OracleのCSO、突然の退任

Tada Images – shutterstock.com

Oracleの長年のCSO（最高セキュリティ責任者）であるMary Ann Davidson氏が、予想外に同社を去り、ソフトウェア大手の経営陣として約40年に及ぶキャリアに終止符を打ちました。社内の情報筋がこの情報をニュースポータルBloombergに提供しました。

Davidson氏は1988年にOracleでキャリアをスタートした著名な人物です。そのため、彼女の突然の退任は憶測を呼んでいます。

このタイミングは偶然かもしれませんが、Bloombergによると、Oracleは今年3月から規模不明のリストラを実施しているとのことです。特にクラウド部門や管理職が影響を受けています。Oracleは全世界で約16万人の従業員を抱えており、3月のリストラでは数百人規模のポジションが影響を受けたと推定されていますが、詳細について同社は沈黙を守っています。

今月も同規模のさらなる解雇があったとされています。これらの人員削減は、同社がAIプロジェクト、たとえばStargate Projectのための資金を捻出するためだと主に考えられています。

Davidson氏の退任について公式な発表はありませんが、この出来事は重要な時期に起きています。同社は2025年初頭、深刻なデータ漏洩への対応について多くの批判を受けました。Oracle自身はこの事件を繰り返し過小評価していました。

退任するOracle CSOの論争

Davidson氏が長年Oracleのセキュリティ分野で活動していたため、いくつかの論争があったのも不思議ではありません。

最初の論争は2004年初頭、同社が英国のデータベースバグハンターDavid Litchfield氏から、製品のセキュリティホールに対するパッチ公開が遅いと厳しく批判されたことに始まります。OracleとDavidson氏は不適切にも反撃で応じました。その結果、長期にわたる公開論争となり、最終的にセキュリティ責任者は静かにこの議論から身を引きました。

2015年には、悪名高い「No, you really can’t」論争が発生しました。これは、Davidson氏のブログ投稿に端を発し、同氏がOracleの顧客を、同社のコードをリバースエンジニアリングして脆弱性を探そうとしていると非難したことが発端でした。

批判が高まると、Oracleは再び撤回を余儀なくされ、投稿をすぐに削除しました（しかしインターネットは忘れないため効果はありませんでした）。同社は「この投稿は当社の信念や顧客との関係を反映するものではないため、削除しました」と説明しました。

公平を期すために言えば、パッチ管理の重要性を認識するのが遅かったのはOracleだけではなく、脆弱性ハンターが敵ではなくむしろ味方であることを学んだのも同様です。

セキュリティ上の失態

それでも現在に至るまで失態が繰り返されてきました。たとえば2025年初頭のOracleへの攻撃では、専門家によれば古い脆弱性（CVE-2021-35587）が悪用されました。

同社の最初の対応は、顧客に対してインシデントを否定するメールを送ることでした。その後、Oracleは事件があったことを認めましたが、「影響を受けたのは2台の古いサーバーだけで、重要な顧客データは保存されていなかった」と説明しました。

同社が与えた印象は「とにかく何も明かさない」というものでした。顧客が気づかず、メディアの質問もいずれ収まることを期待していたのでしょう。Davidson氏がこの戦略を主導した証拠はありませんが、これまでの経緯を考えると、重要な問題を公に過小評価する際には、もっと早く介入すべきだったかもしれません。

「Oracleのセキュリティ侵害はSECの開示規則に該当します。もし過小評価されたり、適切に報告されなかった場合、重大な結果を招く可能性があります」と米国のサイバーセキュリティコンサルタントPrism OneのTimothy J. Marley氏はコメントします。ただし、彼女の退任を最近の侵害と結びつけるのは行き過ぎだとも述べています。

「セキュリティ分野のリーダー職でこれほど長期間務めるのは非常に稀です。正直なところ、彼女が単に今が身を引く時だと判断したとしても驚きません」とMarley氏は認めます。

しかし、より可能性が高いのは、Oracleが現在、AIに精通した若いリーダーへの世代交代を進めているという点だと同氏は指摘します。「AIは私たち全員に戦略や戦術的な解決策の見直しを迫っています。長く業界にいる私たちにとっては、迅速な適応が求められています。」

アナリスト企業The Futurum GroupのVP兼プラクティスリードであるBrad Shimmin氏によれば、OracleにとってAIの導入は単なる新市場への移行以上のものでした。この技術は同社の長年のセキュリティに関する前提も問い直したといいます。「AI自体が、企業や攻撃者がセキュリティの状況をどう見るかを変えました。テクノロジーは攻撃対象領域を根本的に拡大し、しばしばこれまで知られていなかった領域にまで及んでいます」とShimmin氏は述べています。（jm）