NISTサイバーセキュリティ・フレームワーク
2014年、米国商務省傘下の国立標準技術研究所（NIST）は、「 NISTサイバーセキュリティ・フレームワーク」（）と呼ばれる、サイバーセキュリティに関する最も重要な指針の一つを策定しました。これは、あらゆる業界の企業がリスクをより適切に評価し、重要インフラのセキュリティと回復力を強化するための共通の基準となっています。 本フレームワークは、民間および公共部門の組織に対し、リスク管理を支援するための一連の自主的な業界基準およびベストプラクティスを提供しています。 3年足らずの間に、米国の組織の 30％以上が、このフレームワーク、あるいはその一部を採用しました。 2020年までには、その数値は 50％に上昇すると見込まれています。
今月初め、ワシントンD.C.で開催された の「Billington Cybersecurity Summit」（ ）にて、業界をリードする素晴らしい方々と共に、同フレームワークおよびその導入におけるベストプラクティスについて議論する機会をいただきました：
- ジェフ・スナイダー氏（）、レイセオン社 サイバープログラム担当副社長
- 海軍少将（退役） マイケル・ブラウン、RSA グローバル公共部門担当副社長兼ゼネラルマネージャー
- ドナ・ドッドソン氏、NIST サイバーセキュリティ首席顧問兼 NIST NCCOE 所長
- ライアン・ギリス、パロアルト・ネットワークス サイバーセキュリティ戦略・グローバル政策担当副社長
- テリー・ライス氏（）、メルク社 情報技術部門 副社長兼CISO
国のサイバーセキュリティの向上
NISTフレームワークは、バラク・オバマ大統領が署名した 号大統領令（ ）を受けて策定されたもので、同大統領令では、米国の重要インフラのサイバーセキュリティを向上させるための枠組みの構築が求められていました。 当初は公共政策を目的としていたものが、より広範なビジネスソリューションへと発展し、あらゆる組織が「The Framework」を活用できるだけでなく、実際にその内容を理解できるようになりました。 このフレームワークの導入がこれほど成功を収めたのは、次の4つの理由によるものです：
- 柔軟性があります。 このフレームワークは、「万人に通用する」モデルというわけではありません。 各組織は、自組織の独自のニーズに合わせてこれを調整し、既存のサイバーセキュリティ方針に組み込み、さらに「医療セクター向けサイバーセキュリティ・フレームワーク実施ガイド」のような業界固有の指針で補完することができます。
- という共通の言語を提供しています。 ついに、サーバールームから役員室に至るまで、組織のあらゆるメンバーが、誰もが理解できる形でリスクを明確に伝える方法が登場しました。 これにより、買い手と供給業者は、自社の現在実施している、あるいは導入を希望するサイバーセキュリティの取り組みを明確に示すことができます。
- これにより、組織はサイバーセキュリティへの投資の優先順位を決定しやすくなります。 どのIT活動が業務上不可欠であるかを特定することで、このフレームワークは最大の脅威がどこにあるかを特定するのに役立ち、その結果、ITに投じられる費用を最大限に活用することができます。
- これは現実的な話です。 本ガイドラインでは、セキュリティ侵害が発生することは避けられないことを前提としており、それを検知し、対応し、できるだけ迅速に復旧するための指針を示しています。
今月、NISTは、同ガイドの補足資料として、「 （）」の「Baldrige Cybersecurity Excellence Builder（ ：BCEB）」を公開しました。これは、組織が自社のサイバーセキュリティへの取り組みをより効果的に評価するために利用できる自己評価ツールです。 なお、このフレームワークやBCEBを採用したからといって、その組織が連邦、州、あるいは業界の規制に準拠していることを意味するわけではないことにご留意ください。 むしろ、これらの文書は、各組織が独自のニーズに合わせて採用・調整できる任意のガイドラインです。
NISTは、その調整力を活かして産業界や政府機関を結集させ、サイバーセキュリティに対する自主的かつ柔軟でリスクベースのアプローチを策定しました。 このフレームワークをさらに有用なものにするためには、ビジネス界やセキュリティ界の関係者が、互いに、また政府とも、これまでの経験から得た教訓を共有しなければなりません。 もし御組織でまだこのフレームワークを活用されていないのであれば、 30％を 50％へと引き上げるための変化を自ら起こしてください。
著者「」について：ラルフ・カーン氏は、Taniumの連邦政府担当副社長を務めています。 この役職において、彼は米国政府が求める、大規模なリアルタイムの状況把握のニーズに応えています。 ラルフ氏は、テクノロジー業界で 25 年以上の経験をお持ちです。 以前、ラルフ氏はマカフィー社において、インテルおよび新興技術担当副社長を務め、先見性のあるサイバーセキュリティ研究を任務とする先端技術グループの統括を担当していました。 彼の指揮の下、このチームはいくつかの新たな脅威ベクトルを発見し、情報共有およびサイバーシステム間の連携モデルを開発しました。このモデルは、マカフィー製品の中核として活用されているほか、他のサイバーセキュリティ製品にも適用範囲が拡大されています。
