En août, le directeur de la sécurité de Nvidia, David Reber, a annoncé son départ pour des raisons de santé, évoquant un diagnostic de Parkinson précoce. Deux mois et demi plus tard, le PDG Jensen Huang a quitté la société, au cœur d’un scandale mêlant relations extraconjugales et soupçons d’espionnage industriel liés à la société Singapourienne Megaspeed.
Départ du CSO et arrivée du nouveau responsable
David Reber, qui avait passé quatre ans à la tête de la sécurité et sept ans chez Nvidia, a indiqué que sa priorité était la famille et la santé. Son successeur, Saša Zdjelar, provient d’un parcours atypique : 17 ans chez ExxonMobil, une courte expérience chez Salesforce et plusieurs années chez ReversingLabs, une société de cybersécurité. Zdjelar n’a pas commenté la transition ni les investigations en cours.
Aucun lien public n’a été établi entre les changements de direction de la sécurité et l’affaire Megaspeed, mais la coïncidence des dates soulève des questions sur la connaissance du dispositif de sécurité concernant les enquêtes fédérales et les relations du PDG.
Enjeux de sécurité liés aux relations du PDG
Les relations de Jensen Huang avec des employés, dont une vice‑présidente qui lui rendait compte directement, ont été signalées par plusieurs salariés. Bien que le code de conduite de Nvidia ne prohibe pas explicitement ces comportements, les affaires de haut niveau peuvent créer des vulnérabilités exploitées par les services de renseignement étrangers.
Selon Nicholas Eftimiades, ancien officier du renseignement, les services d’espionnage privilégient les conversations quotidiennes aux attaques techniques, rendant la détection de ces risques particulièrement difficile pour les équipes de sécurité. Il souligne que les menaces internes, comme les liaisons amoureuses, sont souvent sous‑estimées.
Le cabinet juridique de Nvidia était déjà en contact avec les autorités américaines concernant Megaspeed depuis plus d’un an, ce qui indique que le sujet était connu en interne, même si la portée exacte de l’information au sein de la sécurité reste floue.
Limites et défis des équipes de sécurité d’entreprise
Les équipes de sécurité sont fréquemment sous‑financées, car elles ne génèrent pas de revenu direct. Eftimiades rappelle que les dirigeants répondent souvent aux alertes de sécurité avec un simple « pas plus que la conformité ». Cette sous‑allocation de ressources limite la capacité à surveiller les menaces internes complexes.
De plus, de nombreuses entreprises définissent la sécurité de façon trop restreinte, se concentrant sur la protection physique, les cyber‑attaques et les réponses aux incidents, au détriment de la surveillance des menaces liées aux relations personnelles et aux conflits d’intérêts. Don Aviv et Jeremy Hurewitz, dans un article d’opinion, insistent sur la nécessité d’élargir le périmètre de la sécurité aux menaces d’insider, aux relations suspectes et aux tentatives d’obtention d’informations sensibles via des contacts de confiance.
Les contraintes budgétaires et organisationnelles signifient que même lorsqu’une alerte est levée, le conseil d’administration ou la direction peuvent bloquer les actions nécessaires, créant ainsi un point d’entrée exploitable pour les services de renseignement étrangers.
Perspectives et enquêtes en cours
Le futur de l’enquête indépendante du conseil d’administration et des investigations fédérales déterminera dans quelle mesure l’équipe de sécurité a été informée et a pu agir. Eftimiades espère que ce scandale servira d’avertissement aux entreprises américaines, qui restent largement « dans le noir » face aux tactiques chinoises d’espionnage.
Il estime que les pertes en propriété intellectuelle ont déjà atteint des billions de dollars, et que les mesures actuelles sont insuffisantes. Les technologies comme les IMSI catchers, capables d’intercepter les communications mobiles, illustrent la sophistication croissante des outils de collecte d’informations, même si leur utilisation contre Huang reste non confirmée.
En attendant les conclusions officielles, les spécialistes recommandent aux entreprises de renforcer la formation des cadres sur les risques liés aux relations personnelles, d’allouer davantage de ressources aux équipes de sécurité et d’adopter une vision plus globale de la protection des actifs, incluant les menaces humaines et politiques.
Le cas Nvidia met en lumière la tension entre la culture d’entreprise, les exigences de conformité et les réalités géopolitiques, rappelant que la sécurité ne peut plus se cantonner aux pare‑feux et aux caméras, mais doit intégrer la dimension humaine et les dynamiques de pouvoir au sein même de la direction.