要約

このケースがリスクと説明責任のファイルに属する理由

Capita がリスクと説明責任のファイルに属するのは、アウトソーシングが意図的にサービスの所有権と業務執行を分離するからである。地方自治体、年金受託者、政府機関、保険会社、公益事業者、医療顧客、雇用主、または民間顧客は人々に対する法的義務を保持するかもしれないが、サプライヤーがプラットフォーム、スタッフのワークフロー、認証情報、ファイルストア、コールセンター、管理システム、復旧証拠を管理する可能性がある。サプライヤーが攻撃されたとき、影響を受けた人は民間ベンダーと公的義務の間の明確な境界を経験しない。年金加入者は制度に問い合わせる。市民は自治体に問い合わせる。顧客は Capita に問い合わせる。規制当局は全員に何が起こったのかを示すよう求める。

Capita 自身のインシデントページ（https://www.capita.com/about-us/responsible-business/cyber-incident-what-happened-and-how-we-responded）は、2023年3月に同社がサイバーインシデントを経験し、特定の IT システムへの不正アクセスと一部の顧客サービスの中断が発生したと述べている。Capita は、攻撃は3月31日に阻止され、サービスはその後まもなく復旧したと述べた。4月20日の更新（https://www.capita.com/news-and-insights/news/2023/update-cyber-incident）では、調査により影響を受けたサーバー環境のごく一部からの限定的なデータ流出の証拠が特定され、Capita は専門アドバイザーや顧客と協力して調査し、適宜通知を行っていると述べた。

その後の公的記録はインシデントの重みを増した。ICO の2025年10月の発表（https://ico.org.uk/about-the-ico/media-centre/news-and-blogs/2025/10/capita-fined-14m-for-data-breach-affecting-over-6m-people/）は、規制当局が Capita plc および Capita Pension Solutions Limited に対し、600万人以上に影響を与えたサイバー攻撃後のデータ保護の欠陥により、合計1,400万ポンドの罰金を科したと述べている。金銭的罰則通知（https://ico.org.uk/media2/pv5nhks4/capita-plc-and-cpsl-monetary-penalty-notice.pdf）は、不正アクセス、大規模なデータ流出、技術的・組織的対策の弱点、年金関連データ処理における Capita Pension Solutions Limited の役割など、規制当局の調査結果を詳述している。

この記事は、企業記録、規制当局記録、年金規制当局記録、顧客通知、年次報告書、および信頼できる報道を異なる証拠層として扱う。Capita の私的なフォレンジック報告書、顧客別の完全なファイル、法執行機関の記録、完全な復旧ログ、または影響を受けたすべてのサービス記録へのアクセスを主張するものではない。また、攻撃者の身元に関する公開報道を企業確認済みの事実として採用しない。説明責任のある事実は、裏付けのない属性なしでもすでに深刻である。不正アクセスが発生し、一部のサービスが中断され、データが流出し、多くの人々が影響を受け、規制当局が後にデータ保護の失敗を認定した。

核心的な問いは実用的である。アウトソースされたシステムのセグメンテーション、公共サービスの継続性、影響を受けたデータの範囲特定、顧客通知、復旧費用の開示、年金記録の保証、およびサプライヤーのインシデントが公共部門の死角になっていないという証拠を誰が管理していたか？答えは Capita から始まる。なぜなら、Capita がその中核システム、インシデント対応、顧客とのコミュニケーション、年金管理環境、および証拠作成を管理していたからである。しかし、Capita で終わるわけではない。顧客と受託者は自らの住民に対する義務を保持していたからである。

タイムラインがサプライヤーの停止をデータ範囲の問題に変えた

最初の公的な問題はサービス中断だった。The Guardian は2023年4月3日、https://www.theguardian.com/business/2023/apr/03/capita-blames-cyber-attack-outage-it-systemsで、Capita が IT システムの復旧を急ぐ中、停電の原因をサイバー攻撃のせいにしたと報じた。Capita の初期の公式声明は、主に内部の Microsoft Office 365アプリケーションに関する混乱を説明していた。この枠組みは重要だった。なぜなら、サプライヤーの停止は、サービスがすぐに戻りデータが保護されていれば、運用上の問題として扱われる可能性があるからだ。しかし、数週間以内に、説明責任の問いはデータ流出と顧客通知へと移行した。

