ILC Doverが示す：サイバーコンプライアンス主張には証拠が必要

サイバーセキュリティコンプライアンスの主張は、誰かに異議を唱えられた際に提示できる証拠の強さにかかっています。そして、米国政府はその違いに1,300万ドルという価格を付けました。司法省は、ILC DoverおよびILC Astrospaceが、サイバーセキュリティ要件を満たしていないことを認識しながら、陸軍、ミサイル防衛庁、NASAに請求したとされる疑惑を解決するため、2026年11月3日にその金額を支払うことに合意したと発表しました。この和解はあくまで疑惑の解決であり、司法省のリリースにも責任の認定はなかったと記されています。

疑惑のリストを読むと、そこに現れるパターンは高度な攻撃手法とはほとんど関係がありません。政府は、企業が制御されていない分類情報をクラウドプロバイダーに保存する際、必要なセキュリティ基準を満たしているか確認せず、長期間にわたり最新のシステムセキュリティ計画を持たず、コントロールを未実施のままにし、国防総省に最新の評価を提出していなかったと指摘しています。これらはすべて、文書化・検証・証拠の不備であり、いずれも侵害の発生を要件としていません。

この点こそ、CISOやチーフコンプライアンスオフィサーが次のアテステーション会議に持ち込むべき教訓です。偽証請求法（False Claims Act）は、あなたのポリシーが合理的に見えるかどうかを問うものではありません。政府に提出した内容がその時点で真実だったか、そしてそれを証明できるかを問うものです。本記事では、和解で主張された内容、現行の規制環境が証拠の重要性を高めている理由、CMMC 2.0コンプライアンス以降で防御可能な立場とは何かを解説します。

主なポイント

1. 疑惑の本質は証拠にある。

セキュリティ計画の欠如、古い評価、未検証のクラウドストレージは、侵害がなくても露呈する書類や検証の抜け穴です。

2. セルフアテステーションは責任を自社に移す。

外部評価者によるチェックがなくなった場合、請負業者自身の声明が政府にとっての根拠文書となります。

3. 自信と証明は別物。

防衛請負業者はスコアに高い自信を示していますが、その自信を最新の記録で裏付けられるのはごく一部です。

4. サードパーティクラウドが名指しでリスクとされている。

検証していないプロバイダーに機密政府情報を保存することが、今回の和解で指摘された5つの疑惑の1つです。

5. 監査証跡が最速の解決策。

誰がいつどの規制ファイルにアクセスしたかの完全かつ改ざん防止記録があれば、主張を要求時に提出できる証拠に変えられます。

司法省が実際に主張した内容

この和解は、2018年1月から2024年10月までの支払い請求に関するものです。司法省の発表には5つの疑惑が記載されており、それぞれに期間が設定されています。この期間が重要なのは、ギャップがどれだけ長く続いたかを示すためです。

1つ目はクラウドストレージに関するものです。2023年2月から2024年10月まで、ILCは第三者企業を利用して制御されていない分類情報をクラウドに保存し、プロバイダーがFedRAMP Moderate相当のセキュリティ要件を満たしていることを要求・確認せず、国防総省のサイバーインシデント報告、悪意のあるソフトウェア、メディア保存、フォレンジックアクセスの要件にも準拠していなかったとされています。2つ目は計画に関するもので、2018年1月から2024年10月の大半にわたり、ILCは各対象情報システムについてシステムセキュリティ計画を策定・文書化・定期的に更新していなかったとされています。

3つ目の疑惑は最も広範です。2018年1月から2024年10月まで、ILCはNIST特別出版物800-171および800-53に記載されたコントロールを完全に実施しておらず、その欠如がネットワークの重大な悪用や制御された防衛情報の流出につながる可能性があったとされています。4つ目は行動計画とマイルストーンに関するもので、政府は期間中にこれらが欠如していたと主張しています。5つ目は報告のギャップです。2020年11月から2024年10月まで、ILC Astrospaceは国防総省に最新のNIST SP 800-171評価を提出しておらず、ILC Doverも最新かつ省の評価手法に基づくものを提出していなかったとされています。

