ランサムウェア攻撃やその他のサイバーセキュリティ上の脅威がますます巧妙化する中、企業は新たな深刻な懸念に直面しています。それは、データ漏洩に続く集団訴訟の増加です。
こうした攻撃による生産の遅れや評判の低下だけでも十分深刻なのに、経営陣は今や、訴訟に巻き込まれるリスクも考慮しなければなりません。 が最近実施した、グローバル企業の社内訴訟責任者を対象とした調査（ ）によると、今後数年間において、サイバーセキュリティおよびデータ保護の問題が、新たな紛争の主な要因となることが明らかになりました。
集団訴訟件数の増加に伴い、和解金の額も急増しています。 In 2020, one of the most high-profile and expensive cases—a cyberattack at credit-ratings company Equifax—resulted in a class action lawsuit that awarded a $700 million settlement, $425 million of which was earmarked to compensate consumers.
Other data breach class action lawsuits have also drawn substantial settlements: Capital One reached a $190 million settlement stemming from a massive 2019 data breach; Uber agreed to pay $148 million to settle civil litigation tied to a 2016 data breach; and most recently, T-Mobile agreed to pay $350 million to resolve claims that it failed to prevent a data breach that affected 76 million Americans. （ の によると、当該個人が請求を行うための期限は1月でした。）
こうした金額を見れば、もしまだ明らかでなかったとしても、サイバーセキュリティを最優先することがこれまで以上に重要であることが明白である、と、世界的な法律事務所マクダーモット・ウィル・アンド・エメリーのパートナーであり、グローバル・プライバシーおよびサイバーセキュリティ部門の米国責任者であるマイク・モーガン氏は指摘しています。 「サイバーセキュリティ上の侵害は、あらゆる組織にとってのリスクであり、それは長年にわたり変わりません」と彼は述べています。 「しかし、時が経つにつれて、そのリスクの規模は大幅に拡大してきました。」
そして、先見の明のある取締役会もこれに注目し始めています。
一連の出来事が重なり、サイバーセキュリティの問題が取締役会の目前に突きつけられていると、コーポレート・ガバナンスの専門家であり、『 』（）、『Giving Voice to Values in the Boardroom』（）、『 』の著者であり、ベントレー大学の経営学教授であるシンシア・クラーク氏は述べています。 「AI、 機械学習、ロボット工学、ナノテクノロジー、バイオテクノロジーといった、本来はまったく関連性のなかった分野が融合し、互いに相乗効果を生み出しています。こうした動きが、取締役会レベルでのサイバーセキュリティへの意識を確実に高めたのです」と彼女は述べています。 「しかし、取締役会において、その問題に対する認識と責任の間に、多少の隔たりがあると思います。」
以下の取り組みは、取締役会がサイバーセキュリティへの取り組みを強化し、集団訴訟から身を守り、変化する法的環境に備える上で役立ちます。
取締役会にサイバーセキュリティに関する確かな専門知識を確立する
2022年3月において、米国証券取引委員会（SEC） は、上場企業に対し、サイバーセキュリティ戦略、 リスク管理、 インシデント報告、および ガバナンスについて、標準化された開示を行うことを義務付ける新たな規則 を提案しました。 また、これらの規則では、上場企業に対し、セキュリティに関する専門知識を持つ取締役の氏名およびその専門知識の内容を開示することが義務付けられます。
「特定の事業体が合理的なサイバーセキュリティ対策を講じているかどうかという点をめぐり、多くの訴訟や規制当局による執行措置が行われることになるでしょう。」マイク・モーガン氏（マクダーモット・ウィル＆エメリー法律事務所のパートナー兼グローバル・プライバシーおよびサイバーセキュリティ部門の米国責任者）
ウォール・ストリート・ジャーナル紙の が実施した、ラッセル 3000 構成企業のうち1,000 社を対象とした最近の調査（ ）によると、サイバーセキュリティの専門知識を持つ取締役がいることを開示している企業は、15％弱に上ることが分かりました。 クラーク氏は、これは、サイバーセキュリティが重要な課題であるという認識と、取締役会におけるその責任との間に隔たりがあることを示す一例だと述べています。
「取締役会は、サイバーセキュリティの問題が広く浸透していることを認識することで、そのギャップを埋めることができます」と彼女は述べています。 「彼らは、こうした経験を持つ人材を積極的に探し出す必要があります。そして、そのような人材は周囲にたくさんいます。」 また、こうした人材は、 の規制要件や、プライバシーとセキュリティの違いを理解している必要があり、さらに高度なコミュニケーション能力も備えている必要がある、と彼女は付け加えています。 こうした問題が組織のビジネスモデルにどのような影響を与えるかについて議論できることは、今日において極めて重要であり、危機的状況においてサイバーセキュリティに関する情報を的確に整理・分析する必要性も同様に重要です。
[関連記事：サイバーセキュリティに対する連邦政府の監督強化に、取締役会はどのように備えているか]
