日本でも、情報セキュリティ責任者（CISO）の仕事が重視されてきており、内部昇進だけでなく、社外からの招聘もかなり行われています（デジタルと物理のリスクを両方見るという意味でセキュリティ責任者（CSO）と呼ぶ会社もあります）。この職種が注目を集めているとは言っても、企業ごとに業務内容や権限、さらには責任範囲も千差万別であり、そもそも企業ごとにリスクの質や大きさも異なります。ですから、個別のリスクの取り扱い方について、どのようにCISOの責任を判断するべきか、ひいては職業上のリスクと認識すべきかについても、まちまちなのは道理です。とは言え、一般的にCISOが負うべきリスクとその境界線はどの辺りなのでしょうか？ 反対に、どこから企業のリスクとなるのでしょうか？
CISOが負う個人的リスクの最大値はどれくらいか？
セキュリティ事故に遭うか遭わないかというより、いつ巻き込まれるかわからないという時代ですが、今年5月に歴史上はじめて、米国上場企業の経営幹部（CSO）がデータ侵害の取り扱いに関連して法令に抵触した廉（かど）で、連邦法に基づき刑事訴追され、裁判で有罪となりました。
ことはちょうど3年前に明るみに出ました。2020年8月27日のことです。1990年代の米国で第一世代のサイバー検察官として頭角を現し、その後サイバーセキュリティ業界の「ロックスター」として民間に華麗な転身を遂げたジョー・サリバン氏（Facebook社、Uber社、Cloudflare社のCISOを歴任）に対して召喚状が出されたのです。
2016年、Uber社の個人情報流出事件の取り扱い方に違法性が認められるとして、カリフォルニア州北地区連邦地方裁判所から、刑事事件の容疑者とされたのです。当時、同氏はUber社のCISOでしたが、かつて勤務していた古巣のFBIの同じ事務所の後輩が、司法妨害（合衆国法典第18編第1505条違反）、および、犯罪隠匿（合衆国法律集第 18 編第 4 条違反）の嫌疑で宣誓供述をしています。それぞれ最大禁固5年（および罰金25万ドル）、および禁固3年（および罰金25万ドル）の重罪です（つまり、二つ合わせて最大8年の禁固刑に相当）。
個人に対する量刑としては極めて重いと言えますが、データ侵害から組織を守るこの職業に固有の法的リスクとしては、今のところこれを上回る数字はありませんので、差し当たっては、現時点の最大リスクと見做せるでしょう。
何が起きたのか？
トラビス・カラニック氏が創業したUber社は、驚異的な成長を遂げる一方、スキャンダルや騒動といった話題も振りまいていた会社でしたが、デジタル技術と乗客およびドライバーの安全を確保すべく、2015年にサリバン氏を新設の経営幹部のポジション（CSO）に招聘しました。サリバン氏は、さっそく入社前の2014年にUber社で起きたハッキング事件に関する米国公正取引委員会（FTC）の調査に協力をする一方、セキュリティ強化にも取り組んでいます。
彼は、2014年の事件の事実関係をワシントンのFTCで開かれた調査委員会で供述しましたが、そのわずか10日後に、同事件と同様の手口による膨大な個人情報への不正アクセスが再びあったことを知ることになります。本件（同社ドライバー60万人の運転免許証情報や利用者やドライバー57百万人の個人情報への不正アクセス）処理に関連して、セキュリティチームにかん口令を敷き、社内報告を怠り（CEOを除く）、FTCやFBIに事実を隠蔽したこと、ハッカーに口止め料として10万ドルを払うに当たって同社のバグバウンティ制度（システムのバグを報告してくれた善良なハッカーに報奨金を支払う制度）を不正利用した（CEOとセキュリティチームの顧問弁護士を除く）こと、総じてFTCによるUber社のセキュリティ慣行調査を妨害したことなどが、訴状に書かれています。
耳目を集めた本裁判では、同氏が無罪を主張しましたが、2022年10月、陪審員は、いずれの嫌疑も有罪と認定しました。最終的に裁判所は、本年5月に保護観察期間3年、罰金5万ドルを言い渡し、結審しました。米国の保護観察制度は、日本の少年事件に関する用語とは異なり、刑罰の言い渡しを一定期間留保しつつ、行動制限と監視を課し、心理的な圧迫を与えつつ更生を図るものです。
