サイバーセキュリティ・インフラセキュリティ庁（CISA）が最近発表した「 」指令（ ）は、すべての連邦機関に対し、数百件に及ぶサイバー脆弱性へのパッチ適用を義務付けるものでしたが、これには誰も驚かなかったようです。 長年にわたり、技術監視団体や連邦議会議員たちは、各機関のサイバーセキュリティ対策の甘さを厳しく非難してきました。
しかし、CISAの「拘束力のある運用指令 22-01 」では、長年にわたり存在しているソフトウェアの脆弱性を修正するために各機関に2週間から6か月の猶予期間が与えられていますが、根本的な問題は、多くの場合、数十年前までさかのぼります。
8月、上院国土安全保障・政府問題委員会は、8つの連邦機関のうち7つにおいて、サイバーセキュリティ上の「体系的な欠陥」 を指摘し、これらの機関がサポート終了したレガシーシステムに依存していることや、「米国の機密資産」を監視、追跡、および「保護」することができない状況を指摘しました。 サイバーセキュリティの成熟度について、委員会は各機関に「C–」という低い評価を与えました。
HSGACは、8つの機関に関する詳細な審査において、いくつかの重大な弱点を指摘しました：
- 7つの機関では、ベンダーによるセキュリティ更新プログラムの提供が終了したレガシーシステムやアプリケーションを使用していました。
- 6つの機関が、 のセキュリティパッチ（ ）やその他の脆弱性対策措置を迅速に導入できませんでした。
- 7つの機関が、正確かつ包括的な情報技術資産目録の維持に失敗しました。 。
上院委員会の報告書は、 2020の連邦機関の各監察官（IG）による、各機関のサイバーセキュリティ状況の評価に基づいています。
これは、 2019年に同委員会の小委員会が作成した同様の報告書の続編であり、過去10年間にわたる各機関の監察官による監査の評価をまとめたものです。 両報告書で強調されている調査結果は、極めて厳しいものです。 セキュリティ上の課題の多くは、更新や監視、保護が困難なレガシーネットワークが蓄積された結果生じているものです。 各機関の内部監査報告書によると、各機関はこうした時代遅れのシステムに過度のリソースを投じているため、サイバー犯罪者による攻撃に対して脆弱な状態に置かれています。
「ハッカーの手口はますます巧妙になっています」と、Taniumの公共部門顧客担当ディレクターであり、海兵隊サイバースペース作戦グループの元指揮官であるエドワード・デビッシュ氏は述べています。 「どのソフトウェアにも、何らかの脆弱性が存在することになります。」 「その脆弱性が発見され、悪用されるのは時間の問題です。」
脆弱性へのパッチ適用
継続的なパッチ管理は、政府機関がしばしば見落としがちな、サイバーセキュリティにおける重要なプロセスです。 上院委員会の報告書は、連邦政府全体のサイバーセキュリティ基準の監督を任されている国土安全保障省をはじめ、複数の機関にわたり、こうした不備が指摘されていることを強調しています。 報告書によると、DHSは 12 年間にわたり、セキュリティパッチを適切に適用していなかったことが判明しました。 当局の調査官によると、この不具合が原因で26件の「重大な脆弱性」が生じたとされています。
「真の問題は、政権がこれまで以上に効果的に順守状況を追跡する方法を確立したかどうかです。」ダニエル・カストロ氏、情報技術・イノベーション財団副理事長
さらに大きな課題は、連邦政府機関が、オンプレミスと複数のクラウドベースのプラットフォームにまたがる、ばらばらなIT環境の下で業務を行っているという点です。 それだけでなく、 の遠隔勤務を行う数万人の連邦政府職員が使用する、管理対象外であり、多くの場合、カタログ化もされておらず、把握もされていないエンドポイントの爆発的な増加 が、エンドポイントのデータセキュリティをさらに複雑化させています。
実際、 2021年8月 の上院報告書によると、政府機関のネットワークにおいて懸念されるほどの可視性の欠如が指摘されており、その結果、各機関は自機関のプラットフォームにおけるサイバー脅威を十分に監視できていなかったことが明らかになりました。
[関連記事：サイバーセキュリティに関する元国防長官の発言――「我々は自分たち自身が最大の敵だ」]
例えば、国務省は、機密ネットワークへのアクセス権を持つ職員の 60％について、関連する書類を提示することができませんでした。 また、同社のシステムに対するテストの結果、重大なリスクを伴う脆弱性が 450 件、高リスクの脆弱性が736 件発見されました。 国内の陸上交通インフラのサイバーセキュリティを担当する運輸省の検査官は、同省が記録を保有していないモバイル端末やサーバーなど、約 15,000 件のIT資産を発見しました。 また、住宅都市開発省では、監査官らが「影の」ITネットワークを発見しました。この状況は、何百万人ものアメリカ国民の個人情報や金融情報を危険にさらすものです。
パッチ管理の優先順位
CISAによれば、これらすべての問題に対する解決策は、各機関が堅牢で、できれば自動化されたパッチ管理ソリューションを構築することにあるとのことです。 同機関は以前、連邦政府各省庁がパッチ管理戦略を実施できるよう支援するため、「能力強化ガイド」を公開しました。
CISAのアプローチの成否は、2つの要因にかかっています。 第一に、コンプライアンス、すなわち各機関がCISAの指示をどの程度真剣に受け止め、迅速に遵守するかという点です。 シンクタンク「情報技術・イノベーション財団」の副代表であるダニエル・カストロ氏は、これが実現するとは確信していません。 「各機関はすでに、FISMA［連邦情報セキュリティ管理法］に基づき、システムへのパッチ適用が義務付けられています」とカストロ氏は述べています。 「真の問題は、政府が、これまで以上に効果的に順守状況を把握する方法を確立したかどうかという点です。」
2つ目の要因は、CISAがパッチ適用にのみ焦点を当てていることです。 この指令は、 のような資産の検出およびインベントリ管理 や、機関のネットワークに接続されているすべてのエンドポイント に対する継続的なリアルタイム監視 といった、その他の業界標準のサイバーセキュリティ戦略が盛り込まれていない点で注目されます。
セキュリティ専門のシンクタンクである重要インフラ技術研究所（ICIT）のフェロー、マルコム・ハーキンス氏は、「パッチの適用は良い第一歩ですが、それだけでは不十分です」と述べています。 同氏は、これを脅威の検知やネットワーク監視といった他の基本的な戦略と併せて組み込む必要があると述べています。
[関連記事：連邦政府機関がTaniumを活用して、新たなパッチ適用規則への対応をどのように進められるか]
実際、各組織はまず、ネットワーク上のすべてのエンドポイント（サーバー、ワークステーション、ネットワーク接続機器、およびデバイス）を特定し、その後、エンドポイントデータの完全なインベントリを作成する必要があります。 そうして初めて、グループまたは個々のマシンにおいて、ソフトウェアのインストール、更新、パッチの適用、あるいは による削除を行うことができます。—
「パッチを当てるだけでは万能の解決策にはなりません」とハーキンス氏は述べています。 「どのような選択肢があるか、どのシステムに優先的にパッチを適用すべきか、どのデバイスが最も重要か」――これこそが、サイバーセキュリティを成功させるための鍵だと、彼は述べています。
