11月3日の日、バイデン政権は、ハッカーが政府のコンピュータネットワークに侵入し、損害を与えるために悪用しうる、既知のサイバー脆弱性約 300 件を修正するよう、連邦機関に対して包括的な指示を出しました。 これらの一連の脆弱性を総合すると、サイバー災害の連鎖を招くことになります。
「こうした重大な脆弱性やエクスプロイトの多くは、組み合わせることでより大きな影響をもたらす可能性があります」と、海兵隊サイバースペース作戦グループの元司令官であり、現在はタニウム社の公共部門顧客担当ディレクターを務めるエドワード・デビッシュ氏は述べています。 「だからこそ、こうした施設をできるだけ多く閉鎖したいのです。」
サイバーセキュリティ・インフラセキュリティ庁（CISA）が発表したこの新たな指針は、サイバーセキュリティの専門家が 2017 年から2020 年にかけて特定した、悪意のあるハッカーにはよく知られている約200 件のセキュリティ上の脆弱性、および2021年に発見された追加の 90 件の脆弱性を解消することを目的としています。
この指令は、バイデン大統領が の大統領令 を発令し、各機関に対しサイバーセキュリティ情報の共有および新たなサイバーセキュリティプロトコルの導入を義務付けてから6か月後に発出されたものです。 これは、前例のないサイバー犯罪が横行した1年の集大成と言えます。 の公益事業 から、 の通信事業者 に至るまで、さまざまな組織が、サプライチェーン攻撃 、ランサムウェア、 、および恐喝の被害に遭いました。
「これは、リズムを維持するためのもう一つの方法です」とデビッシュ氏は述べています。 「サイバーセキュリティは極めて重要です。 それは私たちの生活のあらゆる側面に及んでいます。 現在、私たちのあらゆる活動はサイバー技術に基づいています。 もし何らかの形で混乱が生じれば、重大な問題やサプライチェーンの混乱など、ありとあらゆる問題を引き起こす可能性があります。 「これは、大統領とそのチームが、この国の重要インフラを保護するために、できる限りのことを行おうとしているのです。」
この新しい指令では、CISAが管理する「既知の悪用されている脆弱性」のカタログが策定され、これらは「重大なリスク」を伴うものとされ、各機関がこれらの脆弱性を修正するための要件が定められています。 このカタログには、昨年大きな注目を集めた攻撃の標的となったSolarWindsをはじめとするソフトウェアプロバイダーや、Adobe、Apple、Cisco、Google、Microsoft、Oracleといった大手テクノロジー企業が提供するソフトウェアや構成が含まれています。 これには、連邦政府の情報システム上のすべてのソフトウェアおよびハードウェアが含まれます。これには、連邦政府の請負業者など、第三者によってホストされているものも含まれます。
旧式のシステム
この新しい指令と、バイデン政権が5月に発出した大統領令は、政府がデジタルセキュリティを優先事項としていることを反映しています。 デビッシュ氏は、この新しい指針の 95％は既存のソフトウェアの脆弱性へのパッチ適用に関するものであると述べていますが、各機関がサードパーティによる攻撃を含む他の攻撃経路を認識しておくことは「極めて重要」であると指摘しています。
「ベンダーは信頼される存在であり、ベンダーのサイトから入手するものは信頼できる機能であり、それを迅速に導入できるという期待があります」とデビッシュ氏は述べています。
また、同氏は、各機関が の古くなったシステムやレガシーシステムを安全に管理する必要があるとも述べています。。 このようなシステムは、組織がネットワーク全体を可視化できるようにする、最新の サイバー衛生 の手法、例えば資産検出 や継続的な監視などとは互換性がない可能性があります。 そうでなければ、ハッカーの格好の標的となってしまいます。 こうしたシステムを撤去したり、簡単に停止させたりできない場合、デビッシュ氏は、ハッカーの侵入を防ぐために、これらのネットワークへのアクセスポイントを監視する必要があると述べています。
「これは、大統領とそのチームが、この国の重要インフラを保護するために、できる限りのことを行おうとしている姿です。」Taniumの公共部門顧客エンゲージメント担当ディレクター、エドワード・デビッシュ氏
さらに、デビッシュ氏は、各機関は徹底したサイバー衛生管理戦略を実施すべきだと述べています。 つまり、 による管理者権限の管理、ネットワーク構成の確認、および ゼロトラスト プロトコルの活用を意味します。 何よりもまず、同氏は、各機関はネットワークの脆弱性を徹底的に監視し、潜在的な侵入者が攻撃を仕掛ける前に先手を打ってその存在を突き止められるようなツールを導入すべきだと述べています。
「ネットワークをリアルタイムで可視化し、制御する必要があります」とデビッシュ氏は述べています。 「敵対勢力は、政府のネットワークやインフラへのアクセスを得るために、積極的に活動しています。」
CISAの上位機関である国土安全保障省は、これまで政府機関に対してサイバーセキュリティに関する義務を課してきましたが、その多くは、重大なソフトウェアの問題を直ちに修正するよう求める緊急要件という形をとっていました。 しかし、この新しい指令は、対処しようとしている欠陥の範囲が極めて広範であるという点で注目に値します。
[関連記事：予防的なセキュリティ対策で連邦政府のエンドポイントとネットワークを強化する方法]
今年発見された不具合については、2週間以内に修正することが求められます。 各機関は、過去数年間に発見されたセキュリティ上の脆弱性に対処するために、最長6か月の猶予が与えられます。 この指令は、国防総省、中央情報局（CIA）、および国家情報長官室を除く、行政府のすべての省庁および機関に適用されます。 民間機関のサイバーセキュリティは、通常、軍事機関や国家安全保障機関とは別個に管理されています。
「このような指示は、大統領から出されたものですから、多くの人々がこの問題の解決に向けて多大な労力を注ぐことになるでしょう」とデビッシュ氏は述べています。
