SolarWinds元CISOが語る司法リスクと対策
セキュリティ担当者、必見 善意の情報公開が裏目に出た“痛恨の教訓”
大規模なサプライチェーン攻撃を受けたSolarWindsのCISOを待ち受けていたのは、当局による「詐欺罪」での起訴だった。信頼回復のための情報公開が、なぜわなになったのか。
2020年、ソフトウェアサプライチェーン攻撃を受けた監視ツールベンダーSolarWinds。ロシアのサイバー犯罪集団「Nobelium」が同社のソフトウェアアップデートに不正コードを仕込み、それがユーザー企業に配布された。数千社の企業が攻撃の影響を受けたとみられる。この事件は、大規模なサプライチェーン攻撃と広く認識され、SEC（米国証券取引委員会）により調査された。
当時、SolarWindsのCISO（最高情報セキュリティ責任者）を務めていたのは、ティム・ブラウン氏だ。2023年10月、SolarWindsと同氏はセキュリティリスク管理と内部統制の欠落で投資家を誤導したとして、詐欺罪で起訴された。訴えは最終的に取り下げられたが、ブラウン氏はCISOとしてのコミュニケーションについて「大きな教訓」を得たという。その教訓とはどのようなものなのか。
「継続的改善」という言葉が“過失の証拠”に？
併せて読みたいお薦め記事
CISOとして「生き残る」には
2020年の攻撃後、ブラウン氏はその詳細についてさまざまな情報を公開した。同氏は現在、ベンチャーキャピタルTeam8のCISOを務めている。同氏は当時の情報公開について、「今から考えればしないほうがよかった」と振り返る。しかし当時は、攻撃が大きな注目を集めることもあって、SolarWindsの信頼回復のために積極的な情報公開が重要だとみていたという。
しかし、さまざまな情報が公に出たことがSECの調査の要因となり、最終的に起訴につながった。調査の最初の年、SECはSolarWindsのコミュニケーション記録を収集し、ブラウン氏には電話からの情報、メッセージングサービス「WhatsApp」や「Signal」のメッセージの提供を求めた。
ブラウン氏によると、SECから同氏のコミュニケーションにおいて特に問題視されたのは、社内メールで「継続的改善」（continuous improvement）という言葉が使われていたことだ。継続的改善はIT業界でよく使用されるフレーズだが、SECは誤解を招きやすい表現だとして、その具体策に疑問を持ったという。
さらにSECは、SolarWindsがなぜ何年も同じアイデンティティー保護施策を講じていたかを尋ねた。ブラウン氏は、同じアイデンティティー保護施策を継続的に講じるのは、珍しいことではないと強調する。「通常の運用手順が、SECの視点からは過失と見なされた」と同氏は述べる。
ブラウン氏の教訓
ブラウン氏が自身の経験から得た教訓は、社内コミュニケーションにおける発言が「自分に不利に使われる可能性がある」（同氏）ということだ。そのため、CISOは自分の発言について細心の注意を払う必要があると同氏は説明する。自分が何をどう言うかを意識すれば、自分の発言をコントロールし、不利に使われることを防げるという。ブラウン氏の具体的なアドバイスは以下の通りだ。
- 明確なコミュニケーションポリシーを設ける
- 攻撃を受けた際の適切な行動やコミュニケーションを文書化し、CEOからの承認を得る。違反の場合の罰則を定義する。
- ポリシーを実行する
- 全ての従業員に対してポリシーを詳細に説明し、従業員がポリシーを理解するようにする。
- 規制をよく知る
- プライバシーやデータ保護の規制を熟知し、必ずそれに従う。
- 自己報告を奨励する
- 社内外のコミュニケーションチャネルに匿名報告機能を設ける。
- 内部チャネルを監視する
- メールやコラボレーションツールを含む全てのチャネルを監視する。
Copyright © ITmedia, Inc. All Rights Reserved.
TechTarget発 先取りITトレンド
米国TechTargetの豊富な記事の中から、最新技術解説や注目分野の製品比較、海外企業のIT製品導入事例などを厳選してお届けします。
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[NTTインテグレーション株式会社] 取引先のセキュリティをどう管理する？ 「SCS評価制度」対応の勘所を解説 -
製品資料
[NTTインテグレーション株式会社] SCS評価制度「★4」取得のカギ 最大の壁を突破する方法とは？ -
製品資料
[NTTインテグレーション株式会社] 2026年度末から運用開始 「SCS評価制度」に備えて製造業がやるべきことは？ -
事例
[ネットワンパートナーズ株式会社, アイビーシー株式会社] ハイブリッド環境の一元管理と快適な無線LAN環境、三井ホームはどう実現した？ -
市場調査・トレンド
[TD SYNNEX株式会社] 調査で学ぶセキュリティ運用の実態 人を増やさず品質を維持する方法とは？
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
2
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
3
IT人材の42％が転職予備軍 辞めさせない組織の4つの共通
-
4
「HDD終了」は本当か 巨大クラウド2社が下した大容量フラッシュへの決断
-
5
“脱Excel”を待ち受ける乱立問題 カカクコムが新ツール導入を見送った理由
-
6
「WSUS」終了の時限爆弾 “本命”移行先ツールとMicrosoft提唱の新管理手法
-
7
VMware離れがやっぱり加速 2500台のVM移行に挑む製造大手から学ぶ現実解
-
8
「ひとり情シス」が急に退職 専門商社が外部パートナーと挑んだネットワーク刷新の裏側
-
9
「コピペ運用の限界」に直面するAI活用 7割超が“別画面”のまま使う理由は？
-
10
DX導入企業の3割超がむしろ「負担増」 9割が陥る“内製化のわな”
ホワイトペーパーランキング PR
-
1
DX／AI投資の壁を突破、現代の最高財務責任者が直面する課題と克服のヒント
-
2
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
3
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
4
バックアップは“取っているから大丈夫”なのか？ ランサムウェア時代の備え方
-
5
システムの保守がモダン化を阻む？ 「変えない判断」から脱却する方法とは
-
6
生成AIを開発に導入しても効果が見えない？ 実証実験で分かった成果と課題
-
7
経産省DX指針から読み解く、受発注業務デジタル化ロードマップ
-
8
ネットワーク遅延の原因、「パケットロス」の基礎知識と効果的な解決策
-
9
5分で分かる Microsoft 365のデータ損失に備えるためのバックアップの仕組み
-
10
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー