サマリ
SECが提案した新しい規則は、企業がリスクを管理し、サイバー攻撃に対応する方法を規制します。 元連邦検察官のジュディス・ジェルマーノは、今日のサイバー catch-22—enterprises はサイバーポリシーについて透明性を持たなければならない（つまり、サイバーポリシーが存在することを証明するため）が、ハッカーに情報を開示しすぎてはならないと述べています。
ホスト： ダグ・トンプソン、テクニカルソリューションエンジニアリングディレクター兼チーフエデュケーションアーキテクト、Tanium
ゲスト： ジュディス・ジェルマーノ、NYUサイバーセキュリティセンター特別研究員
ショーノート
この問題についてさらに詳しく知るには、TaniumのオンラインサイバーニュースマガジンFocal Pointのこれらの記事をご覧ください。
- SECの新たなサイバー規制により、取締役会と経営陣が警戒を強めています
- 見逃した方のために：大手企業がSECの新たなサイバー規制をめぐって議論を交わしています
- サイバーセキュリティに対する連邦政府の監督強化に、取締役会はどのように備えているか
トランスクリプト
以下のポッドキャストの書き起こしは、明確さのために編集されています。
ジュディス・ジェルマーノ： SECの規則は、すでに明確でなかった場合に備えて、サイバーセキュリティは組織の最高レベルで優先されなければならないことを明確にしています。 企業内で起こりがちなのは、非常に内向きになって、「ああ、私たちは大丈夫」と言うことです。 それは、あらゆる角度から確認せず、実際には大丈夫ではないことに気づいていないからに過ぎません。
ダグ・トンプソン： こんにちは、ダグ・トンプソンです。本日のレッツ・コンバージでは、SEC（証券取引委員会）の新しいサイバーセキュリティ規則と論争についてお話しします。
さて、私はテキサスに住んでいるので、物事を対決として見がちなのかもしれません。 正午の決闘、誰かが勝たなければなりません。 でも、そんな感じがするのです。 特にサイバーセキュリティに関しては、政府と民間企業の間に緊張が生じることがあります。 まるでフライデー・ナイト・ライツのように、二つの最強の高校チームが選手権をかけて戦っているようです。
企業と連邦政府の間の最新の対立は、今年SECが提案した一連の新しい規則をめぐるものです。 承認されれば、この規則は企業がリスクを管理し、サイバー攻撃に対応する方法を規制することになります。 物議を醸している規則の一つは、重大インシデントと判断されてから4日以内にサイバー攻撃を報告することを企業に義務付けるものです。 別の規定では、企業は実際に手順が整っていることを証明するために、導入しているサイバーセキュリティ手順の一部を開示しなければならないとされています。
政府は、急増するサイバー脅威に対処する唯一の方法は、企業に何が起きているかを把握し、企業にサイバーセキュリティを真剣に取り組ませることだと主張しています。 それは一部の人には良いことのように聞こえるかもしれませんが、本日のゲストは、それほど単純ではないと言っています。 ジュディス・ジェルマーノは元連邦検察官であり、NYUサイバーセキュリティセンターの特別フェロー、また同大学のロースクールの非常勤教授でもあります。 ジュディは最近、SECの提案について議論するための専門家パネルを招集しました。 ちなみに、全員女性の専門家パネルで、その点についても後ほど触れます。
ジュディ、お元気ですか？
ジェルマーノ： とても元気です、ダグ。 お招きいただきありがとうございます。
トンプソン： ご参加いただきありがとうございます。 すぐに本題に入りたいと思います。 あなたの法律事務所は、サイバーセキュリティリスクと規制コンプライアンスについて企業や取締役会にアドバイスをしています。 ですから、あなたがこの問題の真っ只中にいることはわかっていますし、多くの懸念を抱える取締役会メンバーと同じような会話をされているのだと思います。つまり、サイバーセキュリティを真剣に考え始めていないなら、第4クォーターで1タッチダウン差をつけられていて、時計が残り少なくなっているようなものだ、ということです。 なぜなら、SECはこれらの新しい提案に対して本当に手綱を締めようとしているのではないでしょうか？