Capita の4月20日の企業更新（https://www.capita.com/news-and-insights/news/2023/update-cyber-incident）は、同社が攻撃を封じ込め、従業員の Microsoft Office 365へのアクセスを復旧し、影響を受けたサーバー環境からの限定的なデータ流出の証拠をいくつか発見したと述べた。同日、The Guardian はhttps://www.theguardian.com/business/2023/apr/20/capita-admits-customer-data-may-have-been-breached-during-cyber-attackで、顧客、スタッフ、サプライヤーのデータがアクセスされた可能性があると報じた。正確な表現が説明責任の問題を変えた。一時的な停止は「サービスはどのくらい早く復旧したか？」を問う。データ流出は「誰の個人データがコピーされたのか、管理者または処理者は誰か、どのような通知が必要か、その答えを裏付ける証拠は何か？」を問う。

Capita の5月10日の更新（https://www.capita.com/news-and-insights/news/2023/update-actions-taken-resolve-cyber-incident）は、影響を受けたサーバー環境内のデータを回復および保護し、インシデントから生じた問題を是正し、サイバー防御を強化するための広範な措置を講じたと述べた。また、専門家費用、復旧、是正、セキュリティ投資の公的なコスト範囲も示した。公開報道（https://www.theguardian.com/business/2023/may/10/cyber-attack-to-cost-outsourcing-firm-capita-up-to-20m）は、その予想請求額を1,500万ポンドから2,000万ポンドとし、後の報道（https://www.theguardian.com/business/2023/aug/04/cyber-attack-to-cost-outsourcing-firm-capita-up-to-25m）は予想コストを最大2,500万ポンドと説明した。

コストは重要だが、修復と同じではない。大規模な復旧費用は大掛かりな作業を示すかもしれないが、セグメンテーション、最小権限、監視、顧客固有の範囲特定、または加入者通知の品質を証明するものではない。Capita の2023年年次報告書（https://www.capita.com/dam/documents/investors/results-reports-presentations/2023/full-year-results-2023/Capita-plc-Annual-Report-and-Accounts-2023.pdf）は、インシデントを企業リスク、是正、コスト、および変革の文脈の中に位置付けているため有用である。投資家は財務的影響を知る必要があった。顧客はサービスとデータへの影響を知る必要があった。影響を受けた人々は個人的な影響を知る必要があった。これらは関連しているが同一ではない記録である。

後に ICO によって説明されたフォレンジックのタイムラインは、サービス復旧の物語が不完全であることを明らかにした。ICO の金銭的罰則通知には、アクセス、検出、対応、アカウント管理、データ流出、影響を受けた人々に関する、より詳細な規制当局の見解が含まれている。重要な説明責任のポイントは、すべての技術的ステップをあたかも一般読者が独立して検証できるかのように詳述することではない。サプライヤーの最初の運用更新には、完全なデータリスクの全体像が含まれることはほとんどないということを観察することである。したがって、アウトソーシングの顧客は、最初の更新は暫定的なものであり、後の証拠を必要とすることを前提とした契約とインシデントのプレイブックを必要とする。

アウトソーシングは管理権を移すが、公的義務は移さない

公共サービスのアウトソーシングは、専門企業が管理、顧客対応、支払い処理、年金プラットフォーム、ケースワーク、技術サポート、バックオフィスのワークフローを大規模に実行できるため魅力的である。その規模はコスト、人員、自動化を改善できる。同時にリスクを集中させることもできる。あるサプライヤーの中核システム、ID モデル、ファイルストア、またはセキュリティ監視が弱ければ、多くの公的機関や民間組織が同時にそのエクスポージャーを発見する可能性がある。

Capita のビジネスモデルは、その集中を明白にした。年次報告書は、グループがビジネスプロセスサービス、カスタマーエクスペリエンス、デジタル、ソフトウェア、公共サービスサポートを分野横断的に提供していると説明している。一般公众はすべての契約を理解する必要はなかったが、依存関係を把握することはできた。2023年4月の停止は、Capita が地方自治体、保健、防衛、教育、年金、民間顧客に触れるサービスと関連していたため、直ちに懸念を引き起こした。The Guardian の4月の記事や、ICO にデータ侵害を報告した組織に関する BBC の報道（https://www.bbc.com/news/technology-65746599）を含む信頼できる公開報道は、インシデントが企業の混乱から下流の機関の懸念にどれだけ速やかに移行したかを捉えていた。

説明責任の問題は、公的機関はその公的な関係をアウトソースできないことである。自治体はサプライヤーと契約できるが、市民は依然としてなぜサービスが利用できなかったのか、またはなぜ個人データが露出したのかを自治体に問い合わせる。年金制度は管理者を利用できるが、加入者は依然として受託者に自分の記録に何が起こったのかを問い合わせる。政府部門はアウトソーシングの連鎖に依存できるが、議会、監査人、規制当局、サービス利用者は依然として公的な結果を判断する。サプライヤーが運用管理権を持つ一方で、公的機関は正当性のリスクを保持する。

