ライアン・マレーは、計画がうまくいったときが大好きです。
アリゾナ州の副最高情報セキュリティ責任者（CISO）として、マレー氏は、州内の主に農村地域からなるコミュニティをサイバーセキュリティ上の課題から守るために、多忙を極めています。
そこで、3年前、彼の部署は、連邦政府の助成金と州の拠出金を組み合わせて、大部分が旧式であり、場合によっては存在すらしない地域のITサイバーセキュリティシステムの刷新を支援する取り組みを開始しました。 郡、市、および先住民部族の指導者たちと会談し、彼のチームは、改善が最も急務である分野を把握するために、ニーズや課題を特定しました。 その後、国土安全保障省（DHS）などの機関から助成金が提供されるようになると、マレー氏の事務所は、それらをより迅速かつ効率的に獲得する準備が整っていました。
同時に、彼のチームは、地元当局者から得た情報を活用し、（一部のベンダーとのマスターサービス契約や州との契約に基づき）最新のサイバーセキュリティツールやサービスを割引価格で購入し、資金繰りに苦しむ地方自治体にそれらのソリューションを無償で提供することができました。
マレー氏によると、このモデルにより、アリゾナ州は、バイデン大統領が11月に署名して成立させた超党派のインフラ法案に盛り込まれた10億ドルのサイバーセキュリティ資金の一部を獲得する上で、有利な立場にあるとのことです。
「私たちはこれらの手続きの複雑さを解消しました。資金がいつ利用可能になるのか、またどのような要件が課されるのかがまだ分かっていないことを考えると、これは重要なこととなるでしょう」とマレー氏は述べています。
サイバーセキュリティにおける曖昧さへの対処
インフラ法に盛り込まれたサイバーセキュリティ資金の配分獲得を検討している州や地方自治体の関係者は、アリゾナ州の例に倣い、今から事前の準備を進めておくことをお勧めします。
「各州が今最も必要としているのは、資金をどのように活用すべきかについて、CISAからの指針です。」NASCIOの政府渉外担当ディレクター、アレックス・ウィテカー氏
というのも、資金が入ってくることは誰もが知っているものの、それを追い求める時間はあまりないからです。 The funds will be allocated over four years, with $200 million available in 2022, $400 million in 2023, $300 million in 2024, and $100 million in 2025.
サイバーセキュリティ・インフラストラクチャー庁（CISA）は、初夏の早い時期に第1回資金配分に関する資金提供機会通知（NOFO）を発表する予定でしたが、その時期が夏の終わり頃までずれ込む可能性が出てきました。 つまり、第 2022 回分の給付金は9月30日までの連邦政府会計年度末までに支給される予定であるため、州政府や地方自治体は申請書の作成と提出を1か月以内に行う必要がある可能性があります。
行政機関への申請書の記入は、たいてい簡単ではありません。 確かに、数多くのハードルがあります。
例えば、規則では、助成金の 80％を地方自治体に配分しなければならないと定められており、つまり、各州にはそれを実現するための仕組みが必要となります。 また、助成金と同額の自己資金を用意する準備も整えておく必要があります。 2022 年には10％から開始し、 2025年まで毎年 10 パーセントポイントずつ増額していきます。 また、資金がどのように配分・活用されるかを明記したサイバーセキュリティ計画を提示する必要があります。
CISAが、この資金をどのように、また誰が使うことができるのかについて、まだ公に定義していないことを考えると、これは確かに困難な課題であると言わざるを得ません。 しかし、多くの先進的な州のCIOやCISOは、それでも前進を続けています。
「各州が今最も必要としているのは、CISAから、この資金をどのように活用すべきかについての指針です」と、全米州情報担当官協会（NASCIO）の政府渉外担当ディレクター、アレックス・ウィテカー氏は述べています。 「しかし、彼らは手をこまねいているわけではありません。 「関心のある人々は、サイバーセキュリティ計画の策定に取り組んでおり、地域住民を会議に招き入れ、彼らのニーズを把握しようとしています。」
連邦政府のサイバーセキュリティ関連予算は、その手間をかけるだけの価値があります
「すべての州がインフラ資金の確保に関心を示すわけではないでしょう」とウィテカー氏は述べています。 結局のところ、4年間にわたって 50 の州で分け合うのは、わずか10億ドルに過ぎません。 また、その期間中、各州は数百万ドルものマッチング資金を拠出しなければならないため、「私たちにとってこれほどの手間をかける価値はない」と結論づける州もあるかもしれない、と彼は述べています。
一方で、ウィテカー氏は、州政府や地方自治体において、ITセキュリティシステムの強化に対する「極めて大きなニーズ」があると指摘しています。 同氏によると、とりわけ多くの地方自治体では、セキュリティ機能や性能がすでに時代遅れとなっている旧式のハードウェアやソフトウェアを、今もなお使用しているとのことです。 他社では、主要なシステムの更新やパッチ適用を定期的に行っていないため、ランサムウェアやその他の悪意のある攻撃に対してより脆弱な状態になっています。 また、データがどこにあり、誰がアクセスしているのかを確認・把握するために、互いに連携していないさまざまなツールを寄せ集めて使用している企業もあります。 また、多くのシステムでは、 の多要素認証（MFA）など、ユーザー名やパスワードの脆弱性を補うのに役立つ最新のIDおよびアクセス制御が導入されていません。
