もし「州全体にわたるサイバーセキュリティとは何ですか？」という質問をされたとしたら、 ほんの数年前なら、最も一般的な反応は、首をかしげるような表情だったでしょう。
州政府や地方自治体が厳しい状況に置かれている今、この問題は以前よりもはるかに注目を集めるようになっています。
政府部門を標的としたサイバー攻撃 は、 2022 年の下半期において、2021年の同時期と比較して、世界全体で 95％増加しました 。 ランサムウェア は猛威を振るっています。 2021年には、州および地方自治体の組織の 58％がランサムウェアの被害に遭い、 前年比で70％の増加 となりました。 And costs are skyrocketing: For local governments, the price of rectifying a ransomware attack, including expenses related to resources, downtime, lost opportunity, and ransom paid, averaged $1.64 million per attack in 2021.
この前例のない規模のサイバー犯罪に対抗するために、自力で十分なリソースを確保できている管轄区域はほとんどありません。 そのため、今日、多くの州や自治体、そして のK-12学区 が、この増大する共通の脅威の波に対してより効果的に対処するため、連携し、資源を共有しています。 彼らが採用している戦略は、総称して「州全体を網羅する」ものとして知られています。
「州全体を網羅するサイバーセキュリティ」とは、具体的にはどのようなものなのでしょうか？
「州全体を網羅するサイバーセキュリティ」とは、州政府が管轄内の自治体、教育機関、先住民団体、その他の公共機関と連携し、サイバー防衛体制を強化する取り組みのことです。 これらの組織を連携させることで、共同で戦略を策定し、データやリソースを共有し、人材不足 に対処し、州および連邦政府の 資金 を確保し、ランサムウェア 、サプライチェーン攻撃、およびその他の共通のサイバーセキュリティ上の脅威に対抗する同盟を構築します。
「彼らが協力しているのは、誰かにそうしろと言われているからではなく、自分たちの意志でそうしているからです。」ジェニファー・ピットマン＝リーパー氏、タニウム社 州全体担当ストラテジスト
「彼らが協力しているのは、誰かに『そうしなければならない』と指示されているからではなく、自らそう選んだからです」と、サイバーセキュリティ管理企業Taniumの州全体戦略担当であるジェニファー・ピットマン＝リーパー氏は述べています。 同じサイバー脅威に直面しているにもかかわらず、連携を図らない政府機関は、大きな機会を逃すことになる、と彼女は述べています。
州全体を対象としたサイバーセキュリティ戦略の策定方法
協働を始めるための取り組みは、事実上どのレベルの行政機関からでも発せられる可能性がありますが、州全体を網羅する枠組みを具体化するには、現場と上層部の双方からの支援が必要となります。
「誰であれ、『ねえ、助けが必要なんだ』と言うことから始められます」とピットマン・リーパー氏は述べています。 「しかし、成功とは、他の政府機関と連携できるよう、選出された公職者を含む政府の最高レベルからの支援を得ていることを意味します。」 また、IT部門の方々と連絡を取り合う必要もあります。 「誰もが、協力して取り組むという考えに賛同する必要があります。」
[こちらもご覧ください：NACoが最近開催したウェビナー「2つの州の事例――州全体を巻き込んだ取り組みがサイバーセキュリティの未来をどう形作っているか」]
これらの連携体制は、組織横断的な独立したサイバーセキュリティチームとして正式に確立されるべきです。 このグループは、ステークホルダーによる定期的な会議の場を設け、意思決定のための枠組みを構築し、効果的なサイバーセキュリティ方針を策定することができます。 これらをゼロから作成する必要はありません。 これらは、 や米国国立標準技術研究所（NIST） 、あるいはやインターネットセキュリティセンター（CIS） といった、確立された政策の枠組みから参照することができます。
州全体のサイバーセキュリティ計画の資金調達方法
