「大規模」「抜本的」「歴史的」――これらは、 3月2日に可決された上院の新法案を形容するために用いられている言葉です。この法案は、重要インフラ企業および連邦政府の民間機関に対し、サイバー攻撃やランサムウェアの支払いを報告すること、ならびにサイバーセキュリティにおいてリスクベースのアプローチを採用することを義務付けています。
「 2022年米国サイバーセキュリティ強化法」にはどのような内容が盛り込まれているのでしょうか？
上院で満場一致で可決された「 米国サイバーセキュリティ強化法」（）に含まれる3つの法案は、現在、下院での可決を待っています。 これらは、エネルギー、金融サービス、医療、運輸などの重要分野の企業に適用されます。 この法案は昨年、上院で否決されました。
この法案が最近可決されたことは、 西洋諸国の政党や組織の間に広がっている新たな切迫感 を浮き彫りにしています。 「ウクライナへの支援を継続する上で、この法案はとりわけ重要です」と、上院国土安全保障・政府問題委員会の委員長を務めるミシガン州選出のゲイリー・ピーターズ上院議員（民主党）は、最近のツイートで述べました。 「ロシア政府による の報復的なサイバー攻撃 に備え続けなければなりません」と彼は付け加えました。
議会が今回ほど広範囲にわたる法律を最後に可決したのは 2015年のことで、その法律では、 が推奨したように、 企業に対し、ハッキングに関する情報を自主的に提供することを奨励し（提供した場合には法的保護を約束しました）。 この新法では、銀行、医療施設、公益事業体、その他の組織に対し、「重大なサイバーインシデント」をサイバーセキュリティ・インフラセキュリティ庁（CISA）に 72 時間以内に報告すること、およびランサムウェアの身代金を支払った場合は、支払いから24 時間以内にその旨を報告することが義務付けられています。
報告義務の目的は、毎日米国の組織を襲うサイバー攻撃の件数や種類についてより深い理解を得ること（これはサイバーセキュリティの責任者たちが長年にわたり頭を悩ませてきた課題です）と、そうした攻撃が発生した際に、リスクにさらされている可能性のある他の組織に警告を発できるようにすることにあります。
この新しい法律は、規模の大小を問わず、あらゆる組織にとって重要な変化をもたらすものです。 Endpoint は、企業がサイバーレジリエンスを確保するために必要な戦略、スキル、プロセスについて定期的にレポートを発行しており、その中で最も重要な3つを紹介しています。
サイバーリスクスコアを向上させましょう
報告義務に加え、上院の最新の法案では、政府に対し、サイバーセキュリティに関して リスクベースのアプローチ を採用することが求められています。 つまり、組織には正確な のサイバーリスクスコアが必要となります。。 また、攻撃が発生する可能性や、特定の対応策を講じた後の影響など、リスクを明確に評価した上で、対策を講じ（その対策を実施するために費用を投じ）、なければなりません。 議員たちは、この取り組みが民間企業にも波及することを期待しています。
CISAのジェン・イースターリー長官は、これを「わが国の安全保障を確保するための極めて重要な前進」と述べました。
「ロシア政府による報復的なサイバー攻撃の可能性に備え続けなければなりません。」ミシガン州選出のゲイリー・ピーターズ上院議員（民主党）、上院国土安全保障・政府問題委員会委員長
サイバーセキュリティ戦略を主導し、サイバーリスクを低減させることは、段階を踏んだプロセスであり、そこにはさまざまな重要な要素が含まれています。 サイバーリスクの評価自体は、そうした要素の一つに過ぎません。 組織のリスクスコアは、 他にも多くの変数 の影響を受けます。これらは対応が必要な事項であり、企業の総資産（定期的に棚卸しを行う必要があります）、 ゼロトラスト の原則（定期的に徹底されること）、インシデント対応 （見直されること）、設定 （管理されること）、およびソフトウェア （更新されること）などが含まれます。
これほど多くの業務手順を一度にこなすのは、気が遠くなるようなことかもしれません。 一歩ずつ進めていくのが、いつだって賢明なことです。
[続きを読む：増加するサイバー犯罪から組織を守るための 6 のヒント]
企業のデジタルトランスフォーメーション戦略において、セキュリティを最優先事項として位置づけてください
サイバーセキュリティをあらゆる企業のバリューストリームの一部と捉えるならば、その重要性は言うまでもありません： セキュリティとデジタルトランスフォーメーション は密接に関連しており、つまり、デジタルイニシアチブには早い段階からセキュリティチームを参画させる必要があります。