これが、調達の証拠がインシデントの前に重要である理由である。顧客は、どの Capita システムが自社のデータを保持しているか、どの Capita エンティティがそれを処理するか、データが顧客ごとに分離されているか、どの特権アカウントがそれに到達できるか、セキュリティアラートがどのようにトリアージされるか、バックアップがどのように保護されるか、データがどこに保存されるか、下請け業者が関与しているか、インシデント通知がどのように発行されるか、どのような独立した保証が利用可能かを把握すべきである。これらの質問が侵害の後で初めて行われた場合、顧客はすでに過度の管理権を放棄している。

同じことがサービス継続性にも当てはまる。公共部門の継続性は、Capita が自社の内部アプリケーションを復旧したかどうかだけで測定されるわけではない。人々がまだサービスにアクセスできるか、コールセンターが機能しているか、年金計算が続行されているか、地方政府のプロセスが遅延しているか、健康や給付のワークフローが影響を受けているか、スタッフが代替手順を使用できるか、顧客が混乱を説明できるかによって測定される。継続性の指標がサプライヤー内部に留まる場合、サプライヤーのインシデントは公共部門の死角になり得る。

年金記録が証拠の連鎖を可視化した

年金は、制度に識別可能な受託者、管理者、加入者、規制当局、データ義務があるため、最も明確な公的例の一つとなった。年金規制庁の介入報告書（https://www.thepensionsregulator.gov.uk/en/document-library/enforcement-activity/regulatory-intervention-reports/capita-cyber-security-incident-regulatory-intervention-report）は、サイバーセキュリティインシデント後に年金制度と加入者へのリスクを評価するために Capita と協力し、受託者向けの教訓を示したと述べている。この報告書は、インシデントを Capita の出来事としてだけでなく、制度ガバナンスの出来事として扱っている点で重要である。

USS の加入者向けハブ（https://www.uss.co.uk/for-members/capita-cyber-incident-hub）は、Capita が2023年5月11日に USS に USS 加入者データがアクセスされたことを正式に通知し、USS が5月12日から加入者への通知を開始したと述べている。USS は、Capita の Hartlink プラットフォームを社内の年金管理プロセスをサポートするために使用しており、問題のデータは Hartlink から Capita が生成したファイルにあり、運用手続きのために Capita サーバー上に別途保持されていたと述べている。これはまさに、影響を受けた加入者が制度とサプライヤーの説明なしには見ることができない依存関係の連鎖である。

USS のよくある質問（https://www.uss.co.uk/for-members/capita-cyber-incident-hub/frequently-asked-questions）は、データのカテゴリーや保護措置に関するガイダンスなど、加入者向けの実用的な詳細を追加した。年金規制庁の報告書に対する USS の回答（https://www.uss.co.uk/for-members/capita-cyber-incident-hub/response-to-the-report）は、インシデントを受託者の対応と教訓の枠組みに位置付けた。The Guardian の5月12日の報道（https://www.theguardian.com/business/2023/may/12/capita-cyber-attack-uss-pension-fund-members-details-may-have-been-stolen）は、加入者データのリスクと、確認が確定的でない場合にはデータがアクセスまたはコピーされたと想定して作業するよう Capita が助言したことを説明した。

これがアウトソーシングの説明責任問題の縮図である。Capita が管理プラットフォームとファイルを管理していた。USS は加入者に対する義務を負っていた。加入者は最も情報が少なく、最も個人への露出が大きかった。規制当局は受託者の対応とより広範な制度の教訓を評価する必要があった。問題は、一つのファイルがコピーされたかどうかだけではない。サプライヤー、受託者、規制当局、加入者間のコミュニケーションのシステムが十分に迅速かつ具体的に機能したかどうかである。

年金データは通常の連絡先データではない。氏名、生年月日、国民保険番号、住所、給与、雇用、給付、加入状況、退職計画の文脈を含む可能性がある。これは身元リスク、金融ターゲティング、ソーシャルエンジニアリング、長期的な不安に利用される可能性がある。年金加入者はもはや現役従業員ではないかもしれない。退職しているか、病気であるか、給付に依存しているか、連絡を取りにくい可能性がある。通知の設計は、デジタルに精通した労働者だけでなく、そのような人口にも対応しなければならない。

確認された事実、裏付けのある推論、未知のものは分離しておく必要がある

確認された公的事実は実質的である。Capita は特定の IT システムへの不正アクセスと一部の顧客サービスの中断を開示した。後に、影響を受けたサーバー環境のごく一部からの限定的なデータ流出の証拠を開示した。ICO は、600万人以上に影響を与えるデータ保護の欠陥を認定した後、Capita plc と Capita Pension Solutions Limited に罰金を科した。年金規制庁はサイバーセキュリティインシデントと年金制度の教訓に関する報告書を発表した。USS やその他の公的通知は、加入者への通知活動を確認した。Capita は復旧および是正コストを開示した。これらの事実は、リスクと説明責任のケースを支持するのに十分である。

