TikTok zbanowany przez rząd Urządzenia; Czy sektor prywatny pójdzie w ich ślady?

Teksas w tym tygodniu stał się piątym stanem USA, który zakazał aplikacji TikTok na urządzeniach należących do rządu w związku z obawami dotyczącymi zbierania przez aplikację społecznościową wrażliwych danych z urządzeń użytkowników i potencjalnego udostępniania ich chińskiemu rządowi.

Pytanie brzmi teraz, czy prywatne firmy wprowadzą podobne ograniczenia w korzystaniu z popularnej aplikacji społecznościowej na urządzeniach, których pracownicy używają do uzyskiwania dostępu do danych i aplikacji firmowych.

Niedopuszczalne ryzyko

Gubernator Teksasu Greg Abbott powiedział w środę, że nakazał wszystkim agencjom stanowym natychmiastowe zakazanie TikTok na wszelkich urządzeniach wydanych przez stan. Abbott powiedział również, że dał każdej agencji stanowej czas do 15 lutego 2023 r. na wdrożenie własnych zasad dotyczących korzystania z TikTok na urządzeniach osobistych należących do pracowników – pod warunkiem zatwierdzenia przez Departament Bezpieczeństwa Publicznego Teksasu.

"TikTok zbiera ogromne ilości danych z urządzeń swoich użytkowników – w tym kiedy, gdzie i jak prowadzą działalność internetową – i oferuje ten zbiór potencjalnie wrażliwych informacji chińskiemu rządowi” – ​​powiedział Abbott, powtarzając obawy wyrażone ostatnio przez wielu innych.

Abbott wskazał na chiński Krajowa ustawa wywiadowcza z 2017 r, który zobowiązuje chińskie firmy i osoby fizyczne do pomocy w państwowych działaniach wywiadowczych, oraz niedawne ostrzeżenie dyrektora FBI Christophera Wraya o Wykorzystanie TikToka w operacjach wywierania wpływujako uzasadnienie swojej decyzji.

Rozkaz Abbotta przyszedł zaledwie jeden dzień po tym, jak gubernator Maryland, Larry Hogan, wydał zarządzenie dyrektywa awaryjna zabraniając używania TikTok i innych chińskich i rosyjskich produktów na urządzeniach państwowych, powołując się na „niedopuszczalne” ryzyko cybernetyczne, jakie stwarzają dla państwa.

Jego zamówienie dotyczy produktów TikTok, Huawei Technologies, ZTE Corp., Tencent Holdings, w tym WeChat, produktów Alibaba, w tym AliPay i Kaspersky. Dyrektywa Hogana wymaga od wszystkich agencji stanu Maryland usunięcia tych produktów z sieci stanowych w ciągu 14 dni i wprowadzenia ograniczeń sieciowych uniemożliwiających dostęp do tych usług.

Podobnie jak Abbott, Hogan również zacytował ostrzeżenie Wraya o tym, że TikTok przedstawił w swoim oświadczeniu zagrożenie dla bezpieczeństwa narodowego, a także o niedawnym Raport NBC News o chińskich hakerach kradnących miliony dolarów świadczeń związanych z COVID.

Trzy inne stany, które wydały podobne dyrektywy w podobnych kwestiach, są Południowa Dakota, Karolina Południowa, Nebraska. Ponadto Departamenty Obrony, Stanu i Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych zakazały TikTok na urządzeniach wydanych przez władze federalne. W lipcu tego roku członkowie senackiej komisji ds. wywiadu wysłał list do przewodniczącego Federalnej Komisji Handlu, wzywając agencję do zbadania tego, co według niej było oszukańczymi praktykami TikTok w odniesieniu do praktyk w zakresie prywatności danych.

Obawy rosną pomimo zapewnień TikToka

Rosnąca liczba zakazów korzystania z TikTok na urządzeniach i sieciach stanowych i federalnych z pewnością zachęci inne rządy stanowe, agencje federalne i firmy prywatne do rozważenia konsekwencji korzystania z aplikacji społecznościowej w zakresie bezpieczeństwa i prywatności.

