9月上旬、ニューヨーク州で4番目に大きな郡であるサフォーク郡がランサムウェア攻撃を受け、同郡の「 911 システム」をはじめとする各種サービスが停止し、4 テラバイトを超えるデータが盗まれ、漏洩寸前の事態となりました。 10月、ロシア語圏のハッカーたちがニューヨークのラガーディア空港を標的にしました。これは、中国政府の支援を受けたハッカーたちが、少なくとも他の6つの米州政府のネットワークに侵入してからわずか数ヶ月後の出来事でした。
In the first six months of 2022 alone, 27 attacks against U.S. public-sector entities led to almost $220 million in ransomware payments. こうした攻撃は、収まる気配が見られません。
公共部門の組織は、孤立して活動している場合、サイバー攻撃から身を守る可能性がはるかに低くなります。 しかし、彼らが力を合わせ、民間セクターと連携して、州および地方自治体レベルを横断する「 」という州全体を網羅する 戦略を策定すれば、状況は彼らに有利に動き始めます。
このほど、州機関、郡、市を横断して活動する官民連携のITプロジェクトである「 」ニューヨーク州フォーラム（ （新しいタブで開きます））の副議長に就任したことで、私はこの状況について独自の視点を得ることができました。 同フォーラムのセキュリティ作業部会は、「州全体」を主要なテーマとして掲げており、現在、啓発や連携、アイデアの共有を行うためのイベント講演者を募集しています。
ハードルを乗り越える
州全体を視野に入れたサイバーセキュリティとは、サイバーセキュリティ上の脅威を軽減するために、各省庁や機関間の連携を重視するアプローチです。 この手法により、政府機関間の縦割り構造を解消することで、各機関がサイバーセキュリティに関するリソースや情報を共有し、全体としてのセキュリティ態勢を強化することが可能になります。
ある郡が攻撃を受けていると仮定しましょう。 州全体を網羅する戦略が策定されたことで、 州内のセキュリティおよびIT運用担当者 は、それぞれの組織を防御し、攻撃が定着するのを防ぐ方法に関する情報を迅速に共有できるようになりました。
ニューヨーク州フォーラムにおける私の主な目標の一つは、公的機関と民間組織が協力し合い、複雑なIT上の課題に対処できるよう支援することです。 公共部門においては、参加者には、市、郡、州のほか、教育機関、先住民団体、およびその他の公共部門の組織が含まれます。 民間部門では、小規模なスタートアップから大手システムインテグレーターに至るまで、およそ 90 社の会員企業が加盟しています。
このフォーラムは、ITのリーダーや担当者が、すべての州の行政サービスにまたがる単一のIDフレームワークをどのように構築するか、あるいは絶えず変化し続けるサイバー攻撃からどのように防御するかといった困難な課題に取り組む中で、協力し合い、関係を築く場となっています。
[関連記事：アリゾナ州のCISO兼国土安全保障局長が、州全体を巻き込んだ戦略によってサイバー攻撃を食い止める方法を解説しています]
とはいえ、その取り組みは容易なものではありません。 ニューヨーク州のように、 62 の郡、数百の都市、そして数多くの公共機関を抱える大規模な州においては、州全体を視野に入れたアプローチを実施する上で、主に4つの課題があることがわかりました。
1. 政治の壁を乗り越える
サイバーセキュリティには政治的な要素は一切ない、つまりネットワークは政治的立場に関係なくすべての人に役立っているのだと考える人もいます。 それは事実ですね。 それでも、政治的な対立を理由に、地方自治体が州からの支援を受け入れなかったケースもあります。 しかし、政府の指導者たちが、攻撃を受けた後のサービス停止に近隣の郡が苦戦している様子を目の当たりにすれば、状況は急速に変わる可能性があります。
「公共部門の組織は、孤立して活動している場合、サイバー攻撃から身を守る可能性がはるかに低くなります。」
また、脆弱性に関する情報を共有することに消極的な姿勢も見受けられます。 ランサムウェア攻撃に関する情報を公開した結果、ネットワーク防御の「反面教師」として挙げられてしまうことを望む組織はほとんどありません。
このフォーラムにおける私の使命の一つは、州全体を網羅する戦略の参加者間の信頼関係を築くお手伝いをすることです。具体的には、専門家が現地のIT担当者の声に耳を傾けてくれること、失敗を率直に共有しても不利益を被らないこと、そして情報がオープンに共有されることへの信頼です。 人々を結びつけ、私たち全員に関わる問題を解決するために協力し合うよう促すことで、信頼を築いていきたいと考えています。
2。 人材の確保と定着
公共部門の組織にとっての大きな課題は、 サイバーセキュリティ人材の確保と定着です。 （新しいタブで開きます）。 Cyberseek.orgの「 」人材不足マップのニューヨーク州版（ （新しいタブで開きます） ）によると、ニューヨーク州のサイバーセキュリティ関連職の3分の1以上が埋まっていない状況です。これは、同州のエントリーレベルの情報セキュリティアナリストの年収が140,000ドル以上 （新しいタブで開きます） であるにもかかわらず、という事実とは対照的です。
「ITのスキルを生かして案件ごとに働くコンサルタントたちの『裏の世界』があり、彼らは最高時給が得られるような好条件の案件だけを厳選して選んでいるのです」と、MVPコンサルティングの事業開発担当シニアディレクターであり、ニューヨーク州フォーラムのIT企業円卓会議の元議長であるケビン・カーペンター氏は述べています。 「新型コロナウイルスのパンデミック中、在宅勤務が当たり前になるにつれ、自分の地域以外の場所から人材を見つけることで、これまで得られなかった経験やスキルがもたらされるようになりました。」 「パンデミック後の世界へと移行する今、こうした人材の多くは『いや、以前のようにオールバニのデスクに座り続けるのは嫌だ』と判断し、次々と辞職しています。」
[関連記事：ISACAの最近の調査では、サイバーセキュリティ人材不足によるリスクが浮き彫りになりましたが、企業が人材を引き付けるために講じられる対策もあります]
