海外ITニュース

CISOの個人責任はどうなったのか。SolarWinds全面取下げと、Sullivan有罪確定が指す方向

「CISOが有罪になった」という話は、日本でもよく引かれます。ただ、引かれ方がだいたい不正確です。民事と刑事が混ざり、罪状が「セキュリティ対策の不備」だと誤解されている。2025年から2026年にかけて、この2つの代表的な事件はどちらも決着しました。結論は対照的で、そして読み方を間違えると真逆の教訓になります。一次情報で順に見ていきます。

SolarWinds：民事提訴、そして全面取下げ

2023年10月30日、SECはSolarWinds Corp. と同社CISOのTimothy G. Brown氏をニューヨーク州南部地区連邦地裁に提訴しました（No. 1:23-cv-09518-PAE）。争点は、自社サイトのSecurity Statementや登録届出書などにおける虚偽・誤導的記述、インシデント前のサイバーリスク開示の誤導性、内部統制の不備などです。

2024年7月18日の一部却下判決で、SECの主張はかなり削られました。

• 却下／プレスリリース・ブログ・ポッドキャストの記述は「訴求可能性のない企業の誇張表現（corporate puffery）」と判断
• 却下／インシデント後の開示に関する請求。後知恵に依拠しているとされた
• 却下／内部会計統制（Exchange Act §13(b)(2)(B)）違反。同条項は財務取引の健全性に関するもので、サイバーセキュリティ統制には及ばない
• 却下／開示統制（Rule 13a-15(a)）違反。2件の誤分類は「systemic deficiencies」に当たらない
• 存続／Security Statement内のアクセス制御・パスワードポリシーの記述に基づく証券詐欺請求のみ

2025年7月2日に「原則合意」が報告されましたが、和解は書面化されませんでした。そして2025年11月20日、SECと両被告が共同で訴え取下げを申し立て、SolarWinds・Brown両名に対し「with prejudice（再訴不可）」で全面的に取下げ。制裁金も、差止命令も、役員就任禁止もありません。

SECは取下げを「裁量の行使として」選んだとし、この決定は「他の事案における委員会の立場を必ずしも反映するものではない」と付記しています。なお、SolarWindsはBrown氏をCISOとして雇用し続け、弁護費用も負担しました。

Uber：有罪は確定。ただし罪状は「隠蔽」

もう一方の事件は決着が逆です。2016年、Uberは利用者約5,700万人分のデータを窃取したと主張するハッカーに対し、同年12月に10万ドル相当のビットコインを支払い、これをバグバウンティとして処理しました。ハッカーにはNDAへの署名を求めています。当時FTCはUberの2014年の侵害を調査中でしたが、2016年の侵害は報告されませんでした。

元CSOのJoe Sullivan氏が有罪となった罪状は2件です。

• 司法妨害／18 U.S.C. §1505。FTCによるデータセキュリティ調査の妨害
• 重罪不告知／18 U.S.C. §4（misprision of a felony）

2023年5月4日の量刑は、保護観察3年・社会奉仕200時間・罰金5万ドル。検察の求刑は禁錮15か月でしたが、実刑は科されていません。

控訴審では、第9巡回区が2025年3月13日に原判決を維持。2025年11月12日には修正意見の公表と同時に大法廷再審理の申立てを却下しました。さらに2026年3月12日に上告受理の申立てが行われましたが、2026年6月29日に却下。これにより有罪判決と量刑が確定しています。

ここが最も誤読されやすい点です。Sullivan氏が問われたのはセキュリティ対策の不備ではなく、インシデントを当局から隠したことです。侵害を起こしたことではなく、起こった後の振る舞いが罪に問われました。

