Case Study

セキュリティ事件でスケープゴートにされるCIO

セキュリティ侵害が発生した場合、たとえCIOに過失がなくとも責任を負わされるケースが多い。CIOはどうしたら身を守れるだろうか。

公開 2006年09月19日 07時00分

更新 2012年09月04日 20時11分

著者

Kate Evans-Correia

Linda Tucci

[TechTarget]

印刷する

　セキュリティ侵害が発生すると、CIOは不吉な予感を抱く。仕事を失いかねないからだ。

　米復員軍人省（VA）のCISO（最高情報セキュリティ責任者）兼CIO代理を務めていたペドロ・カデナス・ジュニア氏が最近退任したのは、CIOの過失というよりも組織の機能不全に原因がありそうなセキュリティ事件の責任をIT担当役員がかぶった最新の例にすぎない。

　報道によると、カデナス氏とその前任者で上司だったロバート・マクファーランド氏は、同省のITインフラを刷新し、ITに関する権限を中央に集中させようとして悪戦苦闘した。マクファーランド氏は、同省が自己改革を進められないことにいら立ちを募らせ、5月のデータ流出事件の数週間前に辞任した。この事件は、VAの職員の自宅から、復員軍人2600万人分と現役軍人200万人分以上の個人データが無防備に保存されたノートPCが盗まれたというものだった。このノートPCはその後、データが元のまま保存された状態で見つかったが、この事件をきっかけに、同省で起きたほかのセキュリティ侵害が続々と明るみになった。

　カデナス氏は5月の事件後間もなく退任したが、退任前の2週間は有給休職を命じられていたと報じられている。マクファーランド氏についてもカデナス氏についても、不手際があったとの公式見解は示されていない。

　専門家は、セキュリティの問題には一般に多くの部門がかかわっているにもかかわらず、ITセキュリティが侵害されると、真っ先に責められる役員はCIOであることが多いと指摘する。

　「上層部はこう考える。『データが失われた。これはコンピュータの問題だ。となるとCIOのせいに違いない』と」とセキュリティ専門家団体の応用ネットワークセキュリティ協会（The Institute for Applied Network Security）でマネージングディレクターを務めるジャック・フィリップス氏は語る。「技術担当の役員が1人しかいなければ、やり玉に挙げるべき相手は1人しかいないということになる」

　VAに限らず多くの企業で、上層部があらかじめリスクの責任の所在を明確にしていないため、誰に責任を負わせるべきかが分からなくなっているという問題がある。

　初めてデータ侵害に遭うと、彼らは取りあえず誰かに責任を負わせるという反応を示す。「彼らはこうした事態にどう対応するかを、徹底的には検討していないからだ」とフィリップス氏。「ディザスタリカバリ計画や侵害への対応策は考えているが、どのようにけじめをつけるかまでは踏み込んでいない。『これこれの問題が起きたら、誰を首にするか』は、まったく検討されない」

　「現状では極端なパターンが目につく」とフィリップス氏は付け加える。「企業のデータ保護は著しく不十分だし、事件が起きた場合の解雇のやり方も極端だ」

CIOの権限強化

　情報セキュリティをうまく管理している企業は、通常、ITセキュリティ侵害の防止に必要となる全社的な意思決定を行う権限と立場を、CIOに与えていると、フォレスターリサーチのセキュリティアナリスト、ハーリド・カーク氏は語る。

　「CIOに実権を与えていて、何か問題が起こったなら、CIOに責任を取らせるのは当然だ」とカーク氏。

　しかし、CIOがセキュリティポリシーに責任を持っていても、ポリシーを強制する権限はないのであれば、退任させるべきではないとカーク氏は語る。「こうしたCIOが退任させられたら、それはスケープゴートにされたということだ。だが業界では、退任させられるケースの方が多いといえるだろう」

　世界最大のディーゼル機関車メーカーであるエレクトロモーティブディーゼルの副社長兼CIO、ジョイス・ヤング氏にとって、セキュリティ上の大問題が発生した場合に、誰の首が飛ぶかは自明だ。

　「それは責任者であるわたしだ」と同氏。

　ヤング氏は、セキュリティポリシーとその実施に責任を持つよう経営陣を説得するのは、言うはやすく行うは難しだと知っている。前の勤務先でIT担当役員として、経営陣に電子メールセキュリティ対策を進言したときの経験からだ。その対策は、赤、黄、緑の色分けによって注意を喚起するもので、赤で示される機密文書は、電子メールで送信することを原則的に禁じられていた。黄色の文書は幾つかの注意書きを付記して送信でき、緑の文書は自由に送信できることになっていた。

　ヤング氏はこの対策を、その会社に入社した週にウイルスが急速に社内にまん延したことを受けて立案した。

　「幸い、経営陣はウイルスをわたしのせいにはしなかった」と同氏。ウイルス被害を機に、同氏はセキュリティインフラの強化を迅速に進めたという。だが、色分けを利用した包括的な電子メール送信ポリシーは、まったく実現されなかった。「主に文化的な理由から、誰もこのアイデアに賛成しなかった」（同氏）

　実際、多くの組織は、従来のやり方から脱却して、セキュリティの管理と権限をCIOに委ねることができずにいると、カーク氏は指摘する。そうするには時間とコストが掛かる上、大きな文化的変化を避けられないからだ。

　例えば、下院復員軍人委員会は現在、CIOとCISOの権限不足が、5月に起きた職員のノートPCの盗難につながった面があると認めている。VAのジェームズ・ニコルソン長官が6月28日に出した指令は、VAのCIOの職権を拡大するものだ。この指令は基本的に、システムアクセス標準を策定する包括的な責任と権限をVAのCIOに与える内容となっている。

　VAのCIOの地位を次官レベルに引き上げることも、議会で現在検討されている。

自分の身を守る

　CIOの権限強化を図るこうした動きとは裏腹に、多くのCIOはそうした大きな役割や責任を引き受けたがらない。「率直に言って、CIOの多くは巨大な責任を負うことを望んでいない」とカーク氏。「実のところ、セキュリティ分野では、100のことを正しく行ったとしても、たった1つのミスが侵害につながるかもしれない。この分野の責任を担うことは、CIOにとって悪いことずくめと言ってもいいだろう」

　重要なポイントが2つある、とカーク氏は語る。「本音では誰も責任を引き受けたくない。その理由は、必要な変更を組織全体にわたって徹底できる立場ではないこと、そして、セキュリティは引き継ぎにくい課題であることだ」

　さらに同氏は、スケープゴートにされるCIOが増えているが、それは「CIOが組織の中枢に食い込むのは難しいからであると同時に、実際に人やプロセスではなく、技術の問題を扱っているからだ」と指摘する。

　専門家は、企業がCIOをトップとするセキュリティチームを設置し、そのメンバーに法務、監査、財務の各部門の代表者を含めることを勧めている。

　企業がさまざまな部門の代表者を交えたセキュリティチームを設置しようとしない場合には、「わたしがCIOで、セキュリティ責任者に任命されたら、取締役会に至るまでの決裁プロセスが常に書面として記録されるようにする」と応用ネットワークセキュリティ協会のフィリップス氏は語る。「そうすれば、セキュリティ侵害が発生しても、それはCIOではなく、経営陣が、一定レベルのリスクを容認することを決断したためということになる」

印刷する