Eastern Grid su sei stati non era un software posato sui loro server. Era un’infrastruttura classificata costruita su misura, di mia proprietà personale, concessa in licenza per il loro uso, controllata da hardware che non avevano mai visto.
E quando avevano terminato il mio contratto tre minuti prima, si erano scollegati dall’unica cosa che impediva alla loro rete elettrica di diventare un bersaglio facile per ogni criminale informatico e attore straniero del pianeta. Entro 72 ore, quell’errore sarebbe costato loro tutto. Ma sto andando troppo avanti. Facciamo un passo indietro.
Per capire come un esperto di sicurezza informatica con 18 anni di esperienza nella protezione di infrastrutture critiche sia stato licenziato da qualcuno che credeva che la sicurezza di rete fosse un’app su una dashboard, bisogna capire da dove vengo. Ho iniziato nell’Air Force, conducendo operazioni di difesa informatica alla Barksdale Air Force Base in Louisiana. All’inizio degli anni 2000, quando la gente pensava che la più grande minaccia informatica fosse prendere un virus scaricando musica illegale, io facevo parte dell’ottavo squadrone di comunicazioni, proteggendo le reti del comando bombardieri strategico da attacchi sempre più sofisticati sponsorizzati da stati esteri. Era un lavoro che mi ha insegnato che la sicurezza informatica non è teoria.
Quand’è che qualcuno sonda la tua rete alle tre di notte, non hai tempo di consultare un manuale o risalire la catena di comando. Rispondi immediatamente o i sistemi critici falliscono. Durante i miei 12 anni nell’Air Force, sono stato dispiegato due volte in Afghanistan, impostando reti di comunicazione sicure nelle basi operative avanzate dove una singola violazione poteva compromettere la sicurezza operativa e far uccidere persone. Ho imparato a costruire sistemi ridondanti in grado di operare in modo indipendente, anche quando tagliati fuori dalle reti principali.
L’esercito mi ha insegnato qualcosa che molti esperti civili di sicurezza informatica non capiscono: la differenza tra proteggere i dati e proteggere le operazioni. Le violazioni dei dati sono costose e imbarazzanti. Le inefficienze operative uccidono le persone. Dopo il congedo nel 2005, ho trascorso sei anni alla Tennessee Valley Authority, imparando come la sicurezza informatica della rete elettrica differisse dalle reti militari.
La TVA gestiva alcune delle infrastrutture più critiche del Sud-Est. Quando i loro sistemi andavano giù, gli ospedali perdevano la potenza di riserva. I sistemi di traffico fallivano. I servizi di emergenza restavano al buio.
Il mio supervisore lì, un ex crittologo della Marina di nome Roger Kellerman, divenne il mio mentore nella protezione delle infrastrutture civili. «Bradley», mi disse durante la mia prima settimana, «la sicurezza informatica militare riguarda l’impedire al nemico di vedere ciò che fai. La sicurezza delle infrastrutture civili riguarda l’impedire al nemico di fermare ciò che fai. Una mentalità completamente diversa.
»
Roger aveva ragione. Ed è stato Roger a spiegarmi per primo le complessità legali della sicurezza informatica delle infrastrutture. «Il governo classifica questi sistemi perché sono critici per la sicurezza nazionale», spiegò. «Ma le aziende che li gestiscono spesso non capiscono cosa significhi legalmente.
Pensano di possedere qualcosa che, in realtà, hanno solo in licenza d’uso. »
Quella distinzione sarebbe diventata cruciale più avanti nella mia carriera. Dopo sei anni alla TVA, sono diventato indipendente. La mia prima grande consulenza fu con la Kentucky Utilities nel 2011, costruendo sistemi di rilevamento delle intrusioni personalizzati per le loro operazioni di centrale a carbone.
La reputazione si diffuse silenziosamente tra gli addetti ai lavori. Il tipo di reputazione che ti fa ricevere chiamate quando l’infrastruttura di qualcuno è sotto attacco e i consulenti convenzionali hanno fallito. Entro il 2015, avevo costruito sistemi di sicurezza personalizzati per aziende di servizi pubblici in tutto il Midwest. È così che, sei anni fa, ho iniziato a lavorare con Eastern Grid Protection Systems.
