Kaspersky diz que o Tio Sam rejeitou a proposta de abrir seu código para revisão de terceiros

Exclusivo Apesar da determinação do governo federal de banir o software de segurança da Kaspersky nos EUA, a empresa russa está avançando com outra proposta para abrir seus dados e produtos para revisão de terceiros – e provar ao Tio Sam que seu código não foi comprometido por espiões do Kremlin.

Kaspersky começou conversando sobre esta nova “estrutura de avaliação abrangente” para verificar seus produtos de segurança, atualizações de software e regras de detecção de ameaças há uma semana e forneceu detalhes adicionais exclusivamente para O registro sobre o sistema de verificação que apresentou ao Departamento de Comércio dos EUA.

O Tio Sam, diz Kaspersky, rejeitou a proposta do provedor de antivírus. O Departamento de Comércio não respondeu a O registroperguntas sobre o assunto.

O plano, que a empresa diz se basear em seu plano anterior Iniciativa de Transparência Global“pode ​​abordar a maioria dos riscos da cadeia de suprimentos de TIC relacionados ao desenvolvimento e distribuição de produtos de forma eficaz e verificável”, de acordo com o homônimo e CEO da empresa, Eugene Kaspersky, em uma postagem de blog compartilhada com O registro.

“Estas são, de fato, as medidas de mitigação que submetemos em uma proposta para discussão ao Departamento de Comércio dos EUA – mais uma vez confirmando nossa abertura ao diálogo e determinação em fornecer o nível máximo de garantias de segurança”, continuou Kaspersky. “No entanto, nossa proposta foi simplesmente ignorada.”

É a mais recente salva do fabricante russo de antivírus em dificuldades desde que o Departamento de Comércio tomou a decisão de proibir Produtos Kaspersky no mês passado.

Esta é uma estrada que Washington vem percorrendo há anos. A Iniciativa de Transparência Global de 2017, que abriu o código-fonte da empresa de segurança para revisão por terceiros, foi em resposta a uma banimento da tecnologia Kaspersky em sistemas do governo dos EUA.

Quando questionada sobre quais evidências as agências americanas apresentaram à empresa russa para apoiar suas alegações de que os produtos representam um risco à segurança nacional, a vice-presidente de Relações Públicas da Kaspersky, Yuliya Shlychkova, disse: “Não há evidências de irregularidades”.

“Vemos tendências de protecionismo digital”, disse ela O registro em uma entrevista exclusiva. “Nós vemos tendências de software ‘Made in’, o que não é necessariamente o melhor porque nem todos os países têm bons antivírus nacionais [tools].”

“Portanto, continuamos a defender uma abordagem técnica e baseada em evidências para avaliar a confiabilidade” de produtos de segurança cibernética, continuou Shlychkova. “E temos compartilhado esses princípios, essa estrutura com diferentes reguladores”, mais recentemente aqueles do Departamento de Comércio, acrescentou Shlychkova.

Essa nova estrutura inclui três “pilares”, o primeiro dos quais envolve a localização do processamento de dados.

“Localize-o nos EUA e também garanta que haja uma política de acesso rigorosa, de modo que ninguém possa acessar esses dados de outros países. Nem mesmo funcionários da Kaspersky de outros países podem acessar esses dados”, disse Shlychkova.

Mais amplamente, esta etapa visa garantir que os dados locais sejam armazenados e processados ​​em um ambiente físico em uma região específica – por exemplo, os EUA. E então qualquer pessoa de outro país ou região considerada inapropriada – digamos, na Rússia – não pode acessar os dados ou a infraestrutura usada para processá-los e armazená-los.

A Kaspersky diz que já faz isso com seu serviço de detecção e resposta gerenciada (MDR) na Arábia Saudita e no Brasil. De acordo com Shlychkova, a empresa sugeriu processos semelhantes nos EUA em sua resposta ao Departamento de Comércio.

Um terceiro independente, selecionado e reportando aos reguladores locais, verificaria então se essas medidas foram implementadas, sugeriu a empresa.

O processamento de dados localizado também requer análise de ameaças locais e assinaturas de detecção de malware, ambas as quais a empresa diz que sua tecnologia pode fornecer. Também requer mais equipes regionais de P&D e TI, além de datacenters locais, infraestrutura, software e similares em países que escolhem esse método.

Considerando que o governo federal interrompeu as vendas de novos contratos da Kaspersky em 20 de julho e estabeleceu o prazo de 29 de setembro para interromper as atualizações para clientes existentes, é improvável que o Tio Sam mude de ideia no futuro próximo.

Ao mesmo tempo que se compromete a continuar a procurar opções legais, a empresa começou fechamento suas operações americanas e eliminando empregos baseados nos EUA.

O segundo pilar — a revisão dos dados recebidos — também estaria sujeito à validação por este revisor aprovado pelo regulador para garantir, em tempo real, que os dados ingeridos pelos produtos Kaspersky não estejam transferindo nenhuma informação pessoalmente identificável ou outros dados protegidos para a empresa (ou para o Kremlin) e garantir que todos esses dados estejam sendo usados ​​para a finalidade pretendida e legal.

“É importante que seja um fluxo bidirecional”, disse Shlychkova. “Um caminho é quais dados estão sendo enviados para as soluções Kaspersky, e outro fluxo é quais dados estão sendo empurrados das soluções Kaspersky para os usuários, e ambos os fluxos estão sendo verificados pelos revisores terceirizados.”

Para isso, o terceiro pilar envolve o revisor independente verificando as atualizações do banco de dados de ameaças da Kaspersky e o desenvolvimento do código de software relacionado ao produto para garantir que essas atualizações e dados enviados às máquinas dos usuários não representem riscos, relacionados à segurança nacional ou não.

“E esse terceiro pilar é a medida tecnicamente mais avançada e realmente sem precedentes porque estamos processando mais de 400.000 arquivos por dia”, afirmou Shlychkova.

Implementar esta estrutura é “um longo processo” devido aos diferentes ambientes regulatórios em vários países, e exigirá advocacia e investimento significativos”, ela disse. “Definitivamente precisa haver uma bênção formal dos reguladores para configurar todo este sistema – estamos apenas no início deste processo.” ®