米国では経済活動が再開されつつありますが、状況は依然として「通常」とは程遠い状態です。 州および地方自治体、ならびに教育機関（SLED）は、従業員のオフィス復帰や生徒の学校復帰を見据え、業務の在り方や運営体制の見直しを進めています。 また、運営やセキュリティにおける最近の課題に対処するため、連邦政府からの新たな資金援助という形で支援が提供されることになっています。
『アメリカ救済計画法』（American Rescue Plan Act） （新しいタブで開きます）は、 2021年3月に法制化され、SLED組織に対し、運営予算およびサイバーセキュリティへの新たな投資に向けた新たな 連邦資金 を約束しています。
資金はまだ届いていませんが、そのおかげでSLED加盟団体は、資金が到着した際に備えて準備を進める時間があります。 今こそ、現在のIT要件と能力を評価し、将来に向けた戦略的な計画を立てるべき時です。
現在のIT投資を見直し、効果的なものを最適化し、効果のないものは廃止または強化することで、SLED機関は、今年後半に交付される「アメリカ救済計画法」の資金を最大限に活用できるよう準備を進めることができます。
の以前のブログ記事「 」（新しいタブで開きます） において、私はSLED組織に対し、まずは現在のIT資産の棚卸しを行い、ITツールセットを合理化し、ハイブリッドな在宅勤務（WFH）環境においてエンドポイントを無期限にサポートするための計画を策定することを推奨しました。
今回の新しい記事では、SLED組織が検討すべきさらに2つの分野について取り上げます：
データプライバシーに関する要件および規制への対応
政府の規制を遵守し、ITのベストプラクティスに従うため、SLED組織は、収集、保存、管理する機密データを保護する必要があります。 また、PCI、 、HIPAA （新しいタブで開きます）、、、 、NIST 800-171 （新しいタブで開きます）、、、および 、IRS 1075 （新しいタブで開きます）、、 など、増え続ける連邦のデータプライバシー規制について理解を深め、場合によってはこれらを遵守する必要もあります。 さらに、多くの州が、欧州の一般データ保護規則（GDPR）に類似した独自のデータプライバシー法を制定しています。 また、有権者の信頼を獲得し、維持できるよう、データプライバシーに関する取り組みを整備する必要があります。
サイバーセキュリティ上の脅威への対応とIT防御体制の強化
サイバー脅威は、その種類、深刻度、そして巧妙さの点で増大しています。 標的は、企業ネットワークから国家インフラへと拡大しています。 その理由の一つは、今日の脅威の主体には国家や犯罪組織が含まれており、いずれも多額の資金、手段、そして忍耐力を備えているからです。 一方、SLED組織は、従業員が従来のセキュリティ境界の保護範囲外でリモートワークを行っているため、かつてないほどリスクにさらされています。
SLED組織は、今こそ時間をかけて、データプライバシーとサイバーセキュリティの観点から、自組織のITツールや運用実態を評価すべきです。 本来あるべきように機能していない旧来の技術や慣行に、新たな連邦資金を投入しても意味がありません。 その代わりに、古いものを整理し、残すものを最適化し、今後見出した新たな投資に向けた土台を整えておきましょう。
ここでは、データプライバシー、規制遵守、およびサイバーセキュリティに関するIT組織の能力を評価するためのいくつかの提言をご紹介します。
SLED組織、データプライバシー、および規制遵守
データのプライバシー保護は、「アメリカ救済計画」が掲げるサイバーセキュリティの強化という目標を達成するためだけでなく、有権者の信頼を得るためにも重要です。
データプライバシーを真剣に受け止めていることを示すことで、顧客は貴社が提供するデジタルサービスを安心して利用できるようになります。
データプライバシーおよび規制遵守に関して、組織の強みと弱みを評価する際に検討すべき質問をいくつかご紹介します：
- 現在、御社ではデータプライバシーに関するリスクをどのように評価されていますか？
- 御社のITチームは、保護が必要なデータのすべての種類を特定できましたか？
- もしそうであれば、御社のITチームは、そのデータが存在しうるすべてのデータリポジトリやアプリケーションを特定しましたか？
- デバイスやサービス全体にわたってユーザーのアクセス権限を体系的に追跡し、機密データへのアクセスを許可されたユーザーのみに制限することは可能でしょうか？
- コンプライアンスはどのように測定するのでしょうか？
- 御社では、関連するすべての規制や方針への遵守をどのように確保していますか？
- 御社では、規制遵守状況について定期的な監査を実施していますか？