それは言うまでもないことですね。 しかし、 のCEOや取締役会 には、その声を伝える必要があります。
「政府の規制は変化し、消費者の行動も変化しており、そして何よりも重要なのは、ソフトウェアベンダーも変化しているということです。」サード・ステージ・コンサルティング・グループのCEO兼創業者、エリック・キンバーリング氏
デジタルトランスフォーメーションにより、企業は安全かつ予測可能な方法で消費者と取引を行うことが可能になります。 ますます多くの企業が、デジタルトランスフォーメーションを、顧客を保護するだけでなく、企業そのものに対する顧客の安心感や信頼感を醸成する手段として積極的に取り入れ始めています。
Third Stage Consulting GroupのCEO兼創業者であり、 のポッドキャスト『Transformation Ground Control』（ ）のホストを務めるエリック・キンバーリング氏は、市場における競合他社に対する競争優位性を獲得しようと、自らの意思で変革に取り組む企業もある一方で、多くの企業は半ば強制的に変革の渦に巻き込まれていると指摘しています。
「世界経済の変化、政府の規制の変更、消費者の行動の変化、そして何よりも重要な点として、ソフトウェアベンダーの変化といった要因により、大多数の組織が対応を迫られています」と、 のキンバーリング氏は述べています（）。 同氏によると、多くの場合、ソフトウェアベンダーが自社レガシー製品のサポート終了を強いているため、その結果、多くの組織が準備が整っていないままデジタルトランスフォーメーションを余儀なくされているとのことです。
Given that organizations are now spending some $700 billion annually on digital-transformation projects, this is definitely something that stakeholders want to get right. 以下にその方法をご説明します。
[続きを読む：デジタルトランスフォーメーションのスピードに追随するセキュリティ]
「規制の拡大」を注視し、それに備える
上院で提出されたこの新法案は、米国および世界中で相次いで制定されている、 のデータ完全性に関する一連の規制 のうち、最新のものです。 2015 年から今日に至るまで、連邦議会における規制に対する考え方の変遷 は、今後の動向を予測する上で良い指標となります。 当初は情報提供の任意的な協力を求める丁寧な要請に過ぎませんでしたが、今では議論の余地のない要求へと変化してしまいました。
「世界中の規制に準拠するプログラムを考案するのは、まさにジグソーパズルのような作業です。」ガイドポスト・ソリューションズLLCの調査担当シニア・マネージング・ディレクター、ケネス・シタレラ氏
多国籍企業にとっての現実はこうです。現在、デジタルセキュリティや個人情報の保護に関する法令の遵守について、かつてないほど厳しい監視の目にさらされています。 そして、ウクライナへの侵攻により、世界は緊張に包まれています。 少なくとも当面の間は、規制はますます厳しくなる一方でしょう。 そして、増え続けてください。
「世界的な規制に準拠したプログラムを考案するのは、まさにジグソーパズルのような作業です」と、ケネス・シタレラ氏は昨年、 Endpoint（ ）の取材に対して語りました。 Guidepost Solutions LLCの調査部門シニアマネージングディレクターとして、シタレラ氏はコンプライアンス上の課題を解決し、クライアントが事業を展開する法域、収集可能なデータ、およびその共有が可能な方法や不可能な方法について理解できるよう支援しています。
「とてつもなく細かいところまで掘り下げる必要があります」と彼は言います。
その作業を支援してくれる既製のソフトウェアはありません。 当面の間、各組織は、 のリスク状況を効果的に評価する確実な方法 を見出し、国内外を問わず新たな規制へのコンプライアンスを維持しなければなりません。
[続きを読む：データセキュリティに関する「規制の乱立」が、多国籍企業にプレッシャーを与えています]
次々と増え続ける新しい規則や規制は、目まぐるしいほどであり、しかも費用もかかります。 一線を越えてしまうと、ブランドは収益を失い、評判を傷つけるリスクがあります。 つまり、コンプライアンスこそが最新のサイバー脅威であり、ますます複雑化する世界において、セキュリティ担当者が最前線の防衛線となるのです。