ティム・ルーマー氏――アリゾナ州のCISO（最高情報セキュリティ責任者）であり、アリゾナ州国土安全保障局の局長――は、数多くの課題を解決しなければなりません。
彼は、各国の軍隊によるサイバー攻撃から国家を守らなければなりません。
彼は、増え続ける脆弱性に満ちた広大な攻撃対象領域から身を守らなければなりません。
そして、彼は複雑で分断された一連の機関や組織を横断して、その任務を遂行しなければなりません。
彼の解決策とは？ アリゾナ州全域において、「 」の州全体戦略を実施します。 （新しいタブで開きます）
こちらがローマーさんの物語です。
https://youtu.be/D6yZF506WeM
サイバーセキュリティは国土安全保障です
ロエマー氏は、CIAでの「非常に充実したインターンシップ」をきっかけにキャリアをスタートさせました。 彼はテロ対策に情熱を注ぎ、同機関で 10 年間勤務しました。
在任期間の最後の2年間、彼は大統領、副大統領、および国家安全保障会議に対し、国家安全保障に関する最新情報を報告しました。 それらの会議を通じて、彼は国家によるサイバー攻撃の現実と、サイバーセキュリティの重要性を痛感しました。
ロエマー氏はCIAを辞め、故郷のアリゾナ州に戻りました。 「身近な友人や家族に影響を及ぼす安全保障の問題に取り組みたいと思ったのです」と彼は説明します。
彼は当初、アリゾナ州国土安全保障局の副局長を務め、その後、同州の最高情報セキュリティ責任者（CISO）およびアリゾナ州国土安全保障局長に任命されました。
これらの役職に就いた際、ローマー氏はアリゾナ州のダグ・デューシー知事から、州全体のサイバーセキュリティ体制を拡充し、それを国土安全保障局の管轄下に組み入れるという使命を託されました。 「彼は私に『サイバーセキュリティこそが国土安全保障だ』と言いました」とルーマー氏は述べています。
ロエマー氏がまさにそれを実現した方法と、その過程で学んだことについてご紹介します。
「州や地方自治体のサイバーセキュリティにおいて、私たちは、世界中の無尽蔵の資源を持つ各国軍を、一日中、毎日、食い止めなければならないと期待されています。」
国境のない戦い
アリゾナ州のような州にとって、なぜサイバーセキュリティが重要なのか
ある意味では、アリゾナ州のサイバーセキュリティの責任者たちは不利な状況に置かれており、物理的セキュリティの責任者とは大きく異なる期待に応えなければなりません。
「アリゾナ州が、ある国家からの侵入に対して、我々の物理的な国境を守ることを期待されているわけでは決してありません」と彼は説明しています。 「もしロシアが実際にアリゾナ州の南の国境へ侵攻しようとしたとしても、人々は私たちがそれを食い止められるとは期待しないでしょう。」
一方、同州のサイバーセキュリティ対策については、その逆が当てはまります。
「サイバーセキュリティの分野では、ロシア軍はもちろん、中国、北朝鮮、イランなど、ありとあらゆる敵の攻撃を食い止めることが求められています」とローマー氏は述べています。
これにより、ルーマー氏とそのチームには、根本的に異なる一連のプレッシャーが生じることになります。
「だからこそ、サイバーセキュリティは今、これほど重要なんです――国境がないからです」と彼は説明します。 「世界中から、無尽蔵の資源を駆使して攻撃が仕掛けられてくる可能性があります。そして、そのすべてから身を守らなければなりません――一日中、毎日、です。」
こうした期待に応えるため――そして、資金力のある世界中のさまざまな攻撃者から自州を守るため――ロエマー氏は大胆な一手打つ必要がありました。
彼がしたことは、次のとおりです。
アリゾナ州に「州全体を網羅する」サイバーセキュリティ戦略を導入する
アリゾナ州のデューシー知事は、単に物事が順調に進むようにするためだけに、ルーマー氏を任命したわけではありません。 彼は、州のサイバーセキュリティへの取り組み方を変革させるため、ローマー氏を任命しました。
「知事は、現状を打破し、新しいことに挑戦するために私を任命してくださいました」と、ルーマー氏は説明しています。 そして、そのプロセスは、現状を率直に評価することから始まりました。
「自分の長所と短所を知っておくことが大切だと、私は強く信じています」と彼は言います。 「自分の強みを活かして戦うことはできますが、敵はあなたの弱点を狙ってきます。そして、私には、敵が利用しうる弱点や隙があることを承知していました。」
ほぼすべての州と同様、アリゾナ州でもサイバーセキュリティへの取り組みはばらばらでした。 各機関や組織はそれぞれ独自のプロセスやツールを用いており、州レベルで確立されたベストプラクティスが地方レベルまで浸透しておらず、十分な情報共有も行われていませんでした。
幸いなことに、ローマー氏には解決策がありました。
「『 』という州全体を網羅する取り組み を実施すれば、すべての人にとって有益になると考えました」と彼は説明しています。 「もし州や地方の指導者たちが『協力し合い』、一丸となって、資源や情報、そしてベストプラクティスを共有し始めれば、私たちはより良い状況に立てるでしょう。」
「州全体を視野に入れた」アプローチは、新たなセキュリティ戦略として注目されています。 （新しいタブで開きます）。 そこでは、州政府のあらゆるレベルの指導者が、安全保障上の課題をめぐって協力し合っています。 この戦略には多くの目標がありますが、ロームアー氏にとって、プログラムの成功は結局のところ、チームワークを高めることにかかっていたのです。
「サイバーセキュリティは複雑な問題であり、誰一人としてすべての答えを持っている人はいません」と彼は言います。 「州全体での取り組みが重要なのは、それがチームワークに関わるからです。 「これは、協力し合い、善の勢力を結集して、悪の勢力に立ち向かうという話です。」
ロエマー氏がアリゾナ州で「州全体を巻き込んだ取り組み」をどのように実現したか、その経緯をご紹介します。
「州全体」の概念を現実のものにする：4つの重要な要素に焦点を当てる
ロエマー氏は、4つの要素に焦点を当てることで、州全体を網羅する成功したプログラムを構築しました。
1. 柔軟で長期的な考え方を身につけましょう
「州全体としての取り組み――そしてサイバーセキュリティ全般についても――は、現在進行中の取り組みです。 私たちは、日々変化し続ける脅威と戦っています。 「すべてを理解したと思ったその瞬間こそが、打撃を受ける瞬間なのです」とローマー氏は述べています。
2。 必要になる前に、人脈を築いておきましょう
「オフィスから出ていく必要があります。」 人々と出会い、より多くの人々を巻き込むのに十分な信頼関係と協力体制を築く必要があります。そして、それをできるだけ早く実現しなければなりません。 私たちの業界では、いつも「緊急時には名刺を配っている場合ではない」と言っています。 「その時点で、もう手遅れです」とローマー氏は言います。
3。 資金調達について検討する
「助成金プログラムが必要です。」 Thankfully, Governor Ducey saw what we were up against in cybersecurity, and we came up with $10 million per year to help school districts, tribes, city and county governments, and everyone else build cyber resiliency,” Roemer says.
