何を保存すべきなのか？

電子情報開示でITと法務の連携が必須な理由

データ保存の日常業務と訴訟に備えた証拠保全は、IT部門と法務部門の連携が鍵を握る。訴訟資料裏付けの一助となり得るデータの多くはIT部門が管理しているからだ。

公開 2008年04月17日 08時00分

更新 2012年09月06日 13時06分

著者

Trent Henry

[TechTarget]

印刷する

　1930年代以降、米国の司法手続きには中心的な概念がある。係争当事者は、判事や陪審に案件を提示する前に、事実関係を徹底調査する権利があるという概念だ（これが法廷外の和解につながることもある）。

　法廷での「驚き」はテレビドラマでは絵になるが、米国の判事は司法的要素としての驚きを好まない。従って訴訟の事実確認の段階では、法廷で双方の主張や弁護を裏付けるのに役立ちそうなあらゆる証人、文書、場所、「物事」への自由な接触が義務付けられている。

　ITと法務の関係強化の話に入ろう。企業における電子情報の重要性を考えると、訴訟資料裏付けの一助となり得る証拠の多くは、ITおよび情報セキュリティ部門が管理している。論理上、この情報は利用できるものと弁護士は考えている。ITと情報セキュリティ部門は、法務部門とどのように連携したらいいのだろう。

　確認しておくべき基本的な問題が2つある。法務はIT部門に対し、「何のデータを保存しておくべきなのか」を確認する。IT部門は回答の根拠として、自社のシステムおよび情報のビジネスニーズ（法令上、契約上の規定を含めて）を説明する。IT部門は法務に対し、「何を保存しておく必要があるのか」と問い掛け、法務は情報の保全が必要な係争中あるいは将来の裁判について説明する。

　IT部門はさらに、次の2つの質問をすることになる。1つは「保全命令の現状は？」という質問だ。その結果、事実確認規定に基づいてIT部門が通常の情報ライフサイクル業務を続けてもいいと認められていることが判明する。これは、通常のビジネスプロセスの一環としてデータが破棄されることを、裁判所が想定しているということだ（明文化されていることが前提となる）。組織にはこの行為について免責が認められている。言い換えれば、通常通りの業務を行っていれば裁判所との間でトラブルが起きることはない。しかし、もし訴訟が進行中あるいは訴訟になることが予想される場合、「法的保全」の一環として関係する情報を保全する必要がある。従って、IT部門は顧問弁護士と継続的に連絡を取り、どのようなデータを保全しなければならないのかを把握する必要がある。

　IT部門にとって最善の策は、法務が何をしているのか常に情報を得ておくことだ。そこで、2つ目の質問が出てくる。「新規あるいは予想される訴訟について現在どのような手続きを進めているのか」。IT部門にとって好ましくないのは、法務から「A社が来週わが社を提訴するらしい。あのプロジェクトについてのデータはどうしたっけ？」といったあいまいな問い合わせが来ることだ。差し迫った訴訟については継続的な、先を見越した会話がはるかに望ましい。

　法務は相手側弁護士と交渉しているので、データ作成にどれくらいの費用が掛かるかを把握する必要がある。情報が長い間使われていない地下の倉庫に保存してあり、掘り起こすために多額の費用が掛かるのか、それとも売り上げ予想のために定期的に使っていて簡単に収集できるのか。訴訟の内容が明らかになったら、IT部門は顧問弁護士が重要データの所在と作成スケジュールの見通しを立てる手伝いをしなければならない。具体的には「データはどこにあるのか」「収集期間は」「誰が利用・管理しているのか」「長期的にはどのように管理されてきたのか」「修復または取得し直すのにどれくらい時間がかかるか」「費用はどのくらい掛かるのか」という質問に答える必要がある。

　法務からIT部門への助言も欠かせない。重要なポイントは「文書のメタデータをどうするか」だ。例えば原告側が、元従業員が企業秘密を新しい雇用主に渡したと訴えているとする。それがかつての雇用主のものであることが、新しい雇用主のメタデータに示されていれば決定的だ。

　不必要なメタデータと過去のバージョンのファイルは、保存する前に文書と記録から削除するのが理想的だ。しかし、法曹界自体がいまだにファイル形式とデータ改訂の問題に取り組んでいるさなかだ。従って、メタデータの処理技術に関する決定は何であれ、実行に移す前に法務の了承を得ておくことが望ましい。例えば、法務に相談なしにアーカイブ文書のメタデータをいじってはいけない。

　メタデータ問題は有罪につながるだけでなく、情報の正確性と正当性が問われる根拠にもなりかねない。例えば、要求している側は本当に、「DATE_TODAY()?」のマクロを含んだネイティブファイルを必要としているのか。受け取った文書は必然的に元の文書とは違うものになり、望んでいたような結果にはならないかもしれない。

　最後に、IT部門は「このデータが正しいことをどうしたら示せるか」という疑問にも答える必要がある。証拠規則に基づき、企業の記録は推定有効なものとされている。そしてこの有効性に異議を申し立てる側は、その推定を論破する義務を負う（例えば改ざんや例外的に破棄された証拠を示すなど）。しかし、どのようなセキュリティコントロールが情報の完全性を守る一助となるかを法務に知っておいてもらうのが賢明だ。

　電子情報開示と法務・IT部門間の連携の必要性について説明したが、要は、双方がお互いにとって必要なノウハウを持っているということだ。そしてそれぞれの部門が主力業務に専念する必要がある。訴訟戦略、原告同士の交渉、電子情報開示規則の詳細に関する問題は、訴訟時間次第だ。情報保全ポリシー、自動化の適切な利用、情報保全の最善な方法の問題は、ITとセキュリティ部門が担う必要がある。適切でコスト効率の高い電子情報開示管理のためには、質問し、耳を傾け、常に連携することが鍵となる。

本稿筆者のトレント・ヘンリー氏は米Burton Groupのリサーチディレクター。CISSP（公認情報システムセキュリティプロフェッショナル）の資格と、Identrus、Digital Signature Trust、Ameritech、Appleなどの各社で15年にわたりIT業務に携わった経験を持つ。過去にはPKI業界セキュリティ管理・技術研究、インターネットサーバ・プロトコル製品開発、大規模ネットワーク・分散システム導入に携わった。情報セキュリティと監査、コンプライアンスに関する講演や著作にも定評がある。スタンフォード大学の学部課程修了。

印刷する