事例から学ぶ：#029 クライアントの企業秘密は、どう守るのか

 

 

 

ボストンに拠点を置くジレットの下請け業者、ライト・インダストリーズ（Wright Industries Inc.）の工程管理、プロセス管理の技術者だったスティーブン Ｌ．デイビス（Steven L. Davis）なら、同かみそりメーカーの破綻を喜んだだろう。プロジェクトの中でより低い役割に降格されたことに対し、ライト・インダストリーズとジレットの双方に怒りを感じていたデイビスは、「マッハ・スリー」に関する多くの企業秘密をジレットの主要競合他社、すなわちアメリカン・セーフティ・レーザー（American Safety Razor Co.）、ビック（Bic）およびシック・ウィルキンソン・ソード（Schick-Wilkinson Sword）の親会社であるワーナー・ランバート（Warner-Lambert Co.）に不法に開示することで仕返ししようとした。これによって、彼は１９９６年制定の経済スパイ法（Economic Espionage Act）の条項に違反したのだ。デイビスは金を要求しなかった。彼はただ、ジレットが自分の未来を台無しにしたと感じ、同社の未来もぶち壊したかったのだ。

 

ワシントン Ｄ．Ｃ．に拠点を置く連邦捜査局防諜部門（Federal Bureau of Investigation, FBI, Counterintelligence Division）の副長官補（deputy assistant director）リック・デローリエ（Rick Deslauriers）によれば、「彼にとっては不運なことに、シックが直ちにジレットに報告し、同社はその地域のＦＢＩオフィスに連絡したのです。」数ヵ月後、当時ボストンで働いていたデローリエは、同件の担当を任命された捜査班の指揮官になった。デローリエは次のように話した。「我々は犯人を見つけ出すことができましたが、当然重要なことはシックが正しい行動を取ったということです。いつもそうなる訳ではありません。」

 

このケースで、デイビスは捕らえられ有罪判決を受けて２７ヶ月の禁固刑を言い渡された。彼の動機が金目当てではなかったことや、ジレットの企業秘密が実際には一つも競合他社に渡らなかったことなどから、判決は比較的軽いものだった（五つの容疑それぞれに対して禁固１０年を受けたかもしれないのだ）。

 

 

 

 

 

経済スパイ法１８３１条では、経済スパイを個人や組織による企業秘密の故意的な窃盗・不正利用・違法取得・交換と定義している。この多面的なニッチ分野は、専門家としてキャリアを築くための多くのチャンスを提供する。ここでは、この分野の内部情報や米国企業を知的財産の窃盗犯から守るためにＣＦＥ・ＦＢＩ捜査官が用いる戦略や戦術を紹介する。２１世紀の通信技術のおかげで、詐欺師は通りの向かい側からと同じくらい容易に、地球の裏側から米国企業を餌食にできてしまうのだ。

 

経済スパイ対策に取り組むＣＦＥは、通常銃器を持ち歩かない。その代わりに、彼らは電気技師やオーディオ・映像技術者、およびハイテク電子機器のベンダーと関係を深めるだろう。また、彼らの経験・興味・才能によってはビジネス・インテリジェンスの達人やシンクタンクの研究者に注目することを選ぶかもしれない。専門分野は何であれ、強い知的好奇心が彼らの活動を支えているのだ。

 

ＣＦＥの武器庫には、上記の専門家や自らの研究によって供給された強力な情報および技術兵器が貯蔵されている。とはいえ、彼らは著しく不利な立場に立たされていることが多い。それは、非常に重要な企業秘密を積極的に保護するためには、専門家による敏速なサポートが必要だということに、クライアントが概して気づいておらず、また多くの場合懐疑的だからだ。

 

それは何故か。経済スパイ行為の被害者は、その損害について話したがらない。世間の厳しい目に晒され株主の怒りを買うことを免れるため、多くのＣＥＯや重役およびセキュリティ責任者は、黙って自分の過ちから学び次に進むのが最良の選択だと信じているのだ。しかし、企業秘密の窃盗は報告件数が最も過少な重犯罪の一つであるために、全国の最先端技術を誇る革新的企業にとって、過小評価されている脅威であり続けている。