4。 ガバナンスを常に念頭に置いてください
「当組織には、双方向の連携を重視したサイバー助成金タスクフォースがあります。」 私たちは地元の方々のニーズに耳を傾け、解決策をご提案し、その解決策を実行に移す方法を見出しています。 「当委員会とタスクフォースは、こうした対話を行うため、適切なツールを適切な組織に結びつけ、そのツールが確実に機能するようにするため、州内各地を回っています」とルーマー氏は述べています。
アリゾナ州全体の目標と成果
ロエマー氏は、州全体を対象としたプログラムを注意深く見守り、いくつかの重要な目標や成果に基づいてその成果を評価しています。 これには以下が含まれます。
- では、何事もなく無事に終了しました。 「私が本当に示したいのは、地方自治体に対するサイバーセキュリティ上のインシデントがゼロであるということです。」
- による迅速な復旧。 「当社は、脆弱性を特定し、是正する能力をさらに高めていきたいと考えています。」
- 目に見える改善。 「私たちは、指標を活用して、組織が以前よりもセキュリティを強化できるよう、どのように支援しているかを具体的に示していきたいと考えています。」
- を最大限に活用しましょう。 「州から支給された資金を、地方自治体が1ドル残らず使い切ることを期待しています。」
- へのさらなる資金提供。 “My goal is to start with the $10 million, prove it’s effective, show we’re getting good ROI, and then advocate for more funding.”
すでに、アリゾナ州の州全体を網羅するこのプログラムは、いくつかの有意義な成果を生み出しています。特に、行政の各レベル間での情報共有の面において、その効果が顕著です。
“I can’t protect 7.5 million Arizonan’s data from an attacker I don’t know about,” Roemer says. 「しかし、『州全体』という枠組みのもと、現在はリアルタイムで情報を共有しています。」 「他の人々がどのような状況に直面しているかを把握しているからこそ、私はCISOとしてより強くなれています。また、地域レベルでは、州レベルで確認されている攻撃から、より効果的に身を守ることができているのです。」
得られた教訓：明確な戦略とコミュニケーションの必要性
州全体を網羅するプログラムの構築は、ローマー氏にとって日々学びの連続でした。
「私はただ、スポンジのように吸収して、できる限りすべてを学ぼうと努めてきました」と彼は言います。
それでも、ロエマー氏にとっては、2つの大きな教訓が際立っています。
「チーム内で結束を築かなければなりません」と彼は説明しています。 「現在、サイバーセキュリティの分野は、働く上で非常にストレスの多い環境であり、その課題は極めて困難なものです。」 「州全体を網羅するチーム全員が、なぜこれを行うのか、何が懸かっているのか、そして脅威にどのように対処していくのかを理解しておくことが極めて重要です。」
ローマー氏にとって、このような真のチームワークを築くためには、たった一つのことが不可欠です。それは「コミュニケーション」です。
「戦略の内容を効果的に伝える必要があります」と彼は述べています。 「このプログラムに賛同していただけなかった場合、その理由は、私たちがどのような組織なのか、何をしているのか、なぜそれをしているのか、どのように進めているのか、そしてどのようなツールを提供しているのか、といったことが理解されていなかったからであることがわかりました。」
結局のところ、この2つの教訓は互いに密接に関連しています。
「誰もがあなたの戦略を理解し――そしてそれを効果的に伝えられれば――人々はすぐに協力してくれるようになり、私たちの安全を守るための良好なパートナーシップを築くことができるのです」とローマー氏は述べています。
こちらは、アリゾナ州のCISO（最高情報セキュリティ責任者）であり、同州国土安全保障局の局長を務めるティム・ローマー氏へのインタビューの第1部です。 第 2回では、アリゾナ州の州全体を網羅するプログラムについて、中央指揮センターを通じた情報共有の方法や、同プログラムがインシデント対応をどのように改善したかなど、さらに詳しく掘り下げていきます。
