TikTok bandito dal governo Dispositivi; Il settore privato seguirà l'esempio?

Il Texas questa settimana è diventato il quinto stato degli Stati Uniti a vietare l'app TikTok sui dispositivi di proprietà del governo a causa delle preoccupazioni sull'app dei social media che raccoglie dati sensibili dai dispositivi degli utenti e li rende potenzialmente disponibili al governo cinese.

La domanda ora è se le aziende private implementeranno restrizioni simili sull'uso della popolare app di social media sui dispositivi che i dipendenti utilizzano per accedere ai dati e alle applicazioni aziendali.

Rischio inaccettabile

Mercoledì il governatore del Texas Greg Abbott ha dichiarato di aver ordinato a tutte le agenzie statali di vietare immediatamente TikTok su qualsiasi dispositivo emesso dallo stato. Abbott ha affermato di aver concesso a ciascuna agenzia statale fino al 15 febbraio 2023 per implementare le proprie politiche relative all'uso di TikTok sui dispositivi personali appartenenti ai dipendenti, previa approvazione del Dipartimento della pubblica sicurezza del Texas.

"TikTok raccoglie enormi quantità di dati dai dispositivi dei suoi utenti, inclusi quando, dove e come conducono attività su Internet, e offre questo tesoro di informazioni potenzialmente sensibili al governo cinese", ha affermato Abbott, facendo eco alle preoccupazioni che molti altri hanno espresso di recente.

Abbott indicò quello cinese Legge sull'intelligence nazionale del 2017, che obbliga le aziende e gli individui cinesi a prestare assistenza nelle attività di raccolta di informazioni statali, e un recente avvertimento del direttore dell'FBI Christopher Wray in merito L'uso di TikTok nelle operazioni di influenza, come motivazione della sua decisione.

L'ordine di Abbott è arrivato solo un giorno dopo che il governatore del Maryland Larry Hogan ha emesso un direttiva di emergenza vietando l'uso di TikTok e altri prodotti influenzati dalla Cina e dalla Russia su dispositivi forniti dallo stato, citando il rischio "inaccettabile" per la sicurezza informatica che presentavano allo stato.

Il suo ordine si applica a TikTok, Huawei Technologies, ZTE Corp., prodotti Tencent Holdings tra cui WeChat, prodotti Alibaba tra cui AliPay e Kaspersky. La direttiva di Hogan richiede a tutte le agenzie statali del Maryland di rimuovere questi prodotti dalle reti statali entro 14 giorni e di implementare restrizioni basate sulla rete che impediscono l'accesso a questi servizi.

Come Abbott, anche Hogan ha citato l'avvertimento di Wray su TikTok che presenta una minaccia alla sicurezza nazionale nella sua dichiarazione, così come una recente Rapporto NBC News sugli hacker cinesi che rubano milioni di dollari in benefici legati al COVID.

Gli altri tre stati che hanno emesso direttive simili su preoccupazioni simili lo sono Dakota del Sud, Carolina del Sude Nebraska. Inoltre, i dipartimenti della difesa, dello stato e della sicurezza interna degli Stati Uniti hanno tutti vietato TikTok sui dispositivi emessi a livello federale. Questo luglio, i membri del comitato ristretto del Senato sull'intelligence inviato una lettera al presidente della Federal Trade Commission, esortando l'agenzia a indagare su quelle che sosteneva fossero pratiche ingannevoli da parte di TikTok in merito alle sue pratiche sulla privacy dei dati.

Le preoccupazioni aumentano nonostante le rassicurazioni di TikTok

Il numero crescente di divieti sull'uso di TikTok su dispositivi e reti statali e federali incoraggerà sicuramente altri governi statali, agenzie federali e società private a soppesare le implicazioni sulla sicurezza e sulla privacy dell'utilizzo dell'app dei social media.

