Ubers tidigare ITSO, Joe Sullivan , misslyckades med att rentvå sitt namn förra månaden och återupptog därmed en diskussion om de personliga risker som högre chefer står inför vid cybersäkerhetsintrång.

Sullivan hade överklagat en fällande dom från oktober 2022 för att ha gömt ett brott efter att han betalat cyberbrottslingar som hackat kundkonton hos sin tidigare arbetsgivare. Hacket 2016 äventyrade personlig information för 57 miljoner kunder och 600,000 100,000 Uber-förare. Sullivan betalade brottslingarna 2014 XNUMX dollar från företagets bug-bounty-program och fick dem att underteckna ett sekretessavtal. Han misslyckades också med att informera Federal Trade Commission, vilket han fick mandat att göra enligt en uppgörelse från XNUMX efter ett separat hack.

Sullivan, som hade dömts till tre års skyddstillsyn och böter på 50,000 2023 USD för fällandet i maj XNUMX, hade överklagat domen. Överklagandet hävdade att han inte hade begått "felfängelse" – handlingen att dölja ett brott från statlig myndighet – eftersom NDA retroaktivt godkände hacket. Domstolen avvisade det argumentet, tillsammans med några påståenden om processuella fel.

Domstolens ståndaktighet i denna fråga väcker än en gång spöket för personligt verkställande ansvar för cybersäkerhetsbrott och/eller felaktig hantering av incidentrespons. Dessa upplevda överträdelser kom i olika former.

Vissa upplevda CISO-brister kretsar kring vilseledande uttalanden. SEC förföljde personligen SolarWinds CISO Timothy G. Brown efter företagets intrång 2019 och 2020, och hävdade att han gjorde falska uttalanden om dess cybersäkerhet i offentliga anmälningar trots att de var medvetna om dess svagheter. En domstol avvisade senare dess anklagelser mot Brown.

Andra kretsar kring bristen på cybersäkerhet i sig. James Rellas, VD för alkoholleveranstjänsten Drizly, hade ingen särskild chef med ansvar för cybersäkerhet när ett intrång hos hans företag exponerade information om 2.5 miljoner kunder. FTC:s order från 2022 höll inte bara företaget ansvarigt för påstått vårdslöst cybersäkerhetsbeteende, utan honom personligen.

Ett personligt straff riktat mot en CISO fokuserade på bedrägligt beteende. Jun Ying, tidigare CISO på Equifax US Information Solutions, fick fyra månaders fängelsestraff efter att ha utnyttjat sina aktieoptioner innan ett intrång hos företaget 2017 avslöjades offentligt. Ying, som kände till intrånget när han inlöste sina optioner, undvek över 117 000 dollar i förluster genom insiderhandel. Justitiedepartementet tvingade honom att betala tillbaka förlusterna, tillsammans med böter, och han dömdes till fyra månaders fängelsestraff.

Chefsansvar utanför USA

Det är inte bara amerikanska chefer som står inför personligt ansvar för hanteringen av cybersäkerhetsincidenter. Kim Jin-Hwan, integritetsansvarig på den sydkoreanska resebyrån Hana Tour Service, fick personligen böta 10 miljoner koreanska won för vårdslöshet i ett dataintrång 2017 som drabbade 465 000 kunder.

Regleringar har också fokuserat på chefers personliga ansvarsskyldighet. EU:s NIS2-direktiv från 2022 (2022) föreskriver ansvarsskyldighet för högsta ledningen för bristande efterlevnad av cybersäkerhetsregler, vilket möjliggör personliga sanktioner mot individer. Dessa inkluderar tillfälliga avstängningar av chefer som bedöms oförmögna att fullgöra sina cybersäkerhetsansvar.

En annan EU-förordning, Digital Operational Resilience Act (DORA), fokuserar på att säkerställa att finansiella organisationer kan upprätthålla kritiska tjänster inför systemhot. Det tillåter böter på upp till en miljon euro mot vårdslösa chefer.

Utmaningar för CISOs

Problemet för CISOs ligger i den "kylande effekt" som faran för personligt ansvar medför, varnade många i brev till domaren William Orrick III, som ledde det ursprungliga Uber-fallet. Oron är att CISO:er kan känna sig oförmögna att utföra sina jobb under hot om personligt ansvar.

Denna oro är giltig när man tänker på den snabbt växande attackytan hos ett genomsnittligt företag. Företag uppmuntras att förbli konkurrenskraftiga genom att testa snabbt utvecklande teknologier, inklusive AI, mobil och moln. Det ökar bördan av verkställande tillsyn. Om en individ som agerar i god tro löper risken för personligt ansvar inför överväldigande cyberhot, kan det avskräcka människor från att ta på sig rollen.

Men de straffincidenter som här tycks vila inte så mycket på själva cybersäkerhetsintrången utan på hantering av incidentresponsinformation före och efter faktum. Sullivan straffades inte för överträdelsen. Han straffades för att han försökte dölja det. Andra visste om deras sårbarheter i flera år innan de gjorde intrång och vidtog lite eller inga förebyggande åtgärder. Och framstående nyheter om ett intrång för dina egna aktiehandelsändamål är helt klart en ond tro praxis.

Hur man skyddar chefer

När risken för personligt ansvarstagande ökar, kommer företag som följer väletablerade ramverk för cybersäkerhet och riskhantering att kunna skydda sig själva – och sin högsta ledning – från lagstadgade eller juridiska konsekvenser.

ISO 27001 är ett viktigt verktyg i detta sammanhang eftersom det är en erkänd internationell standard som visar proaktiv due diligence. Ohios dataskyddslag erbjuder till och med explicit laglig säker hamn för cybersäkerhetsprogram som rimligen överensstämmer med ISO 27001.

ISO 27001 erbjuder några grundläggande praxis som kan hjälpa till att visa due diligence och samvetsgrannhet när du följer cybersäkerhetsåtgärder. Dessa inkluderar upprättande av ett tydligt, dokumenterat ramverk för cybersäkerhetsstyrning med högsta ledningens engagemang och implementering av standardbaserade, dokumenterade incidentresponsplaner. Andra åtgärder inkluderar regelbunden utbildning, revisioner och ständiga förbättringsprocesser.

Att upprätthålla noggrann dokumentation rekommenderas för att tillhandahålla bevis på verkställande tillsyn och riskhantering, utförd efter bästa av ledningsgruppens förmåga.

Men ordet "lag" är avgörande. Ledande befattningshavare bör på ett korrekt sätt stödja dem som ansvarar för cybersäkerhet, och rimliga förväntningar bör ställas på dem. Alltför ofta förväntas CISO:er stoppa alla attacker utan betydande investeringar och utan ordentligt stöd från ett företag som helt fokuserar på att driva ut nästa produkt och maximera vinsten. Det är en sjukdom som kräver kulturell förändring.