ジェルマーノ： SECは実際に数年にわたってサイバーセキュリティ問題に関するガイダンスを発行してきましたが、今回提案された新しいガイダンスは、企業に求めていることという点で非常に重要なものです。
トンプソン： これらの新しいルールは、皆の神経を逆なでするようなものです。 特に、4日以内に報告しなければならないという要件は、私は良いアイデアだと思います。 透明性は物事を隠そうとするよりも常に良いと思っています。 しかし、これはやり過ぎだ、こんなことをする権限はないという人もいます。 あなたはどう思いますか？
Germano: 4日間の報告要件は少々問題があります。 企業はインシデントが重大であると判断してから4日以内に報告しなければなりませんが、本当の問題は、どのように報告しなければならないか、そして誰に報告するかということです。 これは公開提出書類、つまり8Kレポートであり、それだけでも企業にとって多大な労力を要することが多いです。 そして、重大であると認識してから4日以内にサイバーセキュリティインシデントへの対応という状況にある場合、顧客やパートナー、サプライチェーン内の関係者など、侵害によって影響を受ける他者に通知するための時間がまだ必要かもしれません。また、侵害に対処し、脆弱性が解消されたことを確認する必要もあります。
そのため、組織内のリソースをSECへの正式な届出に割き、これほど短い期間内に投資家に知らせなければならないことは、ある意味でサイバーセキュリティを実際に妨げる可能性があると思います。 一つには、問題からリソースを転用してしまうから。二つには、一部の企業が重大性の判断を先延ばしにし、影響を受ける可能性のある顧客への通知が遅れる原因になりかねないからです。 そういう意味で、サイバーセキュリティを本当に損なう可能性があります。
Thompson: 政府の不満は理解できます。企業はこのような問題を内密にしておきたがることが多すぎます。 しかし、これを監督するのにSECは最適な組織なのでしょうか？
Germano: 最適とは言えませんが、サイバーセキュリティに取り組もうとしている政府機関の一つだとは言えます。 SECは確かに大きな影響力を持ち、上場企業やSEC規制対象企業から注目を集めています。 そのため、企業が耳を傾けることを知っているSECがサイバーセキュリティについて意見を述べることは重要です。なぜなら、彼らは強力な権限を持っているからです。
Thompson: 上場企業についておっしゃいましたが、非公開企業もこれらのルールに従う必要があるのでしょうか？
Germano: いいえ——まあ、ほとんどの場合はありません。 このルールはSEC規制対象企業、つまり上場企業やSECに登録された企業（登録ブローカーディーラーや金融アドバイザーなど）に適用されます。 しかし興味深いのは、これらの提案されたルールを含む規制がますます増えるにつれて、SECによって特定的に規制されていない他の企業にとってのベンチマークや参照点として活用される可能性があることです。他の訴訟においても、ベストプラクティスや適切な開示の時間枠を理解するために使用されるかもしれません。 そして、それらを参考として使用することは、今後期待されることの一つかもしれません。
Thompson: SECによるもう一つの提案されたルールは、取締役会にサイバーポリシーと手続きの開示を義務付けるものです。 これは私には少し懸念されます。 つまり、野球でたとえるなら、相手ピッチャーのサインを盗めれば、どの球が来るかわかり、ヒットを打つのがずっと楽になるようなものです。 ハッカーがどのようなポリシーや手順が存在するかを知っていれば、何を回避すべきかもわかってしまいます。