たとえ最も利他的なサイバーセキュリティの専門家でさえ、自分のキャリアや家族にとって最善の選択をするものです。 公共部門が彼らのニーズに応えられない場合、有能な人材は他へ流れてしまいます。 州全体を網羅する戦略のメリットの一つは、小規模な公共機関が協力することで、高度な訓練を受けたサイバーセキュリティの専門家を、自社で雇用することなく活用できる点にあります。
3。 標準化の実現
また、ほとんどの州において、サイバー犯罪者に対する防御策に統一性が見られないことも課題となっています。 明らかに、サイバーセキュリティを確保するための唯一の方法など存在しません。 しかし、一堂に会することで、参加者は で統一された基準を策定する機会を得ることができます。例えば、採用すべきスキル、各組織の攻撃対象領域をどのように把握するか、攻撃に関連するデータをどのように収集するかといった点についてです。 もしその州で、あることを行う方法が 50 通りもあるとしたら、迅速に行動することははるかに難しくなります――あるいは、そもそも行動することさえ難しくなるでしょう。
基準の策定において、民間部門は大きな役割を担っています。 一流のテクノロジー企業が公共部門と連携し、さまざまなシステムに容易に統合できるソリューションを提供しています。
4。 さらなる資金の確保
州全体を網羅する戦略の実施には、費用がかかります。 初期段階の作業の多くは、関係構築や信頼の醸成に費やされますが、ある時点で組織はツールやテクノロジーを導入する必要があります。 We're fortunate in New York, because the state has earmarked $61.9 million for cybersecurity measures in the 2023 state budget and another $30 million to help local governments deploy high-quality cyber defenses. In October, Gov. Hochul announced an additional $246 million in federal funding to combat, among other threats, cyberattacks on the state’s election system.
「[州全体での取り組みにより、] リーダーたちは人員を増やすことなく、質の高いサイバーセキュリティのスキルを活用できるようになります。さらに、サイバー保険の保険料を削減できる可能性さえあります。」
Whole-of-state advocates can also turn to the federal government's $1.2 trillion infrastructure bill, which boosts government cybersecurity spending by nearly $2 billion. 州、地方自治体、部族政府、および準州政府は、 の資金を活用して、機密データや重要インフラをより適切に保護し、サイバーセキュリティ上の侵入に対してより迅速に対応し、その他サイバー防衛体制を強化するための措置を講じることができます。 州と地方自治体との間で連携関係を築いている州は、資金を共同で活用して共通の目標を達成することができます。
州全体での取り組みを実現する
これまで、多くの公的機関は、必要なだけサイバーセキュリティを強化することに消極的でした。 ランサムウェア攻撃の脅威が注目を集めていますが、サイバー保険の保険料が上昇していること（ ）も同様に注目されています（）。 今年、ニューヨーク州クリントン郡は、サイバー保険の保険料として約50,000 ドルを支払いました。 同郡の保険会社は、幹部に対し、 2023人分の保険料が72,000 ドルになると見込まれること、これは50％近い増額になると伝えました。
公的機関がこのような天文学的なコスト増を回避するための重要な方法は、サイバー攻撃に対抗するための具体的な措置を講じていることを証明し、それを裏付けるデータを用意することです。 外部資金を受けている州立の大学や研究所においても、多くの資金提供機関が同様の証明を求め始めていることが分かってきています。 州全体での戦略と連携して取り組むことで、公的機関は、例えば、 の多要素認証、 のリスクスコアリング、および のデータ収集の改善 などを導入することにより、保険料を削減する方法を学ぶことができます。
[関連記事：ランサムウェアがサイバー保険業界にどのような打撃を与えているか、その実態はこちら]
各組織が州全体を網羅する戦略を策定するにあたっては、まず、 に掲載されている基本的なサイバー衛生対策 を共有することから始め、その後、ツールや技術の共有に進み、協力してサイバー防衛戦略を策定していくことができます。 さらに、互いに協力して、サイバー攻撃をリアルタイムで阻止することも可能です。 協業を進める中で、経営陣は人員を増やすことなく、質の高いサイバーセキュリティのスキルを活用できるようになります。さらに、サイバー保険の保険料を削減できる可能性さえあります。
現在、国は分断されており、この分断が、敵に対して団結した防衛態勢を築くことを妨げる恐れがあります。 もしわが国が通常戦力による攻撃を受けた場合、私たちは政治的な対立を脇に置き、アメリカ人として一致団結して取り組むことでしょう。 公共部門や民間部門、そして政府のあらゆるレベルで発生しているサイバー攻撃は、実のところ、 現代の戦争の一形態であると言えます。。
急速に深刻化する脅威に対応するためには、州内の公共機関のセキュリティ責任者たちが、最下層から最上層に至るまで、同業の仲間たちと一堂に会し、互いの意見に耳を傾け、助け合い、信頼関係を築く必要があります。 テクノロジーも非常に重要ですが、協働の姿勢はそれ以上に重要です。 州全体を視野に入れた戦略を採用することで、指導者たちは、差し迫った脅威に対処できる強固なセキュリティ体制の実現に向けた、共通の取り組みを加速させることができます。
