データ漏洩に対処しているCISOと、うっかり隣人の窓を割ってしまった10歳の子供には、どのような共通点があるでしょうか？ それぞれが、次に何を、どのように伝えるかについて、難しい選択を迫られています。 ますます多くの企業リーダーが気づき始めているように、率直にコミュニケーションをとらず、自分の過ちを認めないことは、後々自分にとって不利益となる可能性があります。
Uberはこのことを痛感しています。
Last October the U.S. Department of Justice convicted Joe Sullivan, the company's former chief of security, for lying about a 2016 hack where thieves stole data on approximately 57 million customers. 同省によると、サリバン氏はハッカーたちを黙らせるために100,000 ドルのビットコインによる支払いを手配し、その後、外部の関係者やUberの新経営陣に対してこのハッキング事件を隠蔽したとのことです。
ハッカーたちは 2019件の罪で有罪を認め、この記事の執筆時点で、サリバン氏は判決を待っているところですが、最大で8年の懲役刑が科される可能性があります。
早い段階から、そして頻繁にコミュニケーションを取りましょう
犯罪的な隠蔽にまで及ぶ企業はごくわずかですが、多くの企業は責任を逃れようとします。 アナリスト企業GigaOmのリサーチ担当副社長、ジョン・コリンズ氏は、「これは危険な賭けだ」と述べています。
「隠蔽もまたリスクとなります。」 そして、ビジネス的な観点から、そのリスクを軽減する方法は、できるだけ早く事実を認めることです。”GigaOmのリサーチ担当副社長、ジョン・コリンズ氏
「あらゆるリスクはビジネス上のリスクです」と彼は述べ、隠蔽行為は全体的な視点に欠けていることを示していると付け加えました。 「それは、彼らがセキュリティの観点から物事を捉えており、 のリスクという観点からは見ていないためです。。しかし、隠蔽そのものもまたリスクなのです。」 そして、ビジネス的な観点から、そのリスクを軽減する方法は、できるだけ早く正直に認めることです。」
時として、遅れたり、 不明確なコミュニケーション は、準備不足に起因することがあります。 At a Wall Street Journal event in late November, Todd McKinnon, co-founder and chief executive of identity authentication company Okta, voiced regret over its handling of a cybersecurity incident in 2022.
Oktaのベンダーの一つであるSitelに対する攻撃は1月に発生しましたが、Oktaがこの事案を認めたのは3月になってからでした。これは、 のハッキンググループ「Lapsus$」（ ）が、侵害されたシステムのスクリーンショットを含む詳細を、自身のTelegramアカウントで公表した後のことでした。
Oktaの最高セキュリティ責任者であるデビッド・ブラッドベリー氏（本記者とは無関係）は、これに対し、顧客が何らかの是正措置を講じる必要はないと述べました。 しかし、Lapsus$は、同社の顧客が標的であると警告することで、オンライン上で同社への挑発を続け、顧客たちは、状況の不明確さ（あるいは、場合によってはOktaからの直接的な連絡がまったくなかったこと）に対する不満を公に表明しました。
その後、Oktaは、 366 社の顧客がこの攻撃の影響を受けた可能性があることを明らかにし、ブラッドベリー氏はSitelを非難しました。 「1月にSitel社に最初の通知を行ってから、ほんの数時間前に完全な調査報告書が公表されるまでに、これほど長い時間がかかってしまったことに、私は大いに失望しています」と、彼は で述べたと報じられています。しかし、その後、同氏は、報告書を受け取った後、同社はより迅速に情報を伝えるべきだったと認めたとのことです。
「物事を率直に話すのは難しいものです。特に、すべての情報を把握していない場合はなおさらです」と、Tiro SecurityのvCISOであり、ISACAの「新興トレンド作業部会」のメンバーでもあるジェナイ・マリンコビッチ氏は述べています。 とはいえ、たとえ調査が進むにつれて後から詳細を補足する必要が生じたとしても、企業はどの情報が共有に足るほど信頼できるかを評価し、その情報を透明性を持って開示することをためらうべきではありません。 「まず、自分が現在把握していることを説明し、次に何をするつもりかを伝えてください」と彼女はアドバイスしています。 「物事を率直に伝えれば、世間は概して寛容なものです。ですから、できるだけ早く、適切なメッセージを発信することが重要です」
確実なコミュニケーションには、確実なリスク評価が不可欠です
しかし、サイバーセキュリティインシデントを無視したり、隠蔽したりするのではなく、公表しようと決心したとして、その公表は具体的にどのように行えばよいのでしょうか？ マリノヴィッチ氏は、「まずは、 のリスク評価をしっかりと行うことから始めましょう」と述べています。
