Twitterが 2020年11月の新たなセキュリティ責任者としてPeiter “Mudge” Zatko氏を採用した際、彼を自らスカウトした当時のCEO、ジャック・ドーシー氏から温かく迎え入れられました。
伝説的なハッカー集団「 L0pht 」のメンバーとして、 （1990s）に所属していたマッジは、倫理的（「ホワイトハット」）ハッキングや、脆弱性の責任ある開示という概念の確立に貢献しました。 彼はTwitterに入社する前、国防高等研究計画局（DARPA）とGoogleで働いていました。
4か月前に発生した への壊滅的なハッキング事件（ ）により、攻撃者がバラク・オバマ元大統領やテスラのCEOであるイーロン・マスク氏らをはじめとするアカウントを乗っ取ることができたことを受け、同社は信頼を回復するために、マッジ氏のような圧倒的な名声を持つ人物を必要としていました。 しかし、それから2年も経たないうちに、現在は元セキュリティ責任者となった人物が、Twitterの経営陣が彼の度重なる警告を無視したとされることを受け、同社の「著しく怠慢な" セキュリティ対策」について、議会で証言を行いました。
マッジが気づいたように、セキュリティの救世主から内部告発者へと至る道のりは、滑りやすく険しいものです。 著名な経営幹部が、未解決のセキュリティ上の脆弱性について公に発言することは、極めて稀です。 しかし、連邦政府のサイバーセキュリティ報告規則がまもなく施行されることから、この状況は近いうちに変わるかもしれません。
内部告発の波が押し寄せています
2022年3月において、「 重要インフラにおけるサイバーインシデント報告法（CIRCIA）」 が成立しました。 最終規則が施行されると、同法に基づき、 に指定された重要インフラ および に指定された企業のサイバーセキュリティ専門家は、インシデントや ランサムウェア への支払いを連邦当局に速やかに報告することが義務付けられます。
「時には、バッジをテーブルの上に置いて、『私の当直中にこんなことはさせない』と言ったこともあります。」エピファニー・システムズの最高セキュリティ・トラスト責任者、マルコム・ハーキンス氏
の法律専門家によると、同法は、サイバーセキュリティ侵害がサイバーセキュリティ・インフラセキュリティ庁（CISA）に適時に報告されなかった事実を知っている内部告発者に対し、「虚偽請求防止法」に基づく訴訟を通じて侵害を報告する機会を創出するものです。
また、SECは において、上場企業に対し、「重大なサイバーセキュリティインシデント」が発生してから4日以内に開示することを義務付ける新たな規則案を 公表しており、すでに、この規則を遵守していない組織を通報した従業員に対して、多額の報奨金を支給する制度を設けています。 これらの新たな要件により、内部告発者としての地位を申告する従業員の数は、 増加すると予想されています。。
必ずしもそうである必要はありません。 透明性と責任の共有という文化を取り入れることで、組織は内部告発につながる状況を減らすことができると同時に、リスク管理もより効果的に行うことができます。
CISOたちは板挟みの状況に置かれています
エピファニー・システムズの最高セキュリティ・トラスト責任者であり、インテル社の元最高セキュリティ・プライバシー責任者であるマルコム・ハーキンス氏は、深刻なサイバーリスクに関する情報を隠蔽するようCISOに圧力がかけられることは、あまりにもよくあることだと指摘しています。
2020年の後半、ハーキンス氏はPulse.QAプラットフォーム（現Gartner Peer Insights）にアンケートを投稿し、セキュリティの専門家に対し、実際のセキュリティリスクを「ごまかす」よう求められたことがあるかどうかを尋ねました。 100 名を超える回答者のうち、60％近くが「はい」と答えました。 この調査は非科学的なものであり、サンプル数も少なかったものの、サイバーセキュリティのリーダーたちの間で高まりつつある現実を反映している、とハーキンス氏は述べています。
「私たちは皆、決意が試されるような、誠実さに関わる困難を経験したことがあるでしょう」と、彼は今年初めに『 』誌に掲載されたエッセイ『 』の中で記しています。 「いつプレッシャーが生じそうか、予測することができました……。 「その匂いがしたし、まるで第六感のように感じられたのです。」