Germano: おっしゃる通り、それは重要な指摘です。 そして、サイバーセキュリティリスクの管理に関するポリシーや手順を開示するというルールには、プラス面とマイナス面の両方があります、Dougさん。 一方では、その利点や意図は、企業が何をしているかを開示しなければならないため、優れたサイバーセキュリティプロセスを整備するよう促すことにあると言えます。 そして残念ながら、サイバーセキュリティや積極的なサイバーセキュリティ対策を十分に優先できていない企業があまりにも多く見受けられます。 一方で、手薄な部分を露呈してしまうという現実的なリスクもあり、適切なプロセスが整備されていない企業を攻撃者が特定しやすくなる可能性があります。 つまり、私たちはある程度の方向性が必要であり、サイバーセキュリティを管理するために各組織が取っている責任ある措置についての情報を提供する際に、どのような線引きをするかに注意する必要があります。 この時点では、すべての組織がそれを実施しているべきですが、まだ多くの組織がそうしていません。 しかし同時に、それらの手順を示し、プロセスについて議論しながらも、金庫の暗号を明かしたり、ハッカーが簡単に侵入できるような情報を与えすぎたりしないようにする必要があります。
Thompson: そうですね、それは常に微妙なバランスです。 では、これらのことが承認された場合、あるいはその一部が承認された場合、取締役会のメンバーとして、どのように準備を始めればよいでしょうか？ 何をすべきでしょうか？ 適切な人材を確保し、体制を整えるなど、何らかの戦略が必要なはずです。
Germano: はい。 取締役会に関して言えば、SECの規則は、まだ明確でなかった場合に備えて、サイバーセキュリティが組織内および組織の最高レベルで優先されなければならないことを明確にしています。 つまり、私たちは今、サイバーセキュリティを理解し、サイバーセキュリティに関する適切な質問をし、全体的なエンタープライズリスクの一部としてサイバーリスクを適切に検討・管理するために経営陣が何をしているかを理解できる人材を取締役会に必要としている段階にあります。
企業や取締役会が取るべき具体的なステップとして、積極的に行動することが必要です。企業や組織が直面している脅威、多要素認証、ファイアウォール、定期的なアップデートやパッチ管理などの基本的な対策に関してどのようなシステムが整備されているか、そしてチームは誰かを把握することが重要です。 サイバーセキュリティに十分な財務リソースと人的リソースが充てられていますか？ そして、それらは互いに連携していますか？ それを把握するためには、優れた内部資産を持つとともに、外部のアドバイザーにブリーフィングや最新情報を求めることが重要だと思います。
なぜなら、企業内で起こりがちなのは、非常に内向きになってしまい、「ああ、私たちは大丈夫」と言ってしまうことです。 それは、あらゆる角度から確認せず、実際には大丈夫ではないことに気づいていないからに過ぎません。 ですから、サードパーティによる監査やチェックを行い、迅速に対処すべきサイバーセキュリティの穴がないかを確認することが重要です。
Thompson: 重要な点を指摘されたと思います。なぜなら、「私たちはこれを行った、これを整備している」と自己証明または自己報告しなければならない場面があるからです。 しかし、いわば中立的なサードパーティが、あなたが言っていることを実際に行っているかを検証することは、非常に重要だと思います。
Germano: それは非常に有益だと思います。そして、企業によってサイバーセキュリティの成熟度はさまざまです。 非常に詳細で優れたチームを持つ企業もあれば、サイバーセキュリティのアウトソーシングにより大きく依存する必要がある企業もあります。 また、評判の高いクラウドサービスプロバイダーを利用し、私が述べたような基本的なサイバーセキュリティプロトコル—多要素認証、強力なパスワード管理と実践（パスワードを使用している範囲で）、およびその他の選択肢—が十分に確保されていることを確認することで、技術的に脅威プロファイルを低減する方法があります。
しかし、必須ではないかもしれませんが、企業が保有する内部および外部リソースを検討し、サイバーセキュリティに資金を費やすだけでなく、それが会社を最善に保護するための賢明な支出であるかどうかを考えることは重要だと思います。 そしてもちろん、攻撃が発生した際にはSEC、投資家、第三者、顧客、または訴訟当事者に対応しなければならない可能性があるため、それが文書化されているかどうかも重要です。 したがって、優れたサイバーセキュリティの実践を事前に文書化することが重要です。 そして、対応においても同様です。