Robert Wilson, il loro vicepresidente delle operazioni, mi chiamò un giovedì pomeriggio di marzo. La sua voce aveva quel bordo teso di chi sta fissando un disastro. «Bradley, abbiamo appena avuto il nostro terzo tentativo di violazione in due mesi», disse. «Attori sponsorizzati da stati esteri che sondano i nostri sistemi di controllo.
L’Homeland Security ci sta mettendo pressione sulle lacune di conformità. Mi serve qualcuno che capisca come funziona davvero, non un altro consulente che ha imparato la sicurezza informatica dalle slide di PowerPoint. »
Quando entrai nella loro struttura principale quel primo giorno, le vulnerabilità erano immediatamente evidenti. Configurazioni firewall obsolete aggiornate l’ultima volta nel 2009.
Sistemi di monitoraggio della sicurezza che non riuscivano a comunicare tra loro. Rilevamento delle minacce eseguito su modelli predefiniti che qualsiasi hacker esperto poteva aggirare. Il centro di controllo sembrava la maggior parte dei centri operativi di rete: file di monitor con flussi elettrici, letture di tensione e indicatori di stato per centinaia di sottostazioni. Ma l’infrastruttura di sicurezza informatica era un disastro.
Pezzi di software di fornitori diversi impilati uno sopra l’altro come strati geologici. «Il mese scorso abbiamo avuto indirizzi IP russi che conducevano ricognizioni per sei ore prima che il nostro rilevamento di intrusioni registrasse anche solo l’attività», continuò Robert. «Quando abbiamo identificato la minaccia, avevano già mappato l’intera architettura di rete. Gli investigatori del DHS hanno trovato documentazione sulle vulnerabilità nei loro file più completa delle nostre stesse valutazioni di sicurezza.
»
Ho trascorso i successivi 31 mesi costruendo una vera infrastruttura di sicurezza. Non un pacchetto standard che funziona se pieghi l’intera operazione per adattarlo. Algoritmi di rilevamento minacce personalizzati. Prevenzione delle intrusioni che si integrava con i sistemi di controllo fisico.
Monitoraggio in tempo reale. La maggior parte del lavoro di sviluppo è avvenuto in una struttura di informazioni sensibili compartimentate che ho costruito nel mio garage. Lo spazio doveva essere schermato elettromagneticamente, controllato tramite accessi biometrici e certificato dagli ispettori federali prima che potessi iniziare a lavorare con i dati di intelligence classificati necessari per costruire difese efficaci. L’hardware era altrettanto complesso.
Ho progettato e assemblato io stesso le unità di elaborazione centrali, utilizzando solo componenti provenienti da produttori americani verificati con nulla osta di sicurezza federale. Il contratto era chiaro come il cristallo perché avevo imparato quella lezione a caro prezzo anni prima. Loro affittavano servizi di protezione operativa dalla mia infrastruttura di sicurezza. Io mantenevo la piena proprietà di tutto il codice sorgente, gli algoritmi, i protocolli classificati e l’hardware fisico che faceva funzionare il tutto.
Robert firmò senza esitazione perché capiva la differenza tra usare qualcosa e possederla. Per sei anni, tutto funzionò alla perfezione. Zero violazioni riuscite, nemmeno una volta. Durante quel periodo, il sistema rilevò e neutralizzò 47 seri tentativi di intrusione, inclusi 12 che gli investigatori federali rintracciarono successivamente in unità di guerra informatica di governi stranieri.
I pagamenti mensili arrivavano puntuali per 72 mesi di fila. Robert chiamava ogni tanto per domande sugli aggiornamenti della valutazione delle minacce o la pianificazione dell’espansione della capacità, sempre rispettoso dei confini di sicurezza e dei requisiti di autorizzazione che avevamo stabilito. Poi, Robert Wilson annunciò il suo pensionamento a gennaio. Victoria Hoffman arrivò tre settimane dopo con il suo MBA da Stanford e la sua tabella di marcia per la trasformazione digitale che probabilmente era costata più del mio contratto annuale.
La sua prima comunicazione non fu un saluto o una presentazione. Oggetto: analisi dei costi del fornitore legacy. L’email era pura ottimizzazione aziendale che parlava di struttura di spesa ricorrente e riduzione della dipendenza operativa. La mia fattura non era cambiata in sei anni.
Ma Victoria vide una voce su un foglio di budget e assunse immediatamente che ci fosse grasso da tagliare. Risposi in modo professionale, allegando il contratto originale e un riepilogo dei parametri di performance della sicurezza degli ultimi 72 mesi. La sua risposta arrivò entro 90 minuti: «è necessario pianificare una revisione completa di tutte le dipendenze di sicurezza esterne. La prego di preparare la documentazione completa per la valutazione interna dei sistemi operativi.
