自らの顧客を密かに恐喝して利益を得ていた侵害交渉人の有罪判決は、単なる不正行為者の逸話ではない。これは、企業セキュリティスタックの中で最も急成長し、最も統制の取れていない層、すなわち企業が最悪の時に呼び寄せる第三者対応者についての構造的警告である。
経済原理がこのリスクを生み出している。ランサムウェア攻撃が進行中の際、被害者は極度の時間的圧力、情報の非対称性、評判への恐怖の下で活動する。彼らは外部の交渉人、フォレンジック企業、侵害対応弁護士にほぼ全面的な意思決定権限を委ね、多くの場合、正式なデューデリジェンスなしに数時間で選定される。この組み合わせ、すなわち高い賭け金と低い検証は、まさに内部不正が繁栄する環境である。支払いを助言する人物が結果に応じて報酬を得る場合、インセンティブは密かに逆転する。
市場がこれを悪化させている。インシデント対応は、サイバー保険パネルの背後で活動するブティック企業、フリーランサー、下請け業者の断片化された家内工業となっている。Lloyd'sシンジケートを通じて引受を行う保険会社や、CoalitionやAt-Bayのようなプラットフォームは、事実上被害者を優先ベンダーに誘導しているが、個々のオペレーターの身元調査は依然として不十分である。大手プレイヤー(Mandiant、現在はGoogle Cloud内、CrowdStrike、Palo AltoのUnit 42、Kroll)はガバナンスをもたらすが、需要は日常的により弱い統制の小規模事業者に溢れ出ている。
グローバル企業の経営幹部にとって、実行可能な転換は、インシデント対応を緊急購入ではなく、サプライチェーンリスクとして扱うことである。侵害前に保持IR(インシデント対応)パネルを事前交渉し審査し、利益相反の開示と攻撃者側からのいかなる報酬も禁止することを契約上義務付け、すべての身代金交渉が指名され身元調査済みの個人を通じて行われることを義務付け、事後監査のためにすべての交渉接点を記録する。取締役会は率直な質問をすべきである:我々に代わって犯罪者と交渉する人々を誰が検証しているのか?
より広範なトレンドは規制である。EU、米国財務省のOFAC、保険会社がランサムウェア交渉人の免許制度または認定制度に向けて推進することが予想され、マネーロンダリング対策規則が隣接する金融職を専門化したのと同様の動きとなる。検証可能で監査可能なIRガバナンスを今構築する企業は信頼プレミアムを獲得する。場当たり的なベンダーに依存する企業は、セキュリティプログラムの中で最も統制の取れていない領域に、最重要の意思決定をさらしている。
