州政府や地方自治体は、サイバー防衛体制を強化するための資金が長らく不足しており、場合によってはその意欲も欠けていましたが、バイデン大統領が11月に署名して成立させた超党派のインフラ法案「 」において、州および地方自治体のサイバーセキュリティ対策に10億ドルが割り当てられたおかげで、待望の支援が提供されようとしています。
That funding, though a small fraction of the law’s $1.2 trillion overall price tag—which also allocates $65 billion to improve broadband infrastructure and another $65 billion to upgrade the U.S. power grid—is still significant, representing the largest federal investment in state and local cybersecurity to date, one that advocates say is both urgent and long overdue.
「現時点では、サイバーセキュリティ専用の予算を計上している州は 15 州のみです」と、全米州CIO協会（NASCIO）の政府渉外担当ディレクター、マット・ピンカス氏は述べています。 「そうしている企業は、IT総支出のうちサイバーセキュリティに割り当てている予算が1％から 3％にとどまっているのに対し、民間企業では 10％から 20％となっています。」
そのお金が、一刻も早く入ってくることを願っています。 近年、米国の州、郡、市、および地方自治体の情報セキュリティ責任者たちは、厳しい状況に置かれています。 Countless government agencies have been held hostage by ransomware attacks, which cost an estimated $18.8 billion in recovery and downtime in 30 states in 2020, the most recent full year available. The attacks have affected 71 million citizens, according to a report by the consumer security site Comparitech.
2021年の最初の5か月だけで、州、地方自治体、および先住民部族の機関を標的としたランサムウェア攻撃が少なくとも 75 件発生しました。 ハッカーたちは、 のサンフランシスコ・ベイエリア、 の南カリフォルニア、 の中部フロリダなどの水道局への侵入さえ試みました。 もし彼らが脆弱なリモートアクセスシステムの防御を突破することに成功していたならば、地域の水道水を汚染することができたでしょう。
「パーフェクト・ストーム」との戦い
新たに確保されたサイバーセキュリティ関連の資金は、単発的な資金注入にとどまるものではありません。 It will be spread out over four years, rising from $200 million in 2022 to a high of $400 million in 2023 before tapering off by 2025.
「議会は、最も弱い立場にある人々へ資源を配分する必要があることを認識しています。」全米州CIO協会（NASCIO）の政府渉外担当ディレクター、マット・ピンカス氏
特に注目すべきは、同法では、資金の 80％を州政府および地方自治体に配分することが義務付けられている点です。これらの自治体は、多くの場合、セキュリティインフラが最も脆弱な傾向にあります。 「この規定により、議会は、最も弱い立場にある人々へ資源を配分する必要があることを認めているのです」とピンカス氏は述べています。 州政府や地方自治体は、 サイバーセキュリティ・インフラセキュリティ庁（CISA） （CISA）や、 上院 が連邦レベルで直面しているのと同じ課題に直面しています。
州政府や地方自治体は、この資金を利用するためにいくつかのハードルを乗り越えなければなりません。 彼らは、CISAに年次支出案を提出し、承認を得なければなりません。 また、連邦資金に対する地方負担割合についても、 2022 年には連邦資金の10％を地方が負担することから始まり、 2025年までに 40％へと段階的に引き上げられ、連邦資金と同額の負担を分担しなければなりません。
全米郡協会（NACo）の最高情報責任者（CIO）であるリタ・レイノルズ氏は、新型コロナウイルス感染症（COVID-19）のパンデミックが始まって以来、サイバー上の課題が「パーフェクト・ストーム」のように相次いでいることを踏まえると、こうした取り組みは苦労するだけの価値があるだろうと述べています。
「新型コロナウイルスの流行は、各郡における技術ソリューションの導入を加速させましたが、その一方で、悪意のある者たちが侵入するための機会を大幅に広げてしまいました」とレイノルズ氏は述べています。 インシデントや情報漏洩の増加に伴い、サイバー保険の保険料は上昇しており、保険会社は政府機関に対し、 サイバー衛生管理 といった対策、例えば 多要素認証 (MFA) の導入をしばしば求めています。 「多要素認証は、もはや『あれば便利なもの』という段階を過ぎています」とレイノルズ氏は述べています。 「それは必要不可欠なことです。」
[関連記事：エンドポイントから始まる適切なサイバー衛生管理が、米国のサイバーセキュリティにとってなぜ不可欠なのか]
MFAや 、ゼロトラスト（ ）といった対策が、多くの州政府や地方自治体のサイバーセキュリティに関する要望リストの上位を占めていますが、その他に必要なセキュリティ対策としては、レガシーネットワークのアップグレード、リアルタイム監視の導入、エンドポイントの脆弱性対策、および「.gov」ドメインのセキュリティ確保などが挙げられます。
単なる資金の問題にとどまらない
州政府や地方自治体のセキュリティを強化するには、資金だけでは到底足りません。
「回復力が鍵となります」と、下院国土安全保障委員会の「新たな脅威・サイバーセキュリティ・科学技術」小委員会の委員長を務めるイヴェット・クラーク議員（民主党、ニューヨーク州選出）は述べています。 「執念深い敵対者は、ネットワーク防御を突破するために、いくらでも時間をかけることができます。」 クラーク氏は、 の各州は、システムが侵害された場合でも業務を継続できるよう、サイバーインシデント対応計画を策定すべきだと述べています。
データが入手可能な直近の通年である 2020年には、ランサムウェア攻撃の被害を受けた州および地方自治体において、サイバー犯罪および復旧作業により、 773 日分の行政業務が停止しました。 公共サービスや 911 サービスといった重要な政府のインフラが停止しました。 の推計（ ）によると、ダウンタイムによる平均的なコストは1分あたり8,662 ドルとされています。 また、年間における攻撃件数は増え続けています。
かつて、各国政府はハッカーによる個人データの盗難を懸念していました。 NASCIOのピンカス氏は、「今やハッカーが『州全体を機能停止に追い込む』ことも可能だ」と述べています。 「もはやITの問題ではありません」と彼は言います。 「これは政府の継続性に関わる問題です。」
[関連記事：テキサス州の元CIO、各州はランサムウェア対策に協力すべきだと述べる]
州政府や地方自治体が連邦政府の資金と同額を拠出することが求められる中、デジタルインフラの維持に投資するかどうかは、各公共機関の判断に委ねられることになります。 これらの団体は、常に資金不足に悩まされており、パンデミックに伴う追加費用により、予算はさらに逼迫しています。 ピンカス氏によると、政府機関が経費のわずかな割合——来年のマッチング率はわずか 10％に設定されています——を負担したくない場合、助成金を申請することはできないとのことです。 「それはお金の無駄であり、好機を逃すことにもなります」と彼は考えています。
つまり、新たなインフラ法で割り当てられた10億ドルは、州および地方自治体のサイバーセキュリティ向上への「入り口」を築いたとはいえ、議員たちがそこから「高速レーン」へと加速していくかどうかは、まだ不透明な状況です。
州政府や地方自治体が年間の優先事項を策定する 2022 年初頭には、最初の関心の兆しが見られるでしょう。 パンデミックの最中、皮肉なことに、彼らの議論の多くは、依然として閉鎖されたままの立法府の事務所ではなく、セキュリティが脆弱なネットワークを介してオンラインで行われることになるでしょう。
