ITを超えて：なぜ法務がサイバーセキュリティの鍵を握るのか

• 現代のサイバーリスクは非常に深刻で、ガバナンス、プライバシー、企業文化を含め、情報セキュリティチームの所管をはるかに超えて広がっている。

• 近年の注目度の高い侵害事件は、サイバー侵害が大企業のブランドや貸借対照表にどれほど大きな損害を与えうるかを示している。

• ゼネラル・カウンセルは、情報の保護とプライバシー、生産性、規制順守のバランスを取るガバナンスを経営陣が策定する上で、極めて重要な役割を担っている。

現代のゼネラル・カウンセルは、取締役会にとって重要なサイバーリスク対応の味方である

サイバーリスクの影響は企業を壊滅させかねない。よく見られるように、サイバーセキュリティの侵害は、知的財産や個人情報といった重要なデータの喪失を招き、多額の罰金や法的責任につながる。

サイバーセキュリティリスクの管理と軽減の責任は、従来、主に情報セキュリティチームが担い、多くの場合、最高情報・セキュリティ責任者（CISO）の下に置かれてきた。しかし、受託者責任としての「最終的な責任」は、実際にはCISOやCEOだけでなく、取締役会に帰属する。

幸いなことに、取締役会には味方や助言者がいる。リスクが深刻化するにつれ、セキュリティ環境の広がりも増し、その波及効果は現代のCスイート全体に及んでいる。ゼネラル・カウンセルの役割は、セキュリティ製品・サービスの導入から、侵害の調査と対応、規制当局への報告、新たなベストプラクティスや基準についての取締役会への助言に至るまで、サイバーリスク管理という地雷原を組織が切り抜けるうえで極めて重要になっている。

ゼネラル・カウンセルの部門は、急速に変化するリスク環境を取締役会が理解し、サイバーセキュリティを管理し、規制を順守し、透明性の高い情報発信を確保するための効果的な意思決定を行えるよう支える、重要な味方であるべきである。

2013年、Yahooは大規模なサイバーセキュリティ侵害に見舞われ、当時の地球人口のほぼ半数にあたる30億のメールアカウントが流出した。この侵害自体も深刻だったが、Yahooの対応のまずさとデータ侵害の開示の怠りは、侵害そのもののコストをはるかに超える財務的損失と罰金をもたらした。2017年、Verizonは Yahoo の買収価格を合意額から3億5,000万ドル引き下げ、44億8,000万ドルとした。2018年4月までに、米証券取引委員会（SEC）は、侵害を開示しなかったとしてYahooに3,500万ドルの罰金を科し、同年9月までに同社は株主派生の集団訴訟を4,700万ドルで和解した。

そして、Yahooは近年見出しを飾った数々の侵害事件の一つにすぎない。ほんの一例を挙げれば、Equifax（5億7,500万ドル）、Uber（1億4,800万ドル）、Capital One（8,000万ドル）が、サイバー侵害の管理の失敗によって被った財務上の罰金について尋ねてみればよい。判決は明らかだ。サイバーリスクを適切に管理できない企業は、ブランドや貸借対照表に深刻な損失を被り、その回復には数年を要することもあれば、場合によっては回復しないこともある。

企業の取締役や経営者は、ガバナンス、従業員のプライバシー、企業文化を包括的に捉えた形でサイバーリスクに取り組まなければならない。デジタル接続性の重要性が増し続けている現状を踏まえると、これらの課題は情報セキュリティチームの所管や技術的資源をはるかに超えて広がっている。そのため、これらは有効な取締役会の意思決定を可能にするため、リスクプロファイル全体の評価に反映させなければならない。

取締役会は、リスク管理の意思決定を支えるため、より幅広いステークホルダーを関与させなければならず、特にゼネラル・カウンセルの関与が必要である。ゼネラル・カウンセルは、企業秘書役の助言者としての立場から、新たな基準について助言し、取締役とセキュリティチームをつなぐ橋渡しを行い、そして何より、サイバーセキュリティを事業戦略と統合して信頼を醸成し、プライバシーを確保し、価値を創出する上で有利な立場にある。

技術的な解決策だけでは、現代のリスクに対する保証とはならない

企業のコンプライアンスの管理者として、法務責任者は、取締役会がサイバーリスクをどう捉えるべきか、経営幹部がサイバーインシデントにどう対処すべきかについて指針を示すことができる。彼らは取締役と最高経営責任者、そして人事、企業およびプロダクトのセキュリティ、IT、営業、エンジニアリング、広報、投資家向け広報（IR）の各部門責任者の間の架け橋となる。

サイバーセキュリティは、急速に拡大する脅威の状況に追いつくため進化を続けている。先手を打つには、人々のデータとの関わり方の理解、継続的な監視、リスクの測定、データ損失前の自動対応にまたがるサイバーセキュリティ技術が極めて重要である。ゼネラル・カウンセルは、こうした取り組みが規制上の義務を確実に満たすようにする上で重要な役割を果たす。GCの貢献がなければ、最良の技術的ソリューションであっても、失敗に対する保証とはならない。

サイバーリスクの評価と対応の手法は、政府や民間の標準化団体、格付け機関、投資家、および保険会社の尽力によって進化してきたが、経営陣は、リスクに適応する新技術がサイバーセキュリティのポートフォリオに加わる際、そのプライバシーへの影響を理解しなければならない。

この現代の環境において、ゼネラル・カウンセルは、重要かつ機密性の高い情報の保護と、生産性および規制順守の確保とのバランスを取るガバナンスと統制を、取締役会およびCスイートが確立する上で支援できる。

これは、従業員の個人を特定できるデータに誰がアクセスできるかを定める方針の策定を意味する場合がある。対象はインターンから最高経営責任者までに及び、偶発的または悪意のあるデータの漏えいや窃取を調査する際に適用される。また、次のように問うことも意味する。セキュリティアナリストは、取締役、CISO、CEO、あるいは企業の法務担当者と比べて、何を知っているのか。

取締役会と従業員は、どの個人データがアクセス、利用、保存、削除されているかを知りたいと考えている。ゼネラル・カウンセルは、従業員、顧客、パートナーのデータに関する内部侵害の疑いを調査し対応するにあたり、CEOやCISOを導くガバナンス手続きの確立を支援できる。データ侵害が起きた場合、問題は「起きるかどうか」ではなく「いつ起きるか」なのだ ― ― 法務担当者は、調査プロセスを促進し、規制当局への開示を実行することで、罰金や訴訟によるさらなるリスクを回避または軽減できる。

ゼネラル・カウンセルは、社内の他のリーダーをつなぐ重要な架け橋である

従来、サイバーリスクの評価と取締役会への報告はCISO単独で主導されてきた。しかし、その手法は、サイバーセキュリティの判断を、本来支えるべき事業から切り離してしまうという大きな限界があった。組織内で依然としてCISOが最も卓越したサイバーセキュリティの専門家であることに疑いはないが、ゼネラル・カウンセルは、より広い視点からリスクをより包括的に管理するために必要な結合組織の役割を果たせる。

Cスイートは、データセキュリティ、プライバシー、信頼に焦点を当てた指導的ポジションを含むように進化を続けている。10年前、15年前にはCISOの役割は存在しなかった。今日、CISOは経営の中枢に加わり、監査委員会や取締役会全体に直接アクセスできる立場に引き上げられている。

サイバー上の不安定さという試練の中で形成された、法務、事業、セキュリティのリーダー間のこの協力関係は、急速な変革とデジタルによる破壊という、この並外れた時代を通じて企業を前進させる助けとなるだろう。