Na posiedzeniu Senatu na początku tego roku TikTok COO Vanessa Pappas utrzymana że TikTok nie działa w Chinach i aplikacja nie jest tam dostępna. Opisała firmę jako zarejestrowaną w USA i zgodną z amerykańskim prawem. Chociaż TikTok ma pracowników w Chinach, firma ma ścisłą kontrolę dostępu do danych, do których ci pracownicy mają dostęp i gdzie TikTok przechowuje dane, zeznał Pappas. Na początku tego roku firma ogłosiła również, że uruchomiła inicjatywę o nazwie Projekt Teksas mający na celu zwiększenie zaufania do zabezpieczeń, które firma wprowadziła i wprowadzi w celu ochrony danych użytkowników w USA i interesów bezpieczeństwa narodowego. TikTok przechowuje teraz 100% danych użytkowników z USA w środowisku chmurowym Oracle i współpracuje z Oracle nad wdrożeniem zaawansowanych kontroli bezpieczeństwa danych, powiedział wówczas dyrektor generalny TikTok, Shou Zi Chew.

W komentarzu wysłanym e-mailem do Dark Reading rzecznik TikTok, Jamal Brown, wyraził rozczarowanie ostatnimi wydarzeniami. „Uważamy, że obawy związane z tymi decyzjami są w dużej mierze podsycane przez dezinformację o naszej firmie” — mówi Brown. „Cieszymy się, że możemy nadal organizować konstruktywne spotkania z decydentami stanowymi w celu omówienia naszych praktyk w zakresie prywatności i bezpieczeństwa. Jesteśmy rozczarowani, że wiele agencji państwowych, urzędów i uniwersytetów nie będzie już mogło używać TikTok do budowania społeczności i łączenia się z wyborcami”.

Pomimo takich zapewnień, fakt, że podmiot z siedzibą w Chinach o nazwie ByteDance Ltd jest właścicielem TikTok i że chiński rząd posiada przynajmniej częściowy udział w jednej z jego spółek zależnych, nadal jest głównym źródłem niepokoju dla wielu. Najnowsze doniesienia o cyberprzestępcach korzystających z platformy do dystrybucji złośliwego oprogramowania sprawy nie pomogły.

„Konkretna sytuacja, w której TikTok ma siedzibę w Chinach i podlega chińskiemu prawu, które może zapewnić Komunistycznej Partii Chin (KPCh) dostęp do danych użytkowników, powoduje, że wiele osób się zastanawia” – mówi Mike Parkin, starszy inżynier techniczny w Vulcan Cyber.

Aplikacje społecznościowe, takie jak TikTok, mogą być również problematyczne dla organizacji. „Są niezwykle popularne, zwłaszcza wśród pokoleń, które dorastały z mediami społecznościowymi” – mówi. Parkin mówi, że organizacje ograniczają to, jakie aplikacje są instalowane na urządzeniach dostarczonych przez organizację i zalecają swoim pracownikom, aby nie instalowali ich na żadnych systemach osobistych, których używają do uzyskiwania dostępu do systemów korporacyjnych.

Mówi, że na urządzeniach dostarczonych przez organizacje zakaz TikTok byłby całkowicie wykonalny. Ale to samo nie dotyczyłoby osobiście posiadanych i niezarządzanych urządzeń, zauważa. „Organizacja może określić wymagania, ale ich egzekwowanie staje się znacznie trudniejszym wyzwaniem zarówno pod względem etycznym, jak i prawnym” — mówi Parkin.

Patrick Tiquet, wiceprezes ds. bezpieczeństwa i architektury w Keeper Security, mówi, że szybkie rozprzestrzenianie się zasad BYOD i rozproszonych środowisk pracy zdalnej przyczyniło się do wykładniczego wzrostu ryzyka dla punktów końcowych i aplikacji zarówno dla podmiotów z sektora publicznego, jak i prywatnego. „Stawia to organizacje w niepewnej sytuacji, ponieważ muszą one rozważyć wygodę i oszczędność kosztów polityki BYOD ze znacznym ryzykiem cyberbezpieczeństwa” — mówi Tiquet. „Blokowanie określonych aplikacji może wydawać się prostym i prostym podejściem do zapewnienia bezpieczeństwa, ale przy zasadach BYOD jest trudne do wyegzekwowania”.