裏付けのある推論も明確であるが、範囲を限定すべきである。多くの顧客は、関連するファイルとシステムが Capita 管理下の環境内にあったため、Capita なしではデータ範囲を独立して判断できなかったと推論するのは合理的である。年金受託者は、正確な加入者通知を発行する前にサプライヤーの証拠を必要としたと推論するのは合理的である。アウトソーシングの集中化により、多くの顧客と制度が一つのサプライヤーの調査に依存していたため、調整の複雑さが増したと推論するのは合理的である。規制当局の調査結果がそれらの弱点を示している場合、弱い特権アカウントまたは監視管理により、最初のエンドポイントインシデントがより広範なデータ露出に変わる可能性があると推論するのは合理的である。

未知のものは残る。公的記録は、すべての顧客契約、すべての影響を受けたファイル、すべての影響を受けたデータ主体、すべてのサービス停止の詳細、すべての私的なインシデントブリッジ、すべての法執行機関の連絡先、すべてのフォレンジック成果物、すべての復旧ログ、すべての顧客別通知パケット、またはすべての是正証明の成果物を提供するわけではない。影響を受けたすべての人のデータが悪用されたことを証明するものではない。すべての Capita サービスが影響を受けたことを証明するものではない。この記事で攻撃者グループを確認された企業事実として命名することを支持するものではない。説明責任の記録は、未知のものが事実として偽装されていないときに強固になる。

その区別は公共サービスにおいて特に重要である。当局者やサプライヤーが確実性を過大評価すると、人々への通知が不足する可能性がある。損害を過大評価すると、回避可能なパニックを引き起こす可能性がある。良い通知は、何が確認されたか、何が安全のために想定されているか、何がまだ調査中か、その人が何ができるか、サプライヤーが何をしているか、顧客が何をしているか、次の更新がいつ届くかを述べるべきである。Capita のケースは、顧客がこれらのカテゴリーをサプライヤーに要求する契約上の権利を必要とすることを示している。

同じ規律が規制当局の調査結果にも適用される。ICO 通知は、英国のデータ保護執行に関する権威ある証拠である。顧客別の運営記録の代わりにはならない。年金規制庁の報告書は、年金制度の監督と教訓に関する権威ある証拠である。完全な公開フォレンジック報告書ではない。Capita の年次報告書は、財務およびリスクの文脈に関する権威ある企業証拠である。加入者に自分の正確な記録がコピーされたかどうかを伝えるには十分ではない。各ソースには役割がある。

エンタープライズソフトウェアの自動化は共通モードのリスクを隠す可能性がある

Capita のインシデントはエンタープライズソフトウェアの自動化トピックに属する。なぜなら、アウトソースされた管理は、共有プラットフォーム、ファイル生成プロセス、ワークフローツール、ID サービス、コールセンターシステム、レポートジョブを通じて自動化されることが多いからである。自動化は手動コストを削減する。また、複数の顧客が同じアーキテクチャに依存する場合、共通モードのリスクを生み出す。特権アカウント、ファイルストア、監視プロセス、またはアラートワークフローの弱点は、単一の顧客が全体像を見る前に多くの顧客に影響を与える可能性がある。

ICO の金銭的罰則通知は、セキュリティ管理を孤立した技術設定ではなく組織的対策として扱っている点で有用である。Capita グループ全体の責任、Capita Pension Solutions Limited の処理、セキュリティポリシー、内部監査、特権アクセス、ペネトレーションテスト、アラート処理、対応について議論している。これはアウトソーシングの説明責任に適したレベルである。顧客はソフトウェア機能だけを購入するのではない。その機能に対するサプライヤーのガバナンスを購入するのである。

NCSC のマルウェアとランサムウェアの緩和（https://www.ncsc.gov.uk/guidance/mitigating-malware-and-ransomware-attacks）、横方向の移動の防止（https://www.ncsc.gov.uk/guidance/preventing-lateral-movement）、サプライチェーンセキュリティ（https://www.ncsc.gov.uk/collection/supply-chain-security）に関するガイダンスは、このケースに公開された管理言語を提供する。これらのソースは Capita に関する調査結果を述べていない。顧客が気にかけるべき管理期待値を定義している：攻撃面の削減、ネットワークの分離、特権アクセスの保護、活動の監視、インシデント対応の訓練、サプライヤーリスクの管理。

