SolarWinds社を相手取った物議を醸している 訴訟（ ）――先週、激しい法的反発（）に直面した件（ ）――に加え、サイバーセキュリティの透明性向上を求める新たな規制も相まって、米国証券取引委員会（SEC）はCISOコミュニティ全体に不安を広げています。
上場企業のCISO（最高情報セキュリティ責任者）の中には、その衝撃のあまり、この職を辞めることさえ考えている方もいらっしゃいます。 その場に留まっている人々は、専門家の助言に従い、身を守るための対策を講じています。
SECによる監視の強化は、昨年7月に始まりました。当時、多くの人が 過度に強硬な 措置だと見なした中、同規制当局は新規則 を承認し、上場企業に対し、リスク管理の方法を毎年詳細に報告することを義務付けました。
先月から施行されたこの規則では、企業に対し以下のことが求められています：
- サイバーセキュリティインシデントが「重要」である場合、つまり株主価値に影響を及ぼす可能性がある場合は、その事実を知ってから4日以内に開示しなければなりません。 開示は8-Kフォームを通じて行われることになります。
- 年次10-K報告書において、重要なサイバーセキュリティリスクを管理するためのプロセスについて開示しています。
- これらの提出書類において、各社の取締役会が どの程度の頻度でリスクへの対応や軽減に取り組んでいるか、またそのための知識や経験について詳細に明記してください。
これらの規則の制定は、10月にSECがSolarWinds社および同社のCISOであるティモシー・ブラウン氏に対し、同社のセキュリティ体制について投資家を誤解させたとされるほか、 で発生した壊滅的な「Sunburst」サイバー攻撃 に至るまで、基本的なセキュリティ対策を講じなかったとして告発した直後に実施されました。この攻撃は2018 年から2020年の間に発生しました。 この攻撃は、 30,000 を超える公的・民間組織のサプライチェーン に影響を及ぼしました。
SolarWinds社はこれらの申し立てを否定し、 1月26日に基づき、本件の却下を求める 動議（ ）を提出しました。 同社は、SECが手に負えない事態に直面していたと主張し、この告発を「荒唐無稽」であり、「前例のないほど根拠のないもの」だと述べています。 その申し立てではさらに、SECがブラウン氏を標的にしたことは「不当」かつ「不可解」であると述べ、同氏が投資家を欺こうとしたことを「少しでも示唆する」証拠は一切ないことを指摘しました。 CISOたち自身も、 同業のセキュリティ責任者の訴訟や責任の所在について、 さまざまな見解を示しています。
今回の告発は、SECが特定のCISOを標的にしたり、大規模な情報漏洩に関連する行為についてCISOに個人的な責任を問ったりしたのは、これが初めてのこととなります。 (Uber’s security chief, Joe Sullivan, was sentenced to three years probation after being convicted of obstructing a Federal Trade Commission investigation into a breach that exposed the data of 57 million customers and drivers in 2016).
皮肉なことに、SECは、SolarWindsがネットワークのセキュリティ強化に十分な措置を講じていなかったとして追及している一方で、 1月初旬、ITスタッフが 多要素認証 の保護機能を無効にしたと報じられた後、SEC自身がハッキング被害に遭いました 。
「明らかに、タイミングは理想的ではありませんでした」と、マクドナルドの元CISOであるショーン・マリオン氏は述べています。 「こういうことは誰にでも起こり得るということですね。」 「大規模なセキュリティプログラムの管理は複雑です。」
CISOたちはプレッシャーを感じています
マリオン氏によると、同業のCISOの多くは、株主に対する透明性を高めるというSECの取り組みには「実際には賛同している」ものの、その手法には強く反対しており、その結果、特に上場企業に勤めるCISOの中には、サイバーセキュリティのキャリアを見直したり、あるいはその道を諦めたりする者さえ出ているとのことです。 しかも、これは有能なCISOがすでに 見つけるのが難しいという状況下でのことです。
「自分とは無関係に、他人が下した決定のせいで、私が個人的に責任を問われる可能性があるなんて……いやあ、そんな仕事をするつもりでこの仕事に就いたわけじゃないんです。」ショーン・マリオン氏（マクドナルド元CISO）
