Nvidia 的安全團隊面臨高層與 Megaspeed 審查帶來的質疑

目錄

• 你可能會想知道
• 高層人事變動與未解疑問
• 重點見解表
• 後續……

你可能會想知道

• 如果高層的私人關係可能使其遭外國情報機構掌握把柄，企業安全團隊能採取什麼措施？
• 為什麼商業關係和日常對話在企業安全方面，可能與網路攻擊同樣重要？

高層人事變動與未解疑問

Nvidia 長期擔任資安長兼產品安全主管的主管於 8 月卸任時，這則消息起初並未引起外界太多注意。兩個半月後，執行長 Jensen Huang 離開公司，當時外界對他的婚外關係疑問日益增加，這項人事變動也因此有了不同的背景。相關疑問包括據報他與 Megaspeed 一名主管有關係；這家新加坡資料中心公司正因涉嫌試圖將 Nvidia 晶片轉運至中國而接受美國調查。此外，也有報導指出他與兩名 Nvidia 員工分別有婚外情。

目前沒有公開證據將 Nvidia 安全領導層的人事變動與 Megaspeed 調查或 Huang 的關係疑問連結起來。不過，這些情況引發了更廣泛的疑問：Nvidia 的安全團隊知道些什麼？是否有人提出可能風險的疑慮？公司尚未回應相關問題，前任資安長 David Reber 和接任者也都未回覆有關交接的提問。

Reber 擔任資安長 4 年，在 Nvidia 總計任職 7 年。8 月下旬，他在 LinkedIn 上說明自己因健康因素離職。他寫道：「這不是我原本計畫的轉變。但我知道什麼必須擺在第一位：家庭與健康。」他也透露，自己在兩年多前被診斷出罹患年輕型帕金森氏症。現有資訊無法證明他的離職與目前受到審視的事件有任何關聯。

Reber 的接任者 Saša Zdjelar 曾在休士頓的 ExxonMobil 任職 17 年，離職時擔任資深 IT 經理。之後他在 Salesforce 任職 1 年，並在網路安全公司 ReversingLabs 工作數年。Zdjelar 週四未回覆有關交接或安全團隊可能掌握哪些資訊的提問。Nvidia 或其安全主管若未提供進一步資訊，團隊的職責範圍及其對相關事件的掌握程度仍不明朗。

執行長與員工之間的關係問題，通常由人力資源、法務部門和公司董事會處理，而非企業安全部門。然而，安全專家指出，如果私人關係使一名希望隱瞞關係的高層遭人掌握把柄，這種關係就可能演變成安全疑慮。這項一般性風險並不能證明任何特定人士遭到脅迫，也不能證明外國政府在此案中利用了這種把柄。

Megaspeed 的關聯則帶來另一個問題。據報 Huang 與一家正接受聯邦調查的公司主管有關係，這不只是內部職場問題。Megaspeed 否認有不當行為，而調查存在本身並不能證明該公司或其主管行事不當。即便如此，若商業關係牽涉一家受到政府審查的公司，企業風險、法務和安全團隊仍可能需要視具體事實及職責範圍加以關注。

要找出這類風險並不容易。退休的資深情報官員 Nicholas Eftimiades 表示，他曾訓練超過 1,000 名企業安全專業人員。他指出，情報機構往往透過日常對話蒐集資訊，而非採取技術入侵。隨意互動、可信任的聯絡人和社交場合，都可能洩露傳統網路安全計畫無法偵測的資訊。因此，即使資訊正在員工或商業夥伴之間流傳，安全團隊也可能看不出明確警訊。

Nvidia 內部似乎有人知道部分情況。《紐約時報》本週稍早報導，Nvidia 的最高階法務主管在一年多前就已參與政府對 Megaspeed 的調查。Nvidia 表示公司會定期聯繫官員。此外，關於 Huang 關係的報導顯示，同事也知情。《紐約時報》引述 5 名 Nvidia 員工的說法，指 Huang 與一名直接向他報告的副總裁有關係。路透社隨後引述 2 名知情人士，報導另一段關係。這些報導引發了職場知情程度的疑問，但並未證明相關資訊是否傳達給安全團隊。

Nvidia 的行為準則是否明文禁止據報的行為，也不清楚。這項區別對公司治理和人力資源很重要，但未必能解決安全方面的疑問。即使某段關係沒有違反公司政策，也可能與安全有關，尤其是涉及敏感資訊、重大利益衝突，或可能遭外部人士施壓時。

2020 年出版的《中國間諜行動與策略》（Chinese Espionage Operations and Tactics）一書作者 Eftimiades 強調，安全團隊的資源可能有限。在許多組織中，安全部門被視為成本中心，而非能直接創造營收的部門。他表示，執行長以「合規要求以外，一毛錢都不多給」回應警告，是很常見的事。預算有限，可能限制調查、人力、訓練，以及監控實體防護和資訊科技以外風險的能力。

