SEC、フィンサービス部門の規制に向けた準備を進める――そして規制を強化する

証券取引委員会が金融サービス業界に目を向けています。

昨年、新規（激しい議論を呼んだ）データ漏洩開示規則により上場企業への規制を強化し、画期的な訴訟によって最高情報セキュリティ責任者（CISO）を震撼させた後、SECは金融サービス業界向けに一連のサイバーセキュリティ規制を準備しています。

2年近くかけて策定が進められてきた、目まぐるしいほどの提案の数々は、証券会社や投資顧問会社、その他の業界関係者を大いに苛立たせています。（SECの委員の一人は、ある規則を「棍棒」と呼びました。）

金融サービス企業は、他の企業に比べてサイバー攻撃の標的となる確率が 300 倍高いです。リスクを管理し、大規模なイノベーションを実現する方法をご紹介します。

私たちは、 、Focal Point、にて、これらの提案を毎月追跡してまいりましたが、SECが決定に近づいたと思われるたびに、新たな一連の提案が提示されます。その中には、以前の提案と類似している（あるいは完全に重複している）ものもあり、混乱を招き、（少なくとも一部の）疑問は未解決のまま残されています。

「　新しい規則が採択されるたびに時間単価が上昇しているかのように見える弁護士という専門職層を、ただ強化するだけの、不適切な考えに基づいた施策をこれ以上進めるのはやめてください。」
クリストファー・A・イアコヴェラ、米国証券協会（American Securities Association）最高経営責任者（CEO）

明らかなのは、SECが慎重を期しているわけではないということです。昨年7月に採択されたの新たなデータ漏洩に関する規則では、上場企業に対し、重大または「重要な」サイバーセキュリティインシデントを4日以内に開示することが義務付けられています。これは物議を醸した措置であり、米国の取締役会に波紋を広げました。

また、壊滅的な被害をもたらしたSolarWindsへの攻撃に対するSECの対応――同社 およびそのCISOであるティモシー・ブラウン氏 に対するの訴訟 ――は、CISOが、自社のセキュリティ体制について投資家を誤解させ、基本的なセキュリティ対策を講じなかったとして、個人として責任を問われた初めての事例となります。 CISOたちは当然のことながら衝撃を受けており、中にはこの業界を去ろうかと考えている人もいます。

の金融サービス業界に携わる皆様のうち、今後数ヶ月間にコンプライアンスが自分たちにどのような影響をもたらすのか気になっている方々のために、主な懸念事項をまとめました。それでは、覚悟してください。サイバーセキュリティと技術に関する方針を強化するため、SECは私たちを波乱に満ちた道のりに導こうとしています。

金融サービス企業を対象としたSECのサイバー規制案の内訳

SECは2年以上にわたり、金融サービス業界の規制強化に取り組んできました。それは……から始まりました。

投資顧問および投資信託を対象としたサイバーセキュリティに関するの規則案（）が、2022年2月に掲載されました（ ）。これには、サイバーセキュリティ上のリスクに対処するための書面による方針の策定、および重大なサイバーセキュリティインシデントを 48 時間以内に委員会へ報告することが求められます。 SECは、この提案について一般からの意見を求め、数か月にわたり意見募集を行いました。

それから約1年後、 2023年3月において、委員会はこれに続き、「市場主体」と総称されるグループを対象とした同様の規則案を提示しました。これらには、証券会社、清算機関、全国証券協会、および取引所などが含まれます。

「」として知られる規則 10（、 ）では、アクセス制御（）、マルウェア対策、および情報の保存と監視などを網羅した、書面によるセキュリティポリシーの策定が義務付けられます。また、各組織は、変化し続けるサイバーセキュリティリスクに引き続き対応できるよう、定期的な見直しを行う必要があります。さらに、インシデントに対処するためのインシデント対応ポリシーも策定する必要があります。また、この規則では、フォームSCIRの第1部を用いて、 48 時間以内に情報漏洩の事実を開示することが義務付けられています。また、企業は、同暦年内に、フォームの第2部を用いて、一般に情報を開示する必要があります。