 

 

 

 

 

デローリエは、米国企業が経済スパイ行為で被った損害を正確に数値化することは不可能だろうと話す。「しかし、」と彼はあえて続けた。「その額が年間何十億米ドルに上ると言っても過言ではないでしょう。」

 

さらに、犯罪者の大胆さには驚かされる。今年の初め、ボーイング（Boeing Company）の元技術者が経済スパイ行為および中国の未登録外国工作員として同国のためにボーイングのスペースシャトルやその他の米国の航空宇宙プログラムに関する企業秘密を盗んだ罪で起訴された。

 

ＦＢＩによると、同技術者は中国にＢ－１爆撃機に関わる２４の使用説明書を提供し、表向きは講師として、しかし実際には内密に中国政府関係者や工作員と接触するためにアジアを訪れていた。２００８年に起きた別のケースでは、米国国防総省（U.S. Department of Defense）兵器システム政策のアナリストが、米国の国防に関わる機密情報を含む文書を中国の工作員に提供していた。

 

ＦＢＩは、経済スパイ行為を阻止するために考案された六つの対応策を提言している。

 

 

「経済スパイは、米国の外からも中からもやってくる可能性があります。」とデローリエは話す。必要なあらゆる手段を使ってでも読者のクライアントの技術的秘密を得ようと躍起になる、国内の競合他社からの脅威もある。あるいは、米国を標的とする外国政府によるものもあるかもしれない。しかしほとんどの場合、デローリエによれば、危険性は私欲や報復を動機とする社内の人間によってもたらされるという。

　

 

「それぞれの企業こそ、自分達の商品の今後の売上を評価するのに最適なのです」とデローリエは説明する。ジレットのケースでは、「マッハ・スリー」の推定売上高は１０億米ドルを超す額だった。デローリエによると、経済スパイ法によって有罪判決を下すには、政府は被害を受けた企業が数値化できる独自の経済的価値を含んだ企業秘密を保護するための対策を講じていたことを示さなければならないという。

　

 

クライアント企業の機密情報は、その会社が企業秘密として取り扱わない限り、法の下でも企業秘密にはならない。「つまり、文書化された方針・手順によって保護するということです。従業員は、それらの規定に関して知らされており、またそれらを遵守しなければなりません」とデローリエは言う。

　

　

　

 

デローリエは、保護をするということが最も重要なのだと話す。経済スパイの被害に遭ったという企業がＦＢＩに報告することもあるが、その企業が知的財産保護のために実施した方針・手順・規定を文書化していなければ、起訴はできない。さらに、企業はそれらの規定に関して従業員に知らせ、遵守するよう伝えたことを証明しなければならない。この点が、これらの事件に携わるＣＦＥやその他の人員にとって最も重要なのだ。デローリエ曰く、「盗まれた企業秘密の監督を企業が行っていなければ、窃盗罪で起訴することはできないのです。」

 

 

 

 

 

ニュージャージー州オールドウィック（Oldwick, N.J.）にあるマレー・アソシエイツ（Murray Associates）のＣＦＥケビン Ｄ．マレー（Kevin D. Murray）は、３０年に渡り盗聴器の発見や監視カメラの設置を含む技術的監視対策に携わってきた。彼はニューヨーク市立大学（City University of New York）ジョン・ジェイ・カレッジ（John Jay College of Criminal Justice）の客員講師としてこれらのテーマで講義を行っている。

 

経済スパイ調査におけるＣＦＥの有効性は、しばしば電子機器によって左右される。マレーは熱探知カメラを使うことで、ある不可解な事件を解決することができた。（マレーによると、今では調査の標準となっているこのカメラは、マレー自身が適合して特別に製造したものだという。）

 