Taniumのカスタマー・エンゲージメント・マネージャーであるジェニファー・ピットマン＝リーパー氏は、ほとんどの州および地方自治体のCIOやCISOは、自組織のITセキュリティシステムが不十分であることを認識していると述べています。「もし現在のツールや技術が州や地方自治体にとって本当に有効であれば、このような資金は必要ないはずです」と彼女は語っています。 「うまくいっていないし、彼らもそれを承知しています。」
[関連記事：サイバーセキュリティ対策で遅れを取り戻そうとする政府機関]
したがって、新インフラ法に盛り込まれたサイバーセキュリティ助成金のような資金調達機会を敬遠している人々は、改めてよく検討する必要があります。
「彼らは技術のアップグレードに向けて投資を行わなければなりません」と彼女は言います。 「この連邦政府からの資金は、各州が取り組みを次の段階へと進める助けとなります。ただし、一部の州にとっては、それがあくまで基礎的な段階に過ぎない場合もあります。」 「贈り馬の歯を確かめてはなりません。」
サイバーセキュリティの「応急処置」を撤去する
ピットマン・リーパー氏は、州の機関は「痛みを覚悟で決断を下す」必要があり、複雑な状況をより深く理解し、その状況をコントロールし始めるために、可能な限り資金を確保すべきだと述べています。
「これは魔法の杖ではありません。」 とはいえ、これは始まりに過ぎませんし、どこからか始めなければなりません。”タニウムのカスタマー・エンゲージメント・マネージャー、ジェニファー・ピットマン＝リーパー氏
準備が遅れているものの、このインフラ法に基づく資金調達に関心をお持ちのCIOやCISOの皆様へ――以下に、いくつかの手っ取り早いアプローチをご紹介します：
- サイバーセキュリティ計画を再検討しましょう： 具体的なマイルストーンを達成するためには、計画の全4年間にわたる戦略と具体的な戦術を必ず盛り込んでください。
- 地元の方々と話し合う： サイバーセキュリティ計画では、州が地域のサイバーセキュリティ対策をどのように支援するかを明確に定義すべきです。 郡、市、および部族の優先事項や課題について積極的に議論しなければ、これは実現できません。 例えば、州が最新のツールを提供したとしても、自治体にはそれを導入するための十分な財源がない場合があります。 このことから、彼らにはさらなる研修やサポート、あるいはサードパーティのマネージド・セキュリティ・サービス・プロバイダー（MSSP）からの支援が必要である可能性が示唆されます。
[関連記事：今や、すべての従業員がサイバーセキュリティチームの一員でなければなりません
- その必要性を啓発し、周知徹底する： ほとんどのCIOやCISOはこのことを理解していますが、孤立した状態では成功することはできません。 連邦政府の資金援助を求める際には、その必要性を政治家に理解してもらうことが極めて重要です。 Pittman-Leeper notes they must understand the need for more budget and incremental funding, so that if grant applications are successful, they do not pull budget away afterwards.
It also sells government officials on the importance of funding cybersecurity upgrades for legacy state and local IT systems.
In Arizona, Murray notes, with the support of Gov. Doug Ducey, the state’s budget earmarks $10 million to help local governments and K-12 school districts up-level their security postures. - 視野を広げて考えてみましょう： アリゾナ州の事例に倣い、助成金は単発の取り組みである必要はないということを認識しましょう。 持続可能なモデルが整っていれば、あらゆる種類の連邦政府の資金援助の機会を積極的に活用することが可能になります。 For example, DHS recently announced $1.6 billion in preparedness grants to fight terrorism. その資金の一部は、サイバーセキュリティ対策に充てることができます。 当然のことながら、マレー氏のチームも地方自治体と連携し、その資金の申請を行っています。
- 他州との連携： インフラのサイバーセキュリティ資金調達に取り組むために必要な時間、労力、投資の規模は、依然として気が遠くなるほどに思えるかもしれません。 しかし、アリゾナ州のマレー氏は、共通のニーズを満たすために資金を共同で調達する方法について、テキサス州やニューメキシコ州など、他州の関係者と協議を進めていると述べています。 確かに、CISAのガイドラインによってそのアプローチが却下される可能性はあります（繰り返しになりますが、これはまだ定かではありません）。 しかし、既成概念にとらわれない発想は、資金調達が実現した後、数多くの可能性への扉を開くことになるかもしれません。
[関連記事：アメリカのサイバーインフラも、今こそ整備すべき時です]
ピットマン・リーパー氏は、各州のCIOやCISOが連邦政府のサイバーセキュリティ助成金についてどのような考えを持っていようとも、遅かれ早かれその恩恵を受けることになるだろうと述べています。
「サイバーセキュリティは、かねてより資金不足が問題とされてきましたが、その問題は決して小さくなる気配がありません」と彼女は述べています。 「こうした資金調達を目指している各州のCIOやCISOは、それが魔法の杖ではないことを十分に理解しているほど現実的です。」 「とはいえ、これは始まりに過ぎません。どこからか始めなければなりません。」