アウトソーシング環境では、自動化の証拠には、顧客データマップ、特権アカウントインベントリ、ログカバレッジ、アラートトリアージ記録、脆弱性クロージャ、ペネトレーションテストの是正、バックアップ検証、セグメンテーション図、アクセスレビュー、サービス継続性テストを含める必要がある。サプライヤーはサービスが復旧したと言えるが、顧客は復旧が脆弱なシステムを単に再接続しなかったことの証明を必要とする。サプライヤーはデータ流出が限定的だったと言えるが、顧客はその限界が苦情の不在ではなく証拠によって確立されたことの証明を必要とする。

課題は、一部の証拠を詳細に公開できないことである。サプライヤーは機密性の高いアーキテクチャ図を公開通知に入れるべきではない。しかし、顧客や規制当局に構造化された保証を提供できる：どのシステムクラスが影響を受けたか、どのデータカテゴリが範囲内だったか、どの管理が失敗したか、どの管理が維持されたか、何が再構築されたか、どのアカウントがローテーションされたか、どの監視が変更されたか、どの独立したレビューが行われたか、将来のアラートがどのようにエスカレーションされるか。これが、セキュリティのための秘密と利便性のための不透明さの違いである。

顧客通知は証拠のボトルネックを伴う共有責任である

サプライヤーインシデントにおける顧客通知には少なくとも4つの層がある。第一に、サプライヤーは顧客に何が起こったか、そしてそれが自社のデータやサービスにどのように関係するかを伝えなければならない。第二に、顧客は自社に個人データ侵害、サービス継続性の問題、契約上の通知義務、または規制当局への義務があるかどうかを判断しなければならない。第三に、影響を受けた人々は理解可能な通知を必要とする。第四に、規制当局と受託者は対応が適切であったことの証拠を必要とする。

Capita のケースは、これらの層がどれだけ速やかに増殖するかを示している。The Guardian は2023年5月30日、https://www.theguardian.com/business/2023/may/30/capita-cyber-attack-data-breaches-icoで、約90の組織が Capita が保有する個人情報の侵害を英国のデータ監視機関に報告したと報じた。BBC の報道（https://www.bbc.com/news/technology-65746599）も同じ基本的な公的懸念を報じた。正確な通知数は、構造よりも重要ではない：一つのサプライヤーインシデントが多くの顧客の決定を生み出した。

証拠のボトルネックはサプライヤーにある。顧客は、自社のデータが影響を受けたシステムにあったかどうか、アクセスまたはコピーされたかどうか、どのカテゴリが関与したか、データが暗号化されていたかどうか、攻撃者がどのくらいアクセスしていたか、バックアップやログが信頼できるかどうか、システム復旧がリスクを変えたかどうか、どのような保護措置が適切かを知る必要がある。サプライヤーが一般的な声明のみを提供する場合、顧客は通知を遅らせるか、過剰に通知する。どちらも信頼を損なう可能性がある。

ここで契約設計が重要になる。サプライヤー契約は、迅速なインシデント通知トリガー、データ範囲義務、規制当局との協力、顧客別報告書、監査権、特権アクセス期待、データ分離要件、保存期間、バックアップと復旧の証拠、コミュニケーション責任を定義すべきである。また、特別な対応作業や影響を受けた人のサポートの費用を誰が負担するかも定義すべきである。インシデントの後に証拠へのアクセスを交渉するまで待つことは、貧弱な管理である。

年金規制庁の報告書は、受託者の側面を具体的にしている。受託者は、制度データがどこに保持されているか、サプライヤーがそれで何をするか、インシデントがどのようにエスカレーションされるか、加入者にどのように通知するかを理解すべきである。サイバーインシデントは受託者の義務を取り除かなかった。それは、受託者がプレッシャーの下でその義務を果たすのに十分なサプライヤーガバナンスを持っていたかどうかを試した。この教訓は、年金を超えて、地方自治体、健康関連サービス、政府請負業者、脆弱な人口に対して公的な義務に近い義務を負う民間部門の顧客にも適用される。

復旧コストは公的説明責任と同じではない

Capita の復旧および是正コストは重要だった。2023年5月の企業更新と公開報道は、予想される専門家費用、復旧、是正、サイバー防御コストを説明した。8月の報道はより高い予想コストを説明した。年次報告書は、インシデントを財務報告とリスク管理の中に位置付けている。投資家は、サイバーインシデントがキャッシュ、マージン、保険、請求、顧客信頼、将来の契約リスクに影響を与えるため、これらの数字を必要としていた。

