この賞だけは欲しくない

コンプライアンスの「ワーストプラクティス賞」発表

ここ1年くらいの間にコンプライアンスで大失敗をやらかした企業や組織などを認定する「ワーストプラクティス賞」を発表しよう。

公開 2008年05月23日 08時00分

更新 2012年09月04日 18時58分

著者

Mike Rothman

[TechTarget]

印刷する

　ここ1年くらいの間にコンプライアンスで大失敗をやらかした企業や組織などを認定する「ワーストプラクティス賞」を勝手に立ち上げたので、発表しよう。

　では早速ご紹介。トップは「リップ・バン・ウィンクル賞」のTJXだ（リップ・バン・ウィンクルは同名の物語の主人公で、山中で20年間眠り続けた後で目覚めた）。小売りチェーンのTJXは、システムが侵害されていたことに何年も気付かなかった。それを考えると、同社には永久ワーストプラクティス賞を与えてもよいだろう。

　店舗の無線ネットワークを保護するのにWEPを利用する一方で、データベースやログ情報の監視を怠り、しかも穴だらけのPOSアプリケーションを使うのは、間違いなくコンプライアンスのワーストプラクティスといえる。つまり、TJXのお粗末さは飛び抜けており、今後同社のケースを上回る規模のデータ漏えいが発生するとは考えにくい。もっとも、それは楽観的に見た場合なのだが。

　次は「事件を手助けしたで賞」。受賞者はVisaだ。同社は、TJXにPCI DSS（PCIデータセキュリティ基準）の順守を2年間免除した。その間、攻撃者はTJXのデータベースをずっとあさり続けていた。同社への猶予がどのような審査プロセスを経て承認されたのかは分からないが、猶予が解除されていることを期待したい。現在の状況では、同基準の順守について例外があってはならない。

　次は「看板倒れで賞」で、その栄誉に浴するのは米国厚生省。同省が所管するHIPAA（医療保険の相互運用性と説明責任に関する法律）は、さっぱり実効が上がっていないからだ。悲しいことに、リスク管理の観点から見ると、医療機関にとっては基本的に何もせず、当局に注意を受けてからセキュリティ問題の解決に取り組む方がコスト対効果が高い。

　医療機関がHIPAAに基づく検査に引っ掛かり、罰金を科される可能性はほとんどない。患者にとってはひどい話だが、こうした状況が現実に起こっている。だが、ありがたいことに多くの医師や病院はクレジットカード払いを受け付けているため、PCI DSSの順守も義務付けられている。従って、彼らのセキュリティ対策は前進していくだろう。しかし、それはHIPAAのおかげではない。

　ユーザーに対する姿勢に注目した賞もある。まず、「手をこまねいていたで賞」。受賞者はオンライン証券大手のTD Ameritradeだ。同社が2007年秋に公表したデータ漏えいの被害は大きな話題になった。この事件では、同社の顧客の個人情報が少なくとも630万人分盗まれた。しかも、同社は1年以上前からデータ漏えいに気付いていた可能性もある。同社は、そうした事実はないと主張しているが、以前からスパム（迷惑メール）関連の訴訟で同社を訴えている弁護士は、この主張を否定している。この件については、約18カ月後に集団訴訟の裁判が始まることになっている。

　データ漏えいの可能性がある場合に公表しないことも、コンプライアンスのワーストプラクティスだ。まだ事実確認中で状況を管理しようとしている間は、企業が公表しないのも容認できる。しかし、公表を何週間も遅らせるのは極めてまずいやり方だ。もし1年も遅らせれば、たちまち世論の裁きを受けることになる。また、企業がデータ漏えいの発生から数日間、何が起こっているか分からないでいると、時間の経過とともにより悪いニュースを発表する羽目に陥ってしまう。

　一方、「踏んだりけったりで賞」に輝いたのが大手製薬会社Pfizerだ。同社ではデータ漏えいが1回にとどまらず、2カ月の間に別の問題から2回も発生した。最初の漏えいは内部者の攻撃によるものとされており、同社の社員1万7000人分の個人情報が流出した。そして、人々が「雷は同じ場所に2度は落ちない」と思った矢先に、Pfizerの契約業者所有の個人財務情報が保存されたノートPCが紛失した。まさに泣きっ面にハチだ。

　では、企業はどうすればこのようなワーストプラクティスを避けられるのか。データ漏えいが発生したら、社員全員に厳戒態勢を取らせなければならない。最初に問題が起きたときに企業が率直に認めれば、それ自体はプラスに評価される。だが、短期間に問題が再発してしまったら元も子もない。企業は何事も厳しくチェックすることを社員に徹底するとともに、契約業者がデータ保護の必要性を理解していることを確認し、データ漏えいの再発防止プロセスを導入すべきだ。これらに伴って生産性が若干低下するかもしれないが、データ漏えいが再び起きてしまった場合のブランドへの打撃は、それとは比較にならないほど大きい。

　最後の賞は消費者に与えられる。われわれ消費者の信頼を裏切り、データを流出させてしまうTJXのような店でまだ買い物をしたり、そのような企業と付き合いを続けている顧客（わたしも含めて）が大勢いるからだ。

　われわれは皆、お金の使い方を通じて意思表示をしなければならない。個人データの機密を保持できない企業と付き合うべきではない。われわれが付き合わなければ、こうした企業は顧客データ保護の重要性を思い知るだろう。また、すべての消費者が、1年前までにデータ漏えいが発生した場所では買い物をしないことに決めるべきだ。その決意を貫いて消費者が勝利するまでには、かなりの不便を被るかもしれない。しかし、背に腹は代えられない。

本稿筆者のマイク・ロスマン氏は、アトランタにある業界調査企業、Security Inciteの社長兼主任アナリストを務めており、著書に「The Pragmatic CSO: 12 Steps to Being a Security Master」がある。

印刷する