セキュリティインシデントについて個人的に責任を問われるリスクは、特に懸念されることだと彼は述べています。というのも、セキュリティ対策の実施や情報発信に関与しているのはCISOだけではないからです。 組織全体の従業員は、CISOが決して目にすることも耳にすることもないような、セキュリティ態勢に影響を与える決定を頻繁に行っている、と彼は述べています。
しかし、 に掲載されているような最高経営陣（C-suite）の幹部たち とは異なり、多くのCISOは実際には役員とは見なされていない、と彼は指摘しています。 ハイドリック・アンド・ストラグルズが実施した「CISO 」調査（）によると、米国のCISOの約3人に1人（34％）が、役員賠償責任保険（D&O保険）の補償を受けていないとのことです。
「このことで、自分の仕事について考え直さざるを得なくなりました」とマリオンは認めます。 「私は物作りが好きだったからこそ、この職業に就きました。」 セキュリティの限界をどこまで押し広げられるか、それを確かめるのが大好きでした。 私はいつも正しいことをしようとしていました。 「でも、自分とは無関係に他人が下した決定のせいで、自分が個人的に責任を問われる可能性があるなんて……いやあ、そんな仕事をするつもりでこの仕事に就いたわけじゃないんです。」
SECを――完全に――責めないでください
では、この業界に留まることを考えているCISOは、SECの申し立てを受けてどのように対応すべきでしょうか？ その答えは、その本質を理解することにあるのです。
「CISOは、ハッカーを惑わすために自社のサイバーセキュリティ方針や実践を完全に隠蔽することは、もはやできなくなるでしょう。」
専門家によると、これらの告発は、本質的に、ある政府機関が特定の企業や個人を標的にしているという枠組みを超えて、より広い視点から捉えるべきだとのことです。 むしろ、CISOはこれを、サイバーセキュリティの透明性をさらに求める規制当局からの、今後数多く続く可能性のある同様の動きの第一弾と捉えるべきだと、彼らは主張しています。 SECであれ、FCCであれ、DHSであれ、CFPBであれ、あるいはその他の3文字や4文字の頭文字からなる政府機関であれ、それは問題ではないはずです。今後、これらはすべて、現在進行中の 政府による取り締まりにおいて、互換性のある名称となるだろう、と彼らは述べています。
「これが再び起こらなければ、むしろ驚きです」と、IDCのサイバーセキュリティアナリスト、フランク・ディクソン氏は述べています。 「もし米国で起きなかったとしても、 ヨーロッパ ではほぼ間違いなく再び起こるでしょう。」
[関連記事：CISOがバーンアウトと闘い、キャリアを長く続ける方法]
同氏によれば、重要なポイントは、CISOがもはや、ハッカーを惑わすために自社のサイバーセキュリティ方針や実践を完全に隠し通すことはできなくなる、という点にあるとのことです。 今後もさらなる情報開示が求められることになり、CISOはそれを受け入れざるを得なくなるでしょう。
コミュニケーションの一貫性を心がけましょう
同様に、専門家によると、CISOは、組織のセキュリティ態勢について、内部ではある事実を提示しておきながら、外部に対しては異なる声明を発表するようなことは許されないとのことです。 SECの提訴における核心的な主張は、SolarWinds社とブラウン氏が、SolarWinds社のサイバーセキュリティ対策における具体的な不備や、同社が直面していたリスクの高まりを認識しており、かつ内部のやり取りの中でその事実を認めていたというものです。 しかし、外部の調査機関である は、に対し、虚偽の記載や情報の省略、さらには「不十分なサイバーセキュリティ対策」や高まるリスクを隠蔽するための策略を通じて、「虚偽の印象」を与えたと主張しています。
ディクソン氏によると、 内部および外部のコミュニケーションへの重視が高まったこと は、CISOのコミュニケーションに「萎縮効果」をもたらす可能性があるとのことです。
「この5年間で、CISOの役割は根本的に変化しました」と彼は述べています。 「CISOはもはや単なるセキュリティ実務者ではなく、経営陣や顧客に対して積極的に助言を行う、企業のセキュリティアーキテクトとして見なされています。」 「発言や文章のすべてにおいて事実と合致していなければ、誤解を招いていると主張する人々や機関に遭遇する恐れがあり、それはほとんどのCISOにとって最も避けたい事態です。」
[関連記事：CISOがサイバーリスクをCEOに実際に伝わるよう話す方法]
ディクソン氏は、CISOが引き続きコミュニケーションを図ることを推奨していますが、サイバーセキュリティの優先事項や取り組みについて話す際には、より慎重かつ周到に配慮すべきだと述べています。 潜在的な法的リスクを未然に防ぐため、ディクソン氏は、CISOは関連する社内外へのコミュニケーションについても、社内の法務担当者に確認すべきだと付け加えています。