しかし、コストは証明ではない。専門家に資金を使うことは、データが正確に範囲特定されたことを証明しない。ツールを購入することは、アラートがトリアージされることを証明しない。補償を支払うことは、再発リスクが管理されていることを証明しない。システムを復旧することは、それらがより安全なアーキテクチャに復旧されたことを証明しない。サプライヤーは財務的打撃を吸収できるが、顧客や影響を受けた人々は依然として必要な証拠を欠いている。逆に、企業は見出しのコスト数字には現れない強力な修復を実施できる。

公的説明責任には結果の証拠が必要である。サービスは合意されたレベルに復旧されたか？データ主体は正確に通知されたか？規制当局は証拠に満足したか？特権アクセス経路は変更されたか？ペネトレーションテストの所見はクローズされたか？影響を受けた事業単位は監査されたか？顧客データストアはマッピングされたか？バックアップと復旧プロセスはテストされたか？顧客別の報告書は提供されたか？顧客は自らのガバナンスを変更したか？これらが支出を修復に変える質問である。

ICO の罰則記録はこの区別を明確にしている。2025年の罰金はそれ自体で2023年のインシデントを修復するものではない。調査結果を述べ、結果を課し、見逃された基準を知らせる。Capita の ICO の結果に対する公的な対応は後の記録の一部であるが、説明責任ファイルはどのような成果物が現在持続的な管理を証明しているかを問うべきである。影響を受けた人々は罰金だけを必要としているのではない。サプライヤーと顧客が運用上の教訓を学んだという保証を必要としている。

コスト配分も重要である。サプライヤーのインシデントが地方自治体、年金制度、雇用主、または公的機関にスタッフ時間、法律費用、コールセンターの労力、監視サポート、コミュニケーション費用を強いる場合、これらのコストはサプライヤーから公共サービスのエコシステムに転嫁される可能性がある。完全な説明責任ファイルは、Capita のコストだけでなく、顧客のコストや影響を受けた人の負担も特定すべきである。市場の見出しは Capita の是正請求書で止まるかもしれない。公共サービスのコストはしばしば他の場所で継続する。

データ主権と地域性は運用上の管理である

このケースにおけるデータ主権は、サーバーがどこにあるかだけではない。年金記録、従業員データ、市民データ、給付記録、コールセンターノート、ID フィールド、サービス履歴を誰が管理しているか、どの英国 GDPR の役割が適用されるか、どの顧客が管理者または処理者か、どの Capita エンティティがどのデータを処理するか、どの規制当局がどの義務を監督するか、どの影響を受けた人がどの法的枠組みの下で通知を受けるかである。ICO と年金規制庁の記録は、これらの質問が学術的なものではなく運用上のものである理由を示している。

ICO のランサムウェアとデータ保護コンプライアンスに関するガイダンス（https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/security/a-guide-to-data-security/ransomware-and-data-protection-compliance/）は、ランサムウェアとサイバーインシデントを、機密性、完全性、可用性、通知、証拠のすべてが重要となる個人データ保護イベントとして扱っている点で有用である。繰り返すが、このガイダンスは Capita 固有の調査結果ではない。これは、個人データを保持するアウトソースされたシステムが IT 復旧以上のものを必要とする理由を理解するための枠組みである。

地域性は影響を受けた人々にとっても重要である。年金加入者は英国にいるか、海外に退職しているか、元の雇用主のために働いていないか、歴史的なサービスを通じて制度に接続されている可能性がある。市民のデータは、請負業者を利用する自治体によって保持されている可能性がある。公的機関の従業員は、アウトソースされた管理者によって処理されるスタッフ記録を持つ可能性がある。通知は、契約所有者だけでなく、実際のチャネルを通じて人々に届かなければならない。データの地域性には、コミュニケーションの地域性が含まれる：データが露出した人を見つけて通知できるのは誰か？

したがって、サプライヤーのデータマップは公共部門の継続性の一部である。記録がどこに保持されているか、どの顧客がそれらを所有しているか、どのシステムが運用手続きのためにファイルを生成するか、ファイルがどのくらい保持されるか、一時的な抽出が存在するか、誰がそれらにアクセスできるか、どのバックアップがそれらを含むか、削除がどのように機能するかを示すべきである。Hartlink から生成され Capita サーバー上に別途保持されたファイルに関する USS の開示は、それ以外では見えない運用データ経路を説明したため、有用な例である。加入者は、リスクが抽象的な「年金システム」だけではなく、サプライヤーによって保持された生成ファイルが関与していることを理解できた。