同時に、他の規定についても2つの改正案を提案しました。

の改正案の一つ（）は、Regulation S-P（ ）に関するものであり、これはにおける顧客記録の保護に関する方針を定めた規則です（）。この改正案では、証券会社、投資会社、登録投資顧問業者、および株式移転代理業者に対し、データ漏洩の影響を受けた個人に通知することを義務付けることになります。
の別の改正案（）は、規制システムのコンプライアンスおよび完全性（Reg SCI、 ）に関連するもので、これは委員会が証券市場のITシステムを監督するために用いる「2015 規則」です。この改正案により、適用対象となる企業が増え、さらに多くの義務が課されることになります。これには、「システムへの侵入」の定義の拡大や、報告要件の追加などが含まれます。

混乱、苦情、そして遅延

提案された規則や追加の修正案に対し、業界からは多くの否定的な意見が寄せられました。「当協会は、この委員会に対し、新たな規則が採択されるたびに時間単価が上昇しているかのように見える弁護士やコンサルタントといった専門職層の権限を強化するだけの、不適切な構想の推進を中止するよう強く求めます」と、米国証券協会（American Securities Association）の最高経営責任者（CEO）であるクリストファー・A・イアコヴェッラ氏は、に掲載されたパブリックコメント（）の中で、きっぱりと述べました。

また、重複があるとの指摘もありました。

「Reg SCIは、すでに『規則案 10 』の下で、Reg SCIの適用対象となっている、あるいは将来適用対象となる事業体に対して、同等のサイバーレジリエンスの成果を達成しています」と、デポジトリー・トラスト・アンド・クリアリング・コーポレーション（DTCC）のマネージング・ディレクター、ナシラ・スペンサー氏は、提案に対するへの回答（）の中で不満を述べました。

複雑で重複する提案が次々と出されているだけでも十分ではないかのように、欧州委員会はさらに、投資規則に関するパブリックコメントの受付期間を再開しました―― 2022条に基づく投資顧問およびファンドに関する最初の提案を覚えていらっしゃいますか？―― 2023年3月これにより、新たな提案と整合性を図るためだと、リチャード・ボーデン氏は説明しています。法律事務所 Frankfurt Kurnit Klein & Selz（）のデータ戦略・プライバシー・セキュリティ・グループのパートナーであるボーデン氏は、米国証券取引委員会（SEC）による金融サービスセクターへの規制動向を注視してきました。「[彼らは]その後、おそらく、規制対象となるすべての企業を網羅した完全な一式を発行することになるでしょう。」

多くのコメント提出者は、その短い期間について懸念を示しました。サイバー攻撃の開示にはわずか 48 時間、場合によってはそれよりも短い時間が設定されており、攻撃の最中も報告内容を随時更新する必要があるからです。これに対し、投資顧問協会（）は、この「」を「過重かつ不必要」であると指摘し、SECが処理しきれないほどのデータが殺到することになると述べました。 Amazon Web Servicesの氏は、に対し、「インシデントの評価が完了する前に情報を提供することは、混乱や誤解を招く恐れがあります」と警告しました。

SECの委員たちは、 3-2 票で可決された規則10 の提案についても不満を抱いていました。反対意見を述べたヘスター・M・ピアース委員は、この規則が「市場参加者を支援するのではなく、脅かすための棍棒" である」と警告しました。彼女は、フォームSCIRの第1部における虚偽記載や記載漏れに対する法的責任について懸念を抱いていました。このフォームは、正確な情報がまだ入手できないかもしれないような慌ただしい時期に、企業が記入することになるからです。

「この規則は、証券市場をより安全にするための真剣な提案というよりは、年末の取締り統計を盛り上げるための手段として捉えたほうが理解しやすいでしょう」と彼女は述べました。

SECのサイバー規制は、リスクを最も脆弱な部分に転嫁することになるのでしょうか？

SCIの機能強化は、のクラウドサービスプロバイダーを利用している証券事業者にとっても、懸念すべき影響を及ぼす可能性があります。提案されている規則は、責任分担の原則を明確に否定しています。これは、クラウドコンピューティングの契約において、セキュリティとシステムの耐障害性に関する責任を、クラウドサービスプロバイダーと利用者の間で分担するという、定評のある概念です。その代わりに、この提案では、SCIの対象となる組織が、こうした責任の大部分を負うことになります。また、必要と認められる場合には、組織が複数のクラウドサービスプロバイダーを連携させて活用し、耐障害性を高めることも推奨されています。

「技術的な観点から見て、これは非常に困難であり、莫大な費用がかかるでしょう。」
フランクフルト・カーニット・クライン＆セルツ法律事務所のパートナー、リチャード・ボーデン氏は、特定の状況において組織に対し複数のクラウドサービスプロバイダーの利用を義務付ける規制案について、次のように述べています。