ただ、真相は闇のままです。2017年、創業者CEOのカラニック氏がUber社を退任し、後任となった新CEOが2016年の事件を知り、セキュリティチームの顧問弁護士とサリバン氏を解雇したのですが、それ以来サリバン氏は本件について口を閉ざしています。また、2018年1月にロイターが特報として公開した調査記事によれば、FTCへの情報開示差し止め指示は同社法務部門によるものであること、セキュリティチームが同業他社へハッキングをしたといった証言、2016年の情報漏えいは未然に防ぐことができていたことなど、驚くことに、訴状とは全く異なる「事実」の数々が書かれているのです。裁判所の判断において、ただちに量刑が言い渡されなかった背景には、こうした事実認定の問題もあったのかも知れないと推測されかねない特異な報道です。
CISOは、自身に対する法的リスクをどう認識すべきか？
いずれにせよ、本件罪状認定は、世界的に業界に大きな動揺をもたらしました（日本での注目度は多少低めだったように感じましたが）。本件については、ISFでも昨年10月に公開した新しい脅威に関するポッドキャスト（『注目を浴びるCISO、戦争、テクノロジー』）の中で取り上げられており、この夏も聞き逃しサービス（Summer Listening - 23 August 2023）として再掲されています。該当箇所を書き起こして和訳してみます（ジャーナリストであるニック・ウィッチェルとISF Chief Executiveのスティーブ・ダービンとの対話の一部）。
（ここから引用）
（前略）
ニック・ウィッチェル では、大きな意味を持つ事件の話題に移りましょう。米国のUber事件です。この件ではCISOが有罪判決を受けて、賠償金も支払われていますが、CISOの責任の限度はどこにあるのかが問われていると思います。この事件から得られる今までにない教訓とは何だとお考えですか？
スティーブ・ダービン 確かに、大きな事件だと思います。今、誰もがこの件について話題にしていますよね。私としては、この事件は二つのことを意味していると思うのです。こうした規制についてかねて話をして、自分としては、本件については、極めて明確な法律問題との立場です。本件は、米国の連邦裁判所が、関連規制について真剣に取り組んでいることを示すために必要なレベルの影響力を行使する用意があることを示しているとも言えます。
このことは、私見によれば良いことだと思います。というのも、規制を遵守しないのであれば、そもそも規制を設ける意味がないからです。それがまず申し上げておきたいことです。もうひとつは、多くの人々が、これをきっかけに少し姿勢を正すのではないか、ということです。「ちょっと待てよ、政府はこの問題を真剣に考えているぞ」と。
そして、CISOも同様に、この問題を真剣に受け止める必要があるでしょう。実際、私たちは今、おそらくこれまでは見られなかったような、ある程度の責任が個人レベルで発生するのを目の当たりにしています。CISOの役割については、CISOの多くが役員としての地位を望んでおり、また肩書きの通り、実際に統括役員としての責務をしっかり果たすべきだという、議論が数多くなされてきました。そうした点からは、セキュリティに関して個人として果たすべき責任について、健全な議論が始まったと言えると思います。
しかし根本的には、我々が本件から経験として得たことは、実際に規制が存在し、それはいつでも執行されうるということです。ですから、社内の役割がCISOであろうと、CEOであろうと、サイバー防衛会議の委員であろうと関係なく、関連規制に注意を払うことを心掛け、従うようにしなければならないということです。そして、重ねて申し上げれば、これは極めて建設的な前進だと考えております。
ニック・ウィッチェル 今回の裁判結果を憂慮しているCISOは少なくないと思います。彼らが会社や所属組織から、個人的な責任に関して、これまで以上の保護を求めるのは道理にかなったことだと思われますか？