データ最小化もこの一部である。運用上の理由でファイルが生成される場合、必要以上に長く利用可能にすべきではない。特権アカウントが大規模なデータストアに到達できる場合、制限、監視、セグメント化されるべきである。アラートが発生した場合、迅速に処理されるべきである。ペネトレーションテストでリスクのある設定が特定された場合、是正が追跡されるべきである。ICO の記録は、これらの管理ポイントを個人データ保護に結び付けている。これが地域性をスローガンではなく管理システムにする理由である。

公的購入者は更新前に証拠を必要とする

Capita のケースはまた、公的購入者、年金受託者、規制対象の顧客が、サプライヤーがどのように証拠を作成するかを尋ねる前に侵害を待つべきでない理由を示している。更新は、顧客がインシデントの教訓を契約管理に変えることができる瞬間である。顧客が価格、サービスレベル、および広範な評判だけで更新する場合、インシデントを管理しにくくした同じ証拠のギャップを維持する可能性がある。公共サービスの契約は、通常の運用中にデータマップ、セキュリティ証明、インシデント報告書、特権アクセスレビュー、サービス継続性の証拠がどのように作成されるかを定義すべきである。

その証拠は実用的であるべきだ。地方自治体はすべてのファイアウォールルールを必要としない。どのシステムが住民のデータを保持しているか、それらのシステムが他の顧客からどのようにセグメント化されているか、管理者のアクセスがどのように承認およびレビューされるか、生成されたファイルがどのように保存および削除されるか、高リスクのセキュリティアラートがどのくらい迅速にエスカレーションされるか、インシデントが自社のデータに影響を与えた場合にどのような報告書を受け取るかを知る必要がある。年金受託者は、加入者記録、給付計算、住所ファイル、給与フィード、死亡確認、コールセンターノート、文書ストアについて同様の証拠を必要とする。顧客は、サプライヤーが失敗する前に、影響を受けた人にサプライヤー依存関係を説明できなければならない。

更新の証拠には訓練も含まれるべきである。紙のインシデント計画は、サプライヤー、顧客、受託者、法務チーム、コミュニケーションチーム、規制当局連絡プロセスが一緒にテストされたことがなければ弱い。机上演習は簡単な質問をすることができる：最初のサプライヤーアラートを誰が受け取るか、加入者または市民に通知するかどうかを誰が決定するか、合法的な通知に必要な最小限のデータフィールドは何か、メディアの質問に誰が答えるか、サービスの代替手段がどのように活性化されるか、顧客固有の証拠がどのように保存されるか、復旧が完了したことを誰が承認するか。これらの質問は運用上のものであり、劇的なものではない。それらは、サプライヤーのイベントが調整された対応になるか、即興のメッセージの一週間になるかを決定する。

更新プロセスには出口計画も含まれるべきである。アウトソーシングは、サプライヤーが移行が難しいレガシーファイル、ワークフロー履歴、ユーザー知識、統合を保持している場合、ロックインを生み出す可能性がある。サイバーインシデントが顧客に関係の再考を促した場合、顧客は依然としてクリーンなデータ抽出、移行サポート、古いサプライヤーのコピーが削除されたか合法的に保持されていることの証拠を必要とする。出口の証拠がなければ、顧客は戦略を変更した後でもサプライヤー環境に露出したままになる可能性がある。

年金制度にとって、これは特に重要である。なぜなら、加入者は数十年にわたって制度に留まる可能性があるからである。管理サプライヤーは変更される可能性があり、プラットフォームは移行される可能性があり、雇用主は再編される可能性があるが、加入者記録は存続する。したがって、受託者はサプライヤーのサイバー保証を受託者の規律の一部として扱うべきである。管理者が給付を計算できるかどうかを尋ねるだけでは不十分である。管理者は、給付を計算するために使用されるデータを保護し、特定し、説明し、復旧できなければならない。

公的機関も同じ耐久性の問題に直面している。市民は一度だけ自治体サービスとやり取りし、その後、データがサプライヤーのワークフローに何年も保持される可能性がある。サービス利用者は請負業者の名前を覚えていないかもしれない。請負業者が侵害された場合、公的機関は依然として露出を説明しなければならない。更新管理、データ最小化、監査権、テストされた通知経路は、公的機関が市民がすでに影響を受けた後に初めて依存関係を発見することを避ける方法である。

耐久性のある修復が証明すべきこと

Capita インシデント後の耐久性のある修復は、8つのことを証明すべきである。第一に、範囲を証明すべきである。Capita と顧客は、どのシステム、事業単位、顧客、ファイル、記録、サービスライン、影響を受けた人のカテゴリが関与したかを知るべきである。範囲は、中断と流出、可能なアクセスと確認されたコピー、Capita データと顧客データを区別すべきである。