上層部からの非倫理的な圧力に直面した際、セキュリティ責任者には4つの選択肢があります。より強く反論し、上司の考えを変えようと試みることもできます。 彼らはできる限りリスクを管理し、災害を未然に防ぐことを願っています。 彼らは社員証を返却し、セキュリティ意識の高い雇用主を探すことができます。 あるいは、その情報を公表して規制当局に通報することもできますが、その一方で自身のキャリアを危険にさらすことにもなります。
「バッジをテーブルの上に置いて、『私の担当中は、こんなことは絶対に許しません』と言ったこともあります」とハーキンス氏は語ります。 「個人的には、内部告発者になる前に、そうすると思います。」 「その会社が重大な過ちを犯していると思われるなら、辞める覚悟を持つべきです。」
セキュリティはチームワークが重要です
リーバイ・ストラウスの元CISOで、現在は S3 コンサルティングのセキュリティアドバイザーを務めるスティーブ・ザレフスキー氏によると、セキュリティ専門家は毎日、の深刻な可能性のある脆弱性を数百件も に対処しているとのことです。 彼らは、どの問題が事業にとって十分な脅威となるかを判断し、CEOや取締役会が適切な対応を拒否した場合にどう対処すべきかを決定しなければなりません。
「」 CISOはまるで消防士のようなものです。問題に向かって駆けつけ、英雄のように扱われることを期待しているのです。 しかし、自社が自分たちをそのように扱っていないことに、ますます多くの人が気づき始めています。”スティーブ・ザレフスキー氏、 S3 コンサルティング セキュリティアドバイザー
「しばしば、自分が許容できる範囲をはるかに超えるリスクを受け入れざるを得ない状況に置かれながらも、そのリスクを管理する手段がないのです」と彼は言います。 「CISOはまるで消防士のようなものです。問題の現場へと駆けつけ、英雄のように扱われることを期待しているのです。」 しかし、彼らは、自社が自分たちをそのように扱っていないことに、ますます気づき始めています。」
また、セキュリティの専門家であっても、時には誤った判断を下してしまうことがあります。
In 2016年11月 hackers breached a database at Uber, accessing the records of 57 million customers. ハッカーたちは、Uberが100,000ドルを支払わない限り、データを公開すると脅しました。 Uberの社内セキュリティ担当弁護士および当時のCEOであるトラヴィス・カラニック氏と状況を協議した後、最高セキュリティ責任者のジョセフ・サリバン氏は、同社のバグ報奨金制度を通じて攻撃者たちに報酬を支払うことに同意しました。 その後、彼はこの件を連邦取引委員会に報告しませんでした。同委員会は、以前の情報漏洩事件をめぐって、すでに同社を調査していたのです。
昨年10月、サリバン氏はこの情報漏洩を隠蔽したとして重罪で有罪判決を受けました。 本記事の公開時点では、量刑公判の日程はまだ決まっていませんでした。
「ジョーは社内の他者からの不適切な助言に基づいて過ちを犯しましたが、今になって考えれば、彼なら別の対応をしただろうと思います」と、Airbnbの元法務顧問兼最高倫理責任者であり、Uberの「 2016 」安全諮問委員会に所属し、現在は法的・倫理的問題に関するコンサルタントを務めているロブ・チェスナット氏は述べています。 「しかし、刑事事件において、会社の失敗の責任をジョーが一人で負わされるのは、果たして公平と言えるのでしょうか？」 「そうは思いません。」
ベンチャーキャピタル企業「レイン・キャピタル」の創業者兼マネージング・ジェネラル・パートナーであり、複数のセキュリティ系スタートアップに投資を行っているチェンシー・ワン氏は、サリバン氏の有罪判決がサイバーセキュリティ業界の注目を集めたと指摘しています。
「組織内で、サイバーセキュリティに影響を及ぼす意思決定を行う責任が誰にあるかについて、多くの議論がなされてきました」と彼女は述べています。 「その負担は誰に及ぶのでしょうか？」 「CISOだけが[責任を負う]べきではありません。」
[関連記事：ハッキングの脅威が高まる中、各社がCISOの確保に奔走しています]
王氏は、組織は、サイバーインシデントへの対応方法や、どの幹部が責任を負い、そのプロセスに関与すべきかといった重要な決定を行うためのプロセスを確立する必要があると述べています。 「まずは法務担当役員から始まります」とザレフスキ氏は付け加えます。
「法務担当役員（GC）は、CISOにとって最高の味方です。なぜなら、会社の最善の利益を最優先にする法的義務を負っているのは、彼らだけだからです」と彼は述べています。 「GCを議論に巻き込んだ場合、取締役会にはあなたの意見に耳を傾ける義務が生じ、また、その経緯が文書として記録されます。」
