旧式のハードウェアとソフトウェアの更新を行います。 のエンドポイント検出機能の向上。 重要なIDおよびアクセス制御を追加します。 の主要なセキュリティシステムへのパッチ適用。
これらは、バイデン大統領の超党派インフラ法に関連するサイバーセキュリティ助成プログラムの初年度に受け取った資金を、州および地方自治体の 最高情報セキュリティ責任者（CISO） が活用して実施した取り組みの一部です。 また、連邦プログラムの第 2 年度への申請者たちは、現在、助成金が交付されるかどうかについて、結果の通知を待っているところです。
彼らはただ待つだけではありません。 このプログラムの不安定なスタートからは多くの教訓が得られます。また、これらの組織が次の段階に向けた計画策定に着手すべき十分な理由があります。
To say the $1 billion State and Local Cybersecurity Grant Program (SLCGP), which kicked off in 2022, has gone smoothly might be an overstatement: There’s been occasional confusion over qualifying requirements and timelines; tribes, to their chagrin, were not included in the first year of the program; and many in the field wonder whether the program will extend beyond its current four-year lifespan.
それにもかかわらず、業界関係者は依然として楽観的な見方を示しており、SLCGPは予定通り進んでいるとしています。 States and U.S. territories applied for $185 million in funding in 2022, and in 2023, with $380 million up for grabs, 48 states and six territories met the September deadline for submitting detailed cybersecurity plans to the Cybersecurity and Infrastructure Security Agency (CISA) and Federal Emergency Management Agency (FEMA), which oversee the program. それらの計画は現在、検討中です。
ここ数ヶ月の間に提案書を提出された方々は、結果を待つ間、他のことに取り組んでもよいと感じるかもしれませんが、実は今こそ、 3年目の計画を練り始めるのに最適な時期なのです。 This coming year, SLCGP funds will start to drop ($300 million will be available for FY 2024, $100 million for FY 2025), making competition fierce. SLCGPプログラムが「思春期」の段階に入った今、州政府や地方自治体、およびそれらの治安担当責任者が同プログラムのメリットを早期に評価できればするほど、今後の「成熟期」に向けた計画策定がより効果的になるでしょう。さらに、おそらくは、そうした資金がもはや利用できなくなるかもしれない「成熟期」以降の時期に向けた計画策定においても、同様に効果的になるでしょう。 その場合、最も早い段階で準備を整えた組織ほど、自組織のネットワークや関係者を守る可能性が高くなります。
SLCGPの仕組み
現在、SLCGPの資金を受け取っている州は、その資金の少なくとも 80％が地方自治体などに確実に配分されるよう確保しなければなりません。 さらに、この助成金により提供された資金総額の少なくとも 25％を、農村地域に還元しなければなりません。 各州は、地方自治体が助成金を申請するための手続きや期限をそれぞれ公表しています。
「このプログラムは、わが国の回復力を高めています。」CISAのステークホルダー・エンゲージメント担当副局長、アライナ・クラーク氏
先住民族の部族については、少し事情が異なります。 各部族は、SLCGPから派生した、新設の「 部族サイバーセキュリティ助成プログラム（TCGP）」を通じて、今月初旬にサイバーセキュリティ計画を提出する予定でした。 About $8 million was set aside for tribes under that program. 部族の規模が大きければ大きいほど、受け取る資格も増えます。
チェロキー・ネーションのCIOであるポーラ・スター氏は、自身のチームがTCGPからの約100万ドルの資金調達を積極的に進めているものの、複雑な心境であると述べています。 一方で、彼らにはお金が必要です。 チェロキー・ネーションは、約 460,000 人の部族民（その多くは農村地域に住んでいます）にサービスを提供する機関を管轄しており、限られた予算の中でサイバーセキュリティ体制の強化に取り組んできました。 ですから、連邦政府からの資金は莫大なものになる可能性があると、彼女は述べています。
しかし、彼女は、他の皆と同様に、部族についても最初から考慮されていればよかったと願っています。
「将来的には、部族国家が、 の州、 の郡、および全国の自治体と同様に、インディアン・カントリーがサイバーセキュリティのニーズにさらに適切に対応し、部族国家とその市民にふさわしいサイバーセキュリティ保護を提供できるよう支援する追加の資金調達機会を得られることを心から願っています」と彼女は述べています。
SLCGPの不具合への対応
部族への資金提供の遅れについて問われた際、CISAのステークホルダー・エンゲージメント担当副局長であるアライナ・クラーク氏は、このプログラムを擁護し、同プログラムは州、部族、および準州に対し、それぞれのニーズに合わせた戦略的なサイバーセキュリティ計画を提出するよう促すものであり、承認されればプロジェクトへの資金提供を受けられると述べました。
