国防・航空宇宙企業、サイバーセキュリティ契約要件の不履行疑惑で政府と和解

デラウェア州に本社を置く国防・航空宇宙企業が、契約上のサイバーセキュリティ義務を怠ったとする政府の指摘をめぐり、米国の関係機関と和解しました。

政府がILC Doverとilc Astrospaceを総称して「ILC」と呼ぶ同社は、陸軍省、ミサイル防衛局（MDA）、アメリカ航空宇宙局（NASA）との契約に関する不正請求防止法（False Claims Act）違反の疑いを解決するため、1,300万ドルを支払うことで合意しました。

政府によると、ILCは2018年から2024年にかけて、契約で定められたサイバーセキュリティ要件を満たしていないと認識しながら、これらの機関との契約で虚偽または不正な支払い請求を行っていたといいます。

たとえばILCは、適切な保護措置を講じないまま、機密データをクラウドに保管するためにサードパーティ企業を利用していたとされます。また、対象となる各情報システムについて、義務付けられたセキュリティ計画を策定・更新していなかったとも指摘されています。

「サイバー攻撃への最善の対応は、そもそも攻撃を未然に防ぐことです」。デラウェア地区連邦検事のベンジャミン・ウォレス氏は、火曜日に発表した報道発表でこう述べました。「ILCが違反した義務は、悪意ある者が米国の技術革新を悪用するのを防ぐために存在します」

ILC Doverの親会社である米国の産業機械大手インガソール・ランド（Ingersoll Rand）は、この問題は同社を買収した際に引き継いだものだと説明しています。

「2024年6月のILC Dover買収後に本件を把握し、特定された問題に速やかに対処して、2024年10月までに適用要件を満たしました」。インガソール・ランドの広報担当者サラ・ハセル氏はこう述べています。「当社は責任を認めないまま、米司法省との間で本件を解決することに合意しました。今後も強固なサイバーセキュリティ対策の維持に努めます」

1,300万ドルの和解金は、司法省が2022年にサイバーセキュリティ上の不備を理由に請負業者へ制裁を科すため不正請求防止法の適用を始めて以降、比較的大型の和解の一つです。同法は南北戦争時代に、不正な請負業者に対処するため制定されました。

「機密情報をサイバー脅威から守るため、国防・航空宇宙分野の請負業者は、連邦政府との契約や下請契約に定められたサイバーセキュリティ要件を順守しなければなりません」。司法省民事局のブレット・シュメイト司法次官補はこう述べています。

同法の下では、一般市民が請負業者による政府への不正を告発でき、和解金の一部を受け取る権利があります。ILCの事案では、同社の元サイバーセキュリティ部門責任者で内部告発者のフィリップ・ルート氏が235万ドルを受け取ります。

政府契約を扱う弁護士らは、今後予定されている規制の大幅な見直しによって、不正請求防止法の処罰対象となる企業が増える可能性があると指摘しています。