昨年、米国証券取引委員会（SEC）が、サイバーセキュリティ上の脆弱性を報告しなかったとして、 のSolarWinds社および同社のCISOであるのティム・ブラウン氏を意図的な証券詐欺の容疑で告発した際、業界内で大きな波紋を呼びました。 突如として、テクノロジー企業、とりわけそのセキュリティ責任者たちが、政府の法的標的となっているかのように見えました。
しかし実際には、 証券取引委員会（SEC）、司法省、および各州の司法長官といった政府機関は、常に調査を開始し、経営幹部に召喚状を発行し、起訴を行っています。 彼らがテクノロジー企業を標的にすると、そうした企業の幹部の多くは、シカゴに拠点を置く法律事務所「ベイカー・マッケンジーLLP」のパートナーであるジェシカ・ナル氏に連絡を取ります。
23 年にわたる豊富な経験を持つナル氏は、情報セキュリティの専門家、とりわけCISOを対象とした連邦刑事責任および規制上の責任に関する、国内屈指の専門家の一人と見なされています。 実際、彼女は、注目を集める連邦捜査やそれに続く民事訴訟において、おそらく米国のどの弁護士よりも多くのCISOや情報セキュリティ責任者、そしてチームメンバーを個人的に代理してきたと述べています。
また、彼女は内部調査で事情聴取を受けている個人を擁護し、数え切れないほどの内部調査を実施してきました。
・ブラウン氏のように窮地に陥るのではないか、と懸念するCISOが増えている今――同氏は先週、 米国の裁判官がSECの起訴内容の大半を却下したことで一時的な猶予を得ましたが（ ）、彼に対する核心となる「意図的な証券詐欺」の容疑は維持されました――Focal Point では、万が一データ漏洩が発生した場合にトラブルを回避する方法について、ナル氏に意見を伺うことが有益だと考えました。 また、彼女は「 8月7日 」で開催されるBlack Hat USA 2024 セッションにおいて、このテーマについて講演を行います。セッションのタイトルは「『トルネードをかわす』：大規模なサイバー攻撃の余波で政府からの影響を回避するためのCISO向け必須戦略」です。
以下は、ナルさんとの対談です：
（このインタビューは、明確さと長さのために編集されています。）
一般的な企業法務からサイバーセキュリティの分野へと転向しようと決めたのは、いつ頃ですか？
約 10 年前、サイバーセキュリティの専門家が関与した最初の連邦裁判事例や捜査がいくつか発生しました。そこでは、大規模なサイバー攻撃に直面した際、個人や企業がどのような行動をとったか、あるいはとらなかったかについて、各機関が調査を行いました。 それ以来、それは私の実践において大きな部分を占めてきました。
「私の主なスキルは戦闘です。 私の情報セキュリティ関連のクライアントが、悪意のある者や脅威の担い手と戦っている一方で、私は政府と戦っています。”
による政府の介入を避けるためのベストプラクティスについては、 でご案内できますが、たいていは建物が火事になってから、私が呼ばれることになります。 たいていは、「大規模な召喚状が届いた、あるいは積極的な捜査が行われている、あるいは調査が必要な内部告発があり、それが将来的に政府の介入につながる可能性がある」といった内容です。 私の主な得意分野は戦闘です。 私の情報セキュリティ分野のクライアントが、悪意のある者や脅威の担い手と戦っている一方で、私は政府と戦っています。
あなたは多くのCISOの方々と話をされていますね。 今、彼らの気分はどうでしょうか？
当然のことながら、懸念が高まっています。 やAIガバナンス（）といった新しいテクノロジーが次々と導入されるにつれ、CISOの役割はますます困難なものとなっています。私の周りでは、誰もがこぞって最新のテクノロジーを取り入れようと躍起になっています。 この仕事はだんだん大変になってきています。 そして、正直なところ、その責任を引き受けてくれる本当に優秀なCISOが不足していると思います。 そして、彼らが大きなリスクを負っているにもかかわらず、必ずしも経営陣の支援を得られていない、あるいは十分な予算が割り当てられていない場合、その理由が理解できるでしょう。
[関連記事：CISOにとって悪いニュースばかりではありません――当社の成功事例シリーズでは、実在するマーベルの「スーパーヒーロー」が、AIを活用してサイバー犯罪とどのように闘っているかを語っています]