»
Sistemi operativi. Quella frase mi disse tutto quello che dovevo sapere su Victoria Hoffman. Era il tipo che pensava che una complessa infrastruttura di sicurezza potesse essere compresa rivedendo slide e leggendo riassunti esecutivi. Iniziai a preparare, non documentazione per la sua valutazione, ma i piani di contingenza che mi sarebbero serviti quando questa conversazione fosse andata esattamente dove sapevo che sarebbe andata.
Quattro giorni dopo arrivò l’email che confermò i miei sospetti. Oggetto: richiesta di documentazione sull’architettura di sicurezza. Victoria voleva una copia completa dei protocolli di sicurezza per la valutazione interna e la potenziale pianificazione della transizione. Non voleva rivedere il nostro accordo di servizio o capire i requisiti di classificazione federali.
Voleva prendere il mio sistema classificato ed eliminare il pagamento mensile. Le risposi con un’email tecnicamente accurata e deliberatamente inutile: «Felice di fornire tutti i materiali inclusi nella sua attuale licenza di protezione. » Poi uscii nel mio garage, mi sedetti alla console di sicurezza principale costruita specificamente per il sistema Eastern Grid, e iniziai a preparare l’educazione di Victoria Hoffman sulla differenza tra accesso e proprietà. Il laboratorio conteneva 2,3 milioni di dollari di hardware di sicurezza informatica personalizzato, costruito secondo specifiche federali.
Schermatura elettromagnetica nelle pareti. Controlli di accesso biometrici. Collegamenti di comunicazione classificati che si connettevano direttamente ai feed di intelligence sulle minacce del DHS e ai database di guerra informatica della NSA. Victoria non aveva idea che tutto ciò esistesse.
Tre giorni dopo la mia risposta sulla documentazione, arrivò un’altra email. Oggetto: chiarimento sulla proprietà intellettuale. Victoria voleva conferma scritta che tutti i protocolli di sicurezza operativa appartenevano a Eastern Grid Protection Systems. Stava preparando il terreno per terminare il mio contratto e impadronirsi dell’infrastruttura di sicurezza informatica federale classificata come se fosse attrezzatura da ufficio.
Feci uno screenshot della clausola contrattuale pertinente e gliela rimandai. In grassetto, impossibile da interpretare male: «Tutta l’architettura di sicurezza, il codice sorgente, gli algoritmi delle minacce e l’infrastruttura di monitoraggio rimangono di proprietà esclusiva di Bradley Pierce. Concesso in licenza solo per la protezione operativa. Nessun trasferimento, replica o sviluppo derivato consentito senza esplicita autorizzazione federale.
»
La risposta di Victoria arrivò sei ore dopo: «Passeremo alla gestione della sicurezza interna con effetto immediato. Il pagamento finale sarà elaborato secondo i termini contrattuali. Grazie per il suo servizio. »
Tutto qui.
Nessuna discussione. Nessuna pianificazione della transizione. Nessuna consapevolezza che stava per scollegare il sistema nervoso centrale di una rete di protezione elettrica su sei stati. Nessuna comprensione che stava eliminando l’unica barriera che impediva attacchi informatici stranieri alle infrastrutture critiche americane.
Rimasi seduto alla scrivania per un lungo momento a fissare quell’email. Victoria Hoffman aveva appena preso una decisione che avrebbe compromesso la sicurezza nazionale, violato i protocolli federali di sicurezza informatica ed esposto 47 milioni di americani a potenziali blackout. Non aveva idea di cosa avesse fatto. Uscii nel laboratorio e accesi la console di sicurezza.
Ogni indicatore era verde. Il monitoraggio delle minacce sincronizzato su sei stati. Gli algoritmi di rilevamento degli attacchi aggiornati in tempo reale con feed di intelligence classificati. I protocolli di protezione della rete scorrevano senza intoppi.
L’intero corridoio di Eastern Grid funzionava esattamente come l’avevo progettato. Poi iniziai a costruire il pacchetto di transizione di Victoria. Documentazione dall’aspetto professionale con diagrammi puliti e linguaggio tecnico impressionante. Screenshot dell’interfaccia utente che mostravano layout di dashboard e pannelli di visualizzazione dello stato.
