- JP MorganはChase Bank関連の2018年の電子コミュニケーション記録を大規模に失い、約400万ドル（$4m）の罰金を科された
- 削除された記録は、2018年1月1日〜4月23日の約8,700個のメールボックスの電子コミュニケーション約4,700万件で、一部は法的に保存が必要な業務記録だった
- 保管ベンダーの36カ月保存設定が正しく機能していると信じて削除作業を実行したが、Chaseドメインには保護が適用されていなかったことが判明した
- 少なくとも12件の民事証券関連の規制調査でJP Morganは召喚状と文書提出要請を受けたが、永久削除された記録は復旧も提出もできなかった
- 事件後、自社の保存コーディングと承認手続きを導入し、SECは将来の違反停止命令と400万ドルの制裁金支払いを命じた
4,700万件の記録削除とSECの制裁
- JP MorganはChase Bank子会社に関連する2018年のメール記録数百万件を削除し、SECから400万ドルの罰金を科された
- 削除規模は約4,700万件の電子コミュニケーション記録で、約8,700個のメールボックスで発生したものだった
- 対象期間は2018年1月1日から4月23日までだった
- このうち多数は1934年証券取引所法に基づき保存すべき業務記録と判断された
- 少なくとも12件の民事証券関連の規制調査で問題が続いた
- このうち8件はSEC職員が実施した調査だった
- JP Morganは召喚状と文書提出要請を受けたが、記録が永久削除されていたため復旧も提出もできなかった
削除プロジェクトで生じた誤判断
- 発端は、もはや保存義務のない古いコミュニケーションや文書をシステムから削除しようとしたプロジェクトだった
- JP Morganが実装したプロセスでは、削除対象として特定された文書を適切に削除できず、問題解決の過程で2018年第1四半期の電子コミュニケーションを対象に削除作業が実行された
- 当時JP Morganは、Exchange Actが求める36カ月の規制保存期間内の記録は永久削除できないよう保存されていると信じていた
保管ベンダーと36カ月保存設定
- JP Morganは、コミュニケーション保存を委託していた匿名のアーカイブベンダーに責任があるとみている
- このベンダーはJP MorganとFINRAに対し、自社メディア保管庫が36カ月保存期間に関するExchange Act規則を順守していると何度も保証していた
- JP Morganはこの期間内の文書が削除から保護されると判断していた
- 訴訟など別の目的で維持すべき文書を保護するため、legal holds対象のメールボックスには追加のコーディングも適用されていた
実際の削除経緯と発覚
- 2019年6月、Corporate Compliance Technologyチームは、メールとインスタントメッセージを含む、もはや保存不要な電子コミュニケーションを削除するプロジェクトを進めていた
- JP Morganとベンダーが作成した手順で適切な文書を削除できなかったため、チームは複数の期間にわたって削除作業を実行した
- これには2018年1月1日から4月23日までのメールも含まれていた
- チームは保存対象記録の削除を防ぐ保護措置があると信じていた
- 実際には、ベンダーがJP Morgan内部のChaseドメインに保存設定を正しく適用していなかった
- その結果、legal holdsの追加コーディングで保護された項目を除き、当該ドメインのメールが永久削除された
- JP Morganは2019年10月、法的証拠開示チームが2018年初頭の期間の電子コミュニケーション欠落を発見したことでこの事実を把握した
- 会社は2020年1月にSECへこの事件を報告した
再発防止策とSECの判断
- JP Morganは事件対応として、自社の36カ月保存コーディングを実装し、運用手順を見直した
- 新しい手順では、保存義務が残る電子コミュニケーションに削除作業が実行されないようにしている
- 削除作業を実行しようとする従業員は、上級情報担当者の承認を得る必要がある
- SECは、JP MorganがExchange Act Section 17(a)とRule 17a-4(b)(4)に故意に違反したと判断した
- 当該規定は、broker-dealerに対して事業関連の受信コミュニケーションと送信コミュニケーションの写しを最低3年間保存するよう求めている
- SECはJP Morganに対し、今後の違反停止命令と400万ドルの制裁金支払いを命じた
- JP Morganは、記録保管義務を真摯に受け止め、プロセスと手順を強化するための措置を講じたと述べた
1件のコメント
Hacker Newsのコメント
状況はおおむねこうだと思う: 1) 法的理由で保存しなければならないデータは、通常の削除手順で消されてはいけない 2) 削除されるべきデータが適切に削除されていなかった 3) それを直すために、2018年当時の現時点までの削除リクエストを手動で実行し、保存対象データは1が守ってくれると信じていた 4) ところが、誰かがChaseドメインに送られたメールについて1の設定を漏らしていた。合併はその時点ですでに18年前だった 5) 誰も1年半のあいだ気づかなかった
