Como director de seguridad de la información (CISO) de éxito en SolarWinds, Tim Brown parecía tenerlo todo.
(a la derecha), director de seguridad de la información de , tenía a su cargo la protección de toda la cartera de herramientas de gestión de infraestructuras de esta empresa de desarrollo de software, que incluía una plataforma de supervisión informática denominada Orion, que proporcionaban a unos 33,000 clientes de los sectores público y privado.
Entonces todo cambió.
A finales de 2020, unos piratas informáticos presuntamente vinculados a un servicio de inteligencia ruso inyectaron código malicioso denominado «Sunburst» en un parche de software de Orion . La actualización comprometida fue descargada e instalada por unas 18,000 organizaciones, entre las que se incluyen organismos del Gobierno de EE. UU. y empresas de la lista Fortune 500 . Fue uno de los ciberataques más sofisticados e innovadores de la historia y sirvió como llamada de atención sobre el estado « » de la seguridad de la cadena de suministro.
Brown, con 30 años de experiencia en el ámbito de la seguridad informática, consideraba que podría haber repercusiones legales, dado el número de organismos públicos afectados por la filtración. Pero incluso él se sorprendió cuando, en October 2023, mientras asistía a una conferencia en Zúrich, se supo que la Comisión de Valores y Bolsa de EE. UU. había presentado cargos contra la empresa SolarWinds, con sede en Texas —y contra el propio Brown— por fraude y fallos en los controles internos relacionados con riesgos y vulnerabilidades de ciberseguridad que, supuestamente, ya se conocían .
En la demanda que se va a presentar se alega que, entre el 2018 y el December 2020, SolarWinds y Brown estafaron a los inversores al exagerar las prácticas de seguridad de la empresa de software y al minimizar o no revelar riesgos conocidos.
Tras un año intenso, Brown se sintió aliviado cuando un juez de un tribunal de distrito de EE. UU. desestimó la mayor parte de las alegaciones de la SEC en July 2024. SolarWinds y la SEC han llegado recientemente a un acuerdo preliminar sobre los cargos restantes. No se han revelado los términos del acuerdo, cuya formalización está prevista para este otoño.
Ahora, Brown, de 61 años, reflexiona públicamente sobre los cargos sin precedentes que la SEC ha presentado contra un CISO y lo que estos significan para la profesión. , de Focal Point, se reunió con él recientemente para hablar sobre cómo le había marcado esa experiencia y qué había aprendido de ella.
(La siguiente entrevista se ha editado para mayor claridad y para acortarla.)
¿Qué tuvo que pasar en aquellos primeros días tras la presentación de la demanda por parte de la SEC?
Las impugnaciones judiciales eran de esperar. Nuestros abogados se pusieron manos a la obra, anticipando una demanda colectiva o alguna acción por parte de una entidad gubernamental, como la SEC. Uno o dos días después de que nos enteráramos del ataque, uno de nuestros asesores jurídicos externos habló conmigo y, tal y como exige la ética profesional, me dijo: «Solo queremos recordarle que representamos a la empresa». «No le representamos».
«. Solo queremos recordarles que representamos a la empresa». No le representamos.»Un abogado de SolarWinds se dirigió al director de seguridad de la información (CISO), Tim Brown, en 2020, uno o dos días después de que se descubriera el ciberataque
Entendí que tenían que decir eso, pero fue una forma incómoda de empezar. Le dicen que quieren asegurarse de disponer de toda la información y saber qué ocurrió desde su punto de vista. Pero, una vez más, hacen hincapié en que representan a la empresa. Usted no. Al final, contraté a un abogado para mí y, además, contábamos con un abogado que compartíamos con la empresa. Afortunadamente, la empresa se hizo cargo de los honorarios de mi abogado particular. El proceso completo de mi representación individual acabó costándole a SolarWinds más de un millón de dólares.
Teniendo en cuenta mi experiencia, siempre recomiendo a los CISO que mantengan una conversación sencilla con sus empleadores. Acérquese a ellos y dígales: «Tim tuvo que pasar por esto». Le interpusieron una demanda. Tuvo que contratar a un abogado particular. Esos honorarios de abogados son elevados. Por suerte para él, SolarWinds se mostró dispuesta a correr con los gastos para que pudiera contar con su propio abogado. «¿Cómo afrontaríamos esa situación si ocurriera algo así?»
[Lea también: 5 mitos —y realidades— sobre los seguros cibernéticos]
El seguro de responsabilidad civil para directivos y administradores (D&O) puede cubrir determinados aspectos, dependiendo de cómo estén redactadas las pólizas. Pero puede que no sea así. Por eso, es importante mantener esa conversación y determinar qué sucederá si se ve en una situación así. En mi caso, la empresa fue increíble. Estuvimos totalmente en sintonía durante todo el proceso, por lo que no tuve que preocuparme por los honorarios de mi abogado personal. Pero usted quiere comprobarlo.
Aun así, el hecho de que la SEC le imputara cargos a título personal tuvo que pasarle factura. ¿Cómo gestionó el estrés?
Sí, creía que me iba bien durante los primeros años. Sin embargo, acabé sufriendo un infarto la semana en que me comunicaron que se me iban a imputar cargos. Así que, supongo que no me iba tan bien como pensaba.
«: Acabé sufriendo un infarto la semana en que me comunicaron que se me iban a presentar cargos». Así que, supongo que no me iba tan bien como pensaba.»