Diagrammi di flusso dell’architettura di sistema che sembravano completi e autorevoli. Tutto lucido, ufficiale e completamente inutile senza accesso ai sistemi classificati sottostanti. Passai sei ore a creare esattamente il tipo di consegna che Victoria si aspettava di ricevere. Materiali visivi che le avrebbero fatto pensare di aver ottenuto ciò che le serviva per operare in modo indipendente.
Tutto scollegato dall’infrastruttura reale che rendeva possibile il monitoraggio della sicurezza. Entro le 17:30 avevo pronto un pacchetto di transizione completo. Lo allegai a un’email con una sola riga: «Documentazione dell’interfaccia di sicurezza fornita secondo la risoluzione del contratto. L’accesso all’infrastruttura classificata non è incluso secondo le restrizioni di licenza federali.
» Premetti invio e guardai il messaggio scomparire nel sistema di posta aziendale di Eastern Grid, dove Victoria avrebbe presto scoperto la differenza tra possedere un pannello di controllo e possedere il motore che lo faceva funzionare. Sei giorni dopo la sua email di risoluzione, apparve un invito al calendario. Riunione di transizione della sicurezza, venerdì alle 10:00, fuso orientale. Nessun ordine del giorno.
Mi unii alla videochiamata con tre minuti di anticipo. Aspetto professionale, camicia pulita, sfondo del mio ufficio di casa con le medaglie dell’Air Force e le certificazioni federali di sicurezza informatica visibili sulla parete. Victoria si collegò con due minuti di ritardo, sistemandosi sulla sedia con l’espressione soddisfatta di chi pensa di aver risolto un problema complesso con un semplice taglio dei costi. Jason Crawford dell’IT si unì dopo, dall’aria a disagio.
Poi una donna che sembrava appena uscita dalla business school, con un tablet in mano. «Bradley, grazie per esserti unito», iniziò Victoria, con il tono di chi ti sta facendo un favore amministrativo. «Abbiamo deciso di portare la gestione della sicurezza internamente. Apprezziamo tutto il tuo lavoro fino a questo punto, ma siamo pronti ad assumere il controllo operativo diretto.
»
Assumere il controllo come se cliccare su dashboard fosse la stessa cosa che gestire un’infrastruttura di sicurezza classificata che richiedeva autorizzazioni federali per essere accessata. Mantenni l’espressione neutrale. «Stai terminando l’accordo di licenza di protezione. »
«Corretto», disse Victoria, appoggiandosi allo schienale come se si aspettasse elogi per la sua leadership decisa.
«Avremo bisogno della consegna completa di tutti i protocolli di sicurezza, i documenti sull’architettura di sistema e le credenziali backend. Processo di transizione standard. »
Jason annuì nervosamente. La donna scribacchiava qualcosa sul tablet.
Avevano coreografato tutto come una gestione ordinaria dei fornitori, completamente ignari di stare discutendo infrastrutture di sicurezza nazionale classificate. «Non sei autorizzato ad accedere all’infrastruttura classificata», dissi con calma. «Il tuo accordo copre i servizi di protezione operativa. Non hai mai acquistato i diritti di proprietà sui protocolli di sicurezza di livello federale.
»
Il sorriso fiducioso di Victoria vacillò leggermente. «Abbiamo pagato per lo sviluppo di questo sistema di sicurezza, Bradley. Questo lo rende proprietà intellettuale dell’azienda. È una pratica commerciale standard.
»
«Hai pagato per i servizi di protezione da una rete di sicurezza funzionante», risposi. «Non hai mai comprato la tecnologia classificata sottostante. Quella distinzione è delineata esplicitamente nella sezione 12 del tuo contratto di conformità federale. »
Guardò fuori campo, probabilmente aprendo il contratto su un altro schermo.
Il silenzio si protrasse per quasi 30 secondi mentre Victoria si rendeva conto di essere finita in una situazione che non capiva. «Senta», disse, tentando di riprendere il controllo, «capiamo che potrebbero esserci alcune sfumature tecniche qui, ma siamo pronti a gestire le operazioni di sicurezza internamente d’ora in poi. Mi fornisca semplicemente la documentazione che ha così possiamo mantenere la continuità della protezione. »
«Fornirò tutto ciò a cui hai legalmente diritto di ricevere», dissi.