ひたすらメモを取りましょう
一方で、多くの企業内弁護士はそうすべきではないと助言するでしょうが、セキュリティの専門家たちは、CISOが経営幹部との重要な会話、特にサイバーセキュリティ上の問題について警告したり、その対策として措置を推奨したりした会話については、詳細な記録を残しておくことを推奨しています。
「もっと多くのことを書き留め、すべてを帳簿に記録するようにしてください。」アンドルー・ジャキース氏（コヴィントン・アンド・バーリング元CISO）
「もっと多くのことを書き留め、すべてを台帳に記録するようにしてください」と、コヴィントン・アンド・バーリング法律事務所の元CISOであるアンドルー・ジャキース氏はアドバイスしています。 「万が一、サイバーセキュリティインシデントが再調査されるようなことがあれば、根本的な問題を解決するために最善を尽くしたことを示し、経営陣とそれについて協議を行ったことを証明できるようにしておく必要があります。」 「書類の記録を残しておきましょう。」
マリオン氏はこれに同意していますが、さらに強力な防衛策を提唱しています。
「私は、自分自身を守るために、自分が下した決定の内容、その理由、反対意見があった時期や誰からだったかといった記録を確実に残しています。なぜなら、自分自身を擁護しなければならないからです」と彼は言います。 「私は、法務担当者と協議の上、サイバーセキュリティインシデントについては、報告すべきものを報告し損ねるような事態を避けるため、あえて過剰なほど報告するようにいたします。」 また、社内のリスクに関しては、経営陣への報告の仕方をこれまで以上に積極的に行っていくつもりです。 今後、このリスクを認識し、その管理に取り組んでいるのは、 私一人だけという状況はなくなります。 「そのリスクを他の人たちと分かち合おうと思います。」
D&O保険の加入を求めます
セキュリティの専門家たちはまた、CISOたちが声を上げ、SolarWinds社やブラウン氏に対するSECの措置を根拠に、自社がようやく彼らに役員賠償責任保険（D&O）および過誤・不作為保険（E&O）を提供するよう求めるべき時が来たと述べています。もっとも、真の役員とみなされるCISOはほとんどいないとはいえ、です。 少なくとも、CISOの職に就く前の給与交渉の一環として、この手続きが行われるべきです。 しかし、専門家によると、CISOは採用された後でも、こうした条件について交渉することは可能だそうです。
そのような補償は費用がかかるため、簡単ではないかもしれません。 実際、中小企業向けのサイバー保険を専門とするCysurance社のCEO、カーステン・ベイ氏によると、こうした保険の保険料は、小規模な組織の場合、年間35,000 ドルから60,000 ドルの範囲ですが、中堅・大企業になるとさらに高額になるそうです。 その料金では、通常、数名の役員までが補償の対象となります。 しかし、企業は少し交渉すれば、CISOのような他の役員を追加する方法をしばしば見つけられると、彼女は述べています。
[関連記事：サイバー保険の担当者と良好な関係を築き、そのツールや専門知識を活用しましょう。そうすれば、保険金請求が却下されるのを防げるかもしれません]
ベイ氏は、セキュリティインシデントに対する個人の責任が重くなるにつれて、保険会社がサイバーセキュリティ保険、D&O保険、E&O保険を組み合わせたパッケージ商品を提供し始め、それをCISOにも適用するようになる可能性があると見ています。これは、従来の保険会社が住宅保険、生命保険、自動車保険をセットで販売しているのと同様の仕組みです。
「これらを結びつけるのは理にかなっています。なぜなら、 のサイバー保険 の契約には、D&O（役員・取締役賠償責任保険）やE&O（専門職賠償責任保険）が含まれていないことを、誰もが認識しているわけではないからです」と彼女は述べています。
結局のところ、マリオン氏のような専門家たちは、SECの措置が、責任の追及や処罰というよりも、業界全体の報告プロセスを改善するための出発点となることを望んでいると述べています。
「関係する政策立案者数名、SEC、そしてCISOのコンソーシアムと一堂に会することができれば、リスク報告やCISO自身に対する期待に関する枠組みの策定に着手できるでしょう」と彼は述べています。 「そうすれば、曖昧さを解消し、明確さを築き始めることができるでしょう。」 「それは、誰にとってもウィンウィンの関係になるでしょう。」
詳細はこちら
当社の「サクセスストーリー」シリーズで、CISOやその他のセキュリティリーダーたちへの独占インタビューをぜひご覧ください。
