Kevin Kelly wished he had been able to stop his client from wiring a hacker $10 million.
彼のクライアントは、売上高10億ドル規模のスポーツ用品メーカーです。 ハッカーはLinkedInで同社のCEOの名前を見つけ、そのCEOの名義で偽のメールアカウントを作成しました。 The fraudster then crafted a phony invoice from the company’s Southeast Asian supplier of basketballs, lacrosse sticks, and other goods (complete with imitation letterhead) and sent that from the CEO’s fake account to the company’s CFO, with an order to wire $10 million overseas.
残念ながら、その詐欺に気づいたのは手遅れでした。 そして、これは今日の世界的なサプライチェーンのネットワークにおいて、 あまりにも一般的になり、 かつ収益性の高いものとなっています。 「こうした情報漏洩事件において、取締役会や経営幹部が標的となり、被害を受けるケースがますます増えています」と、取締役会、経営幹部、ファミリーオフィス、富裕層向けにデータプライバシーソリューションを提供するHalo PrivacyのCEO、ケリー氏は述べています。
こうした偽造請求書詐欺やそれに類する詐欺による経済的被害の全容は、誰にもわかっていません。 それは、企業が、時に気まずいような詳細を明かしたくない場合が多いからです。
状況が変わる可能性もあります。 新たに提案された のSEC規則（）によれば、上場企業の経営幹部および取締役会は、サイバーセキュリティインシデントを速やかに開示しなければならなくなります。 SECが提案した規則は、上場企業や民間組織、政府機関の業務を停止に追い込んだ一連のサイバー攻撃が相次ぐ中、打ち出されたものです。 「国のサイバーセキュリティを向上させたいという観点からすれば、これは遅きに失した措置です」と、セキュリティ・テクノロジー研究所の最高戦略責任者であるメーガン・スティフェル氏は述べています。
SECは、 において、規則変更の主な理由の一つとして、サイバーインシデントが企業の提出書類ではなく、メディアを通じて報じられていることを挙げています。 さらに、同機関は、情報開示が行われる際、報告内容の詳細がしばしば 不整合であったり不完全であったりすることが判明しました。 （ SECの提案の中で最も物議を醸している点 は、サイバーインシデントが「重要な」事象と認定された場合、4日以内に開示しなければならないという要件です。）
「サイバーセキュリティは、単なる技術的な問題としてではなく、重要なビジネスリスクとして管理されなければなりません」と、グローバル・サイバー・アライアンスの社長兼CEOであり、ソニーの元CISO、そしてオバマ政権時代のサイバーセキュリティ担当高官でもあったフィル・ライティンガー氏は述べています。 「事業の財務面に関する知識の欠如は、取締役会による経営不振の言い訳にはなりません。サイバーセキュリティについても、同様に扱われるべきであり、またそう扱われることになるでしょう。」 「もし取締役会に、方針を策定し、監督を行うための現在の能力が欠けているのであれば、人員を増強する必要があります。」
取締役会の監督機能の強化
提案されている規則の一環として、企業は取締役会のサイバーセキュリティに関する専門知識および監督責任を開示することが義務付けられることになります。 カリフォルニア大学バークレー校（UC Berkeley）の「 」に所属する「長期サイバーセキュリティ・センター」（ ）の事務局長、アン・クリーブランド氏は、この規制案により、企業はすでに、取締役会におけるサイバーセキュリティの役割について、サイバーセキュリティの専門家のために席を確保すべきかどうかを含め、厳しい問いを突きつけられていると述べています。
「こうした情報漏洩事件において、取締役会や経営幹部が標的となり、被害を受けるケースが増えています。」Halo PrivacyのCEO、ケビン・ケリー氏
「多くの場合、取締役会では、サイバーセキュリティに関する専門知識という観点から、その議論が行われてこなかったのです」と彼女は述べています。 この規制に備えるため、彼女は企業に対し、次のような問いかけを始めるよう助言しています。「サイバーセキュリティは監査委員会の管轄とすべきか、それとも独立した委員会を設けるべきか？」 「彼らがどのような答えにたどり着こうとも、それはほとんど問題ではないのです」と彼女は言います。 「しかし、企業や取締役会では、その点について話し合いが行われていなければなりません。」
世界有数のテクノロジー企業に助言を行っているシリコンバレーの法律事務所、ウィルソン・ソンシーニは、 を通じてSECに提出した書簡（ ）の中で、サイバーセキュリティに関する懸念を、リスクに関わる他の重要な問題よりも優先すべきではないと主張しました。 同社は、この規制により、「