スティーブ・ダービン そうだと思います。繰り返しになりますが、健全な行為として、予め議論しておくべきだと思います。そのような会話は「その日」が来る前に済ませておきたいものです。そう、実際に事が起きてしまった日にではなく。ですから、私は、今回の件がそうした点に少し光を当てているのだと思います。おそらくCISOの何人かは、この仕事は自分には向いていないと判断するかもしれません。それはとても寂しいことです。というのも、ここ何年かの間、特にCISOにとっては、ストレスレベルが上昇し、仕事量も増加していると思われるからです。今回の事件が退任を決断するきっかけになってしまうのではないかと心配する人もいるでしょう。
ただ、やはり役員の地位に就きたいのであれば、こうした問題は、よくよく理解して、受け入れなければならない類のものです。つまり、これは業界の成熟、CISOの役割の成熟を表しているとも思われます。多くのCISOにとって、騒ぎが少し落ち着いた後に、法廷では実際に何が言い渡されたのかを正しく分析できるようになれば、何が許容されて、何が許容されないのか、ある程度の指針が得られるだろうと私は考えています。
（後略）
（引用おわり）
このダイアログがなされたのは、昨年10月の陪審員による有罪宣告の前のようですが、事件のスキャンダラスな性質や、かしまびすしい議論には触れず、またサリバン氏の行為についての適否の判断も留保しつつ、法令の存在と国家の本気度を挙げています。そして、一般に高い倫理基準を持っているCISOの職位にある方々に対して、さらなる覚悟を迫っているのは、流石に練れた見極めと言えるでしょう。
CISOは会社に忠実で献身的であるべきか？
CISOは、Chief Officer（統括役員）と呼ばれるものの、実態は名ばかりで、実は会社の法的な役員の地位にはなく報酬もそこそこであるにもかかわらず、責任ばかり大きくなっています。今やハッキングされるのは、会社の大小やセキュリティ予算に関係ありません。他方、CISOには、役員とは異なり役員賠償責任保険もなく、会社法上の責任限定契約もありません。そういう状況にもかかわらず、会社からは会社事業に忠誠を尽くすように求められる一方、法令や社会から厳しく糾弾されるのでは、CISOは会社のブランドや経営者に忠実かつ「献身的」でなければならないという通念にも疑問が投じられるかもしれません。
そもそも、上述の事例にも垣間見られるように、役員の中にもさまざまなリスク感度の方がいたり、役員も交代したりする中、「会社の判断」が変わる現実もあるのが実態です。また、ブランドやノレンを守るために一時的に事実を糊塗しても、やがてバレてしまうと理解しておくべきでしょう。さらに、本件でもFBIのインタビューに答えたセキュリティチーム員とロイター通信のインタビューに答えたセキュリティチーム員では、まったく違う内容を証言するなど、社内の身近な人々が見ている像も一つではありません。
CISO自身が透明性を高く維持することを倫理の第一に据えることが、とても大切になった時代だと考えます。「社内外に責任ある情報開示」ということになりますが、言うは易く行うは難しです。そこで第二の視点を持って、自身を励ますことも考えられます。つまり、サイバーリスクとは、とどのつまり人間による行為の反射効果ですから、人間に関する深い理解が求められるものです。犯罪者だけでなく、その便乗者や、事件を間接的に利用しようという輩までさまざまな人間模様が常にあります。そうした人間像の配置を見渡した上で、法令や関係当局そして政治・社会の動向にも敏感に反応した透明性ある分かりやすいストーリーを描かなければならないでしょう。そこには、倫理的見識を持つ努力と同時に、弱いずるい悪い人間性をきちんと見据え、会社として透明性を保てるよう関係者を説得する文学的素養もまた必要なのだろうと思われます。
セキュリティの仕事に人の心の観察が必要だという発想が、広がって来ているようです。もしも文学的素養があることで剣が峰（土俵）を割ってしまう可能性が減るとすれば、本好きや映画好きには、余暇の栄養で仕事の質が高まるわけですから、何だか得した感じもあります。
小原：hiro.ohara@securityforum.org