最大の問題は5に見える。ミスは起こるものだが、適時に気づいていればバックアップにメッセージが残っていた可能性が高い。バックアップにもないなら、それはもっと大きな問題だ。ただし、法的証拠開示の関係で、そもそも古いメールを消すのと同じ理由でバックアップも長期間保持していなかった可能性が高い
十分な理由がなければ、会社がITインフラにもっと投資するのは不合理かもしれない。大規模な顧客データ漏えいでさえ実質的に処罰されないのに、前四半期の成長鈍化ですでに株主が怒っている取締役会に対して、どうやって緩和コストを正当化するのか
IT担当者が実際に見た事例に興味がある。全メッセージのログ記録を本当に残しているのか、それとも特定時点の全アカウントのスナップショットのようなものを持っているのか
弁護士ではないが、多くの国では裁判官が**不利な推定(adverse inference)**を適用して、その証拠に何があったかを事実上推定できる
消した側に有利にはならないだろう
https://en.m.wikipedia.org/wiki/Adverse_inference
そのメールのかなりの部分は訴訟保全命令の対象だったはずだ。その訴訟でChaseが保存すべきだったのに保存に失敗したメールに依存することになれば、裁判官は陪審に**証拠隠滅推定(spoliation inference)**の指示を出せる。つまり陪審は、その証拠がChaseに不利だったと推論できる
ただし悪意ではなく無能のせいだったなら、その可能性は低くなる
こういうことが起きた例はかなり多いと思う
こういう種類の事故を自分で起こしたことがある。入社して6か月も経っていないころ、誰かが自作のキーカードで建物に不正侵入した事件があり、大規模な内部調査が行われた
何が起きたのかを見るため、ある機械のイベントログを解析するよう頼まれ、12人ほどが参加したTeams会議でイベントログを右クリックしていたら、誤って削除を押し、無意識のうちに確認ダイアログまで承認してしまった
かなり恥ずかしかったが、すぐに正直に話した。その後はいつも電源を抜いて、先にディスクイメージを取るようにしている
金融業界で働いたことがある立場からすると、たわ言に聞こえる
インフラ変更はもちろん、データ操作をするにも署名と会議が延々と必要だ。退職者の会社クラウドフォルダ1つ処理するだけでも会議が13回くらい開かれる
なのに法廷に行くことになると、不思議なことに数え切れないほどのことが自然に、しかも会社に有利な方向で起こる
これは企業版の「IT部門が宿題を食べちゃいました」だ。あり得ない言い訳で、ささやかな罰金だけで“処罰”される
「あっ、ミスった」という基本発生率をなくすコストは指数関数的に増えるし、誰もがNASA級の予算をITに使えるわけではない
人間のがんをまだ治せていないのは、私たちが自分で作り出したがんには目をつぶっているからだ
400万ドルの罰金だって? 保管コストよりずっと安そうだ
あまりにも陰鬱でなければ、ここで露呈している腐敗がどれほど露骨で公然としているか、ものすごく笑えただろう。地球上の誰がこんなばかげた話を信じるのか
こういう事故への罰金はBで始まってillionsで終わる額、つまりbillions単位から始めるべきだ。そのあとで、こうしたミスがどれほど頻繁に起こるか見てみよう
例えば、運用資産規模がtrillions単位のファンドレベルの保有・取引情報を扱うシステムを触ったことがある。スキーマ所有者権限でSQLインジェクション脆弱性があった。内部アプリだったのは幸いだが、トレーディングデスクの開発者が名前衝突する
drop table文をうっかり貼り付けることもあり得たこれを責任者に全部話したところ、「リアルタイムバックアップがあるので大きな問題ではない」と返された。バックアップをテストしたのかと聞くと、していないと言う。バックアップから復元する手順があるのかと聞くと、ないと言う。5分の障害でも大騒ぎになる組織なのに、復元にどれだけかかるのかと聞くと、分からないと言う
無知は本当に信頼できる説明だ。規制産業でも同じだ
こうした事故の処罰は銀行業免許の永久剥奪であるべきだ。証拠が“うっかり”削除され得る会社をどうやって信用できるのか
こちらのほうがもっとありそうに見える: https://www.sec.gov/news/press-release/2021-262
オランダ政府が新政権樹立に関連する機密文書を“うっかり”削除した件を思い出す。その過程は調査中で、会話の録音記録が入った文書は一部の政治家に不利な証拠として使えたかもしれない
政府機関はたいてい文書保存が非常にずさんだという点まで考えると、なおさら際立つ
誰でもミスはするから大丈夫。次は証拠だけ消さないようにすればいい
そんなことが起こり得るのは理解できるよね。では支払ってください
“うっかり”。そうだろうね
400万ドルは端金に感じる。JP Morganなら世界全体ベースでその額を1時間もかけずに稼ぐだろう
コーヒー休憩のあいだに稼ぐ金額くらいだ