パンデミックの初期の頃を振り返ってみてください。 州政府や地方自治体は、人々がワクチンや検査、保育サービス、失業手当などの情報を得られるよう、必要なサービスをオンラインで可能な限り迅速に拡充しました。 当時、私はアリゾナ州行政局に所属しており、重要なサービスを立ち上げる必要性の切迫さを身をもって実感しました。
例えば、失業手当について考えてみましょう。 突然、助けを必死に求めている失業者たちが大量に押し寄せ、その結果、時には数十年も前のプログラミング言語で書かれたレガシーシステムが対応しきれない事態となりました。
概して言えば、各国政府はこの危機に対処するために献身的な取り組みを行いました。 しかし、州政府のIT担当者は、新しいサイトやオンラインサービスを常に徹底的に保護したり、これらのシステムに含まれる貴重な個人データを保護するためにその安全性を精査したりできたわけではありませんでした。 これにより、 に大きなセキュリティ上の脆弱性が生じ、 ハッカーたちはこぞってこれを悪用しようとしました。
入手可能な最新の統計によると、少なくとも 79 件の「」ランサムウェア攻撃（ ）が、2020の州、地方自治体、および先住民部族の組織を標的としたとのことです。 The attacks led to downtime in 30 states and affected 71 million citizens, according to a report by the consumer security site Comparitech.
最大の危険のいくつかは、サードパーティ製アプリケーションに関連していました。 一部は、 パッチの適用が困難なレガシーシステム上で稼働しており、。 州の機関では、何十年にもわたって継ぎ接ぎのように構築されてきた古いアーキテクチャやインフラが使用されており、新しいツールを実際に使い始めてみなければ、その環境下でどのように動作するかは分かりません。
多くの場合、各機関は共有ネットワークを介して接続されています。 しかし、ネットワークの安全性は、その最も弱い部分によって決まります。 たとえある部署が、必要なパッチの適用や 、ITの衛生管理 をすべて行っていたとしても、その下流にある次の機関がその役割を果たしていなければ、依然として脆弱な状態のままです。
また、多くの州政府や地方自治体は、自らがどれだけのシステムを保有しているのか、あるいはそれらが何に接続されているのかさえ把握していません。 アリゾナ州のある州政府機関では、改装工事を行った際、一部のコンピューターの電源を差し込んだまま、旧ネットワークに接続した状態で放置し、文字通りその周囲に壁を築いてしまったという事例を耳にしました。 現代的なエンドポイント保護サービスが登場するまでは、その存在に気づく人は誰もいませんでした。 そして、当然のことながら、それによってそれらを確保することは不可能になってしまいました。
自分の家の防犯対策をしようとしても、ドアや窓がいくつあるのか、あるいはどれが開いたままになっているのかが分からない状況を想像してみてください。 もしセキュリティ上の脆弱性を理解しようともしないなら、犯罪者が侵入して好きなものを持ち去るのは難しくありません。
サイバーセキュリティ専門家の不足
州政府や地方自治体がようやく一息つき、サイバーセキュリティに改めて重点を置き始めているのを見ると、清々しい気分になります。 残念ながら、そこでは人手が不足しており、その程度はしばしば驚くほどです。 サイバーセキュリティ分野全体で、 の人手不足が 生じています。 多くの政府には、その業務を行う人材が単純に不足しています。
「私が知るある州の機関では、コンピュータの電源を入れたままにしておき、文字通りその周りに壁を築いたそうです。」 そこに彼らがいたことを知る人は誰もいませんでした。”
彼らは、自社に何人の従業員がいるのかさえ、よく分かっていないことがよくあります。 例えば、アリゾナ州では、サイバーセキュリティ担当の集中管理された部署がありませんでした。 州運輸局のような大規模な機関には、独自のチームが編成されていました。 私がアリゾナ州のサイバーセキュリティを担当する企業セキュリティプログラムの管理者になった際、州で勤務しているサイバーセキュリティ専門家の数がどれくらいなのかを把握したいと考えました。 州の人事チームには何度も問い合わせました。 そして、私たちが受けた答えは、「さっぱり分かりません」というものでした。
役職名は非常に曖昧な場合があり、機関によって異なる可能性があります。 場所によっては、サイバーセキュリティの取材を任された人の中には、正式な経歴や研修を受けていない人もいました。 彼らはただ、できる限りのことをしていたのです。
一方、政府のサイバーセキュリティチームは、民間企業で得られるはずの報酬よりも少ない報酬で、より長い時間働いています。 労働者はあっという間に民間企業に就職し、給料を倍にすることができるでしょう。