Thompson: あなたは取締役会について言及されましたが、私もよく見かけるのですが、取締役会は技術的な専門知識をあまり持っていないことが多く、それは過去にそれを引き付けることができなかったか、できていなかったためです。 なぜそうだと思いますか？
Germano: サイバーセキュリティは成長しており、難しい問題です。優れたサイバーセキュリティの専門知識を持つ取締役会もあれば、その分野で成長・改善の余地がある取締役会もあると思います。 そして問題の一部は、Doug、優れたサイバーセキュリティの人材が不足しているということだと思います—サイバーセキュリティを知っていると言うだけでなく、実際にその分野で働き、脅威を理解している人材が不足しています。 常にテクノロジーの観点からというわけではありませんが、それは重要な部分であり、学際的な課題でもあります。
そのため、必要な技術的手順や、それらが対処されていることを確認するための質問と同様に、サイバーセキュリティのガバナンス、手順、プロトコルを理解する必要があります。 また、強力なリーダーシップと危機管理スキルを持つことも、サイバーセキュリティの専門家にとって重要です。 これは、需要が非常に高く、人材不足が生じている分野です。
Thompson: 人材不足についてお話しされましたね。 企業がサイバーセキュリティの職を埋めることは全般的に難しく、特にこれらの役割に女性を見つけることは困難です。 これは私にとって重要なことです。 私には娘や孫娘がいて、たとえ伝統的に女性がすべきとは思われていなかった分野であっても、彼女たちが望む分野を追求するよう常に励ましてきました。 あなたの法律事務所は女性が所有・運営しており、あなたは女性だけのサイバーセキュリティパネルを主宰していると聞いています。 ですから、これは不可能ではありません。 しかし、どうすればより多くの女性をこの分野に引き込むことができるのでしょうか？
Germano: サイバーセキュリティのパイプラインを全般的に拡大するため、そして特に女性やサイバーセキュリティにおける過小評価されている人々のために、多くのことが行われており、さらに多くの取り組みが必要だと思います。
私が取り組んできたことの一つは、2016以来、NYUでサイバーセキュリティにおける女性リーダーのプログラムを作成・運営してきたことで、ビジネス、政府、学術界からサイバーセキュリティのソートリーダーや幹部を集め、実質的なパネルディスカッションを行っています。 これは、この分野に非常に優れた知識と経験を持つ女性が多数いることを示す方法です。 なぜなら、あまりにも頻繁に、人々は自分が知っているいつもの人たちに頼り、その人たちがパネルに登用されたり、仕事の候補として検討されたりするからです。 もう少し広く目を向け、関わっている素晴らしい女性や過小評価されている人々やグループが多くいることを認識し、その一歩を踏み出すことが重要です。
さらに、次世代のリーダーを育成することに注力する必要があり、企業は組織内でそれを実践できます。たとえサイバーセキュリティの経験が十分でなくても、優秀で才能があり、良いチームプレーヤーであれば、役割を担えるよう成長するために必要なトレーニング、スキル、サポートを提供することができます。 それも重要だと思います。 それは、NYUでの私の仕事のもう一つの部分であり、エグゼクティブ教育プログラムで教えています。その中には、法学部と工学部のコラボレーションによるサイバーセキュリティリスクと戦略の修士プログラムも含まれており、現在この分野にいながらリーダーシップの役割へと進もうとしている次世代のサイバーセキュリティリーダーや幹部の育成を支援しています。
Thompson: キャリアとして取り組んでいない従業員に【サイバーセキュリティについて】異なる考え方をさせるにはどうすればよいでしょうか——私はその分野にいないし、コーディングが好きではないし、フーディーが似合わない……そういった人たちをどのようにして引き込むよう促せばよいのでしょうか？
Germano: それは素晴らしい質問ですね、Dougさん。なぜなら、本当に重要なことの一つは、サイバーセキュリティが多様な視点と多様な経験を必要とする学際的な課題であることを認識することだからです。 優れたサイバーセキュリティの専門家には非常に多くの異なるスキルセットが必要であり、この目的とこの分野でどのように貢献できるかを考えるために、さまざまな背景を持つ人々が必要です。 また、そこにある素晴らしい就職機会を理解することも重要です。 優れたリーダーシップを持ち、危機においても冷静さを保ち、チームを管理し、ビジネス戦略とガバナンスを理解できる人材が必要です。