「これらの助成金のライフサイクルを超えて継続性を確保したいのです。ですから、いずれは議会に対して、これが単なる一回限りの資金投入では済まないことを説得しなければなりません。」NASCIOの政府渉外担当ディレクター、アレックス・ウィテカー氏
「私たちは、リソースを最も大きな効果を発揮できる場所に的を絞って投入する新たなプログラムを構築した取り組みを誇りに思っています」とクラーク氏は述べています。 「このプログラムにより、各州が州全体のサイバーセキュリティ計画やベストプラクティスを策定する中で、わが国のレジリエンスが向上しています。」
全米州CIO協会（NASCIO）の政府渉外担当ディレクター、アレックス・ウィテカー氏は、これまでのところ、先住民部族に関するいくつかの問題や、資金が州や地方自治体にどのように配分されるかという点を除けば、このプログラムは「かなり順調に」進んでいると述べています。
[こちらもぜひお聴きください：「基本から学ぼう――SLCGP資金の活用方法に関するステップバイステップガイドと、それが思っていたより簡単である理由」]
同氏によると、より長期的な懸念として、SLCGPの実施期間が 2026年までとなっているため、その時期以降、各州、地方自治体、先住民部族、および準州が、資金調達に関連する取り組みを継続できるかどうかは定かではないとのことです。 実際、ある州のCIOはNASCIOに対し、SLCGPの資金が確保できなくなった場合にはプログラムを終了せざるを得なくなるため、地方自治体向けの新しいプログラムを開始することに消極的であると述べました。
「これらの助成金のライフサイクルを超えて継続性を確保したいのです」と彼は述べ、「ですから、いずれは議会に対して、これが単なる一回限りの資金投入であってはならないという説得を行わなければならないでしょう」と付け加えました。
また、時折指摘されるもう一つの問題として、SLCGPを通じて提供されるサイバーセキュリティの資金は、セキュリティチームがその獲得に費やす時間や労力を考慮すると、それほど多くないという点があります。 しかし、アリゾナ州の のライアン・マレー氏（ ）のようなCISOは、通常、サイバーセキュリティ対策の資金調達を支援するため、複数の連邦助成金を申請し、他の州と提携しています。 「少しでも役に立てば」と、彼らは考えているようです。
SLCGPの給付を長期的に確保する方法
経験豊富なセキュリティ責任者は、ベストプラクティスを活用して業務プロセスを効率化し、所要時間を短縮しています。彼らは、今秋に予定されている次回の助成金申請の際にも、こうしたベストプラクティスを活用するでしょう。 その中には、次のようなものがあります：
- サイバーセキュリティ計画の継続的な更新： 毎年、申請受付開始から約1か月後に更新された計画の提出が求められるため、作成をぎりぎりまで先延ばしにするのは得策ではありません。 のインシデント対応 計画が 定期的に更新される必要があるのと同様に、SLCGP向けのサイバーセキュリティ提案についても、定期的に監視・評価を行う必要があります。 つまり、年間を通じて計画を更新できるよう、今から担当者を任命し、手順を整備する必要があるということです。
- 地元関係者との対話： 資金を地方自治体に交付するという要件を満たすため、各州は、郡やその他の指導者たちと、資金の受給資格を得るために何を行う必要があるかについて話し合う必要があります。
- の州全体（WOS） 計画の改訂、あるいはその策定について： 地元の人々とのコミュニケーションを活発化させれば、新しいWOS戦略への賛同を得たり、既存の戦略を修正・改善したりできる可能性が高まります。 連携を図らない政府機関は、協力し、データを交換し、 の人手不足という課題を公平に分担するという大きな機会を逃してしまいます。。
- 広い視野で考える： アリゾナ州の事例に倣い、各州、部族、および準州は、助成金が単発的な取り組みである必要はないことを認識する必要があります。 持続可能なモデルが確立されれば、他の連邦政府の資金調達機会にも取り組むことが可能になります。
[関連記事：州全体にわたるサイバーセキュリティ戦略の策定に関する実践ガイド]
ウィテカー氏によると、SLCGPの資金を申請する政府機関の多くは、その資金を有効に活用できると期待しているとのことです。 例えば、 が実施した「NASCIO 2023 CIO実態調査」（）によると、申請者はこの資金を、サイバーセキュリティ研修の改善、エンドポイント検知、 リスク評価（）、.govサイトへの移行支援、および 多要素認証（MFA）（）の導入に充てる予定です。
これは、チェロキー・ネーションのCISOであるジョン・ジェームズ氏が、自身が支援する機関に対して抱いている考えと一致しています。
ジェームズ氏によると、数年前までは、ハッカーたちは部族をほとんど無視していたとのことです。 しかし、政府や医療関連のネットワークに対する攻撃を強化していくうちに、彼らは先住民部族のコミュニティにも同様のネットワークが存在し、しかも防御体制が脆弱であることに気づきました。 その結果、彼らは部族に対してさらに多くの攻撃を仕掛けるようになりました。
[関連記事：RaaS（ランサムウェア・アズ・ア・サービス） – ハッカーによるRaaS攻撃が激化する中、CISOたちはより効果的かつ独創的な対抗策を模索しています]
今日、「本格的なサイバーセキュリティプログラム」を導入した結果、チェロキー・ネーションの状況は以前よりはるかに改善されたと、彼は述べています。 しかし、彼は、どの部族も安穏としていられる状況ではないと警告しています。 同氏は、セキュリティ体制を強化するためには、TCGPのような助成金を含め、あらゆる機会を積極的に活用すべきだと述べています。
「部族の皆さんには、私たちも標的になっているということを認識していただくことが重要です」と彼は言います。 「セキュリティ体制全体を強化し、リスクを低減するとともに、エンドポイントやネットワークインフラの脆弱性について、より的確な可視化と管理を実現しなければなりません。」
