Recently, the National Association of State Chief Information Officers (NASCIO) took the unusual step of publicly endorsing proposed federal legislation, in this case the State and Local Cybersecurity Government Act of 2019. 6月に超党派のチームによって提出されたこの法案は、 2002 年制定の「国土安全保障法」を改正し、連邦政府、州政府、地方自治体が連携して資源を共有し、サイバー攻撃の勢いを食い止めるための体制を強化することを目的としています。
この支持表明がこれほど注目を集めた理由は、容易に想像がつきます。 NASCIOは、サイバーセキュリティを米国の各州にとって最優先の技術的課題として挙げており、新たに発覚した攻撃により州や地方自治体の機関がニュースの見出しを飾らない週などほとんどありません。ボルチモアで現在進行中のランサムウェア被害の復旧作業も、その一例に過ぎません。
しかし、法案案とNASCIOによるその支持声明の両方を読み進めていくうちに、ある疑問点に目が留まりました。
StateScoopが報じたように、「新たな資金や連邦政府の技術へのアクセスは、サイバーセキュリティ対策に十分な資金を確保するのに苦労している各州のCIOにとって、思わぬ朗報となるでしょう……」。 NASCIOの指標によると、大半の州にはサイバーセキュリティ専用の予算が設けられておらず、つまり一般のIT予算から捻出せざるを得ない状況です……CIOやCISOには、直面するあらゆる脅威に対処できるだけの十分な人員が確保できていません。」
上記のすべては正確ですが、問題があります。 州や地方自治体の組織にとって、既存の技術スタックの中で未使用のままだったり、不適切に導入されていたりしている部分に加えて、さらなる技術を導入するためのリソースを確保できることは、思わぬ幸運のように思えるかもしれませんが、そもそもそれらの組織を混乱のリスクにさらしている根本的な課題を解決することにはなりません。 脅威の経路から「金で逃れる」ことはできません。侵害が成功するケースの多くは、組織が でITのセキュリティ管理を改善し、で脆弱性へのパッチを適用し、最小権限のアクセスを実現するために環境を適切に構成するという適切な措置を講じていないことが原因です。
当社の米州担当CISOであるクリス・ハレンベック氏が私に説明してくれたように、この法案を捉える一つの方法は、CIOの体制をより充実させるものだと考えることです。 もう一つの理由は、何か悪いことが起きた際に、責任のなすり合いが生じてしまうことです。
「CIOは、連邦政府からの資金援助によってIT予算を増やすこともできるし、あるいは、連邦政府から約束されたものが得られなかったことを理由に、インシデントの責任を転嫁することもできます」とクリス氏は述べました。 「現在、ほとんどの州のCIOは、最高水準の誠実さをもって職務に当たり、絶え間なく存在するサイバー脅威から自州のシステムや住民を守ろうとしています。」 しかし、法案の現在の構成では、最終的に彼らの環境を混乱に対してより強靭なものにするような、望ましい行動を促すものではありません。」
その道具は全部必要ですか？ それらは適切なツールなのでしょうか？
クリスも指摘しているように、予算の負担軽減は、適切な分野に振り向けられれば、より大きな効果をもたらすでしょう。 各州が連邦政府からの資金を受け取る場合、ITの衛生管理に関連する、これまで資金不足に陥っていたり、ほとんど注目されてこなかった問題、とりわけパッチ管理、資産インベントリ、およびアクセス制御といった分野に、その資金を充てる可能性があるでしょう。 政府機関は、これらの分野で改善が必要であることを認識しています。 国土安全保障省（DHS）の「継続的診断・是正（CDM）」プログラムのフェーズ1 は、現在進行中の取り組みの一つです。 しかし、インシデントが発生した際、CIOやCISOが責任のなすり合いをするのではなく、結果に対して責任を負うよう、適切な管理体制が整っていることを確認しておきましょう。
TaniumのSLEDチームは、いくつかの単体製品やセキュリティツールに投資したものの、セキュリティインシデントに見舞われ、その後、なぜそれらのツールが役に立たなかったのかと、ベンダーと数週間、数ヶ月、あるいは数年にもわたって激しい議論を交わしている州や地方自治体のIT責任者の方々と、多くの時間を共に過ごしています。 セキュリティやIT運用にリソースを投入したところで、問題は解決しません。 結局のところ、適切な目標を念頭に置いて計画を実行に移すことが肝心なのです。
連邦政府による技術支援は、各州が研修や評価に活用することで、最も大きな効果を発揮するでしょう。 これには、衛生対策の特定や、現在導入されているツールがどこで重複しているか、その結果としてどのような機能がまだ不足しているかを把握するためのギャップ分析の実施などが含まれます。 先見の明のある州のCIOやCISOは、この分析を機に、ツールの統合や総数の削減に取り組むことができるでしょう。
適切な事項の報告
この法案に関して私が抱いている最も重要な疑問は、新法において報告義務についてどのような規定が設けられるかという点です。 現在、国土安全保障省からは、各州に対して、技術支援や研修などがすでに数多く提供されています。 同法は、国土安全保障省（DHS）に対し、各州のセキュリティ態勢について2年ごとに上院国土安全保障・政府問題委員会（HSGAC）に報告するよう具体的に定めています。
しかし、国土安全保障省（DHS）が報告できるのは、各州が自発的に有用なデータを提供してくれる範囲に限られます。また、連邦議会が各州のデータを他州と比較するだけだと各州が考えてしまうようでは、報告を行う動機付けにはならないでしょう。 国土安全保障省（DHS）が報告制度を効果的に機能させ、各州がIT環境のセキュリティ対策を真に改善できるよう支援したいのであれば、連邦資金の交付を受けるには報告を義務付けることを、法案で明記すべきです。 これは集計処理で行うことができます。
測定の結果、資金や資源へのアクセスがあるにもかかわらず、一部の州で著しい遅れが見られることが判明した場合は、州ごとの具体的な報告を義務付けるよう、法律を改正すべきです。 しかし何よりも、この法律は、絶え間ないサイバー攻撃という課題を実際に解決するための適切な行動を促すものであるべきです。
見えないものは守れない
州のテクノロジーリーダーたちは、他のテクノロジーリーダーと同様、大小さまざまなベンダーから、最新のツールやサービスを購入すれば問題が解決するというメッセージや空虚な約束を次々と浴びせられています。 しかし、限られた予算や人員、そして時には信頼性に欠ける技術といった課題に直面した際、リーダーはより適切な選択を行い、自社の環境を混乱に対してより強靭なものにするために、実際に効果的な分野に投資する必要があります。
Taniumは、SLED機関がエンドポイントデバイスに対するリアルタイムの可視性と制御を通じて、サイバー衛生状態を改善できるようにする、真のプラットフォームソリューションを提供しています。 詳細については、 および、州・地方自治体向けリソースページ をご覧ください。
Taniumの実際の動作をご覧になりませんか？ の個別デモをご予約いただくか、毎週開催されているウェビナーにご参加ください。 「 」の今後のイベント（）にて、当社のTaniumエキスパートにご相談ください。
著者「」について：タイカー・ファッグ氏は、Tanium社の米国州・地方自治体および教育プログラム担当副社長を務めています。