特にSolarWindsに対するSECの執行措置以来、確かな苛立ちや懸念、そして恐怖の感情が渦巻いています。 政府機関に狙われるというのは、まるで の核爆弾 が空から落ちてくるようなものです。 結局のところ、それを防ぐためにできることはあまりありません。 これは、世間の注目を集めるような不祥事が起きた後、いつ起こってもおかしくない出来事の一つに過ぎません。 そして、通常は段階を踏んで物事が進むテクノロジー業界で働く人々にとって、より恐ろしいのは、もし不運にも攻撃に成功されてしまった場合、予測不可能な、存在そのものを脅かすような危険が待ち受けているという点なのです。
政府がCISOに対する監視を強化しているのは、なぜだと思いますか？
まあ、彼らには何か恨みがあるようです。 彼らは、特定の行為を抑制しようとしています。 また、大規模なセキュリティインシデント、とりわけ 国家が関与する ものに関しては、米国政府にはあまり打つ手がありません。 ロシアや中国、あるいは身柄引き渡しの現実的な手段や外国の法執行機関との協力体制が整っていないその他の国々において、サイバー犯罪者を追及するために彼らにできることは限られています。
「[大規模な情報漏洩事件の]後、一般市民は法執行機関による対応を期待しており、次回同様の事態が起きないよう状況が改善されることを望んでいます。」
大規模な情報漏洩のような重大なサイバー犯罪が発生すると、一般市民は法執行機関による対応を期待するとともに、次回同様の事態が起きないよう対策が講じられることを期待しています。 ですから、わが国政府はFSB（ロシア連邦保安庁、旧KGB）を追求できない以上、何らかの対策を講じる必要があります。 また、CISOはサイバーセキュリティ対応の最前線に立つ存在と見なされているため、政府が責任の所在を問う際、しばしば都合の良い標的となってしまうのです。
私は、それは非常に間違っており、不当で不公平だと考えています。だからこそ、私はこれほど熱心に政府と闘っているのです。なぜなら、これが正しいやり方ではないと確信しているからです。 しかし、残念ながら、そういうことがあまりにも頻繁に起きてしまうのです。
もし法律を用いて企業にサイバーセキュリティの責任を追及することができず、かつ、法執行という「強硬手段」を用いることがCISOにとって不公平だとお考えなら、どうすればよいのでしょうか？
この分野については、集団的かつ企業としての責任を果たすことが最善の道だと考えています。 An example of this is the 2018 SEC order in SEC v. Altaba, which pointed out some collective failures around cyber-incident disclosures and issued a large fine ($35 million) to be paid by the company but did not charge any individuals. その代わりに、同社は、他の企業が で課される巨額の罰金 を回避するための指針を発表しました。こうした罰金は株主や株価に打撃を与えるため、これにより――ある意味では――不適切な個人を犠牲にすることなく、前向きな変化をもたらすことができるのです。
[関連記事：CISOがバーンアウトと闘い、キャリアを長く続ける方法]
残念ながら、連邦の刑事および規制制度は、過去およそ 10 年の間に大きく変化し、政府が執行措置や刑事訴追において、責任を問うべき個人を積極的に特定するよう求められるようになりました。 This has been an increasing imperative on the government side ever since the DOJ's "Yates Memo," issued in 2015. 2008 市場の暴落にもかかわらず、いかなる個人も責任を問われなかったことに対し、世論の激しい非難が巻き起こったことを受けて、司法省はそのメモを公表しました。 しかし、この点に関しては、本当に的外れだと言えます。
政府はあなたをとても気に入っているんですね。
そうだと信じたいですね。 率直に申し上げると、連邦検察庁、SECの執行部門、そしてホワイトカラー犯罪の弁護人たちの間には、人材の流動性が非常に高いのです。 信頼性が何よりも重要であり、弁護側において高度な技能と豊富な知識を備えた弁護士と協力することは、通常、プラスに働くものです。 ですから、もちろん、はい、彼らは私を愛してくれています。 それに、私は彼らが大好きです。特に、私の仲間たちを解放してくれたときはなおさらです。
CISOがトラブルに巻き込まれないようにするために、どのような対策があるか、いくつか教えていただけますか？
