重要インフラ企業を支援するために、法律事務所にはサイバー証拠が不可欠

エネルギー、医療、運輸などの重要インフラ事業者に対して助言を行う法律事務所は、クライアントの機密保持と規制リスクが密接に結びついているため、自社のデータ取扱いが同等の証拠基準を満たしていることを示す必要性が高まっています。物理的なレジリエンスは目に見える証拠を伴いますが、サイバーレジリエンスは、クライアントデータを扱うシステムが継続的に証拠を記録するよう設計されていない限り、可視化できません。

重要インフラ事業者に助言する法律事務所自体は重要インフラに指定されていませんが、同じく機密性の高いリスク評価、インシデント報告、規制当局とのやり取りなどを預かっており、事業者が保護しなければならない情報と同じものを管理しています。本記事では、重要インフラ事業者に求められる証拠基準がなぜそのアドバイザーにも及ぶのか、そしてそのギャップを埋めるために本当に必要なことは何かを解説します。

エグゼクティブサマリー

重要インフラ事業者に助言する法律事務所は、クライアントと同様の規制リスクに対応することが求められています。つまり、機密性の高い案件データを「存在する」という保証だけでなく、「管理されている」ことを証拠として示す必要があります。クライアントの物理的なレジリエンス義務は法律事務所の課題ではありませんが、クライアントの機密性の高いリスクやインシデントデータを法律事務所自身がどのように扱うかは、まさに法律事務所の責任です。

主なポイント

1. 重要インフラクライアントに助言する法律事務所は、同じく機密性の高いリスクやインシデントデータを保持しているため、クライアントが直面する証拠要求と同じリスクを引き継ぎます。
2. 物理的なレジリエンスは目に見えるため証明しやすい。 サイバーレジリエンスには現場検査のようなものがなく、記録によってのみ検証可能です。
3. 記録がなければサイバーレジリエンスへの信頼は「仮定」に過ぎず、証拠とは言えません。 クライアントのインシデントファイルへのアクセス者を説明できない場合、問題が起きていないことに依存しているだけで、管理されている証拠にはなりません。
4. クライアントや規制当局は、契約時の一度きりの保証ではなく、データ取扱いの継続的な証拠を求めています。
5. 法律事務所が重要インフラクライアントに示すべき証拠は、すべての重要事業体に必要な証拠と同じです。

なぜ法律アドバイザーにも同じ証拠要求が及ぶのか

法律事務所が重要インフラクライアントのリスク評価、インシデント通知、規制当局とのやり取りを保持している場合、それはまさにクライアントの規制当局が確認を求める種類のデータです。

機密保持と規制リスクは常にセットで移動する

法律事務所が物理的またはサイバーインシデントについて助言する際、そのファイルにはクライアントが何を経験し、どこに弱点があるかという最も機密性の高い情報が含まれます。そのファイルの管理を証明できなければ、すでに規制監視下にあるクライアントにとって新たなリスクポイントを生み出すことになります。

クライアントへの監視はアドバイザーにも非公式に及ぶ

重要分野のクライアントは、規制当局が自分たちに尋ねるのと同じ証拠をアドバイザーにも求めるようになっています。例えば「誰がこのファイルにアクセスできるのか」「どのように記録されているのか」「誤って扱われた場合はどうなるのか」などです。これに明確に答えられない法律事務所は、まさにその業務に依存しているクライアントを失うリスクがあります。

なぜサイバー証拠の提示は物理証拠より難しいのか

重要インフラ事業者が直面する物理証拠とサイバー証拠の非対称性は、そのアドバイザーにも一歩離れた形で及びます。

クライアント現場は歩けるが、法律事務所のアクセスログは歩けない

クライアント施設の物理的なセキュリティ対策は、直接現場で確認できます。しかし、法律事務所のシステムが本当にクライアントの機密ファイルへのアクセスを管理・記録していたかは、記録を調べることでしか検証できません。そして、その記録はシステムが継続的に記録するよう設計されていなければ存在しません。

インシデントがないことは管理の証拠にはならない

これまで侵害がなかった法律事務所でも、たった一つの認証情報が漏れるだけで重要分野クライアントの最も機密性の高いリスクデータが露出する可能性があります。過去にインシデントがなかったという事実は、リスクが実際に管理されていたかどうかについて、規制当局やクライアントに何も証明しません。

サイバー証拠ギャップを埋めるために本当に必要なこと

重要分野クライアントのファイルが通過するすべてのチャネルで、すべてのアクセス・送信・共有・ダウンロードを継続的に記録し、必要なときに即座に検索できるガバナンスレイヤーが必要です。

クライアントファイルを扱うすべてのチャネルでの継続的なログ取得

文書管理、メール、ファイル共有などで記録が一貫していない場合、法律事務所はクライアントや規制当局から特定ファイルについて質問されたとき、断片的な記録をつなぎ合わせるしかありません。

証拠はクライアントや規制当局から問われる前に準備されていなければならない

既存の記録から、誰がいつクライアントのインシデントファイルにアクセスしたかを即座に答えられる法律事務所は、記録が存在しない理由を説明しなければならない事務所とは根本的に立場が異なります。

必要になる前に証拠基盤を構築する

重要インフラクライアントに助言する法律事務所は、自社のデータ取扱いについて、クライアントが物理的レジリエンスに求めるのと同じ厳格さで監査すべきです。ログが継続的かつ完全に取得されているか、クライアント自身のセキュリティレビューにも耐えうるかを確認してください。

データコントロールプレーンが法律事務所に必要な証拠をどう提供するか

Kiteworksのデータコントロールプレーンは、すべてのチャネルでのあらゆるアクションにデータ認識型のゼロトラスト・コントロールを適用し、各アクションを改ざん不可能かつ無制限の監査ログとして記録、SIEMツールに直接連携します。これにより、クライアントの機密ファイルに何が起きたかを継続的かつ検索可能な記録として法律事務所に提供します。

自社の証拠管理体制を検証したい重要インフラクライアント向け法律事務所は、カスタムデモを予約し、継続的かつチャネル横断的な監査証拠がクライアントの機密保持義務にどう活用できるかを体験できます。