文化こそが鍵です
結局のところ、企業が意図せず内部告発者の温床になってしまうかどうかは、企業文化に左右されるのです。 従業員は、権力者に対して率直に意見を述べることに抵抗を感じていますか？ 経営者は耳を傾けてくれるでしょうか？
「ただ命令に従い、実行するだけの会社にいると、こうした問題が増えることになるでしょう」とハーキンス氏は指摘しています。 「従業員に異議を唱えたり、疑問を呈したりする権利がなければ、こうした倫理的なジレンマがさらに増えることになるでしょう。」
ジョンソン・エンド・ジョンソンのCISOを退任予定のマリーン・アリソン氏は、重要なのは「ボトムアップ」および「ミドルアウト」による透明性とコミュニケーションを促進することだと指摘しています。
[関連記事：CISOがサイバーリスクをCEOに実際に伝わるよう話す方法]
2002年にサーベンス・オクスリー法が成立した後、上場企業は、従業員が不正行為の疑いについて匿名で通報できる倫理ホットラインを設置することが義務付けられました。 アリソン氏は、どの企業にも、 の従業員が何かおかしいことに気づいた際に警鐘を鳴らす手段が必要だと述べています。
「早い段階で悪い知らせを聞くのは、かえって良いことです」と彼女は言います。 「企業が透明性を確保したいのであれば、従業員や外部の契約業者に対し、業務慣行について意見を述べる機会を提供する必要があります。 「ええ、 5 時のニュースに出たいと思っている人もいますが、何かを目撃してあなたに伝えようとしているのに、誰も耳を傾けてくれないという人もいます。」
ハーキンス氏は、サイバーインシデントが人命の危険につながる可能性がある場合、セキュリティ責任者にはその事実を公表すべき道義的義務があると主張しています。 しかし、それほど深刻ではない状況では、その場を立ち去るのがより一般的な対応です。 彼は、セキュリティの専門家に対し、まずすべてを文書化し、それを法務担当役員やその他の経営幹部と共有するよう助言しています。 その戦術は、規制当局が調査にやって来た場合に備えて、説明責任を裏付ける記録を残すことができます。
灰色の線
その脅威は極めて深刻であり、無視することはできません。 しかし、サイバーセキュリティにはさまざまなグレーゾーンが存在します。 セキュリティ責任者とその他の経営幹部との間で、リスクに対する認識にズレが生じた場合、内部告発につながる事態が発生する可能性があります。
「内部告発者への最善の対処法は、彼らが不要となるような環境を整えることです。」エアビーアンドビーの元法務担当役員兼最高倫理責任者、ロブ・チェスナット氏
ハーキンス氏によると、何十年もの間、サイバーセキュリティは恐怖心を煽る形で売り込まれてきており、セキュリティの専門家たちは、リスクについて語る際、 少し熱くなりすぎてしまうことがあるとのことです。 この姿勢は予算の承認を得る際には役立つかもしれませんが、予測した大惨事が実際には起こらなかった場合、CISOの信頼性を損なうことにもなりかねません。
一方、経営幹部は、脆弱性が会社の収益にどのような影響を与えるかを十分に把握できていない可能性があります。 また、重大なインシデントによって生じる損害を測定するのは比較的容易ですが、そのインシデントを未然に防ぐための投資の価値を測定するのは、はるかに困難です。 CISOの役割は、大げさに誇張することなく、その必要性を説得することです。
「多くの企業はサイバーセキュリティについて理解しておらず、ただ『必要だ』と認識しているだけなのです」とザレフスキ氏は述べています。 「CISOは、企業が自ら負っているリスクの真の大きさを理解できるよう支援する必要があります。」
[関連記事：サイバー指標を効果的に活用するには、取締役会に具体的な成果を示すこと]
しかし、すべての資産を均等に保護することは不可能です。 企業は、セキュリティの観点から見て、あらゆる対策を適切に講じていても、それでも情報漏洩に遭うことがあります。 彼らがどのように対応するかが最も重要です。 そして、それを統一的な方法で実施するためのルールは、まだ定められていません。
「企業がデータ漏洩を起こしたからといって、その企業が悪い企業だとは限りません」とチェスナット氏は述べています。 「何が起きたのかについて透明性を持って説明していますか。また、問題を是正することに真摯に取り組んでいるように見えますか？」 「内部告発者への最善の対処法は、内部告発者が必要とされない環境を整えることです。」
