英国の「サイバーセキュリティ・レジリエンス法案」では、組織のコンプライアンス違反に経営幹部の同意・黙認、あるいは意図的または不注意な過失が関与していた場合でも、規制当局が当該幹部個人を処罰できる規定が盛り込まれていません。貴族院議員らはこの点について、なぜこうした規定が見送られたのかと疑問を呈しました。
業界で長年繰り返されてきた主張を踏まえ、キドロン男爵夫人とラドフォード男爵夫人は、経営幹部個人に民事責任を課し、サイバーセキュリティを取締役会レベルの責務とする趣旨の修正案を支持しました。
「この修正案の狙いは、組織の文化そのものを変えることです。処罰を回避するために予防的な対策が講じられるようにするためです」とキドロン男爵夫人は述べました。「冒頭でも申し上げた通り、文化の変革はトップから始まるものです」
The Registerは、英国国民保健サービス(NHS)傘下の組織――その一部は今回の法案改正の対象となります――に対し、サイバーセキュリティを取締役会レベルの優先事項として扱うよう求める声をこれまでも報じてきました。
さらに最近では、60の組織が英国政府のサイバーレジリエンス誓約の趣旨に賛同し、自組織の取締役会がサイバーセキュリティに対する責任を負うことを確約しています。
修正案を支持する貴族院議員らは、過去10年間に導入された金融セクター向け規制を引き合いに出しました。これらの規制では、重大な違反があった場合に経営幹部に規制上または刑事上の責任を課すことができます。
また、こうした修正案はEUのNIS2指令――経営陣の説明責任に関する措置を含む――に法案をより近づけるものだと主張しました。もっとも、NIS2の下でも個人への責任追及は義務ではなく、加盟国によって実施方法は異なっています。
個人責任の追及を求める提案を支持し、クレメント・ジョーンズ卿は次のように述べました。「重要インフラを担う企業のトップとして数百万ポンドもの役員報酬を受け取るにふさわしい人物なら、それを守る個人的責任を負う覚悟があってしかるべきです」
複数の貴族院議員から支持があったにもかかわらず、政府は高額な上限罰金の導入と、二次立法を通じたセキュリティ・レジリエンス・ガバナンス要件の整備という既存方針を堅持する姿勢を示しました。
「組織、とりわけ重要サービスを提供する組織が、その活動について適切に責任を問われるのは至極当然のことです」と、サイバーセキュリティ担当閣外大臣のロイド・オブ・エフラ男爵夫人は述べ、個人責任に関する修正案には同意しませんでした。
同男爵夫人は、違反組織の年間売上高の4%か1,700万ポンドのいずれか高い方を上限とする罰金制度を挙げ、これを「実効性のある執行体制」と呼びました。
ロイド男爵夫人によれば、今後導入予定のセキュリティ・レジリエンス要件は、NCSC(英国家サイバーセキュリティセンター)のサイバー評価フレームワークに沿った取締役会レベルのガバナンスを義務付けるものになるといいます。ただし、その詳細についての政府の協議はまだ行われていません。
「これには、組織的な対応能力、経営幹部の責任、セキュリティおよびレジリエンスに関する説明責任、そして効果的なリスクエスカレーションといった論点が含まれることになります。こうした形で、取締役会に何が求められるかという明確な基準と、執行体制を通じた説明責任とを結びつけていきます」
報告義務、その他の論点
これとは別に、貴族院議員らは法案が定める厳格な報告義務の枠組みについても政府を追及し、現行の文言では規制当局が事務処理の負担で圧倒されかねないと警告しました。
このサイバーセキュリティ・レジリエンス法案の主な目的の一つは、対象事業者に対しより厳格な報告義務を課すことで、英国の組織が直面する脅威に関するデータをより多く収集することにあります。
法案では、規制対象の組織に対し、初動報告を24時間以内に、より詳細な報告を72時間以内に行うことを義務付けています。同法案では「インシデント」を、業務に悪影響を及ぼした、またはそのおそれがある事象と定義しています。