これら5つを合わせると、内部告発者の役割が理解しやすくなります。ILCの元サイバーセキュリティディレクターであるPhilip Root氏は、偽証請求法のqui tam条項に基づき訴訟を起こし、和解金のうち235万ドルを受け取ります。社内の誰かが、表明された内容と実際の状況の乖離を認識し、その人に経済的な動機を与える法律が存在するのです。

デラウェア地区の連邦検事Benjamin Wallace氏は、執行の論理を一言で表現しました。彼は、サイバー攻撃への最善の対応は、そもそも発生を防ぐことであり、ILCが違反したとされる義務は米国の技術革新を悪用から守るために存在すると述べました。コンプライアンスリーダーにとってより有益な解釈はより狭義です。義務は契約上のものであり、具体的であり、それらと請求書の間に意図的なギャップがあれば政府は詐欺とみなします。

セルフアテステーションがリスクを高める理由

この和解のタイミングが重要なのは、ペンタゴンが第三者によるCMMC評価への移行を一時停止した後に発生しているためです。CBIZによる2026年7月13日の発表要約では、フェーズ2移行および今後のCMMCマイルストーンの一時停止が説明されています。一部の読者は、これを情報保護義務の停止と誤解しましたが、そうではありません。この一時停止は、請負業者の主張を誰が検証するかを変えただけで、請負業者が証明できなければならない内容自体は変わっていません。

この違いは予算会議などで見落とされがちなので、明確に述べておく価値があります。自己評価は契約参入のハードルを下げますが、契約締結後のリスクのハードルは下げません。Supplier Performance Risk Systemに投稿されたスコアは、政府が活用する表明であり、不正確なスコアは、評価者が確認しなくても偽証請求法リスクを伴います。ILCの疑惑は2018年までさかのぼっており、これらの義務が現行CMMCタイムラインよりも前から執行可能だったことを示しています。フェーズ2の一時停止をNIST 800-171コンプライアンスからの猶予と捉える請負業者は、状況を誤解しています。

この点について請負業者がどう感じているかのデータは、決して安心できるものではありません。Kiteworksの2026年DIBにおけるCMMC 2.0準備状況レポートでは、2026年7月時点でCMMC要件を持つ273組織を調査し、96%が自己申告スコアが審査に耐えうると自信を示した一方、その自信を持つグループのうち、最新のSPRS提出とFedRAMP認証済みプラットフォームの両方を示せたのは29%に過ぎませんでした。これらの数字は自己申告であり、単一調査によるパターンであって全体像ではありません。

このパターンは別の調査でも現れています。CyberSheathの2026年DIB調査（Merrill Researchが2026年5月に米国防衛請負業者302社を対象に実施）では、自己申告スコアの平均値は上昇したものの、その正確性への自信は前年の89%から65%に低下していました。2つの独立した調査、異なるサンプル、しかし同じ傾向です。請負業者はコンプライアンスの文書化には上達していますが、その文書が外部の検証に耐えるかどうかには自信を持てなくなっています。

私はこれを悲観的とは捉えません。むしろ、請負業者が「スコアは主張、記録は証拠」であり、政府の弁護士が気にするのは後者だけだと正しく認識している証拠だと考えます。

サードパーティクラウドは証拠が破綻しやすい場所

最初の疑惑は、ほとんどの組織が現在直面している状況を示しているため、特に注目すべきです。ILCは外部プロバイダーに機密政府情報を保存し、そのプロバイダーが必要な基準を満たしているか検証しなかったとされています。ほぼすべての請負業者が外部プロバイダーを利用しています。この疑惑が投げかけるのは、「検証した記録が残っているか」という問いです。

連邦認証の状況もこの問いの下で変化しています。2026年11月2日、FedRAMPはメモを発表し、2026年10月29日に初の完全なFedRAMP 20x Class C認証を付与したこと、26社が限定的なパイロット認証を受けていたことを明らかにしました。調達チームにとっては、プロバイダーの文書ラベルが変化する一方で、契約上の問い自体は変わらない点が重要です。

