オラクルのセキュリティ責任者がサプライズ退任、AIへの注力シフトで

オラクルのベテラン最高セキュリティ責任者（CSO）メアリー・アン・デビッドソン氏が、予期せず同社を退任することとなり、約40年にわたる上級管理職としてのキャリアに終止符を打ちます。

1988年に米海軍からオラクルに入社して以来、同社の著名な人物であったデビッドソン氏は、その時代から生き残っている数少ない上級社員の一人でした。当然ながら、彼女の退任は、社内関係者によってBloombergにリークされたことで、より深い意味を持つと見る向きもあるでしょう。

もちろん、タイミングは単なる偶然かもしれません。Bloombergによれば、今年3月、同社はクラウド部門および管理職を中心に非公開のレイオフを開始し、世界16万人の従業員のうち数百人規模の削減が行われたと推定されています。

詳細について会社は沈黙を守っていますが、今月も同規模のさらなるレイオフが報じられています。これらの人員削減は、同社が巨額を投じているAI投資、特にOpenAIのワークロードを運用することになる巨大なStargate Projectプラットフォーム契約への資金を捻出する試みと広く解釈されています。

デビッドソン氏の退任について公式発表はありませんが、これはオラクルにとって重要な時期に重なっています。今年初め、同社は潜在的に深刻なデータ侵害への対応を繰り返し過小評価したとして、広く非難されていました。

パッチ対応の問題

これほど長くオラクルのセキュリティに携わってきた人物だけに、デビッドソン氏の在任期間も決して無風ではありませんでした。

最初の騒動は2004年に始まりました。当時、同社は英国のデータベース脆弱性ハンター、デビッド・リッチフィールド氏から、自社製品で発見されるセキュリティ欠陥の増加に対するパッチ対応の遅さを厳しく批判されていました。オラクルとデビッドソン氏は不用意にも反論し、公の場での応酬が続きましたが、最終的には静かに撤退しました。

より最近では、2015年に「No, you really can’t（本当にできません）」と題した企業ブログを巡る悪名高い論争がありました。デビッドソン氏はこの中で、「当社のコードをリバースエンジニアリングして脆弱性を探そうとする顧客」を名指しで批判し、「（大きなため息を挿入）」と書きました。

「だから私は、‘hi, howzit, aloha’で始まり‘ライセンス契約を遵守し、当社のコードのリバースエンジニアリングをやめてください’で終わる手紙を顧客にたくさん書いているのです」と、後にその内容がSeclists.orgで再掲載された投稿で述べていました。

批判が高まる中、オラクルは再び撤退を余儀なくされ、記事をすぐに削除し「この投稿は当社の信念や顧客との関係を反映するものではありません」とコメントしました。

完全な情報開示

公平を期すなら、ソフトウェアベンダーがパッチ対応をコアなセキュリティ機能とし、脆弱性ハンターを敵ではなく味方と認める発想を受け入れるのに、オラクルだけが遅れていたわけではありません。

それでも、時折の失策は現在まで続いており、最近では今年初めに、既知の脆弱性CVE-2021-3558を悪用した攻撃者によるオラクルサーバーの侵害疑惑に関する、回避的かつ混乱した報告がありました。

同社の最初の対応は、侵害が発生していないと顧客にメールで否定するものでしたが、後になって「重要な顧客データを保存していない2台の旧式サーバー」でインシデントが発生したことを認めました。

顧客が気づかず、記者もいずれ質問をやめることを期待して、できるだけ情報を開示しない企業の姿勢が印象付けられました。この戦略がデビッドソン氏の指示だったという証拠はありませんが、彼女がこれまで重要な問題を公に過小評価してきた経緯を考えると、もっと早く介入すべきだったとも言えるでしょう。

「オラクルでの侵害はSECの開示規則に該当します。もし過小評価されたり、適切に報告されていなかった場合、それは重大なことです」と、米サイバーセキュリティコンサルティング会社Prism Oneのティモシー・J・マーリー氏はコメントしています。ただし、彼女の退任を最近の侵害と結びつけるのは行き過ぎでしょう。

「セキュリティリーダーシップでこれほどの在任期間はほとんど見られません。正直なところ、彼女が単に今が身を引くべき時だと判断したとしても驚きません」とマーリー氏は述べています。

しかし、より可能性が高いのは、オラクルがAIに精通した若い幹部への世代交代を進めているということです。「AIは私たち全員に戦略や戦術的ソリューションの再考を迫っています。私たちは不確実な未来に備えるため最善を尽くしています。長く業界にいる者にとっては、迅速に適応するか、取り残されるかのどちらかです」と彼は語ります。

さらに、アナリスト企業The Futurum GroupのVP兼プラクティスリードであるブラッド・シムニン氏によれば、AIの登場はオラクルにとって単なる新市場への移行以上の意味を持ち、長年のセキュリティに対する前提を揺るがすものでした。

「AIそのものが、企業や攻撃者のセキュリティ観を変え、リスクを高めるだけでなく、攻撃対象領域を現在の経験や知識の範囲を超えて大幅に拡大させています」とシムニン氏は述べています。