「ある会社の社長から、社長室の盗聴器発見および撤去の依頼を受けました。」とマレーは説明した。同社長は、社内の誰かが電子機器を使って彼のことを監視していると確信していたという。彼はマレーに、自分の計画やビジネス取引が従業員に驚くほど知られているのだと話した。そこで、社長の見守る中、マレーと彼のチームは物理的な捜査・通話分析・コンピュータ調査・無線周波数スペクトル分析・熱放射スペクトル分析など、徹底した調査を行った。結果が陰性だと知った社長はがっかりし、マレーは途方にくれてしまった。「社長は自分が正しいと確信していました。」とマレーは話した。「そして私は彼を信じたのです。」

 

しかし、それからマレーは熱探知カメラを下に向けてみた。「そしてその時、カメラのモニターを通して絨毯の上の黒い斑点が見えたのです」とマレーは言った。熱画像は光ではなく熱を映す。熱い箇所は白く、冷たい箇所は黒く映る。点線は社長室のドアの外から続いており、二つの外窓に沿って波を打っていた。絨毯の上の水は目ではほとんど見えないが蒸発には時間がかかるため、熱探知カメラでは冷たく（黒く）見えるのだ。社長デスク付近の窓側の壁には鉢植えが並んでいた。誰かが水をやる際に垂らしたようだった。しかし、マレーはカメラ越しに、点線が最後の鉢植えから突然背を向けてデスクの向こう側へ直行し、密集した斑点の塊になっているのを見た。

 

「私たちは同時に気づきました。」とマレーは話した。彼のクライアントは、従業員の一人（園芸好きな者）がデスクの上に残されていたものを全て読み、他の社員に伝えていたことをようやく理解した。このようなケースの多くで見られるように、同社長はこの事件および信頼できない従業員に対する処置については明かさなかった。しかし、その後彼はデスクの上のものを誰にも見られないよう、もっと気をつけるようになったことだろう。

 

事件の結論：ＣＦＥは電子機器を利用したスパイ行為の発見には至らなかったが、ハイテク機器を使って事件を解決でき、その費用を正当化することができた。

 

 

 

 

 

ＣＦＥおよびＣＩＩ（Certified International Investigator）であるジョナサン Ｅ．ターナー（Jonathan E. Turner, CFE, CII）は、テネシー州メンフィス（Memphis, Tenn.）に拠点を置くウィルソン＆ターナー（Wilson & Turner Inc.）の代表取締役を務める。彼は金融詐欺および新商品に関する文書の不正な漏洩などの従業員による犯罪対策を専門とする。

 

ターナーによれば、情報の流れを規制することは組織にとって厳しい挑戦だという。新商品の発売を前に、その情報を公表まで秘密にしておけるか懸念している会社があるとする。ターナーは、公表のずっと前に情報漏洩という恐れていた事態が起こらないことを受動的に願うより、公表直前に限定的な発表を計画するなど、許容できる結果になるよう積極的に戦略を練るほうが、会社にとって良いと助言する。

 

彼は次の例を挙げた。アップル（Apple）がiPhone（アイフォン）の最初のバージョンを発売すると、他の製造業者も似た機能を持つ競合品を開発した。競合他社は、リーダー企業の製品をリバース・エンジニアリング（解析して模倣すること）し発売するために、リーダー企業が商品を発表するのを待たなければならないとしたら、十分な利益を得られるのだろうか。ターナーによれば、アップルがiPhoneの発表前にその設計情報を巧みに保護したように、多くの場合リーダー企業は十分なリード期間があれば市場シェアを維持することができるという。

 

よって、絶対的に秘密を保持しようと奮闘するより、他社があなたのクライアントの新商品に関して何らかの手段で知ってしまうということを受け入れる戦略のほうが、より効果的なのだ。そのように考え方を調整してから、ＣＦＥはどの程度の漏洩ならば許容できるのか確認し、その目標に達する、あるいはそれを超えることができるよう取り組むことにクライアントを集中させる。「多くのクライアントは、自社の新商品に関する情報の漏洩が発覚してから我々に助けを求めます。」とターナーは話す。「彼らは、我々がどのように漏洩が起きたのかを解明し、どのように再発を防止すべきか説明することを望んでいるのです。」

 

