著名人のTwitterアカウントを乗っ取り、暗号資産（仮想通貨）に関する偽の情報を投稿するサイバー攻撃が2020年に発生した際、ターナー氏は調査を担当した。同氏は当時を振り返り、「Twitterでは、不正を防止するための特権ID管理や、開発とシステム管理の職務分離ポリシーが適切に設定されていなかった」と語る。

　ザトコ氏がSECに開示した内容が正しい場合、つまりTwitterがID管理の統制やポリシーに関する問題を抱えているとしたら、同社の短文投稿サイト全体が危険だということを意味するとターナー氏は指摘する。

　サイバーセキュリティ企業Arctic Wolf Networksの研究開発担当副社長であるダニエル・サノス氏もザトコ氏の支持を表明し、次のように述べている。「マッジはサイバーセキュリティのコミュニティーにおいて高い信頼と評価を得ているリーダー的存在であり、彼の発言を軽んじるべきではない」

　サノス氏はTwitterへ向けられている疑惑について、他のソーシャルメディア企業でも観測されるパターンだと話す。「残念ながら、ソーシャルメディア企業がセキュリティとプライバシーの問題を曖昧にし、透明性に欠けた対処をする例があまりにも目立つ」（同氏）

　これらソーシャルメディア企業に関する一連の出来事は、各社の自己管理がうまく機能していないことを示している。ソーシャルメディア企業はいまや出版社のような存在となっており、各社には社会的信頼が強く要求される。それに伴い、ソーシャルメディア企業にはセキュリティや透明性に関する責任も生じるが、サノス氏は「明らかに各社はその責任を果たしていない」と指摘する。

　Twitterの短文投稿サイトは人々の重要な情報源だが、社内に脅威を抱える同社への信頼は揺らぐ。「ユーザーからの信頼を維持するためには、Twitter社内のセキュリティ管理を徹底し、最高レベルのセキュリティとプライバシーを確保しなければならない」（サノス氏）

　ソーシャルメディア運営企業はサービスの拡張を続けると同時に、セキュリティとのバランスを取る必要がある。「ネットワークのリソースや通信の可視化をはじめとしたさまざまなセキュリティ対策によって、ほとんどの欠点を補うことが可能だ」。クラウドセキュリティベンダーInfobloxの最高情報セキュリティ責任者（CISO）、エド・ハンター氏はそう語る。

問題はソーシャルメディア企業に限らない

　企業がセキュリティの脆弱（ぜいじゃく）性を抱えている問題は、ソーシャルメディアの領域にとどまらない。企業において、平時からセキュリティを健全に保つことを指す「サイバー衛生」（サイバーハイジーン）が欠如していることや、セキュリティのベストプラクティスを故意に無視することは、あまりにも一般的だ。

　例えば、アクセス管理ツールベンダーMyCena（MyCena Security Solutionsの名称で事業展開）のCEO、ジュリア・オトゥール氏は、ザトコ氏の主張はデータ保護における各社の対策が遅れている可能性を示すものだと指摘する。企業は自社のデータに責任を持ち、安全な状態に保つ義務があることを認識しなくてはならない。オトゥール氏は「従業員が重要データにアクセスするための独自のパスワード作成を許可することで、企業はデータの制御権を失っている」と語る。

　オフィスの鍵を従業員に作らせる組織はほぼ存在しない一方で、重要資産の一つであるデータにアクセスするためのパスワードを従業員に作らせる組織は存在する。「セキュリティを強化するためには、社内におけるデータ保護を徹底する必要がある」とオトゥール氏は語る。

　サノス氏は今回のザトコ氏による内部告発について、「取締役会とセキュリティリーダーが、オープンで正直な報告の場や関係を持つことの重要性を示している」と指摘する。内部の利害関係者が妥協してはいけない。ザトコ氏は、取締役会へ正確な情報を報告することをTwitterの上級管理職に妨害されたと主張している。サノス氏は、「ザトコ氏によるこの主張は、全てのセキュリティ関係者に懸念材料を与えている」と言う。

　ザトコ氏は、Twitter社内の脅威に対処するために同社に雇用された。「この一件は、自社のセキュリティを良くしようと変革に取り組むCISO（最高情報セキュリティ責任者）が、上級管理職から受ける干渉の例を示している」とサノス氏は語る。「セキュリティ分野における使命を重視する人なら、業界全体のために、マッジ氏が勝利することを望むはずだ」（同氏）