La mayoría de nosotros tenemos nuestras propias formas de afrontar el estrés: hay quienes se desahogan hablando. Hay personas que se dedican a la edición. Hay quienes se guardan las cosas para sí mismos o las separan mentalmente. Suelo ser una persona que tiende a separar las cosas. Mantengo separadas mi vida laboral y mi vida personal. Eso me ayuda a relajarme. Vivo en un rancho de Texas con caballos, burros enanos y todo ese tipo de cosas. Esa ha sido siempre mi forma de liberar el estrés. A mí siempre me ha funcionado bien, o al menos eso creía.
Me encontraba en una conferencia en Zúrich, en September 2023 , cuando me enteré de que me iban a cobrar. Volé a casa un sábado y supe que algo iba mal cuando, mientras caminaba desde el aeropuerto hasta mi coche, tuve que detenerme para descansar. Cuando llegué a casa, se lo conté a mi mujer y ella insistió en que fuera al hospital de inmediato. Los médicos confirmaron que se trataba de un infarto.
¿Qué le enseñó esa experiencia?
Eso me ayudó a ver las cosas con perspectiva. Se da cuenta de que el trabajo no es tan importante como su salud. El cargo de CISO conlleva mucho estrés. A la mayoría de nosotros nos motiva. Simplemente no sabemos cuál es ese punto de ruptura. En mi caso, ese día di en el clavo. En ese momento, llegué al límite de mi capacidad para soportar el estrés.
Cuando la situación volvió a la normalidad, en cierta medida, me ayudó a ponerlo en perspectiva. Me ayudó preguntarme: «¿Cuál sería el peor de los casos?» En mi caso, me di cuenta de que los cargos no eran de carácter penal. Así pues, no iba a ir a la cárcel. En el peor de los casos, se le impondría una multa y se le prohibiría durante cinco años ejercer como directivo o miembro del consejo de administración de una empresa cotizada. Y podrá sobrellevarlo, ¿verdad?
Estaba rodeado de personas maravillosas. Mis abogados fueron muy competentes. Estaban revisando todo minuciosamente. Confiaba en ellos y sabía que superaríamos todo el proceso. Cuando llega a esas conclusiones, sus niveles de estrés disminuyen.
La comunidad de ciberseguridad se quedó consternada al saber que la SEC le había imputado cargos. Algunos consideraban que se le había tratado de forma injusta. A otros les preocupaba que pudieran ser los siguientes, y se planteó abandonar. ¿Qué opina usted?
El apoyo de la comunidad fue increíble. La gente se solidarizó con mi situación y comprendió que los CISO como yo solo intentamos protegerlo todo. Hacemos todo lo que está en nuestra mano. A veces no basta con luchar contra un Estado-nación.
«. La gente se solidarizó con mi situación y comprendió que los CISO como yo solo intentamos protegerlo todo». Hacemos todo lo que podemos.»
Durante los primeros días, semanas o meses de un incidente, se le dicen muy pocas cosas positivas. Además, de repente aparecen amigos de donde menos se lo espera y le dicen: «Lo superará». Simplemente arréglelo y siga adelante. «Limítese a hacer su trabajo». Y ese tipo de apoyo resulta de gran ayuda.
Pero también ocurre lo contrario. Contar lo que ha vivido y ser sincero sobre lo que ha visto ayuda a la comunidad a ser más resistente ante este tipo de ataques. En muchos sentidos, tomamos algo que era teórico y lo convertimos en algo verdaderamente real para todos. Sí, los rusos están ahí fuera. Sí, los rusos de « » están atacando a empresas estadounidenses. Sí, los rusos saben cómo llevar a cabo una buena misión, y otros Estados también. Así es como podría verse, y esto es lo que debe tener en cuenta.
Creo que el hecho de que SolarWinds lo explicara de forma tan clara ayudó a muchas personas de todo el mundo. Por lo tanto, cuanto más se pueda sacar de positivo de un incidente, mayor será el valor que se pueda obtener, y eso hace que todo merezca la pena.
A pesar de todo, sigue siendo el director de seguridad de la información (CISO) de SolarWinds y parece que le encanta el cargo. ¿Por qué merece la pena seguir en ese puesto a pesar de todo lo que ha pasado?
Este trabajo es uno de los que más impacto puede tener. Piense simplemente en lo que supone ser responsable de una empresa y en que, si ocurre algo, la responsabilidad recae sobre usted.
«: «Después de todo lo que he pasado, sigo creyendo que el cargo de CISO es sumamente importante». Debemos ofrecer garantías suficientes para que nuestra próxima generación esté dispuesta a asumir el cargo y aceptar la responsabilidad.»
Cuando se consigue que una empresa alcance el nivel adecuado, cuando se trabaja entre bastidores, haciendo frente a los adversarios y haciendo todo lo posible por mantenerse a la vanguardia, eso tiene su emoción. Tiene su propio ritmo. Nunca resulta aburrido. No viene a hacer lo mismo todos los días.
Sigue siendo uno de los puestos más exigentes y gratificantes que existen. Sí, oirá a otras personas decir que es frustrante. Y, sí, es difícil. Pero en podrá formar equipos excelentes. Y además, tendrá la satisfacción de ver cómo su equipo triunfa. El cargo de CISO ofrece numerosas y excelentes oportunidades, y está en constante evolución.
A pesar de todo lo que he pasado, sigo creyendo que el cargo de CISO es sumamente importante. Debemos ofrecer garantías suficientes para que nuestra próxima generación esté dispuesta a asumir el cargo, aceptar la responsabilidad y cumplir con sus obligaciones. No estamos diciendo que seamos inmunes a las responsabilidades. Y también es importante que la gente comprenda que, cuando asumimos este cargo, asumimos una responsabilidad. Y, a veces, la responsabilidad conlleva también obligaciones.
Lo que debemos hacer es asegurarnos de que la responsabilidad se gestione de forma adecuada.