ターナーの考えでは、方針や手段は理論でしかない。「それらは、物事のしかるべきやり方について書かれたものです。しかし、現実性も評価しなければなりません。 時に、理論と現実が一致することもあります。他の場面では、二つが相違することもあります。現実が著しく予想から逸れる時こそ、不正の起きる可能性があるのです。」とターナーは話す。

 

事件の結論：クライアントに、状況の変化に対応できる柔軟な情報セキュリティ・プログラムを構築し、全か無かの思考で成功と失敗を考えないよう促す。

 

 

 

 

 

ＣＦＥのポール・デマティス（Paul DeMatteis）は、ニュージャージー州マールボロ（Marlboro, N.J.）にあるコンサルティング会社、グローバル・セキュリティ・リスク・マネジメント（Global Security Risk Management）の創設者で、ジョン・ジェイ・カレッジの企業セキュリティ・プログラムの相談役を務める。セキュリティおよびビジネスの専門家が、会話の中で不注意に機密情報を明かしてしまうことを避ける方法について学ぶために、それらの同カレッジのプログラムを受講している。

 

デマティスは、自らの私生活から実例を挙げた。あるパーティの場で、彼は自分の仕事について機密情報を全く漏らさず雄弁に話す、次世代のテレビ・エンターテイメントの構想に関する博士号取得研究者と出会った。

 

「彼はよく指導されていました。」とデマティスは話す。「彼の会社が、聞き手に失礼のないよう社交の場で安心して話せるように準備していたのです。しかし、それほどよく指導された人に会ったのは、その時だけでした。」

 

事件の結論：クライアントに、情報保護および情報分類システムの必要性を理解させる。

 

また、デマティスは数多くの講演も行ってきた。彼曰く、「私が企業に雇われていた頃、私のプレゼンテーションに関する文書を予め確認する企業もありましたが、中には全く関心のない企業もありました。多くの研究者はよく人前で話しますが、彼らの会社には彼らが話したり発表したり、記事に載せたりしても良い内容に関するガイドラインもないのです。その結果、多くの機密情報がよく指導されていない認識の甘い従業員によって漏らされています。その問題に取り組むために、どの企業にも情報の分類・保護システムがあるべきなのです。」

 

デマティスの仕事の大半は人間行動に関わるものだが、彼はクライアントに電気通信分野においても専門的サービスを提供しており、ＰＢＸ（private branch exchanges, 構内電話交換機）の名でも知られる企業向け電話システムの悪用に関する１２の事件を担当してきた。

 

これらのシステムには、よく顧客サービスや営業のマネジャーが従業員の通話内容を内密に監視することを可能にする機能がついている。残念なことに、全ての会社の電気通信マネジャーがその会社のＰＢＸの機能に関して理解しているわけではない。もしくは彼らは、誰もそれらの機能を使いはしないと思っているのだ。そこで、高い権限を持った電気通信部の従業員なら誰でも、会社のコンピュータ・ネットワークを通して遠隔地からでもあらゆる通話内容を密かに聞くことができてしまう。そして誰も―ＰＢＸの専門家であっても―盗聴機能が有効になっている間にＰＢＸシステムに問い合わせない限り、このような侵入行為を発見することはできない。つまり、スパイが取締役会の電話会議の始めに機能を有効にし、電話が切られてから無効にしたとして、誰も機能が有効になっている間に問い合わせなければ、不正の記録は残らないのだ。

 

ある事例では、電話の問題を報告するためにＰＢＸ室に入った従業員が、近々実施予定の一時解雇に関する上級管理者の電話会議を、ＰＢＸ監視機能を使って盗聴している電気通信部の従業員を見つけたという。発見者の従業員は、その違反行為を社内のセキュリティ部に報告した。盗聴した従業員は、仲の良い同僚の失職のリスクに関する情報を得ようとしていたことが、セキュリティ部の調査によって判った。

 

本件では、他の従業員が運良く犯行現場に遭遇したが、犯人を現場で捕まえなければどこで不正が犯されたか、もしくは実際に不正が犯されたかどうかさえ分からないままなのだ。

 

事件の結論：クライアント企業のＰＢＸシステムのセキュリティ管理プログラムの適合性を評価し、監視する権限の割り当てを見直すようクライアントに強く勧告する。

 

