--最初にこの事件に気づいた時、どう感じたのか。
私には3人の子供と、義理の子供が2人いて、全員をとても愛している。一方、RSAは私にとって職業上の子供のようなものだ。人間に置き換えることはできないが、今回の事件では子供を連れ去られたような気分だった。
しかし、まずはいかにして顧客を守るべきかを考えた。RSAという私の子供は、顧客に仕えることが使命なのだから。そこで、顧客にどうやって危機を伝えるか、どのような和解策を提案すべきか、対処の優先順位をいかにして決定すべきかを考えた。
実際には、あの時私が一生懸命対処できたのは従業員のおかげだ。彼らの勇敢な行動は、私を非常に勇気づけた。みな休むことなくリスクの洗い出しをし、さまざまな対処方法を考えていた。彼らの努力はすばらしかった。
--こうした攻撃を受けた時、企業はどうすればいいのか。他社のCEOへのアドバイスは？
EMCの経営陣はあの時、誰も「悪いのはあいつだ」といった責任追及をすることはなかった。とにかく問題を解決し、まずは顧客をサポートしなくてはという方向に動いた。セキュリティインフラをどう改善すべきかや、それに対するコストは後で考えよう、という態度だった。
他社のCEOに対するアドバイスとしては、自社の置かれている状況を的確に判断せよということだ。RSAもこれがベストだと思う方法でやっていたのだから。
そして、万が一のことが起こった場合、適切に対処せよということだ。我々は事態発覚後約24時間で自らの置かれている状況を公表した。24時間かかったのは、どのように顧客にこの状況を伝え、どのようなアドバイスをどうやって提供するかを考えていたためだ。もっと詳しく情報開示すべきだという批判もあったが、われわれは顧客中心の企業なので、正しい判断だったと思う。実際には我々ほど多くの情報を開示する企業はほとんどない。
とはいえ、情報を開示することで状況が悪くなることもある。だから我々の情報開示は適切だったと考えている。他社が間違っているとは言わない。他社の状況はわからないし、それに対するコメントもできない。とにかく早く対処して、情報開示が必要な部分は開示し、顧客中心に考えるという視点を忘れないことだ。
--攻撃を受けたことで、RSAの戦略は変化したのか。
我々の戦略は基調講演で話したインテリジェンスベースのセキュリティへとすでにシフトしつつあった。2010年に買収したArcher Technologiesは、ガバナンス、リスク、コンプライアンスのフレームワークを提供し、インテリジェントベースのセキュリティシステムに必要なリスクベースの要素を含んでいる。
迅速性の要素については、2005年にCyotaを買収した。Cyotaは振る舞い機能を提供し、そのリスクエンジンを情報のフローに適用している。1年前の2011年4月に買収したNetWitnessは、継続的なモニタリング機能を提供し、トランザクションパターンを判断する。状況判断するという要素、つまりビッグデータに関する要素だが、これもNetWitnessの技術を活用し、状況判断するためのデータをハイエンドな分析エンジンに入れ、意思決定につながる実用的な情報を提供できるようにしている。こうして数年にわたってわれわれの戦略は進化し続けていたのだ。