の取締役会においてサイバーセキュリティの専門知識が優先され、その結果、その他のサイバーセキュリティ対策や、
が求めるその他の経験が軽視される恐れがある」と懸念しています。
しかし、少なくとも取締役は、リスク管理やサイバー防衛について、より深い理解を深める必要があると、デジタル分野を専門とするマッキンゼーのパートナー、ジャスティン・グライス氏は述べています。 「取締役は、自社のサイバーセキュリティ体制を理解し、それを説明できるだけでなく、おそらくはそれを擁護できる必要があるでしょう」と彼は述べています。 「そのためには、取締役会はこれまで以上にサイバーセキュリティの問題に深く関与しなければならないでしょう。」
[関連記事：サイバー危機が深刻化する中、CISOと取締役会はコミュニケーションの取り方を学ぶ必要があります]
実際、企業の取締役会に対して戦略やガバナンスに関する助言を行っているタペストリー・ネットワークスのCEO、ジョナサン・デイ氏によると、シティグループやGMといった「フォーチュン 100 」企業は、SECの提案を受けて、取締役会レベルに至るまでサイバーセキュリティの専門知識に多額の投資を行っているとのことです。 「彼らは、この分野で豊富な経験を持つ取締役を招き入れているのです」と、
氏は述べています。
戦略をどの程度開示すべきでしょうか？
提案されている規則のもう一つの要素は、取締役会に対し、 に関連する企業の方針および手順、 および によるサイバーセキュリティリスクの管理、ならびにその実施における経営陣の役割について、定期的に開示することを義務付ける規定です。 一部の専門家は、この規定により、企業が過剰な情報を開示せざるを得なくなる恐れがあると指摘しています。
「取締役会は、これまで以上にサイバーセキュリティの問題に深く関与せざるを得なくなるでしょう。」Justin Greis, partner, McKinsey & Company
「知的財産リスクを過大に報告してしまうと、競合他社に潜在的な優位性を与えてしまう恐れがあります」と、マッキンゼーのグライス氏は述べています。 「サイバー防衛に関する情報を過度に公開すると、ハッカーが、その開示された情報を悪用して、
の企業ネットワークを侵害する機会を与えてしまう可能性があります。」
「Day of Tapestry Networks」によると、これらの規定により、CISOの従来の職務の一部が取締役会メンバーの手に委ねられることになるとのことです。 「もはや『貴社の戦略に従います』というだけの話ではなく、CISOにはセキュリティ対策の責任があるのです」と彼は述べています。
サイバーセキュリティのリスクは、金融リスクのようなものです
Halo Privacyのケリー氏によれば、企業や取締役会がこれらの新しい規則に適応するために必要となる調整は、彼がエグゼクティブサーチ会社ハイドリック・アンド・ストラグルズのCEOを務めていた 2008 年の大不況後に必要とされた大きな変化とさほど変わらないとのことです。
「シティグループやGMといったフォーチュン 100 企業は、SECの提案を受けて、取締役会レベルに至るまでサイバーセキュリティの専門知識に多額の投資を行っています。」
当時、SECは に基づく財務リスク開示の要件を強化し（ ）、その責任を取締役会の監査委員会に課しました。 SECは適時開示を義務付け、その義務を怠った企業に対しては、厳しい制裁措置を科すとの警告を発しました。
現在のサイバーセキュリティ危機の 規模の深刻さを踏まえ、ケリー氏は、SECがこの問題に特化した取締役会委員会を設置し、定期的な電話会議や会合を行うよう求めるものと予想していました。 また、彼は、サイバーセキュリティに関する専門知識を常に最新の状態に保つために、SECが取締役の任期制限を義務付けるべきかどうかについても疑問を抱いています。
マッキンゼーのグライス氏によると、一部の企業では、サイバーセキュリティに専念する小委員会を設置するという案をすでに検討しているとのことです。 「独立取締役で構成される場合もあれば、専門家で構成される場合もありますが、いずれにせよ、彼らは取締役会を代表して活動します」と彼は述べています。 この場合、 のCISOは、委員会または取締役会全体に対して、 を通じて最新情報を報告することになります。
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
備えを強化するため、サイバーセキュリティや企業取締役会の専門家たちは、詳細なシナリオ策定や机上演習を行うほか、サイバーセキュリティの専門家を招いた社外での取締役会を開催し、サイバーセキュリティ侵害が発生した際に何が起き得るかを肌で実感することを推奨しています。
企業はSECによる監督強化に反発するかもしれませんが、提案された規則は、計画や対応の不備に起因するものであることを認識しています。 「計画がなければ、企業は多くの人々を危険にさらすことになります」とケリー氏は述べています。
カリフォルニア大学バークレー校のクリーブランド氏は、多くの組織がすでにサイバーセキュリティの計画や戦略を優先事項としていると述べています。 「最も洗練され、成熟した取締役会の多くは、コンプライアンスという観点からこの規制への備えを進めてはいません」と彼女は述べています。 「彼らはすでにその道のりを歩み始めています。」
