サイバー犯罪者たちは、自治体やその他の地方公共団体を標的にしています。その理由の一つは、こうした組織には大企業ほどのリソースがないことを彼らが知っているからです。 こうした攻撃から身を守るため、ますます多くの地方自治体組織が、連携することの利点を検討し、州全体を網羅するサイバーセキュリティ戦略の導入を進めています。
の州全体を対象としたサイバーセキュリティ戦略「 」（新しいタブで開きます） において、州政府は地元の州兵、自治体、幼稚園から高校までの学校、先住民団体、その他の地方自治体組織と連携し、サイバーセキュリティ方針の策定、資金やツールセットの提供、ガイダンスの提供、および情報の共有を行っています。 この連携を通じて、サイバーセキュリティ対策において従来、資金や人員が不足しがちな自治体やその他の地方自治体組織は、より規模が大きく、十分な資金を有する同業他社のリソースや知見を活用できるようになります。
のこのシリーズの最初のブログ記事「 （新しいタブで開きます）」 において、州全体を網羅するサイバーセキュリティ戦略の構成要素について概要をご紹介いたしました。 この戦略は、以下の3つの取り組みで構成されています：
- ガバナンスと政策立案
- 実装
- 検証
また、前回の投稿 （新しいタブで開きます） および では、ガバナンスと政策策定の段階について概要をご紹介しました。 それでは、この戦略の実装について検討していきます。これには以下の内容が含まれます：
- 本戦略のガバナンス段階において設立された、組織横断的なガバナンスチーム間の連携を継続してまいります。
- 複数の政府機関にわたって、標準的なサイバーセキュリティツールセットを選定、購入、および導入すること。
- サイバーセキュリティツールの導入・設定や、サイバーセキュリティポリシーの実施を支援してくれる、コンサルティング能力に優れた民間企業を探しています。
- どのサイバーセキュリティ対策を優先的に実施すべきか。
- 成功事例を共有することで、組織間の関係を強化し、協働の価値を高めます。
政策立案段階で築かれた連携を引き続き推進してまいります
政策策定の段階では、州の機関や自治体などが協力し、州全体で統一できるサイバーセキュリティ政策の草案を作成しました。
この実施段階においても、この協力関係は継続しています。 これにより、州の自動車局（DMV）や自治体などの組織は、それぞれのニーズに合わせて方針を微調整し、そのニーズを組織横断的なチームに伝えることができるようになりました。 また、サイバーセキュリティの問題を解決した経験を共有することもできるため、誰もが互いから学ぶ機会を得ることができます。
このプロセス全体を通じて、参加するすべての政府機関が以下の点を理解しておくことが重要です：
- 組織横断的なチームが提言を行いますが、最終的には各政府機関が、それぞれのニーズに応じて独自の政策を策定し、それを実施する責任を負います。
- 州レベルの組織は、ITツールの選定、購入、導入を支援することはありますが、それらのツールの日常的な利用を管理するわけではありません。 自治体などの個々の行政機関は、自組織のネットワークやその他のITリソースの監視、管理、およびセキュリティ確保のために使用するツールについて、完全に管理権限を有しています。
- 政府機関がサイバーセキュリティツールの導入に責任を負う場合でも、州がツールの選定や一括購入を支援することで、州内のあらゆる機関が最新のツールをより手頃な価格で導入できるようになります。
州レベルでの工具の購入
ツールの購入や配布の方法は、サイバーセキュリティに対する州全体を網羅するアプローチと、これまで主流であったその場しのぎ的なアプローチとの主な違いの一つです。
州全体を網羅する戦略において、州のサイバーセキュリティ協力チームは、州全域で導入する共通のツールセットを選定します。 地方自治体は、これらのツールを活用して、自らのネットワークや職員を管理する責任を依然として負っています。 しかし、州がこれらの工具を購入することで、州内のすべての行政機関が割引価格や工具の標準化の恩恵を受けることができるようになります。
このアプローチには、次のような利点がいくつかあります。具体的には：
- コスト削減
州がITツールをまとめて購入しているため、個々の政府機関が単独で交渉する場合よりも低い価格を交渉することができます。 - 監査要件の軽減
数百もの購買部門が個別に業務を行うのではなく、すべての購買業務は州の購買チームが一元的に担当しています。 購入件数が減少しているため、資金が適切に配分されていることを確認するために監査が必要な購入件数も少なくなっています。 - Equality
すべての自治体が同じツールを提供されるため、取り残される自治体もなく、望ましくない代替案で妥協せざるを得ない状況にもなりません。 - クラウドサービスの効率的な管理
州が行政機関向けにクラウドサービスの導入を決定した場合、自治体や学区に新しいサービスの監視や管理という課題を押し付けるのではなく、州が自らそれらのサービスを管理することができます。 - 標準化されたプロセスと情報共有の改善