連邦政府からの助成金や短期的な資金増額は、州全体を網羅する計画を立ち上げる上で役立ちます。 計画を初年度以降も継続していくには、州の一般財源からの資金調達が必要になる可能性が高いでしょう。 いずれの場合も、ピットマン・リーパー氏は、金銭面について前もってしっかりと話し合うことが極めて重要だと述べています。
「お金の話から目を背けないでください」と彼女は言います。 「そうでなければ、素晴らしいものを生み出しても、それを維持し続けることはできないでしょう。」
「まるで近隣見回り隊のようなものです。」 私たち全員が街のパトロールに参加し、互いの裏庭を見守り合うことで、皆をより強く、より安全に守ることができます。”ピットマン・リーパー
州全体を対象とした政策綱領には何を盛り込むべきか
関係者が支持を集め、基本方針を策定し、資金調達について協議を終えたら、州全体を対象とした政策プラットフォームの具体的な内容を策定する必要があります。 ピットマン・リーパー氏は、以下の4つの柱に従うことを推奨しています：
- 情報の共有 — の脅威インテリジェンス、侵害の兆候、あるいは単なる一般的な最新情報など、どのような情報であれ、参加するすべての組織はデータを共有する姿勢を持つ必要があります。 組織横断的なチームと、それを支えるコミュニケーションプロセスが極めて重要となります。
- インシデント対応計画―― 効果的な計画 には、担当者の役割と責任、および段階的な手順を明記する必要があります。 そして、全員が自分の役割を把握できるようになるまで、模擬訓練を通じて実践しなければなりません。 「サイバーインシデントの際には、数秒が命取りになります」とピットマン・リーパー氏は述べています。 「対応が早ければ早いほど、被害を軽減できるのです。」
[関連記事：堅牢なインシデント対応計画を策定するための 5 のステップ]
- 人材育成――コミュニティカレッジや大学との連携は、州全体を視野に入れた計画において、見過ごされがちですが重要な要素です。 インターンシップを提供することで、政府機関は人材不足をある程度解消できるほか、 学生に実社会でのIT実務経験 を提供し、彼らが社会に出る際に有利な立場に立てるようにすることができます。 こうした連携により、公共部門は学校に対して継続的にフィードバックを行うことも可能になります。 「重要なのは」と彼女は言います。「生徒たちが今日のセキュリティ上の課題に対処するために、どのようなスキルセットが必要になるかを、先生方に伝えることです。」 「そして明日の分も。」
- 標準化されたツールセット —機関間で情報を共有するには、基本となるツールが不可欠です。 「あなたがフィートで測るのに、私がメートルで測るとなると、いつも混乱してしまうでしょう」と彼女は言います。 「ツールが1つあれば、全員に同じ指示を伝えることができます。」
州全体を長期的にどのように管理すべきか
相互に密接に関連する3つの取り組みが、州全体を網羅する戦略を推進しています：
- ガバナンス は、すべての人にとって公平な方法で、意思決定を行い、ツールを導入し、結果を監視・報告するための枠組みを提供しています。 「初めて一緒に仕事をする人たちがいるのです」とピットマン・リーパー氏は述べています。 「何らかの安全策を講じる必要があります。」
- 「 」の実施は、「州全体を巻き込んだ取り組み」の実行段階にあたります。 ここでは、ITマネージャーやエンジニアが、標準化されたツールセットやプロセスを活用し、以前に策定したサイバーセキュリティポリシーを実践に移します。
- 検証（ ）は、方針や取り組みが効果的に機能しているかどうかを確認する最終段階です。 各チームは、自己申告ではなく、セキュリティレポートのデータに基づいてコンプライアンスを証明できる必要があります。 包括的な によるリアルタイム監視 およびレポート機能により、現在の強みと弱みを全体像として把握できるようになり、ギャップを迅速に特定し、グループ全体のセキュリティ態勢を強化することが可能になります。
[関連記事：州全体にわたるサイバーセキュリティ戦略を実施するには、政策の微調整や、変更点や懸念事項を主要関係者に伝えることが必要です。その方法をご紹介します]
ピットマン・リーパー氏は、州内のあらゆる政府機関は相互につながっているため、サイバーセキュリティ戦略も協力的なものであるべきだというのは当然のことだと指摘しています。
「まるで近所の見回りみたいなものです」と彼女は言います。 「私たち全員が街のパトロールに参加し、互いの裏庭の様子を見守り合うことで、皆がより強く、より安全でいられるのです。」
