チャールズ・デナイヤー氏は、その職業人生の大半を、国防総省や、米国および海外の 17 の諜報機関で、直接雇用またはコンサルタントとして勤務してきました。
そのため、彼は、 の最近の連邦指令 に対して懐疑的です。この指令では、米国の政府機関に対し、最近のオープンソースの Log4j へのハッキング など、既知のソフトウェアの脆弱性に対して直ちにパッチを適用するよう命じています。 この指令では、数週間から数ヶ月のうちにパッチの適用を行うことが求められています。 。
サイバーセキュリティ、サイバー衛生管理の実践、およびコンプライアンス問題について経営幹部に助言を行っているデナイヤー氏は、連邦政府機関は「民間企業に比べて是正や管理が難しい」と述べています。 「セキュリティツールやソリューションの承認プロセス、および導入プロセスは、非常に時間がかかり、官僚的なものです。」
こうした問題に加え、連邦政府機関では現在、サイバーセキュリティ分野の人材流出が進んでおり、民間企業のより高給な職に人材を奪われています。 （ある推計によると、 によると、公共部門のサイバーセキュリティ関連の求人 のうち36,000 件が未充足のままであり、そのうち1,700 件は国土安全保障省だけで占められています。） つまり、政府の複雑なネットワークインフラや、 しばしば時代遅れのレガシーツール やシステムを扱う専門家が少なくなっているということです。 監視団体は、長年にわたりこれらのシステムに不合格の評価を下してきました。
「指導者たちはこの問題を理解しているかどうか、私には定かではありません」と、コンサルティング会社オプティブ・セキュリティの連邦政府部門責任者であり、かつて米陸軍大佐として情報部門の近代化を指揮したニコエル・ブルックス氏は述べています。 「結局のところ、その問題を具体的にイメージすることに戻ります。」 その結果、連邦政府機関においては、たとえ最良の状況下であっても、すべての業務をこなすには人員が不足しているという状況になっています。」
各機関が採用活動の見直しや技術スタックの整理を進める中で、可視性を高め、ネットワークのセキュリティを確保するために、今すぐ実行できる3つの サイバー衛生管理 の対策があります。
1. IT環境全体を監視・スキャンできることを確認してください
連邦政府の各機関は、それぞれ独自の特徴を持っています。 しかし、それらにはすべて共通の弱点があります。それは、オンプレミスとクラウドベースのプラットフォームにまたがり、新旧のシステムが混在するIT環境です。 さらに、在宅勤務への大規模な移行に伴い、管理対象外のエンドポイントが急増しています。 その結果、ネットワークの可視性が損なわれてしまいました。 何しろ、組織が見えないものを管理し、保護することは不可能です。
「連邦政府機関には、たとえ最良の状況下であっても、すべての業務をこなすには十分な人員がいません。」ニコエル・ブルックス氏（元米陸軍大佐、オプティブ・セキュリティ社連邦政府部門責任者）
そして、多くのサイバーセキュリティやITの専門家が、手探りの状態で業務に取り組んでいます。 PwCが「 2022 Global Digital Trust Insights Survey 」の調査で対象としたITリーダーの約75％が、自社のテクノロジー、データ、運用環境が過度に複雑であるため、ネットワークをリアルタイムで監視する能力が妨げられていると報告しています。 複雑で不透明な環境が、連邦政府の指針を満たそうとする機関の取り組みを妨げています。
ネットワークやエンドポイントのリアルタイムスキャン、ひいてはセキュリティ検知能力の向上には、アラートを監視する人員だけでは不十分です。 「人間にはそんなことはできません」と、25年にわたりセキュリティ分野の先駆者として活躍し、プロフェッショナルサービス企業ZenacitiのCEOを務めるアンドルー・プラト氏は述べています。 「それは、一人でも百人でも、到底不可能な仕事です。」 「それは人間の認知能力の及ばない領域です。」
の監視に自動化と人工知能を組み込むこと（ ）は、既知の攻撃や脆弱性の既存のシグネチャだけでなく、異常な行動パターンを検知できるソフトウェアを活用し、組織のセキュリティオペレーションセンター（SOC）の担当者にアラートを送信することで、役立ちます。
「リアルタイムでスキャンし、検知を行うことができる技術や自動化を導入し、人間が後でそれを確認できるようにする必要があります」とプラト氏は説明します。 それでもなお、十分な人数が対応に当たる必要があります。つまり、連邦政府機関は、人材の育成、定着、そして報奨に力を注ぐ必要があります。