«Niente di più. »
Il silenzio nella videochiamata fu tagliente. Jason appariva a disagio. La scribacchina smise di scrivere.
La mascella di Victoria si irrigidì mentre capiva che non sarebbe stata una transizione agevole come aveva pianificato. «Va benissimo», disse seccamente, cercando di chiudere rapidamente la chiamata. «Ci aspettiamo la consegna completa entro la fine della giornata lavorativa. »
Non risposi.
Rimasi seduto lì a guardare dritto nella fotocamera mentre armeggiava con il mouse, vogliosa di disconnettersi prima che potessi complicare ulteriormente i suoi tempi. Lo schermo divenne nero. Chiusi il portatile. Victoria Hoffman pensava di capire la sicurezza informatica perché sapeva navigare interfacce software e rivedere report trimestrali sulle minacce.
Non aveva alcuna comprensione dell’hardware classificato, dei protocolli federali, delle autorizzazioni specializzate o della conoscenza operativa necessaria per mantenere tutto funzionante. Stava per ricevere un’istruzione costosa. La mattina dopo guidai fino all’Harbor View Cafe come se fosse un venerdì qualunque. Un posticino sull’acqua, buon caffè, angoli tranquilli dove lavorare senza interruzioni.
Venivo lì da quattro anni. Carol Mitchell, la proprietaria, conosceva la mia ordinazione a memoria. Aprii il portatile e richiamai l’interfaccia della console di sicurezza principale. Ogni indicatore era verde.
Monitoraggio delle minacce attivo su 93 punti critici dell’infrastruttura in sei stati. Analisi in tempo reale di 1. 247 potenziali vettori di attacco. Algoritmi di protezione della rete operanti in modo efficiente attraverso 38 sottostazioni principali.
Tutto ciò che Victoria Hoffman pensava di controllare ora stava in realtà fluendo attraverso l’hardware classificato nel mio laboratorio in garage, a 15 minuti di distanza. Alle 9:47, il telefono vibrò con un messaggio di Victoria: «Difficoltà ad accedere all’interfaccia di gestione della sicurezza. Fornire immediatamente le credenziali admin. »
Fissai il messaggio per circa 15 secondi, poi lo eliminai senza rispondere.
Alle 9:52, azionai l’interruttore principale del relè di sicurezza. La mappa sul mio schermo si bloccò all’istante. Ogni indicatore verde divenne grigio. I feed di minaccia in tempo reale crollarono a zero.
Il rilevamento degli attacchi si fermò a metà ciclo. L’intera rete di protezione di Eastern Grid aveva appena smesso di monitorare. Il sistema non si bloccò né lanciò messaggi di errore. L’avevo progettato per disconnettersi con grazia.
Nessun allarme, nessun indicatore di avvertimento, nessuna sequenza di spegnimento drammatica. Solo una pulita separazione da ogni controllo di sicurezza operativo. Per i primi 12 minuti, nulla sembrava sbagliato a un osservatore casuale. I display della dashboard mostravano ancora indicatori di stato verdi dai dati nella cache.
Ma sotto, nulla stava monitorando nulla. Alle 10:04, vidi attraverso il mio accesso di monitoraggio federale il primo probe colpire la sottostazione 7 in Virginia. Una scansione di vulnerabilità di base da un indirizzo IP in Bielorussia che avrebbe dovuto innescare contromisure immediate e notifiche federali. Invece, corse non rilevata per quattro minuti prima che il sistema di registrazione automatico notasse anche solo il tentativo di intrusione.
Nessuna analisi in tempo reale. Nessuna risposta adattiva. Nessuna escalation alla supervisione umana. Alle 10:18, un attacco più sofisticato iniziò a testare le configurazioni del firewall presso la struttura dell’Interconnect del Maryland.
Firme di minacce persistenti avanzate che normalmente avrebbero innescato una risposta immediata delle unità federali di guerra informatica. Gli algoritmi di valutazione delle minacce non erano in esecuzione. Nessuna correlazione di intelligence classificata. Nessuna corrispondenza di modelli di attacco.
Nessuna attivazione di protocollo protettivo. Alle 10:25, la mia autorizzazione di sicurezza federale mi diede accesso per osservare ciò che il team di Victoria non poteva vedere. Tre indirizzi IP stranieri separati conducevano una ricognizione coordinata dell’architettura di rete di Eastern Grid, tutti non rilevati da sistemi che avrebbero dovuto bloccare immediatamente il loro accesso e avvisare gli analisti di minacce informatiche del DHS. Alle 10:34, arrivò la prima email confusa.
