サイバーセキュリティの説明責任が厳しく求められる時代へ

米国証券取引委員会のサイバーセキュリティ規則は市場の透明性を向上し、自由市場の力を促進。

近い将来、過失によるサイバーセキュリティインシデントの責任から逃れることはできなくなると予想されます。完璧なサイバーセキュリティ対策はありえませんが、深刻なセキュリティインシデントの多くは、既知の脆弱性を突いたものであり、セキュリティ慣行やサイバー衛生が不十分であったためです。これらのトラブルはより強固なセキュリティ対策を導入することにより回避できたはずです。これは受託者の過失であり、株主、パートナー、顧客を軽視するような姿勢です。

米国証券取引委員会 (SEC) が提案した「サイバーセキュリティに関するリスク管理、戦略、ガバナンス、およびインシデントの開示」により、企業のサイバーセキュリティの方針、手続、監視、およびガバナンスは大きく変わると考えられます。これにより、経営幹部はサイバーセキュリティリスクを経営リスクとして扱い、株主、顧客、パートナー、および一般の人々が責任ある意思決定を行うために必要とされる重要な情報を提供することが要求されます。責任感を持つ経営幹部は、すでに前からこのような取り組みを実施しています。

この規則案は、SEC 登録企業に対し、サイバーセキュリティに関するリスクの特定および管理に関する方針や手続を開示することを要求します。また、これには、SEC 登録企業の経営幹部と取締役会のサイバーセキュリティリスク評価プログラムに対する監督の役割と関連するサイバーセキュリティの専門知識が含まれます。

企業の経済活動に関する政府の干渉は自由市場に有害であると言って厳格な措置に反対する意見もあるかもしれませんが、自由市場が機能するには透明性と情報に基づいた意思決定が必要です。このような措置は、サイバーセキュリティに関連する開示を拡充し、どの企業が顧客やステークホルダーに対する注意義務を尽くして行動しているかを理解するのに役立ちます。

サイバーセキュリティ違反は、企業の財政状態に対する打撃となります。復旧に関連するコスト、顧客、収益と評判の損失に関連するコストに加えて、株主訴訟、顧客訴訟、保険料の増加、監査人と規制当局からの監視の増加、経営陣の負担の増大、多額の被害が発生する可能性があります。

米国家安全保障局 (NSA) の元長官キース・アレクサンダー氏は、サイバースパイ行為は「史上最大の富の移転」を引き起こすと発言しています。サイバー犯罪は米国経済に年間 1,000 億ドル以上の被害を与え、知的財産の盗難による被害は年間 2,500 億ドルと推定されています。これは現実的なリスクであり、投資家は、投資の意思決定においてリスクを考慮するために企業がサイバーセキュリティリスクの評価と方針を策定しているかどうかを知る権利を持っています。

今日の脅威の状況は非常に動的なものであり、企業は、攻撃者やサイバー犯罪者が利用する最新の攻撃方法、技術、手順を継続的に評価し、セキュリティ対策を実施する必要があります。継続的にサイバーリスクを評価することにより、基本的なサイバーセキュリティ戦略を立案することができます。適切なサイバーセキュリティ対策の実施は、企業側だけでなく株主側にも価値をもたらします。サイバーセキュリティ慣行と監視の透明性を高めることを要求することは、企業経営幹部と取締役会の間でより強力なサイバーセキュリティに関するガバナンスと説明責任を促進し、より健全かつ均衡な市場を生み出します。

細かい点についてはまだこれから決めていかなくてはなりませんが、SEC の規則案は正しい方向に進む大切な一歩です。現状を支持する人々によって SEC が脱線しないことを願っています。