專家也認為，有些公司對安全的定義過於狹隘。企業調查公司 Interfor International 執行長 Don Aviv 與作家 Jeremy Hurewitz 在《The Hill》的一篇評論文章中寫道：「太多公司仍主要將安全視為保護設施、防範網路攻擊及應對實體威脅。」兩人主張：「安全團隊需要更加關注內部威脅，包括外國情報機構拉攏高層和員工、可疑商業關係、利益衝突，以及透過可信任的私人聯絡人取得敏感資訊的企圖。」

考量 Nvidia 的規模和商業夥伴，如果它的安全職能範圍比許多公司狹窄，或許會令人意外。不過，公司的實際職責、資源及內部通報安排都尚未明朗。廣泛的安全職責有助於串聯各部門資訊，但無法保證每一項潛在風險都會被發現或採取行動。

即使團隊經驗豐富，有些弱點仍難以防範。Eftimiades 以一般情況為例，並非特指 Huang。他描述一名假想的執行長表示，某項決策無法推動，因為「我正在和一個不想這麼做的董事會對抗」。情報機構可能據此判斷誰是阻礙者，接著詢問：「誰是這裡的關鍵阻礙？」並設法取得那個人的電子郵件或手機。這個例子說明，日常商務討論可能透露組織的優先事項和施壓切入點。

對競爭對手的情報機構來說，最有價值的資訊未必只有技術機密。政策情報也可能很重要：誰在倡議修改出口規則、誰反對修改，以及誰能影響決策。Eftimiades 將情報活動的擴散比作疾病，並表示：「情報世界往往像癌症。一旦進入身體，就會試圖擴散並向外延伸。」在此情境中，這個比喻描述的是擴大接觸管道和影響力的企圖，並非聲稱有人對 Nvidia 展開了任何特定行動。

Eftimiades 表示，這些手法並不新鮮，「尤其是對中國而言」。他說，與中國打交道的高層「會告訴你，他們曾被接觸」。他也提到有「大量外交官的故事」，描述美國外交官走進飯店房間，發現床上躺著一名女子。在他看來，與蘇聯時期的間諜活動相比，一項變化是情報機構培養的關係如今可能維持數年，而非數週。重點並不是每一次接觸都是情報行動，而是建立關係可能成為長期蒐集情報策略的一部分。

Eftimiades 表示，科技可以輔助人力情報蒐集。他以 IMSI 偽基站為例，這類裝置會模擬手機基地台，誘使附近手機連上裝置。他說，基本款約需 $1,000，且可裝進手提箱；政府等級的型號則昂貴得多。他還表示，去年有幾起涉及中國間諜活動的案件與這類裝置有關。這些裝置說明一種可能的資訊蒐集手法；提及它們並不代表曾被用來對付 Huang 或 Nvidia。

Eftimiades 表示，目前尚無人知道是否曾使用 IMSI 偽基站對付 Huang。他的手機據推測已強化防護，以便在遭入侵時能偵測到，即使無法阻止也一樣；但這並不能證明攻擊曾經發生，也不能證明當時採用了某項特定安全措施。Nvidia 的安全團隊知道些什麼，以及是否有能力採取行動，仍未有定論。隨著董事會的獨立調查及聯邦調查持續進行，相關情況可能會更加明朗。

看待這些問題時應保持謹慎。據報的關係、Megaspeed 調查、安全領導層交接，以及可能的情報風險，是彼此不同的事項。它們發生的時間點使其成為公眾審視的對象，但時間上的巧合本身並不能證明因果關係。公平評估需要有關哪些資訊可供取得、如何處理，以及哪些團隊負責應對的證據。

重點見解表

後續……

這起事件凸顯出與國家安全和國際政策相關產業中的企業所面臨的更廣泛挑戰：企業安全有時無法與公司治理、法律事務、人力資源及高層決策截然分開。加強協調或許有助於組織評估利益衝突、可疑商業關係、內部人員風險，以及拉攏可信任聯絡人的企圖，同時尊重隱私並避免缺乏根據的結論。

目前，Nvidia 面臨的核心問題仍懸而未決。董事會的獨立調查和聯邦調查或可釐清官員及公司領導人知道什麼、何時得知，以及資訊如何在內部傳遞。在此之前，區分已確認事實、指控和專家評估十分重要。Eftimiades 希望這起事件能成為「一記警鐘」，提醒他所形容對中國手法大多「一無所知」的美國產業。他估計：「我們已損失數兆美元的智慧財產」，並總結道：「我們以為自己正在做的任何事情都不起作用。」他的警告凸顯了組織可能需要重新評估，如何辨識和管理那些不會以明顯技術攻擊形式出現的威脅。