 

 

 

 

ＣＦＥであるスティーブン・マクナリー教授（Professor Steven McNally）は、アメリカン・ミリタリー大学（American Military University）の学部および大学院のセキュリティ・マネジメント関連のプログラム・マネジャーを務めている。同大学は、ウェスト・バージニア州チャールズ・タウン（Charles Town, W.V.）にある。

 

マクナリーによると、企業の９９パーセントは経済スパイ法および同法が適用されるために企業がすべきことについて理解していないという。「会社役員の中には、その内容を熟知している人もいるかもしれません。」とマクナリーは説明する。「それから、セキュリティ関連の不正対策専門家の中にも知っている人はいるでしょう。 しかし、政府は同法に関して十分な公開および推進をしてきませんでした。」

 

マクナリーは、最終的な責任はＣＥＯにあると考える。「しかし、情報紛失の防止対策の主要人物は、各現場におけるＣＦＥであるべきです。セキュリティや会計・監査部門で働いている彼らは、不正関連もしくは財務情報の紛失や財務的損失に関わるあらゆる問題に取り組みます。」

 

結論：ＣＦＥは、不正関連のコンプライアンスおよび訴訟問題の監督者が経済スパイ法に精通していることを確認するよう、クライアントのＣＥＯに助言する。

 

 

 

 

 

ケビン・マレー（ＣＦＥ、マレー・アソシエイツ）

 

　

 

 

ポール・デマティス（ＣＦＥ、グローバル・セキュリティ・リスク・マネジメント創設者）

 

　

　

 

 

ジョナサン・ターナー（ＣＦＥ、 ウィルソン＆ターナー代表取締役）

 

　

　

　

 

 

 

 

 

ハイテクで珍しい経済スパイの脅威には注意が必要だ。しかし、非常に繊細な機密情報にアクセスできる、不満を抱えた従業員のような平凡な脅威も軽視してはならない。ＦＢＩのデローリエは説明する。「後に競合他社によって商品が完成され市場に出されるのを傍観するよりも、そのような問題は最初に対処したほうが、クライアントにとって良いのです。」さらに彼は、こう続けた。「経済スパイに関して言えば、拒否は通用しないのです。」

 

 

 

 

 

　

　

　

　

　

 

出所：ポール・デマティス（ＣＦＥ、ジョン・ジェイ・カレッジ）

 

 

 

 

 

経済スパイ対策の分野は、やりがいはあるが厳しい仕事だ。ここでは、本記事のインタビューに応じた三人のＣＦＥが、どのようにして、また何故この意欲をかき立てる分野に入ったのか、そしてその努力の結果の報酬についてそれぞれの意見を語る。

 

 

ポール・デマティス（ＣＦＥ）

 

「私は１９９０年代初めからジョン・ジェイ・カレッジで教えてきました。現在は同校の企業セキュリティ・プログラムの相談役を務めています。私は３０年間のキャリアを、フォーチュン１００社（Fortune 100）のセキュリティ・安全性・不正防止および緊急事態管理に関するプログラムの開発・導入・維持に費やしてきました。

 

三年前、私は大小の企業のリスク軽減管理策の開発・実施を支援するために、グローバル・セキュリティ・リスク・マネジメントというコンサルティング会社を始めました。私に相談に来るのは、主に内部セキュリティ部門を持たない小規模の企業だと思っていました。しかし、多くの大企業とのビジネス経験があったため、今もクライアントのほとんどは大企業です。しかし、有効なプログラムを持っている企業はごく僅かです。

 

私は常に、科学技術に大きく関わってきました。そこで新しいものが出てくると、特にそれが携帯音楽プレーヤーのようなデータ記憶装置であれば、その脆弱性を分析するのです。デスクに座ってリズムを取りながら音楽を聴いている間にも、情報をダウンロードしているかもしれません。つまり、私は新しい技術の正規の使われ方だけではなく、全ての可能性を考慮するのです。

 