「リスク評価では、発生の可能性が最も高い侵害の種類、脅威アクター、影響を受けるプロセス、および影響を受ける下流の関係者すべてを特定しておく必要があります。」ティロ・セキュリティのvCISO、ジェナイ・マリンコビッチ氏
コミュニケーションは、より広範なサイバーインシデント対応マニュアル および の不可欠な要素であり、さまざまな脅威に対処できるよう、状況に応じて調整する必要があります。 DDoS攻撃や ランサムウェア（ ）による攻撃の場合と、顧客に金銭的なリスクをもたらす情報窃取事件の場合とでは、対応やコミュニケーションの取り方が異なる可能性があります。
「リスク評価では、発生の可能性が最も高い侵害の種類、 脅威アクター、および影響を受けるプロセスに加え、その影響を受ける下流の関係者全員を特定しておくべきでした」と彼女は述べています。 「ですから、リスク評価を適切に行えば、その結果はコミュニケーション計画に反映されるはずです。」
それ以降は、正確な情報のみをお伝えするようにしてください。 つまり、状況を掌握しているように見せるために早期に情報を発信しつつ、同時に事実関係を確実に把握しておくという、微妙なバランスを保つ必要があると、情報セキュリティ・フォーラムの著名なアナリスト、ポール・ワッツ氏は述べています。
「先制攻撃を仕掛けなければならないと思ったものの、その後、事態の状況が当初の予想よりも良好か、あるいは悪化していることに気づき、その結果、対応を再調整しなければならない場合、それが問題になることがあります」と彼は述べています。
[関連記事：透明性の向上は、対外的な広報活動に役立つだけでなく、増え続けるセキュリティ関連の内部告発の勢いを食い止めることにもつながる可能性があります]
データ漏洩が発生した際、一貫性のない情報ほど、信頼を急速に損なうものはありません。 UK telecommunications company TalkTalk drew criticism after publishing apparently contradictory statements over customer data theft in 2015, which had UK police scratching their heads along with customers.
一貫したコミュニケーションとは、エンジニアやITスタッフと密接かつ頻繁に話し合うことを意味します。 これらは、既知の事実とまだ発展途上の理論を区別する手助けとなり、確信のあることだけを伝えることができるようになります。
言語の壁を乗り越える
マリノヴィッチ氏は、エンジニアとの対話は、学際的なアプローチが不可欠であることの好例だと述べています。 のエンジニア用語である を、顧客にも理解できる言葉に翻訳することは、技術的なバックグラウンドを持たない社内コミュニケーション担当者にとっては難しいかもしれません。 規制当局や影響を受ける関係者に伝えることができる関連事実を収集するには、粘り強く、鋭い質問が必要です。
「御社のGRC［ガバナンス、リスク、コンプライアンス］チームは、統制について理解しており、技術的な内容をビジネス用語に置き換えることにもより熟練している傾向があります」と彼女は述べています。 対外的なコミュニケーション戦略を策定する際には、彼らもその場に同席すべきです。
水漏れに注意してください
ワッツ氏は、単一の対外的なコミュニケーションチャネルを確保することが極めて重要だと述べ、組織に対し、内部からの情報漏洩に注意するよう警告しています。 では、インシデント発生時に従業員が何を言ってよいか、言ってはいけないかを で教育することが極めて重要です。 「そうでなければ、パフォーマンスや不注意による情報漏洩の機会が生まれ、その結果、貴社が策定している正式なコミュニケーション戦略の趣旨に反することになりかねません」と彼は警告しています。
不適切なコミュニケーションとは、単にジャーナリストとの会話だけを指すわけではありません。 もし企業の攻撃者がTwitterアカウントを持っている場合、興味を持った従業員が個人のアカウントからそのアカウントをフォローしたくなるかもしれません。 マリノヴィッチ氏によると、それだけでも組織の攻撃対象領域を拡大させ、内部のセキュリティチームに問題を引き起こす可能性があるとのことです。
データ漏洩の被害に遭った企業は、問題の原因を突き止め、解決するために、第三者のフォレンジック専門家を招き入れることがよくあります。 専門家によると、サイバー危機のシナリオに精通したプロの広報担当者を確保することも、同様に価値があるとのことです。
「適切なPR会社と提携することで、そのメッセージを誠実な形で伝えることができるようになります」とマリンコビッチ氏は述べています。 泥棒がデータをダークウェブにばらまいてしまった後では、そのデータがあなたにとってどれほど重要かなど、誰も聞きたくはないでしょう。 その代わりに、何が起きたのか、そしてそれを解決するためにどのような対応を取っているのかについて、明確かつ実務的な説明を行うことが、最善の対処法となります。また、少しばかりの謙虚な姿勢を見せることも、決して悪いことではありません。