In un'udienza al Senato all'inizio di quest'anno, Vanessa Pappas, COO di TikTok, ha mantenuto che TikTok non funziona in Cina e l'app non è disponibile lì. Ha descritto la società come incorporata negli Stati Uniti e conforme alle leggi statunitensi. Sebbene TikTok abbia dipendenti con sede in Cina, la società ha un rigoroso controllo degli accessi su quali dati possono accedere a tali dipendenti e dove TikTok memorizza i dati, ha testimoniato Pappas. All'inizio di quest'anno, la società ha anche annunciato di aver lanciato un'iniziativa chiamata Progetto Texas progettato per rafforzare la fiducia nelle salvaguardie che l'azienda ha messo in atto e metterà in atto per proteggere i dati degli utenti statunitensi e gli interessi di sicurezza nazionale. TikTok ora archivia il 100% dei dati degli utenti statunitensi negli Stati Uniti nell'ambiente cloud di Oracle e sta collaborando con Oracle per implementare controlli avanzati di sicurezza dei dati, ha affermato all'epoca il CEO di TikTok Shou Zi Chew.

In un commento inviato via e-mail a Dark Reading, il portavoce di TikTok Jamal Brown ha espresso disappunto per i recenti sviluppi. "Riteniamo che le preoccupazioni alla base di queste decisioni siano in gran parte alimentate dalla disinformazione sulla nostra azienda", afferma Brown. “Siamo felici di continuare ad avere incontri costruttivi con i responsabili politici statali per discutere le nostre pratiche in materia di privacy e sicurezza. Siamo delusi dal fatto che molte agenzie statali, uffici e università non saranno più in grado di utilizzare TikTok per costruire comunità e connettersi con i cittadini".

Nonostante tali assicurazioni, il fatto che un'entità con sede in Cina chiamata ByteDance Ltd possieda TikTok e che il governo cinese possieda almeno una partecipazione parziale in una delle sue filiali continua a essere una delle principali fonti di preoccupazione per molti. Rapporti recenti sugli attori delle minacce che utilizzano la piattaforma per distribuire malware non hanno aiutato le cose.

"La situazione specifica con TikTok che ha sede in Cina ed è soggetto alla legge cinese, che può consentire al Partito Comunista Cinese (PCC) di accedere ai dati degli utenti, sta facendo riflettere molte persone", afferma Mike Parkin, ingegnere tecnico senior presso Vulcan Cyber.

Anche le applicazioni di social media come TikTok possono essere problematiche per le organizzazioni. "Sono immensamente popolari, soprattutto tra le generazioni che sono cresciute con i social media", afferma. È del tutto ragionevole che le organizzazioni limitino le app installate sui dispositivi forniti dall'organizzazione e raccomandino ai propri dipendenti di non installarle su alcun sistema personale che utilizzano per accedere ai sistemi aziendali, afferma Parkin.

Sui dispositivi forniti dalle organizzazioni, un divieto di TikTok sarebbe assolutamente applicabile, afferma. Ma lo stesso non sarebbe vero per i dispositivi di proprietà personale e non gestiti, osserva. "L'organizzazione può stabilire i requisiti, ma farli rispettare diventa molto più impegnativo sia dal punto di vista etico che legale", afferma Parkin.

Patrick Tiquet, vicepresidente della sicurezza e dell'architettura di Keeper Security, afferma che la rapida proliferazione delle politiche BYOD e degli ambienti di lavoro remoti distribuiti ha contribuito a un aumento esponenziale del rischio per gli endpoint e le applicazioni sia per le entità del settore pubblico che per quelle private. "Ciò mette le organizzazioni in una situazione precaria, poiché devono soppesare la convenienza e il risparmio sui costi delle politiche BYOD con il significativo rischio per la sicurezza informatica", afferma Tiquet. "Il divieto di app specifiche può sembrare un approccio semplice e diretto per garantire la sicurezza, ma con una policy BYOD è difficile da applicare".