どのようなものが入手可能か知ったら、きっと驚くでしょう。例えばドイツの空港や東京の電気街『秋葉原』では、キーボードとパソコンの間に挿入して後からネットワーク上でも入手できる情報収集の装置などのスパイ機器を、誰でも購入できるのです。もう一つ例を挙げましょう。経営トップの会議が行われている会議室のテーブルの上に、カスタマイズされた『ブラックベリー』が置かれているとします。その所有者は、そこでコピーを取ってくるために退室し、会議のその他の参加者が聞こえていないと思い込んでいるところを、ブラックベリーを通して盗聴することもできるのです。

 

クライアントには、特定の対策を取らなくてはならないとは言わないことです。それでは聞き入れないでしょう。誰も情報を紛失したり、競争に負けたり、多額のボーナスをもらえないことは望みません。その代わりに、教育を頼みにするのです。それが、変化をもたらす最適な手段です。」

 

 

ケビン Ｄ．マレー（ＣＦＥ）

 

「１９７８年にマレー・アソシエイツを創立する以前は、ピンカートン（Pinkerton’s Inc）の電子対策に関する国内マネジャーおよびニュージャージー支部の調査マネジャーを務めていました。この業界に入りたがっている人たちから、電話をもらうことがあります。彼らは、私が盗聴器の発見・撤去を行うと聞いて興奮します。そこで私はこう言うのです。『その作業をいつやると思いますか。夜間や週末です。そして、それ以外の時にはオフィスで報告書を書いているのです。』つまり、重い装置を持って移動したり、つり天井の上や汚いデスクの下を這いずり回ったりもしなければならないこの分野を、本当に好きでないとできません。テレビで見るようなイメージとは違うのです。

 

『危険信号』には、敏感でいなければなりません。部屋に入って行って、何か怪しいと思ったら、『変だな』と言って通り過ぎてはいけません。例えば物理的な捜査を行う時、床から２フィート（約６０cm）と天井から２フィートの間はよく調べるでしょう。残りの空間を点検するには、並々ならぬ努力が必要です。そして、そのようなところにこそ盗聴器があるかもしれません。

 

科学技術分野の学位を持っている必要はありません。高校からカレッジで学ぶ電子工学の基礎的な知識があれば、大丈夫です。探求心がなければフロード・マガジンを読んでいないでしょうし、そのような知識欲を持つことは良いことです。それは、おそらく最も重要な資格でしょう。この分野では、頑張り続けなければ沈んでしまうのです。」

 

 

ジョナサン Ｅ．ターナー（ＣＦＥ、ＣＩＩ）

 

「私と私のパートナーがわが社を創設した時、私たちには不正の調査・発見・証明・解決の分野での多くの経験がありました。私たちは、特定の業界を専門とはしていません。私たちのクライアントは、概して株式を公開している多国籍企業です。彼らの事業は詐欺師の大きな標的となっており、詐欺が（少なくとも発覚するまでの間）成功し得る様々な状況を作り出しています。

 

通常の場合、企業は私を不正の防止・発見もしくは証明のために雇います。事実関係の調査が終わり、証拠書類が揃うと、私はそれを法執行機関もしくは検察に直接持って行き、何を発見し、どう対処したか説明します。彼らにとって、犯された犯罪の種類や内容、証拠について私たちの意見を聞くことで、そのケースの理解が深まることも多いのです。

 

「事件の起訴に向けた準備方法に関して、弁護士や裁判官による講義を受けることもありますが、ほとんどの場合は継続的な専門教育および研修を利用しています。

 

わが社では、規制の策定やリスク査定、未だ知られていない問題の発見など、事前に行うサービスを提供しています。その他、私たちもしくはクライアントが発見した事柄に対して提供する事後的なサービスもあります。現時点では、全サービスのうち５０から８０パーセントが事後的なものです。景気も良く、企業が社内業務の向上に意識を向けている時ならば、もう少し事前に行うサーのスに投資するでしょう。しかし、景気が悪い時は事後策に集中し、悪いことが起きるのを待つようになります。それが人間の本性なのです。」 

 

 

 

ニューヨークのビジネス・ライターである。