「技術的な観点から言えば、それは非常に困難であり、莫大な費用がかかるでしょう」とボーデン氏は述べています。さらに同氏は、複雑さが増すことで運用上の問題が生じ、システムの信頼性が向上するどころか、むしろ低下する恐れがあると付け加えています。

ボーデン氏は、提案されている規則により、リスク管理の負担が、それに対処する能力を持たない可能性のある金融機関に課されることを懸念しています。例えば、こうした追加要件により、影響を受ける組織はクラウドサービスを一切利用できなくなり、代わりにセキュリティレベルの低いオンプレミスシステムに頼らざるを得なくなる可能性があります。

「それらが不適切な行動や、さらに深刻な被害をもたらす可能性のある行動を助長してしまうのではないかと懸念しています」と彼は付け加えます。

こうした規制の拡大は、さらに多くの規則と重複してしまうリスクもあります。 2023年10月において、委員会は、投資顧問会社が外部委託するサービスについて、の監督要件を提案しました。アドバイザーは、サービス提供者の能力やリソースを確認し、それらがもたらすリスクを評価するとともに、提供者の実績を定期的に監視し、契約内容を再評価し、その全過程の記録を残す必要があります。

提案されている要件には、クラウドサービスプロバイダーに関する複数の追加措置も盛り込まれており、これには、アドバイザーを一定期間以上顧客として維持するための契約の締結や、サービスの可用性の確保などが含まれています。

SECのサイバー規制により、AIが厳しく精査されています

自尊心のある規制当局であれば、AIのリスクを規制する機会を逃すことはないでしょう。そこで、 2023年10月において、欧州委員会は、AIや予測分析といった技術の利用に関する規則案を公表しました。これは、アドバイザーがこうした技術を利用して、投資家の犠牲の上に自らの利益を図ってしまうのではないかという懸念に端を発するものであり、ロボアドバイザーサービスにも適用されます。

「問題は、これが他のあらゆる事柄にも当てはまるという点です」と、マーク・T・ウエダ委員は、の声明（）の中で警告し、この提案への支持を否定しました。

「規則の条文によれば、そろばんなどの非電子式計算機でさえ、法的にその適用範囲に含まれる可能性がある」と彼は警告しました。

上田氏はまた、「最近の委員会案には、やや突飛な要素が含まれており、それによって意見提出者たちの注目や関心を集めてしまったという傾向」についても批判しました。

その批判者の一人が、マネージド・ファンド協会のジェニファー・W・ハン執行副社長でした。この提案に関する彼女のへのコメント（）には、外務省が経済コンサルティング会社NERAに委託して作成した、提案された規則の影響分析が含まれていました。同団体は、この規則により「企業に閉鎖や統合を余儀なくさせる可能性のある、多大なコンプライアンスコスト」が生じると警告しました。

全体的な視点の欠如

SECの規制の多くについて、最大の懸念点は、それ自体が重複しているという性質だけでなく、他の政府機関の報告規則との整合性が欠けているという点にもあります。

法律事務所Venable LLPでサイバーセキュリティ法および政策に関する助言を行っているハーレー・L・ガイガー氏は、連邦政府へのサイバーインシデント報告の統一化について検討した、国土安全保障省の戦略・政策・計画局による 2023年9月報告書について言及しています。現在施行中または提案中のサイバーインシデント報告要件 52 件を評価した結果、重複している可能性のある要件が確認されました。

ガイガー氏によると、こうした一貫性のない報告方針により、組織――特に複数の規制当局の管轄下にある組織――は、多種多様な報告要件や期限に直面することになる恐れがあるとのことです。「これは、最適とは言えない規制環境です。」「組織としては、こうしたばらばらな状況を管理する準備を整えるだけでなく、連邦政府のサイバーインシデント報告方針において、より一層の統一を図ることも重要であると考えています。」

しばらくお待ちください

提案されている規則が最終決定されるかどうか、またその時期については、SEC（当方の問い合わせに対して回答はありませんでした）からは何の発表もありません。

ボーデン氏は当初、最初の投資顧問規則が公布された直後に、委員会から何らかの成果が出るものと予想していました。「それで、昨年あの一連のことが行われたとき、私は『よし、 90 日後には何かが実現するだろう』と思いました」と彼は締めくくりました。「ええと、もう 14 ヶ月が経ちましたね。」