- 御社のITチームは、手作業やスプレッドシート、あるいは推測に頼ることなく、コンプライアンスに関する包括的なレポートを作成できますか？
- もしそうであれば、それらの報告書は経営陣やITセキュリティチームと共有されていますか？
- リスクが発生した際、迅速に対処できますか？
- セキュリティ攻撃によって組織のデータのプライバシーや完全性が脅かされた場合、影響を受けたエンドポイントをどれほど迅速に隔離し、攻撃の被害を軽減することができますか？
以下の質問に答えた上で、組織のデータプライバシー保護を強化するためにどのような改善を行うべきかを検討してください。 例えば、従業員のエンドポイントに対する可視性を高める必要はありますか？ ベストプラクティスやセキュリティ上の脅威に関する社員研修を充実させることはいかがでしょうか？ 規制違反の可能性があるため、従業員の活動をより厳重に監視すべきでしょうか？
データプライバシーの要件に対応し、機密データの信頼できる守護者としての組織の評判を維持するために、今すぐ変更・最適化できる点を特定してください。
SLED組織とサイバーセキュリティ
サイバーセキュリティは、「アメリカ救済計画」の重点分野の一つです。 企業がリモートワークに移行するやいなや、サイバー脅威が増加しました。 の「2020 」調査（ （新しいタブで開きます））によると、最高情報セキュリティ責任者（CISO）の 63％が、攻撃の増加を報告しました。
一方で、 58％が、リモート勤務の従業員がセキュリティガイドラインを遵守していないことを懸念していると回答し、 36％が、従業員のエンドポイントなどのIT資産に関する可視性が不足していると回答しました。
従業員のエンドポイント状況を把握できなければ、ITチームは脅威を検知し、その対策を講じることはできません。
以下の質問に答えて、組織のITセキュリティの強みと弱みを評価してください：
- リモート勤務の従業員が使用しているデバイスを含め、エンドポイント全体を包括的に把握できていますか？
- それらのエンドポイントがクラウド上でどのアプリケーションやサービスに接続しているか、把握できていますか？
- エンドポイントのデータをリアルタイムで収集することは可能ですか？ そうでない場合、そのデータはどの程度最新のものですか？ 1日に1回回収されますか？ 週に1回ですか？ エンドポイントデータの収集を週に1回しか行わない場合、セキュリティ上の脅威に関するデータが1週間前のものになってしまうというサイバーセキュリティ上のリスクを、それでも受け入れていただけますか？
- 御社のITセキュリティ対策は、ローカルエリアネットワーク（LAN）または仮想プライベートネットワーク（VPN）を介して接続されるエンドポイントに依存していますか？ それとも、LANやVPNを利用することがほとんどない、今日のリモートワーカーにも対応できるのでしょうか？
- セキュリティインシデントが発生した場合、迅速に対応し、脅威が他のエンドポイントに広がる前に阻止することができますか？
- 従業員が使用しているエンドポイントを自動的にスキャンし、脆弱性を特定した上で、パッチを適用してそれらの脆弱性を解消することは可能でしょうか？
- 貴社では、 90 日以上も継続していた可能性のある攻撃を検知し、その影響を解消するために、どのような手段を講じていますか？
以下の質問に答えて、現在のITセキュリティ対策やツールセットの課題を特定してください。 次に、もし必要であれば、何を置き換えるか、追加するか、あるいは最適化すべきかを判断してください。
例：
- 在宅勤務（WFH）の従業員が継続して勤務している現状において、方針やプロセスの見直しが必要でしょうか？
- 最新の政府規制を遵守するために必要なツールや手順は整っていますか？
- 現在ご利用中のITセキュリティツールセットを維持する場合、そのツールセットに他のツールを容易に追加して、セキュリティ全体を強化・最適化することは可能でしょうか？
今すぐITセキュリティとデータプライバシーに関する取り組みを見直し、最適化してください。そうすれば、新たな連邦政府からの資金が投入された際に、それを生産的に活用できるだけでなく、将来に備えることもできるでしょう。
や、TaniumがSLED機関向けに提供するサービスについて、詳しくは以下をご覧ください。 （新しいタブで開きます）。
このシリーズのこれまでの記事はこちらをご覧ください：
「アメリカ救済計画」によるデジタルトランスフォーメーションの加速 （新しいタブで開きます）
SLED組織がデジタルトランスフォーメーションを実現するために、資産の可視化とITツールの最適化が必要な理由 （新しいタブで開きます）