元セキュリティ担当大臣のネビル・ジョーンズ男爵夫人は、規制対象組織の報告負担を軽減するため、「そのおそれがある(capable of)」という文言を「その可能性が高い(likely to have)」に改めるべきだと提案しました。
クレメント・ジョーンズ卿もこれに同意し、現行の文言のままでは「防御的な報告という名の事務処理の津波を巻き起こしかねない」と警告しました。
さらに同卿は、政府による「データ侵害」の定義が過度に広範であり、「実際の顧客に何ら支障や損害をもたらさない技術的な異常値までもが通知義務の対象に含まれてしまい、通知範囲が劇的に拡大している」と主張しました。
同卿は、こうした報告規則とデータ侵害の広範な定義により、責任ある重要サービス事業者が防御力の強化よりも事務処理に多くの時間を費やす事態になりかねないと述べました。
これに対し政府の姿勢は変わらず、ロイド男爵夫人は、より厳格な報告こそが、既存の2018年NIS規則を刷新するという本法案の目的達成に不可欠だと述べました。
一部の貴族院議員が報告義務の負担軽減を求める一方で、別の分野ではむしろ義務を強化すべきだとする意見もありました。
サイバー攻撃対応について独自の知見を持つハーディング男爵夫人は、攻撃発生から14日後の中間報告と、1か月後の最終報告を求める提案をしました。
元TalkTalk最高経営責任者(CEO)としての経験を踏まえ、同男爵夫人は、72時間が経過すると被害組織は「実質的なデータ」を得られるようになるものの、「本当の意味で事態の全容をきちんと把握できるのは、実際には2週間ほど経ってからのことです」と述べました。
最終報告が出される1か月の節目には、「霧が晴れ始め、問題の本当の規模を正しく把握できるようになります」と同男爵夫人は語りました。
ハーディング男爵夫人によれば、経営幹部は通常、サイバー攻撃について一切口外しないよう周囲から求められる傾向にあるものの、これは犯罪者側を利するだけであり、その間にも犯罪者は他の被害者を攻撃し続けている可能性があるといいます。
「まだ全容が見えない段階であっても、規制当局や法執行機関とこうした情報を共有することで、初めて法の力が発揮されるのです」と同男爵夫人は述べました。
「それによって規制当局は何が起きているかを把握でき、影響を受ける可能性のある他の組織に警告を発することができ、さらに法執行機関が実際に犯人を特定するための捜査を進めることができるのです」
ロイド男爵夫人は、法案が定める現行の二段階方式について、規制当局が必要とするタイミングで必要な情報が既に提供される仕組みになっていると反論しました。
同男爵夫人は、24時間以内の初動報告によってNCSCに通報がなされ、他の組織にも影響が及んでいないかを判断できるようになる一方、72時間以内の報告にはより実効性のある対応を可能にするために必要な詳細が盛り込まれることになると改めて説明しました。
「私たちが定めたこの段階構成は、その要件を満たすものだと考えています。適切なタイミングで適切な通知が行われるよう、慎重に設計されたものです」と同男爵夫人は貴族院議員らに語りました。
「これらは、多くの高貴な卿方が前のグループで強く求められた通り、業界との協議を経て策定されたものです。
「さらに重要な点として、第15条に定める情報収集権限の下、規制当局は、報告されたインシデントの理解やその対応状況の把握に必要と判断した場合、追加情報を要求することも可能です。
「もちろん、これが適切となるインシデントもあれば、そうでないインシデントもあるでしょう。そうした実務上のバランスを可能にしているのが、この法案の仕組みなのです」
これとは別に、グランド委員会は法案審議の2日目を費やし、データセンターの責務の詳細を詰めるとともに、侵害発生後、影響を受ける下流の顧客への通知期限を72時間以内から24時間以内に短縮する要件についても検討しました。
また政府は、報告規則に基づいて収集されるサイバーセキュリティ関連データが、不当な海外での訴訟手続きに利用されかねないとの懸念についても退けました。ロイド男爵夫人は、閣僚らはこの問題を検討した上で、そのリスクは非常に低いと評価していると述べました。®