州内のITチームが同じツールを使用しているため、パッチの適用など、一般的なサイバーセキュリティ業務において同じプロセスを適用することができます。 また、ベストプラクティスを共有したり、脅威やその対策に関する共通の知識ベースの構築に貢献したりすることもできます。
ベンダーや民間パートナーの重要性を認識し
ITベンダーは、州全体を網羅する戦略の成功において重要な役割を果たしており、それは単にその製品があるからというだけではありません。
民間企業がITツールを導入する際には、社内にコミュニケーション担当チームがあり、そのチームがツールに関する情報を共有したり、研修を実施したり、新しい技術の導入全般を支援したりすることができます。
公共部門の組織には、そうしたリソースがあることはめったにありません。 ベンダーは、コンサルティングやトレーニングサービスを提供することで、その差を埋めるお手伝いをし、新しいツールセットの導入を成功に導くことができます。
例えば、良きパートナーであるベンダーは、州全体戦略に参加する各組織にわたるアウトリーチ活動を支援することができます。 ベンダーは、州全体戦略の一環として選定されたさまざまなツール向けに、カスタマイズされた統合ドキュメントの作成を支援することさえあるかもしれません。そうすることで、州内のITチームは必要な情報をすべて一か所で確認できるようになります。
導入においてトレーニングやドキュメントが非常に重要であるため、州の機関がITベンダーを評価する際には、ソフトウェアやハードウェアに加え、トレーニングやコンサルティングの能力についても評価すべきです。 各州は、購入の一環として、トレーニング、ドキュメント、およびその他必要な情報提供が確実に実施されるよう確保すべきです。そうすることで、小規模で過重な業務を抱えるITチームが、新しいツールセットの使い方を自力で模索する必要がなくなるからです。
ある州がサイバーセキュリティツールを標準化し、そのツールのベンダーが州の組織向けに有用な研修資料を作成している場合、それらの資料は、州全体戦略に参加するすべての組織間で共有することができます。 当然のことながら、多くの政府機関がこれらの資料を頼りにしているため、ベンダー側には、これらの資料が有用かつ完全なものとなるよう努める動機があります。
州全体にわたるサイバーセキュリティ戦略の実施におけるコミュニケーションの重要性
この仕事において、コミュニケーションを取りすぎるということはありません。 チームは透明性を持って業務を行うべきであり、ステークホルダーに対しては、今後の手順や要件について定期的に周知徹底する必要があります。 決定事項や購入、研修などについて定期的に情報を共有することで、プロジェクト全体に対する意欲を高めることができます。
とはいえ、チームメンバーに過度な負担をかけないよう注意することが大切です。 チームメンバーは、州全体にわたる戦略に取り組んでいる全員がすでにフルタイムの仕事を抱えていることを踏まえ、一歩ずつ着実に進めていくべきです。
私の経験上、チームメンバーは、このようなプログラムに参加することで得られるサポートや情報共有を、本当にありがたく思っています。 突然、予算の少ない政府機関でさえも、新たなツールや、脅威に関する情報、そしてそれらへの対策方法について定期的に情報を得られるようになりました。 彼らはその違いを高く評価しています。
アリゾナ州が、 （新しいタブで開きます） のようなプログラムを立ち上げた際、情報の共有をそのプログラムの柱の一つとしました。 アリゾナ州全域の政府機関は現在、州フュージョンセンターを通じて情報を共有しています。 また、組織間のコミュニケーションのためにSlackのチャンネルも開設しました。 こうした情報共有の仕組みにより、州内の各政府機関のセキュリティチームは、自らが検知した侵害の兆候（IOC）やその他の有用な脅威インテリジェンスに関する情報を、安全かつ匿名で容易に投稿できるようになります。
脅威インテリジェンスといえば、連邦政府は、全州に配信する脅威インテリジェンス・フィードに、より有用な情報を盛り込むようになっています。 国家が保有する質の高い脅威インテリジェンスの情報源が多ければ多いほど、その国家のセキュリティ態勢は全体的に向上します。 ITチームは、この分析結果に対する対応を自動化することさえ可能です。 例えば、アラートシステムをファイアウォールと連携させることで、危険なIPアドレスに関する情報が寄せられた場合、ファイアウォールのルールがそのアドレスを即座にブロックし、瞬時に保護を行うことが可能になります。
詳細を見る
この記事では、州全体を対象としたサイバーセキュリティ戦略の実施段階に含まれる内容の基本について解説しました。 次回の記事では、この作業の最終段階である検証について取り上げます。
それまでの間、 の「Tanium Converged Endpoint Management」プラットフォーム（ （新しいタブで開きます）、、 ）が、貴社のサイバーセキュリティ戦略のさらなる成熟化にどのように貢献できるかについてご興味をお持ちでしたら、ぜひ弊社までお問い合わせください。