第二に、セグメンテーションを証明すべきである。アウトソースされたサービスプラットフォーム、年金ファイル、企業システム、顧客環境、特権アカウント、バックアップシステム、運用ファイルストアは、一つの弱い経路から到達可能であってはならない。セグメンテーションが失敗した場合、修復は何が変わったかを示すべきである。セグメンテーションが維持された場合、修復はその結論を裏付ける証拠を示すべきである。

第三に、特権アクセス制御を証明すべきである。ICO の記録は特権アクセスを中心的な問題にしている。耐久性のある修復ファイルには、アカウントインベントリ、最小権限の変更、サービスアカウントの制限、監視、アラートルール、認証強度、例外ガバナンスを含めるべきである。特権アカウントは、アウトソースされた記録を管理する場合、公共サービスのリスクである。

第四に、アラートと対応の規律を証明すべきである。アラートは、攻撃者が移動している間、未処理のまま放置されるべきではない。セキュリティ運用は、トリアージ基準、エスカレーションしきい値、スタッフカバレッジ、インシデントブリッジルール、証拠保存を持つべきである。サプライヤーは、将来のアラートがどのように異なる方法で処理されるかを説明できなければならない。

第五に、顧客通知の品質を証明すべきである。顧客は、タイムリーで、具体的で、データカテゴリに基づいた報告書を受け取るべきであり、それにより合法的な通知と実用的なガイダンスが可能になる。一般的な声明は、年金加入者、市民、従業員、サービス利用者が何が起こったかを知る必要がある場合には十分ではない。

第六に、公共サービスの継続性を証明すべきである。復旧は、内部アプリケーションの可用性だけでなく、人々が使用するサービスに対して測定されるべきである。顧客サービスが低下した場合、ファイルは期間、代替手段、影響を受けたユーザー、調整、復旧を記録すべきである。

第七に、保存とファイル生成の管理を証明すべきである。生成されたファイル、運用抽出物、履歴記録、バックアップ、一時的な処理ストアは、削除スケジュールとアクセス制御を持つべきである。プロセスが便利だから存在するデータは、侵害の在庫になる可能性がある。

第八に、執行後のガバナンスを証明すべきである。ICO の罰金、TPR の報告書、年次報告書の開示、顧客通知は、取締役会の監督、サプライヤー保証、調達基準、受託者ガバナンス、独立したレビューに反映されるべきである。修復は、リーダーシップの変更や契約更新を超えて耐久性があるべきである。

説明責任はアウトソースされた管理面に従う

最終的な配分は実用的な管理に従う。Capita は影響を受けたシステム、セキュリティ運用、復旧作業、データ範囲特定、顧客コミュニケーション、是正証拠、多くの運用プラットフォームを管理していた。顧客は自らの契約ガバナンス、データ選択、公的義務、自らの住民への通知を管理していた。年金受託者は加入者向けの説明責任とサプライヤー監督を管理していた。規制当局は執行と教訓を管理していた。影響を受けた人は、行動するのに十分な情報を得た後でのみ、限定的な保護措置を管理していた。

その配分は、Capita が公開討論で主張されるすべての下流の損害に対して責任があることを意味するわけではない。運用管理権を持つサプライヤーが、証拠を迅速かつ正確に作成する最も強い義務を負っていたことを意味する。また、公的機関や受託者はアウトソーシングを説明責任の盾として扱えないことを意味する。公共サービスのサプライヤーが重要な依存関係である場合、そのサプライヤーの監督はサービスの一部である。

Capita のケースは、繰り返し発生する公共部門の問題を露呈するため、重要であり続けている。アウトソーシングは、サービスを管理的に効率的に見せかける一方で、市民と加入者のデータを保持する技術的な管理面を隠す可能性がある。その管理面が失敗したとき、影響を受けた人は一つの出来事を経験する：依存するサービスと、自らサプライヤーに預けていないデータが突然不確かになる。法的契約は責任を分割するかもしれないが、公的な経験は分割しない。

耐久性のある教訓は、サプライヤーのサイバーリスクは公共サービスの継続性リスクとして管理されなければならないということである。契約はインシデントの前に証拠を要求すべきである。インシデントは構造化された顧客固有の証明を作成すべきである。規制当局はサプライヤーの管理と顧客の監督の両方をテストすべきである。受託者と公的機関は、加入者と市民が侵害通知を通じて学ぶことを強いられる前に、依存関係の連鎖を説明すべきである。Capita の2023年のサイバーインシデントが公共サービスの説明責任テストになったのは、真の問いが民間のアウトソーサーが復旧したかどうかだけではなく、アウトソースされたサービスに依存する人々が復旧の証拠を見て、検証し、信頼できるかどうかだったからである。