SolarWinds社で成功を収めた企業のCISOとして、ティム・ブラウン氏はすべてを手に入れたかのように見えました。
の最高情報セキュリティ責任者である 氏（右）は、同社が約33,000 社の民間および公共部門の顧客に提供していた「Orion」と呼ばれるIT監視プラットフォームを含む、このソフトウェア開発会社のインフラ管理ツール全ラインナップのセキュリティ保護を担当していました。
それから、すべてが変わりました。
2020年後半、ロシアの諜報機関「 」 に関連しているとされるハッカーたちが、Orion のソフトウェアパッチ に、「Sunburst」と呼ばれる悪意のあるコードを埋め込んだとされています。 この不正な更新プログラムは、米国政府機関や『フォーチュン』誌のランキング 500 位以内の企業を含む、およそ18,000 の組織によってダウンロードされ、インストールされました。 これは、歴史上最も洗練され、かつ斬新なサイバー攻撃の一つであり、サプライチェーンのセキュリティ状況が であるという事実を浮き彫りにする警鐘となりました。
ITセキュリティ分野で30年の経験を持つブラウン氏は、この情報漏洩の影響を受けた政府機関の数を踏まえると、法的措置が講じられる可能性があると見ていました。 しかし、 2023年10月、チューリッヒで開催された会議に出席していた際、 米国証券取引委員会（SEC） が、 テキサス州に拠点を置くSolarWinds社—およびブラウン氏個人—に対し、 サイバーセキュリティ上のリスクや脆弱性 について、事前に認識していたとされる詐欺および内部統制の不備の容疑で 告発したとの報せが届いたとき、彼でさえも驚かされました。
今後提出される訴状によると、 2018 から2020年12月にかけて、SolarWinds社とブラウン氏は、同ソフトウェア企業のセキュリティ対策について過大に宣伝し、既知のリスクを過小評価したり開示を怠ったりすることで、投資家を欺いたとされています。
激動の1年を経て、ブラウン氏は、米国地方裁判所の 判事が、 2024年7月事件において、SECの主張の大部分を却下したことを知り、安堵しました。 SolarWinds社とSECは先ごろ、残りの訴因について、 の暫定和解に合意しました（ ）。 今秋にも最終決定される見込みであるこの取り決めの条件については、明らかにされませんでした。
現在、 61歳のブラウン氏は、SECがCISOに対して提起した前例のない告発と、それがこの職種にとって何を意味するのかについて、公の場で考察を述べています。 『Focal Point』の が先日、彼にインタビューを行い、その経験が彼にどのような影響を与えたか、またそこから何を学んだかについて話を伺いました。
（以下のインタビューは、読みやすさと分量を考慮して編集されています。）
SECが訴状を提出した直後のあの頃、どのような経験をされましたか？
法的な異議申し立ては予想されていたことです。 当社の弁護士たちは、SECのような政府機関から集団訴訟などが提起されることを想定し、この件に全力を挙げて対応しておりました。 その攻撃について知ってから1、2日後、当社の外部顧問弁護士の一人が私に話しかけてきて、倫理上の要件に従い、「私たちは貴社を代理しているということを、改めてお伝えしておきたいのです」と述べました。 「私たちはあなたを代理する立場にはありません。」
「弊社は当該企業の代理を務めておりますことを、改めてご承知おきください。」 弊社はお客様を代理するものではありません。”サイバー攻撃が発見されてから1～2日後、SolarWindsの弁護士がCISOのティム・ブラウン氏に 2020で連絡しました
彼らがそう言わざるを得なかったことは理解できましたが、話し始めとしては気まずい感じでした。 彼らは、すべての事実を把握し、あなたの視点から何が起きたのかを知りたいと述べています。 しかし、繰り返しになりますが、彼らは自社を代表していることを強調しています。 あなたではありません。 結局、私は自分用に弁護士を雇うことになり、さらに会社と共同で依頼していた弁護士もいました。 幸いなことに、会社は私の個人弁護士の費用を負担してくれました。 私の個人代理人としての活動にかかる全費用として、SolarWinds社には最終的に100万ドル以上の費用がかかりました。