古い用語と新しい用語の翻訳には注意が必要です。SecureframeのClass Cガイダンスでは、Class Cは従来のModerate層の市場的な位置づけを継承するが、要件自体は異なると注意喚起しています。また、独自のコントロール要件を持つ機関はClass Cパッケージに含まれない証跡を求める場合もあります。実務上の教訓は、契約条項を読み、実際に指定されている基準を特定し、各プロバイダーがそれを満たしていることを検証した日付付き記録を残すことです。その記録こそがベンダーの主張を自社の証拠に変えるものであり、サードパーティリスク管理ファイルに保管すべきで、メールスレッドに埋もれさせてはいけません。

これを防御可能にするには、いくつかの習慣が有効です。制御されていない分類情報に関与するすべてのプロバイダーのインベントリを維持しましょう。プロバイダーの最新認証や評価文書と、それを確認した日付を保管します。組織内で残留リスクを受け入れた担当者も記録します。プロバイダーのステータスが変わった場合は、その都度記録付きの見直しを行い、年次サイクルまで放置しないことが重要です。

ヘルスケア業界も同じギャップで異なる代償を払う

コンプライアンスリスクは防衛分野だけにとどまりません。同じ週、ヘルスケア分野でも事例がありました。ClassAction.orgによる裁判資料の要約によると、Covenant Healthおよび関連組織は、2025年5月のサイバーインシデントで約502,606人分の保護対象保健情報が流出した件について、200万ドルの集団訴訟和解に合意しました。被告側は不正行為を否定しており、最終的な公平性審理は2027年初頭に予定されています。

この金額は、9桁規模の侵害事例と比べれば控えめに見えますが、組織自身の対応費用や法的費用、通知費用は含まれていません。和解金のほか、クラスメンバーは最大5,000ドルの証明済み損失を請求でき、2年間のクレジットモニタリングも受けられるため、支払いだけで義務が終わるわけではありません。原告の主張は過失責任に基づくものであり、法的な争点は合理的なセーフガードが存在していたか、そして組織がそれを証明できるかにありました。

これは、規制の衣を変えた同じ証拠の問題です。HIPAAのセキュリティ規則は、すでにアクセス制御や監査制御を要求しており、保護対象情報に誰が触れたかを再構築できない組織は、単なる主張でしか争えません。規則改正案はまだ提案段階ですが、現時点でも既存の義務が根拠となっています。

証拠品質のコンプライアンスとは実際にどういうものか

「証拠」という言葉は曖昧に使われがちなので、具体的に説明します。証拠品質の記録には4つの特性があります。日付が記載されており、いつコントロールが検証されたかが分かること。作成者が特定できること。対象範囲全体を網羅しており、恣意的なサンプルではないこと。そして、改ざんから保護されていることです。

この基準をILCの5つの疑惑に当てはめると、それぞれに欠けていた証跡が浮かび上がります。クラウド疑惑にはプロバイダー検証ファイル、計画疑惑には最新バージョン管理されたシステムセキュリティ計画、NIST SP 800-171疑惑にはコントロールごとの実施記録（担当者とテスト日付付き）、行動計画疑惑には目標日付きの未解決項目のライブ登録簿、報告疑惑にはスコアと使用手法を記載した提出済み評価記録が必要です。いずれも特別なものではなく、製品出荷に追われる現場で後回しにされがちな文書です。

有効な習慣は、セキュリティに関するすべての対外的な表明を「担当者付きの納品物」として扱うことです。営業が顧客データが特定規格で保護されていると説明したとき、財務が保険申請書に署名したとき、経営陣がスコアを認証したとき、それぞれの表明は今四半期に誰かが確認した記録に紐づくべきです。これを実践するチームは、ギャップが日常的なレビューで早期に発見され、修正コストが安く済むことを実感します。また、CISOとチーフコンプライアンスオフィサーが共通言語を持つことにもつながります。CISOはコントロールの実効性を、CCOはその表明の真実性を担い、証拠記録がその交点となります。