個人責任が問われた、その他の形

刑事・民事以外の経路もあります。

• FTC v. Drizly（2022年10月）／FTCが同社とCEO個人を対象に措置。命令はCEO個人に追随し、今後25,000人以上の消費者情報を扱う事業の過半数株主・CEO・上級役職者となった場合、セキュリティプログラムの実装義務を負う。年1回以上の取締役会報告、4か月ごと以上の脆弱性テスト、12か月ごと以上のペネトレーションテストなどが最低要件
• 元Equifax CIO（2019年3月有罪）／侵害の非公開情報を使ったインサイダー取引。保有ストックオプションを行使して売却、利益48万ドル超・回避損失11.7万ドル超。禁錮4か月、賠償117,117.61ドル、罰金55,000ドル。これはセキュリティ対応の失敗ではなく証券法違反の事案
• SECによる4社への行政処分（2024年10月）／SUNBURST関連の開示について、Unisys 400万ドル、Avaya 100万ドル、Check Point 995,000ドル、Mimecast 990,000ドル。この処分では個人は訴追されていない

SEC開示規則は2026年10月時点でも有効

制度面も確認しておきます。SECのサイバーセキュリティ開示規則（Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure）は2023年8月4日に連邦官報掲載、9月5日に効力発生。中核要件は次の1点です。

• Form 8-K Item 1.05／重要と判断した日から4営業日以内に提出
• Regulation S-K Item 106／2023年12月15日以後に終了する事業年度から
• Item 1.05の適用／2023年12月18日（小規模報告会社は2024年6月15日）
• 国家安全保障による延期／司法長官が判断した場合に限り可能。SECへの書面通知を要する

2025年5月、米銀行協会（ABA）など5団体がItem 1.05の撤廃を求める規則制定請願を提出。2026年4月にも同様の共同コメントが出されています。ただし2026年7月公表のSEC規制アジェンダに、この規則の改正・撤廃は掲載されていません。2026年10月時点で、4営業日ルールは有効なままです。

この2件をどう読むか

結論を3つに整理します。

1. 「SolarWinds事件でCISOが有罪になった」は誤り。SECによる民事提訴であり、2025年11月に再訴不可で全面取下げ。金銭的制裁も役員就任禁止もない
2. 刑事責任が確定したのはSullivan氏のみ。しかも罪状は司法妨害と重罪不告知で、対策の不備ではない。分岐点は「侵害が起きたこと」ではなく「報告しなかったこと」
3. だからといって個人責任リスクが消えたわけではない。SECのFY2025執行統計は上場企業向け56件のうち52件が前委員長の退任前で、執行の総量は落ちている。一方で法律事務所の見立ては、SECが「大型の企業和解を追うより、個人の責任を問う方向を選好する可能性が高い」というもの

実務的な含意は、意外に地味です。技術者個人が気をつけるべきは、自社の脆弱性を全部塞げるかではなく、インシデントの認定と報告の判断に、自分の名前がどう関わるかです。Drizlyの命令も、罰したのは対策の不足そのものより「セキュリティを担当する上級役員を置かなかったこと」でした。責任は、技術ではなく体制の側に向いています。

執行は減っている。ただし向きが変わっている

「規制が緩んだ」と「責任が消えた」は別です。数字で確認します。

• FY2025のSEC執行／上場企業・子会社に対する執行は56件。うち52件が前委員長の退任（2025年1月20日）より前で、現委員長就任後は2件のみ
• 月次の比較／2024年9月の35件に対し、2025年9月は1件
• 新設された部署／2025年2月、SECがCyber and Emerging Technologies Unit（CETU）を新設。重点領域に「サイバーセキュリティに関する上場企業の虚偽開示」を含む

総量は明らかに落ちています。ただし、法律事務所の2026年の見立ては「大型の企業和解を追うより、個人の責任を問う方向を選好する可能性が高い」というものです。

2024年10月のSUNBURST関連の4社への行政処分（Unisys 400万ドル、Avaya 100万ドル、Check Point 995,000ドル、Mimecast 990,000ドル）では個人が訴追されていません。この「企業だけを罰する」形が、今後も続くとは限らない、という読みです。

なお、SECがItem 1.05そのものの違反（4営業日ルールの不遵守）を理由に企業または個人を摘発した事例は、公開情報の範囲では確認できませんでした。2024年10月の4社摘発は、Item 1.05施行前の事象に関する開示内容の誤導性を問うたものです。

