Nvidia-zaak brengt mensgerichte beveiliging in beeld

De Nvidia-zaak krijgt een menselijke beveiligingshoek nu The Guardian op 15 november beschrijft hoe experts persoonlijke relaties en zakelijke ontmoetingen als mogelijke toegangspaden zien; een lek van bedrijfsgeheimen is niet vastgesteld.

Gevoelige productplannen, klantrelaties of onderhandelingen kunnen via persoonlijke contacten toegankelijk worden zonder dat een netwerklogboek alarm slaat. Nvidia verwacht dat zijn activiteiten, klantverplichtingen en productroadmap doorlopen; een wijziging van producten of klantcontracten is niet aangekondigd. Voor Nederlandse leveranciers en afnemers komt de vraag daardoor bij de meldroute te liggen: wie signaleert een persoonlijke benadering en wie kan erop reageren?

Bedrijfscontacten kunnen een toegangspad zijn

The Guardian sprak met bedrijfsbeveiligers en inlichtingenbedrijven over benaderingen van medewerkers in de technologiesector. Don Aviv, directeur van Interfor International, zegt dat zijn firma in de afgelopen drie jaar ongeveer twaalf onderzoeken deed naar constructies met persoonlijke relaties, dwang, afpersing of een zogenoemde honeypot, waarbij iemand via een persoonlijke relatie informatie probeert te krijgen. Dat is een schatting van één firma, geen sectortelling.

Geïnterviewde experts beschrijven hoe zulke benaderingen kunnen beginnen op een beurs, via een klantrelatie of met een investeringsbelofte. Openbare profielen en commerciële bestanden met persoonsgegevens kunnen helpen bepalen wie invloed heeft of informatie bezit. De benadering verloopt dan via vertrouwen in plaats van een besmette bijlage of gestolen wachtwoord. De informatie hoeft niet uit een server te komen: een gesprek kan al duidelijk maken wie beslist of welke plannen eraan komen.

De experts beschrijven een risico, geen vastgesteld verloop in Nvidia’s zaak. Het artikel noemt geen vergadering waarin bedrijfsinformatie is gedeeld. The Guardian schrijft dat OpenAI, Meta en Google geen commentaar gaven op hun beveiligingspraktijken. Hun openbare maatregelen en interne meldroutes blijven daarmee onbekend.

Beveiliging raakt ook HR en bestuur

TechCrunch meldde dat Nvidia’s beveiligingschef David Reber in augustus vertrok en Saša Zdjelar hem opvolgde. Reber schreef dat hij om gezondheidsredenen vertrok. Er is geen openbaar verband gelegd tussen die wisseling en de zaak rond Huang. TechCrunch kon niet vaststellen wat de beveiligingsafdeling wist; Nvidia beantwoordde vragen daarover niet.

Beveiligingsspecialisten die TechCrunch sprak zeggen dat relaties tussen een topbestuurder en medewerkers doorgaans bij HR, juridische zaken en de raad van bestuur terechtkomen. Mogelijke beïnvloeding raakt tegelijk aan wie een bestuurder ontmoet, welke informatie daarbij op tafel ligt en of medewerkers hun zorgen veilig kunnen melden. Dat is een vraag over verantwoordelijkheden, geen bewijs dat Nvidia een waarschuwing heeft gemist.

Nvidia opende op 8 november een onafhankelijk bestuursonderzoek naar berichten over een buitenlandse inlichtingenactie rond Huang; op 12 november vertrok Huang per direct en werd financieel directeur Colette Kress interim-CEO. De nieuwe interviews voegen geen onderzoeksuitkomst toe, maar maken de vraag zichtbaar wie binnen de onderneming signalen had en waar die terechtkwamen.

Nvidia zegt nog geen reden voor een lek te zien

The New York Times meldde op 8 november op basis van meerdere ingelichte bronnen dat een geheim memo een nauwe relatie tussen Jensen Huang en zakenvrouw Alice Huang beschreef. Volgens de krant verdachten Amerikaanse functionarissen Alice Huang van spionage voor China op basis van informatie die met geheime elektronische observatie was verzameld. Het memo zelf is niet openbaar, zodat de aantijging niet onafhankelijk te controleren is.

Nvidia’s bestuur zegt geen reden te zien om te denken dat nationale veiligheid of bedrijfsgeheimen zijn aangetast. Onafhankelijke bestuurders met externe raadslieden onderzoeken alle beschikbare informatie en Huang zegt mee te werken. Dat is de openbare positie van het bedrijf tijdens een lopend onderzoek, geen eindconclusie. De verklaring noemt geen rapportdatum of concrete bevindingen. De Chinese regering heeft volgens The Guardian betrokkenheid ontkend.

OpenAI laat een ander toegangspad zien

Bij OpenAI draaide een afzonderlijke zaak om fysieke toegang. Het Amerikaanse ministerie van Justitie maakte bekend dat een medewerker was aangeklaagd nadat een verborgen opnameapparaat in een directiekamer was gevonden. De aanklacht stelt dat het apparaat bedoeld was om gesprekken op te nemen; een aanklacht bewijst geen schuld en het is niet vastgesteld dat het apparaat gesprekken heeft vastgelegd.

De recorder werd op 30 september in een OpenAI-directiekamer gevonden. Dat dossier gaat over een fysiek apparaat en een strafrechtelijke aanklacht; Nvidia’s zaak gaat over een bestuursonderzoek naar mogelijke buitenlandse beïnvloeding. Geen openbare bron verbindt de twee. Ze maken wel duidelijk dat toegang tot bedrijfsinformatie ook via gebouwen, dagelijkse contacten en vertrouwelijke gesprekken loopt.

Voor een Nederlandse onderneming met waardevolle code, trainingsdata, productplannen of klantinformatie is relevant wie die informatie kan bereiken en via welke relatie. Nvidia’s bestuur heeft de vraag nog niet beantwoord: het onderzoek loopt en een openbaar lek is niet bevestigd. Tot de commissie haar bevindingen deelt, blijven de mogelijke toegangspaden onderwerp van onderzoek, geen vastgestelde inbreuk.