そのような人々の中には、サイバーセキュリティの技術的な詳細やエンジニアリングの要素を理解している人もいれば、そうでない人もいるかもしれません。 また、必ずしもリーダーシップやビジネス、または取締役会の役割に自分を見出せないかもしれない非常に優れたエンジニアもいて、彼らも自分たちが提供すべきツールや重要な要素が何であるかを理解する必要があります。
ですから、多くの異なる背景から、この学際的なアプローチを理解し、異なる視点をもたらしながらも、自分が理解していない部分はどこかを率直に言える人々にとって、サイバーセキュリティで働き、組織や政府の両方を支援し、取締役会やサイバーセキュリティに貢献する素晴らしい機会が本当にあると思います。 さらに教育やトレーニングが必要な部分はどこか、あるいは知識のギャップを埋めるために外部のアドバイザーや専門家に頼る部分はどこでしょうか？
Thompson: それは素晴らしい指摘です。 チームが必要です、これを行うには本当にチームが必要です。
Germano: 長年にわたって変化したもう一つのことは、企業がしばしば審判を受けたり、法的措置や民事訴訟に直面したりするのは、必ずしも侵害されたという事実に対してではなく、インシデントへの対応方法に対してであるということです。つまり、社内外で適切なコミュニケーション戦略を持っていたか、ということです。 誰にどのような時間枠で通知する必要があるかを十分に認識していたか？ 必要な手順を踏んでいたか？
例えば、法執行機関への連絡、法執行機関との連携、パートナーや顧客と適切な方法で協力し、何が起きていたのか、何が起きたのかについて十分に透明性を持って対応していたか、ということです。 それが重要な要素です。 しかし同時に、組織を守り、状況を悪化させないよう適切なタイミングで脆弱性を管理することに責任を持つ必要があります。 それには優れた判断力と優れたリーダーシップが必要です。
Thompson: つまり、誰もが侵害されることを想定してそれに備えた計画を立てるべきだとおっしゃっているように聞こえます。何をすべきか？ そして、万全な対策が整っているから絶対に起きないと言うのではなく、こうした訓練を実施すべきだということですね。
Germano: まったくその通りです、まったくその通りです。 私たちは長い間そう言ってきましたが、企業がそれはただ「いつ」という問題に過ぎないと理解してくれることを願っています。 それを受け入れることが、危機の際に役立ちます。 責任の追及や恐怖に費やす時間を減らし、「さて、現状はこうだ。どう対処するか？」と言えるようになります。 どれだけ早く立て直し、インシデントに対応し、顧客やステークホルダー、そして組織——特に関係する可能性のある情報データやシステム——の保護に集中できるかが重要です。
Thompson: それは良いまとめ方だと思います。 Judi、お時間とご意見をありがとうございました。
Germano: どういたしまして。 Doug、ありがとうございました。 お話できて光栄でした。
Thompson: NYUサイバーセキュリティセンターのJudith Germano氏とお話しました。
取締役会メンバーまたは会社の役員の方は、タニウムの新しいオンラインサイバーニュースマガジンで、SECが提案する新しい規則について詳しく知ることができます。 また、取締役会がサイバーの課題の増大と連邦政府による監視の強化にどのように対応しているかについての継続的な記事シリーズもご覧いただけます。 tanium.comにアクセスしてください。
今日のトップセキュリティリーダーとの会話をさらに聞くには、Apple PodcastsやSpotifyなどのお気に入りのポッドキャストアプリでLet's Convergeを購読してください。 このポッドキャストが気に入ったら、ぜひ5つ星の評価をお願いします。
ご清聴ありがとうございました。 Let's Convergeの次のエピソードで、さらに多くのサイバーインサイトをお届けできることを楽しみにしています。