エンジニアの名前は、どこに残るのか

Sullivan事件の教訓を実務に落とすと、論点は「報告するかどうかの判断が、どこに記録されるか」に集約されます。

インシデント対応では、次のような判断が連続します。

1. これは「インシデント」か。それとも「不具合」か
2. 「重要（material）」と言える規模か
3. 外部に報告する義務が発生する事象か
4. 報告するとして、いつの時点を起点に数えるか
5. 確定していない事実を、どこまで書くか

1と2は技術的な判断に見えますが、4と5は完全に法的な判断です。そして1〜3の判断材料を作るのは、たいてい技術者です。

ここで効いてくるのが記録の残し方です。「判断に必要な情報を、いつ、誰に上げたか」が残っていれば、技術者の役割は情報提供にとどまります。残っていなければ、「知っていたのに言わなかった」のか「言ったが動かなかった」のかが区別できません。

• やること／検知した事象、判断の根拠、上げた相手と時刻を、編集履歴の残る場所に書く
• やること／「重要かどうかの判断は自分の役割ではない」と明示したうえで、判断に必要な材料をすべて渡す
• 避けること／口頭やチャットだけで完結させる。後から時系列を再構成できない
• 避けること／確定していない推測を、確定した事実のように書く。最終報告で覆ると、記録全体の信頼が落ちる

これは保身の話に見えますが、実際には組織が正しく判断するための前提条件です。GMOの事案でも、社内の指摘が「いつ、誰に、どう伝わったか」が公表される説明の骨格になっています。

日本から見たときの距離感

日本には、現時点でセキュリティ責任者個人を直接の名宛人とする同種の制度はありません。ただし2026年10月1日に一部施行されたサイバー対処能力強化法では、基幹インフラ15分野の指定事業者（約258者）にインシデント報告義務が課され、報告を行わず是正命令にも従わない場合は200万円以下の罰金が規定されています。

ここで効いてくるのが、Sullivan事件の教訓です。報告義務が法定された瞬間から、「報告しない判断」は技術判断ではなく法的判断になります。誰がその判断をするのか、記録に誰の名前が残るのか。制度が先に整い、責任の所在があとから問われるのが、この分野の常です。

出典

• U.S. SEC／Litigation Release No. 26423, SEC v. SolarWinds Corp. and Timothy G. Brown（2025年11月20日）／取下げの事実と文言
• Harvard Law School Forum on Corporate Governance／SolarWinds Dismissed: What the SEC's U-turn Signals for Cyber Enforcement（2025年12月7日）／2024年7月18日の一部却下判決の内容
• U.S. Court of Appeals for the Ninth Circuit／United States v. Sullivan, No. 23-927（2025年3月13日意見、2025年11月12日修正・大法廷却下）
• SCOTUSblog／Sullivan v. United States (25-1082)／2026年6月29日 上告受理申立て却下
• Arnold & Porter／Ex-Uber CSO Joseph Sullivan Sentenced to Probation（2023年5月）／事実関係と量刑
• Akin Gump／FTC Takes Rare Step in Bringing an Enforcement Action Against Drizly and Its CEO／CEO個人に追随する命令の内容
• Dark Reading／Former Equifax CIO Sentenced to Prison for Insider Trading（2019年6月28日）
• Hunton Andrews Kurth／SEC Fines Four Companies for SolarWinds-Related Cyber Incident Disclosure Failures（2024年11月4日）
• Federal Register／Cybersecurity Risk Management, Strategy, Governance, and Incident Disclosure（88 FR 51896、2023年8月4日）
• Cooley／SEC Public Companies Enforcement: FY 2025 Review and What to Expect in 2026（2025年12月23日）／執行統計と今後の見立て
• 内閣官房 国家サイバー統括室ほか／サイバー対処能力強化法の施行関係資料／対象事業者と罰則

本記事は2026年10月27日時点で公開されている情報に基づいています。裁判所が取下げを正式に記録した日付、和解が不成立となった理由は公表資料では確認できていません。法的な判断が必要な場合は専門家にご相談ください。