2。 データをプラットフォームやエコシステムに統合する
レガシーシステムは、サイロ化された単体ソリューションに過度に依存しています。 彼らが常に円滑に連携しているわけでも、ネットワークに対する見解が一致しているわけでもありません。
「ツールの乱立」が組織の悩みの種となっています。 ある調査によると、ITの意思決定者の 55％が、セキュリティと運用分野で 20 以上のツールを使用していると回答し、70％がこれらのツールには完全な統合が欠けていると述べています。 疎結合な のポイントソリューション が乱立すると、コストと複雑さが増大し、結果として組織がセキュリティ侵害を検知し、対応する能力を阻害することになります。
組織は、チームの中核となる業務とセキュリティ機能を単一のプラットフォームに統合する必要があります。 このプラットフォームは、チームのすべてのメンバーに、自身の環境に関する包括的でリアルタイムな情報を等しく提供するとともに、互いに連携して円滑に機能するソリューションのエコシステムを通じて、その機能を拡張しなければなりません。
連邦基準の一つである「 情報セキュリティリスクの管理 」（NIST SP 800-39）では、「連邦情報システムの運用および利用に起因して、組織の業務、組織の資産、個人、他の組織、および国家に生じる情報セキュリティリスクを管理するための、組織全体にわたる統合的なプログラム」が求められています。 同報告書によると、効果的なリスク管理には、組織の使命と戦略、ビジネスプロセス、そして個々のITシステムという3つのレベルのリスクを考慮に入れた、幅広い視野が必要であるとされています。
[関連記事：Tanium Riskが、連邦政府機関のリスク管理フレームワークの要件への準拠をどのように支援するか]
個別のツールをプラットフォームに統合し、相互運用可能なエコシステムを構築することで、チームは必要なツールの数を減らし、コスト、複雑さ、リスクを低減することができます。 また、セキュリティ機能に使用するインターフェースの数を減らすことができ、組織のセキュリティ確保のために連携する必要があるチーム間の複雑さ、オーバーヘッド、および摩擦を最小限に抑えることができます。 その過程で、ネットワークに関する唯一の包括的な「真実の源」を構築し、ツールの活用度と有効性を向上させ、投資対効果を高めます。
3。 ITインフラ全体にゼロトラストを統合する
最後に、組織は のゼロトラスト戦略を導入しなければなりません。これは、連邦政府の指針の中で、おそらく最も困難な側面と言えるでしょう。 Zenacitiのプラトン氏は、「ゼロトラストは単なる技術ではない」と述べています。 「古いアーキテクチャにゼロトラストを無理やり適用しようものなら、すべてが台無しになってしまいます」と彼は言います。 「それは、Googleで最も高給のチームであっても、 90 日間で成し遂げられるようなことではありません。」
「古いアーキテクチャにゼロトラストを無理やり適用しようとしても、すべてが台無しになってしまいます。」ZenacitiのCEO、アンドルー・プラト氏
ゼロトラストとは、 まったく新しいアーキテクチャ であり、ITインフラを管理する手法です。 プラト氏は、「ゼロトラスト製品を単に購入するだけでは不十分だ」と述べています。 このアプローチをあらゆるものに組み込む必要があります――しかも、各機関が必ずしも円滑に連携しているわけではなく、「自機関のシステムインテグレーターやプラットフォーム」を固執する環境の中でです。
ゼロトラストの導入に優れた組織の多くは、最終的には、それが完璧な状態ではないことに気づきます。 むしろ、セキュリティとは到達すべき目標なのです。 それは一連のプロセスです。 それは目指すべき目標ですね。
しかし、それは政府なら成し遂げられることです。 「この大統領令が実現する可能性が非常に高いと考える理由は、その内容が主に彼らが支配する領域にあるからです」と、CyberSheath ServicesのCEOであり、BAE Systemsの元CISOであるエリック・ヌーナン氏は述べています。 「法的な新境地を切り開くものではありません。」
[関連記事：米国防総省にとって、データ管理の未来は「ゼロトラスト」にある]
ヌーナン氏は、これらの指示が政権が定めた厳格なスケジュール通りに実施されない可能性があると述べています。 その代わりに、「それらはすべて、物事を前進させることを目的としているのです」と彼は言います。
結局のところ、適切なシステムや戦略を早急に整備する機関ほど、政府の機密システムやデータから悪意のある者を遠ざけるという点で、はるかに優れた成果を上げることができるでしょう。