そして、彼らにかかるプレッシャーは計り知れないほど大きいのです。 彼らは「至宝」を守っているのです。 州政府や地方自治体には、ハッカーにとって最も魅力的なデータが数多く存在します。具体的には、氏名、社会保障番号、生年月日、住所、銀行口座情報、医療記録などです。 まるでサイバー犯罪者たちにとっての食べ放題のビュッフェのようなものです。 人手不足のチームは、機密データを保護するために日々懸命に働いていますが、疲れ果て、手に負えない状況に陥っています。
全国各地で、より多くの資源や人材を確保することへの重視が再び高まっているのを目にしています。 私がアリゾナにいた頃、人材を集めるために大学のインターンシッププログラムを立ち上げました。 インターン生を当社のサイバーコマンドセンターに配属するとともに、幅広い経験を積んでもらえるよう、さまざまなサイバーセキュリティチームをローテーションで回りました。 また、 の高校に通う の生徒たちに対し、サイバーセキュリティ分野への進路について話をし、サイバーコマンドの施設を見学していただきました。 また、その活動と並行して、IT分野におけるジェンダーギャップの解消に向けた取り組み「 」 の一環として、少女たちにこの分野でのキャリアの選択肢について話し合うことで、その解消に努めました。
経営陣におけるサイバーセキュリティの役割を強化する
各国はようやく、サイバーセキュリティの重要性を認識し始めています。 例えば、アリゾナ州とニュージャージー州では、CISOの職位をCIOの管轄から切り離しました。 アリゾナ州のCISOは州国土安全保障局を統括しているのに対し、ニュージャージー州のCISOは州国土安全保障・防災局の一部門となっています。
「」私たちは、州政府に勤務するサイバーセキュリティ専門家の数がどれくらいなのかを知りたかったのです。 返ってきた答えは、「私たちには見当もつきません」というものでした。”
CIOは業務を円滑に進め、サービスを世に送り出す責任を負っているため、こうした取り組みは重要です。 しかし、CISOは、セキュリティ上の問題となる事象を阻止する責任を負っています。 両首脳は、相反する優先課題に直面する可能性があります。 CISOとCIOを分離することで、政府はその職務の分離を実現することができます。
アリゾナ州のダグ・デューシー知事は、実際にCISOを内閣級ポストとし、知事に直接報告する体制を整えました。 これにより、サイバーセキュリティは、緊急サービスの提供やフードスタンプ、その他州が提供するあらゆるサービスと同等の位置づけとなりました。 この分野では、今後そのような事例がさらに増えていくと思います。
各国政府は、サイバー衛生対策を最優先課題とすべきです
州や地方自治体を支援するための新たな連邦政府の資金が提供されていますが、資金だけでは問題は解決しません。 手元にあるお金をどのように使うかによって、大きな違いが生まれます。
「善人は常に 100％正しい必要があります。」 悪者たちは、たった一度だけ成功すればいいのです。「」
州政府や地方自治体は、外部の支援に頼るようになってきています。 同社は、脅威ベクトルの種類ごとに導入されている旧式のポイントソリューションを、拡張性の高いプラットフォームに置き換えることを目指しています。 Tanium社の最新かつ拡張性の高い エンドポイントソリューション（ ）を活用することで、アリゾナ州の企業は72時間の間に約326,000 件の脆弱性に対するパッチ適用を行うことができました。 それは、完全リモート勤務に移行してから過去6か月間で私たちが成し遂げることができたことよりも、はるかに大きな成果でした。
アリゾナ州で私たちが直面した状況は、他の州や地方自治体で見られる状況と似ています。 しかし、人々は自分たちが直面している課題を理解していません。 私は時々、「パッチ適用に対する自信はどの程度ですか？」と尋ねることがあります。 すると、リーダーたちは「パッチの適用率はたぶん 95％です」と答えます。 そこで、その組織のネットワークを調査したところ、可視範囲内のエンドポイントについては確かに 95％のパッチ適用率を達成しているものの、可視範囲外のエンドポイントについては、少なくとも 30％のパッチ未適用状態であることが判明しました。
[関連記事：州政府および地方自治体にとって、サイバーセキュリティの向上への道は、適切なサイバー衛生管理から始まります]
要するに、目に見えないものは守ることができません。 何を守るべきか見当もつかないのに、どうやって身を守ればいいのでしょうか？ 可視性がなければ、環境のセキュリティを確保することは決してできません。
何しろ、善人は 100％の確率で正しいでなければなりませんから。 悪者たちは、今日は一日休んでもいいでしょう。 彼らに必要なのは、たった一度だけ正しければよいのです。 今こそ、州政府や地方自治体は、その警告を真摯に受け止めるべき時です。