文化的側面もあります。現場に近い人ほど、書類と実態の乖離を把握しており、組織が言いやすい環境を作れば声を上げます。ILCの事例は、それがなかった場合に何が起きるかを示しています。まずは内部エスカレーション経路を構築し、ギャップの早期申告をプログラムが機能している証と捉えましょう。

次回アテステーション前にCISOとCCOが取るべき行動

以下のステップは、政府や顧客が信頼する何らかの書類に署名することを前提としています。各ステップは、どれだけ迅速にリスクを低減できるかの順で並んでいます。

まず、自社のセキュリティ態勢に関してこれまで行ったすべての表明と、その裏付け記録を突き合わせてください。報告したスコアやステータスを、現行のシステムセキュリティ計画、未解決の行動計画とマイルストーン、最新の評価日と比較します。不一致があれば、それは外部に発見される前に自分で発見すべき事項です。体系的なCMMCギャップ分析が有効な手段です。

次に、表明を認証する担当者を指名し、その人に証拠への実際のアクセス権を与えましょう。ログを見られない人の署名は、本人にも組織にもリスクです。さらに、機密コンテンツへのアクセス記録を1日以内（理想的には数時間以内）に提出できるかテストしてください。規制当局や評価者は、記録を集めるのを待ってくれません。監査証跡には、誰がどの規制ファイルに、いつ、どのポリシーでアクセスしたかが記録され、改ざん防止されている必要があります。

最後に、内部告発シナリオをリハーサルしましょう。自社で書類と実態の乖離を把握している人が誰かを確認し、その人に安全な内部通報チャネルを用意してください。ILCの事例は、サイバーセキュリティディレクターがギャップを発見したことから始まりました。多くの組織にも同様の人物がいます。重要なのは、最初の会話が社内で行われるかどうかです。

自社証拠の1週間テスト

自社のコンプライアンスストーリーが外部の精査に耐えられるかを実践的に試す方法は、外部から問われる前に小規模な演習を行うことです。セキュリティ要件を持つ契約を1つ選び、端から端まで追跡します。自社の態勢を説明した文言（提案書、年次表明、顧客アンケートなど）を起点に、その各要素を裏付ける記録を探します。基準を満たしていると記載されていれば、計画書、評価日、最新のレビュー記録を見つけます。プロバイダーが認証済みとあれば、認証資料と最終確認日を探します。

多くのチームは、裏付け記録が古い、システム間で分散している、特定の個人しか持っていない主張を少なくとも1つは発見します。これは失敗ではなく有益な結果であり、修正コストが低いうちにリスクの所在を把握できるからです。ギャップを記録し、それぞれに担当者と期限を割り当て、リストを保管しましょう。日付付きの是正記録自体が証拠となります。政府によるILC疑惑の説明にも、行動計画とマイルストーンの欠如期間が含まれているため、これらを継続的に維持・更新する習慣は極めて重要です。

Kiteworksによる証拠品質コンプライアンスの支援

この問題のうち、メール、ファイル共有、マネージドファイル転送、ウェブフォームといった機密コンテンツの移動に関わる部分は、証拠が複数ツールに分散しやすい領域です。Kiteworksのセキュアデータ交換は、これらのチャネルを1つのポリシーセットと1つの監査証跡で管理し、誰が規制ファイルを送信・共有・受信したかの記録を一元化します。この設計により、コンプライアンスチームは複数のソースではなく1つのソースから証拠要求に対応できます。

Kiteworksは上記の作業を支援しますが、代替するものではありません。プラットフォームは記録の生成やポリシーの強制はできますが、システムセキュリティ計画、リスク受容の判断、アテステーション自体は組織の責任です。Kiteworksは、セキュアメールやセキュアマネージドファイル転送を提供し、監査イベントをsyslog経由でSIEMに転送できますが、特定のコントロールが要件を満たすかどうかはベンダーではなく評価者が判断します。

サイバーセキュリティアテステーションの裏付けとなる監査対応証拠の構築について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データを巡る綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護
• ブリーフ 主なFERPA違反3例とその回避方法
• ブログ記事 大統領令14117号：米国人の大量機微個人データ保護
• ブログ記事 NIS2コンプライアンスが必要ですか？まずはISO 27001から