SECのゲイリー・ゲンスラー委員長は、投資家は、発行体が拡大するサイバーセキュリティリスクをどのように管理しているかについて、より詳しく知りたいと考えていると述べています。 「この情報が、一貫性があり、比較可能で、意思決定に役立つ形で開示されるよう義務付けられれば、企業も投資家も同様に恩恵を受けるだろう」と、ゲンスラー氏はSECの のプレスリリース（）で述べています。 「もし［この提案が］採択されれば、投資家が上場企業のサイバーセキュリティ対策やインシデント報告を評価する能力が強化されるでしょう。」 サイバーセキュリティに関する専門知識の有無を明らかにすることは、組織に対して集団訴訟が提起されるかどうかに影響を与える可能性があります。例えば、バランスの取れた取締役会があれば、情報漏洩が発生した場合でも過失の主張を退けることができる一方で、取締役会にサイバーセキュリティに関する専門知識が欠如している場合は、集団訴訟の提起につながる要因となり得ます。
サイバーセキュリティの文化を醸成する
サイバーセキュリティに関する問題において、取締役会の重要性はいくら強調してもしすぎることはない、とモーガン氏は述べています。 同氏によると、取締役会は、組織が適切なITおよび情報セキュリティ機能を確保するために必要なリソースを管理するほか、サイバーセキュリティの成熟度について、率直かつオープンな議論が行われる風土を醸成する役割も担っているとのことです。
[関連記事：取締役会に必ず尋ねてほしいサイバーセキュリティに関する 6 の質問]
「企業文化は、多くの場合、取締役会や経営陣が『サイバーセキュリティは極めて重要である』と確信することから始まります。」 「その判断が組織内――例えば法務、リスク管理、契約、営業部門など――へと下りていくことで、 これらの部門は より積極的に行動できるようになります」と彼は述べています。 「時が経つにつれて、組織が成熟していく様子が見て取れるでしょう。」 意見がより力強くなり、プロセスの早い段階でこれらのグループを巻き込んだ販売など、大きな進展が見られるようになります。 「 これらの問題に対して、 以前はなかったような関心を持つようになります。というのも、これが経営陣や取締役会にとって重要な問題であることが明らかだからです。」
適切なサイバーセキュリティ対策に関する議論を主導する
サイバーセキュリティにおけるAIの活用 やデータ技術が進歩し、その能力がさらに高まるにつれ、取締役会は、保護のために導入している統制措置について、より多くの議論を主導することになるだろうと、モーガン氏は述べています。 例えば、SECの新しい規則の下では、企業は「妥当な」サイバーセキュリティ対策を策定し、維持することが義務付けられますが、SECは何が妥当で何が妥当でないかについては定義していません。 モーガン氏は、このグレーゾーンが今後の訴訟において焦点となる可能性が高いと述べています。
「特定の事業体が合理的なサイバーセキュリティ対策を講じているかどうかという点をめぐり、多くの訴訟や規制当局による執行措置が行われることになるだろうと予想しています」と彼は述べています。 「こうした議論の過程では、何が合理的で何が合理的でないかを判断するために、 の基準 のどの部分を適用すべきか、また、合理性の判断が攻撃経路と組織のサイバーセキュリティ対策全体と、どちらを重視して行われるべきかについて、議論が行われることになるでしょう。」
データ漏洩事件が相次ぎ、大規模なデータ漏洩に関する集団訴訟の和解件数も増え続ける中、セキュリティ対策の不備によるリスクは、意思決定者にとってますます明白になっていくでしょう、と彼は述べています。 「つまり、これらの問題については、さらに議論を重ねる必要があるということです。」
自己批判的な分析を行う
自己批判的分析とは、組織のサイバーセキュリティプログラムを調査し、脆弱な点を特定するとともに、サイバーセキュリティの成熟度を高める方法を明らかにするものです。 モーガン氏によると、自己批判的な分析の大部分は、攻撃を阻止するために何ができるかに焦点を当てており、これはサイバーセキュリティに関する訴訟において特に重要であるとのことです。
「エクイファックスやT-モバイルといった大手企業がニュースの見出しを飾る一方で、中小企業も同様にリスクにさらされています。」
「訴訟において問題となる点の一つは、組織の法的相手方――それが原告であれ、原告側の弁護士であれ、規制当局であれ――が、組織自身のサイバーセキュリティプログラムに関する自己批判的な分析に、どの程度アクセスできるかという点です」と彼は述べています。 「攻撃の阻止に重点を置くことは、法的観点から非常に重要です。なぜなら、それによって、問題の解決やサイバーセキュリティの観点からの改善を求める差止命令を求める潜在的な請求を無意味なものにすることができるからです。」
モーガン氏は、自己批判的な分析を行うことは、組織が検討すべきベストプラクティスであると述べています。
[関連記事：ベンチマーク調査は、自社のサイバーセキュリティの水準を把握する最良の方法です]
また、訴訟を未然に防ぐため、あるいは訴訟に備えるために、取り組みを強化する必要があるのは、大企業だけではありません。 エクイファックスやT-モバイルといった大手企業がニュースの見出しを飾る一方で、中小企業もまたリスクにさらされています。
その好例が、ミシガン州ホランドにある小規模なキリスト教系4年制リベラルアーツカレッジであるホープ・カレッジです。同校は現在、 2022年の最後の週に提起された2件の別々の集団訴訟に直面しています。 これらの訴訟では、同校が過失を犯し、被害者への通知を迅速に行わなかったため、「被害者の傷が化膿し、被害が拡大する」事態を招いたと主張されており、これは9月に発生したデータ漏洩事件に関連するものです。この事件では、 155,000 人以上の機密情報が流出した可能性があります。 防御体制を強化することの重要性を示す、もう一つの教訓となる事例です。
取締役会にサイバーセキュリティの専門知識を取り入れ、経営陣主導でサイバーセキュリティの文化を醸成し、合理的なセキュリティ対策について議論し、組織のサイバーセキュリティプロセスを批判的かつ内省的に見直すことで、企業は意識の向上を図り、ベストプラクティスを定着させ、将来の訴訟に耐えうる強固なセキュリティ基盤を構築することができます。