私の経験を踏まえて、CISOの方には、雇用主と気軽に話し合うことを常にお勧めしています。 彼らのところへ行って、「ティムもこうした経験をしなければならなかったのです」とお伝えください。 彼は訴えられました。 彼は個人弁護士を雇わなければなりませんでした。 その弁護士費用は高額ですね。 彼にとって幸いなことに、SolarWindsは彼が独自の弁護士を雇うための費用を負担してくれる意向を示しました。 「もしこのような事態が発生したら、私たちはどのように対処すればよいのでしょうか？」
D&O（役員・管理職賠償責任保険）は、保険契約の内容によっては、さまざまな事案を補償の対象とする場合があります。 しかし、そうならない可能性もあります。 ですから、そのような話し合いを持ち、もしこのようなトラブルに巻き込まれた場合にどうするかを決めておくことが大切です。 私の場合、その会社は本当に素晴らしかったです。 プロセス全体を通じて、私たちの見解は極めて一致していたため、私自身の弁護士への対応について心配する必要はありませんでした。 でも、確認しておきたいですよね。
とはいえ、SECから個人的に告発されたことは、やはり精神的な負担になったに違いありません。 そのストレスにはどのように対処されましたか？
ええ、最初の数年間はうまくいっていると思っていました。 ところが、起訴されると知らされたその週に、私は心臓発作を起こしてしまいました。 そう考えると、どうやら私は思っていたほどうまくいっていなかったようです。
「起訴されると知らされたその週、私は心臓発作を起こしてしまいました。」 どうやら、自分が思っていたほどうまくいっていなかったようです。”
私たちの多くは、ストレスに対処するための独自の な方法を持っています：中には、よく話す人もいます。 出版社を営んでいる人もいます。 また、物事を心に秘めたり、区別して考えたりする人もいます。 私は物事を区別して考える傾向があります。 私は仕事と私生活をきっちり分けています。 それのおかげで、ストレスを解消できます。 私はテキサスの牧場で、馬やミニロバなど、そういった動物たちと一緒に暮らしています。 それは、私にとって昔からストレスを発散させる手段でした。 私にとっては、その方法はいつもうまくいっていました。少なくとも、そう思っていました。
2023年9月 のチューリッヒでの会議に参加していた際、請求されることになったと知りました。 土曜日に飛行機で帰宅したのですが、空港から車まで歩いている途中で、立ち止まって休まなければならなくなり、何かおかしいと気づきました。 家に帰ると、そのことを妻に話したところ、妻はすぐに病院に行くよう強く勧めました。 医師たちは、心臓発作であることを確認しました。
その経験から、どのようなことを学びましたか？
そのおかげで、物事を客観的に見ることができました。 仕事よりも健康の方が大切だということを、あなたは理解しているはずです。 CISOという役職には、大きなストレスが伴います。 私たちのほとんどは、それによって活き活きとしています。 その限界点がどこにあるのか、私たちにはまったく分かりません。 私にとっては、その日、まさにその瞬間でした。 その時点で、私はストレスが限界に達してしまいました。
状況が多少なりとも平常に戻ったとき、物事を客観的に捉えることができたのです。 「最悪の場合、どうなるのか」と自問してみたことが、役に立ちました。 私の場合、その容疑が刑事事件ではないことに気づきました。 というわけで、私は刑務所に行くことにはなりませんでした。 最悪の場合、罰金と、上場企業の役員または取締役としての職務を5年間禁じられることになっていました。 それくらいなら、何とか乗り切れるでしょう？
[こちらもぜひお聴きください：当サイトの関連ポッドキャストでは、元CISOが、セキュリティ専門家がキャリアを長く続ける方法（そしてメンタルヘルスを維持する方法）について語っています]
私の周りには素晴らしい人たちがいました。 私の弁護士の方々は、とても優秀でした。 彼らはあらゆることを一つひとつ確認していました。 私は彼らを信頼しており、このプロセスを無事に乗り切れると確信していました。 そうしたことに気づくと、ストレスレベルが下がります。