Oggetto: domanda rapida, ritardo nel rilevamento delle minacce. «Ciao Bradley, vedo alcuni ritardi strani sugli avvisi di sicurezza. Il sistema mostra verde ma i controlli manuali non corrispondono. Puoi dare un’occhiata quando hai un momento?
Grazie, Matthew Barnes. »
Matthew era uno dei loro supervisori di sicurezza senior, un ex specialista di sicurezza informatica della Marina con buoni istinti. Avrebbe capito cosa stava succedendo alla fine, ma in quel momento vedeva solo sintomi senza capirne la causa. Non risposi.
Alle 10:48, le email arrivavano ogni pochi minuti. Firma degli attacchi non aggiornata. Rilevamento delle intrusioni mostra stato offline. Monitoraggio di conformità federale completamente scuro.
Molteplici sistemi segnalavano errori di comunicazione. Sempre cortesi, ancora supponendo che fosse un qualche problema tecnico minore risolvibile con una rapida chiamata. Alle 10:53, il telefono iniziò a squillare. Numero sconosciuto con il prefisso di Eastern Grid.
Lo lasciai andare alla segreteria. Poi un’altra chiamata da un’estensione diversa. Poi una terza. Il panico stava iniziando.
Entro le 11:15, la situazione era deteriorata in modo significativo. Sette intrusioni informatiche attive in tre stati, tutte invisibili ai sistemi di sicurezza operativa di Eastern Grid. Il monitoraggio della rete mostrava stato normale mentre potenziali attaccanti mappavano le vulnerabilità della rete in tempo reale. Il mio accesso federale mi permetteva di osservare unità di guerra informatica straniere che raccoglievano intelligence che avrebbe dovuto essere impossibile ottenere.
E da qualche parte in un ufficio aziendale, Victoria Hoffman stava probabilmente fissando schermate di interfaccia utente che mostravano ancora tutto funzionare normalmente, chiedendosi perché il suo team di sicurezza stesse segnalando un guasto completo del sistema. Alle 11:22 arrivò un’email con flag rossi di priorità. Oggetto: URGENTE – guasto completo del monitoraggio di sicurezza. Molteplici intrusioni non rilevate.
Violazione di conformità federale in corso. L’ufficio di sicurezza regionale del DHS esige una spiegazione immediata. Richiesto supporto di emergenza al più presto. La cortesia aziendale stava crollando.
Stavano iniziando a capire che non era un problema tecnico minore. Chiusi l’email senza leggere il resto e controllai i miei canali di comunicazione federali sicuri. Il DHS aveva registrato la violazione di conformità. La divisione informatica dell’FBI richiedeva rapporti di stato immediati.
La protezione delle infrastrutture della NSA stava conducendo una valutazione di emergenza delle minacce. La decisione di riduzione dei costi di Victoria aveva innescato un incidente di sicurezza informatica federale. Alle 11:36, il telefono squillò di nuovo. Questa volta l’ID chiamante mostrava l’ufficio di sicurezza regionale del DHS.
Rifiutai la chiamata e guardai andare alla segreteria. Poi un’altra chiamata da un numero bloccato con prefissi federali. Poi una terza dalla divisione informatica dell’FBI. Entro mezzogiorno, avevo 53 chiamate perse e 29 messaggi in segreteria non ascoltati.
La rete elettrica su sei stati stava vivendo ciò che le agenzie federali avrebbero classificato come un guasto critico della sicurezza delle infrastrutture. Nulla stava proteggendo nulla. Aprii un nuovo documento e iniziai a scrivere la proposta di ripristino di emergenza della sicurezza. Condizioni: pagamento dovuto tramite bonifico prima della riattivazione.
Tariffa: otto volte la tariffa mensile standard per il servizio di ripristino immediato. Durata: finestra di emergenza di 48 ore. Condizioni: piena accettazione dei termini di servizio e dei requisiti di proprietà dell’infrastruttura federale. Allegai il documento a un’email indirizzata a Victoria Hoffman, al consulente legale di Eastern Grid, e in copia al collegamento di sicurezza informatica del DHS.
Oggetto: servizi di ripristino di emergenza disponibili secondo i requisiti di conformità federale. Poi premetti invio e ordinai un altro caffè. L’istruzione era completa.
Ora veniva il conto.