まず、物事がどのように機能するかという仕組みを理解することが重要です。 なぜ、それぞれの政党はそれぞれの行動をとるのでしょうか？ 「大規模なセキュリティインシデントが発生し、政府が関心を示すようになった場合、会社にはどのような動機があるのか、そして、その状況に先手を打って、その情報発信を可能な限りコントロールできるようにするにはどうすればよいのか」と自問してみてください。
「大規模なセキュリティインシデントが発生し、政府が関心を示した場合、企業にはどのようなインセンティブがあり、どのようにして先手を打つことができるのでしょうか？」
また、社内の の連絡体制についても、 を詳しく確認しておくことをお勧めします。 CISOの役職に就く前に、誰に報告する立場になるのかを確認しておきましょう。 企業によって、その状況はまちまちです。 しかし、もし私がその役職への昇進を受け入れるか、あるいは新しい会社に入社することを検討している立場だとしたら、その点をしっかりと認識し、万が一情報漏洩が発生した場合、会社自体を守るだけでなく、私自身も保護の対象となることを確実に確認しておきたいと思います。
[関連記事：ITコンプライアンスの基礎知識と、それが収益向上にどのように寄与するか]
また、危険信号を見抜けるようになりたいものです。 何か事件が発生し、社内調査の一環として事情聴取を受けるよう求められ、プレッシャーが次第に高まっている状況で、しかも自身の弁護士を伴わずにそれに応じている場合、それは多くの潜在的な危険信号の一つとなります。
法的問題は、必ずしも政府機関から生じるわけではありません。 サイバー保険の保険会社が、CISOやITセキュリティチームを訴えることがあります。 そうした課題を未然に防ぐために、クライアントにはどのような対応を勧めていますか？
数十年にわたる実務経験の中で、私は の保険会社と数多く取引をしてまいりました。 そして、彼らが支払いを何とかして回避しようと、自分たちの側で用いるあらゆる戦略を、私は何度も目にしてきました。それは、開示されていなかった情報や、十分に詳細に開示されていなかった情報、あるいは何らかの免責事項を理由に保険契約を解除することなど、あらゆる手段です。 保険の補償限度額でさえ、問題となる場合があります。
「何か事件が発生し、社内調査の一環として事情聴取を受けるよう求められた場合……しかも、自身の弁護士を伴わずにそれに応じているのであれば、それは多くの潜在的な危険信号の一つです。」
そこで、今回のブラックハットでのセッションでは、保険について、またセキュリティ担当の方々が確認すべき重要なポイントについてお話しさせていただきます。 保険の補償内容について知っておくべきことや、十分な安全網を確保するために適切な保険金額の目安について、ご説明いたします。
保険会社からは、トラブルを避ける最善の方法は、彼らと協力することだと言われていると聞いています。 そう思いますか？
ある程度は、その通りです。 私は、さまざまな政府の調査の現状について、保険会社への説明に多くの時間を費やしてきました。 しかし、必ずしもすべての人の利害が一致するとは限りません。
[関連記事：適切なサイバーセキュリティプラットフォームを導入することで、サイバー保険の引受手続きがスムーズになります。 【費用対効果を高める方法はこちら】
保険会社と話し合う際には、常にトラブルが生じる可能性があると言えるでしょう。というのも、保険会社は保険料を徴収している間は親身になってくれる傾向がありますが、いざ保険金を支払う段になると、そうもいかないからです。 つまり、これは 戦略的に進めなければならない、繊細なバランス感覚が求められる作業なのです。。 彼らの考えは理解できますが、それは支払いを拒否するために彼らがよく使う言い分です。 その件に関しては、物事を楽観的に見すぎないほうがよいでしょう。
今後開催されるBlack Hatでの講演について、他に何かご紹介したいことはありますか？
この企画の目的は、ティム・ブラウン氏や他の人々が経験したような恐ろしい状況に二度と直面することのないよう、参加者の皆様に、物事を深く考えるための戦略のツールキットを提供することです。 連邦政府には非常に大きな権限があります。 なんてすごい力なんでしょう。 そして、それは人々の生活を本当に一変させてしまうことがあります。 私がしたいのは、皆さんがそのような状況に陥らないよう手助けをすること、そして万が一そうなってしまった場合でも、誰に連絡すればよいかを知ってもらえるようにすることです。