SECがあなたを起訴したことに、サイバーセキュリティ界は衝撃を受けました。 あなたに対して不当な批判が向けられたと感じる人もいました。 他の人たちは、自分が次に標的になるのではないかと心配し、 はを辞めることを考えました。 どうお考えですか？
地域の方々の支援は本当に素晴らしかったです。 人々は私の状況に共感し、私のようなCISOがただすべてを守ろうとしているだけだと理解してくれました。 私たちは最善を尽くしています。 国家と対抗するには、それだけでは不十分な場合もあります。
「」人々は私の状況に共感し、私のようなCISOがただすべてを守ろうとしているだけだと理解してくれました。 私たちは最善を尽くしています。”
インシデント発生後の最初の数日、数週間、あるいは数ヶ月間は、自分に対して好意的な言葉をかけられることはほとんどありません。 また、思いがけないところから友達が現れて、「きっと乗り越えられるよ」と言ってくれることもあります。 とにかく直して、次に進みましょう。 「とにかく仕事をこなしてください。」 そして、そのような励ましは、とても大きな助けになります。
しかし、その逆もまた然りです。 ご自身が体験したことを語り、目撃したことを率直に伝えることは、コミュニティがこうした攻撃に対してより強靭になるのに役立ちます。 さまざまな意味で、私たちは理論上のものを、すべての人にとって真に現実のものへと変えたのです。 はい、ロシア人がそこにいます。 はい、 のロシア人たちが米国企業を攻撃しています。。 はい、ロシアは優れた作戦を遂行する術を心得ており、他の国家も同様です。 具体的には次のような状況が考えられますが、この点には特にご注意ください。
[関連記事：サプライチェーンのセキュリティ確保は困難ですが、理想的な姿とはどのようなものでしょうか？]
SolarWinds社がそれをわかりやすいモデルで説明してくれたおかげで、世界中の多くの人々にとって大いに役立ったと思います。 ですから、ある出来事から良い結果を引き出せれば引き出すほど、得られる価値も大きくなり、そうすれば、そのすべてが報われることになります。
あれだけのことがあった後も、あなたは依然としてSolarWindsのCISOを務めており、その役割をとても気に入っているようですね。 これほど多くの困難を経験したにもかかわらず、なぜその仕事を続ける価値があるのでしょうか？
この仕事は、人が就くことができる仕事の中でも、最も大きな影響力を持つ仕事の一つです。 会社の責任を担っていることを考えてみてください。何かが起きたときは、それがあなたの責任下で起きたことになるのです。
「これまで様々な経験を積んできましたが、それでもなお、CISOという役割は極めて重要であると信じています。」 「次世代が進んでその仕事を引き受け、責任を担うよう、十分な保障策を講じなければなりません。」
会社を適切な水準で守り抜き、裏方で働きながら敵を撃退し、常に一歩先を行くために全力を尽くすことには、それなりの醍醐味があります。 それにはそれなりの流れがあります。 決して退屈することはありません。 毎日、職場に来て同じことを繰り返すわけではありません。
この職は、依然として最もやりがいがあり、かつ困難を伴う職務の一つです。 ええ、他の人たちが「イライラする」と言っているのを耳にすることでしょう。 それに、そうですね、大変ですよね。 しかし、 では、素晴らしいチームを築くことができます。 そして、自分のチームが成功する姿を見られるという充実感も得られます。 CISOという役職には、多くの素晴らしい機会があり、その内容は常に変化しています。
[関連記事：CISOの成功事例――Stratascale社のジョセフ・カルペンコ氏が、技術分野の枠を超えてリスクと事業戦略を結びつけた経緯]
これまでさまざまな経験を積んできましたが、それでもなお、CISOという役割は極めて重要だと信じています。 次世代の人々が、その仕事に積極的に取り組み、責任を引き受け、職務を全うできるよう、十分な保障措置を講じなければなりません。 私たちが責任から免れていると言っているわけではありません。 また、私たちがこの役割を引き受ける際には、責任を負うことになるということを、皆さんに理解していただくことも重要です。 そして、責任には、時に法的責任が伴うこともあります。
私たちが取り組むべきことは、責任が適切に管理されるようにすることです。
