による州全体を対象としたサイバーセキュリティ戦略 （新しいタブで開きます） は、州内のすべての政府機関を結集し、サイバーセキュリティ能力の向上に向けて共同で取り組むものです。 この戦略は、多くの場合、知事室や州議会によって推進されるものであり、州内のすべての行政機関――ごく小規模な学区や自治体であっても――が、セキュリティ研修の充実、よりタイムリーな脅威情報の提供、そしてより新しく効果的なツールセットの活用といった恩恵を受けることを可能にします。
州全体を対象としたサイバーセキュリティ戦略は、以下の3つの段階で構成されています：
- ガバナンスと政策立案
- 実装
- 検証
のガバナンスおよび政策策定フェーズ （新しいタブで開きます） では、州内のITおよびセキュリティの責任者が一堂に会し、セキュリティフレームワークの採用や、ポリシーおよびベストプラクティスの策定を行っています。 の実装フェーズ（ （新しいタブで開きます））では、規模を問わずあらゆる政府機関がこれらのポリシーを実施できるよう、トレーニングの提供やツールセットの導入を行っています。
その2つの段階については、以前のブログ記事で取り上げました。 本日のブログ記事では、州全体で構成されるチームが、いつでもサイバーセキュリティに関する取り組みを分析・検証する「検証段階」に焦点を当てていきます。 この段階では、州内の各チームが次のような課題に取り組みます：
- 導入したセキュリティツールや対策が、実際にサイバーセキュリティの防御力を向上させているかどうか、どのようにして確認すればよいのでしょうか？
- 当社のサイバーセキュリティプログラムのうち、どの部分がうまく機能しており、どの部分がうまく機能していないのでしょうか？
- 次に、どのような活動や投資を優先すべきでしょうか？
- 緊急に支援を必要としている特定の団体はありますか？ もしそうだとすれば、他の組織はどのように彼らを支援できるでしょうか？
検証フェーズを成功させるためのアドバイスをいくつかご紹介します。
コラボレーションは依然として重要です
州全体戦略の検証段階についてまず知っておくべきことは、州全体戦略の初期段階でチームが築き上げた関係や信頼が、この段階においても依然として重要であるということです。 実のところ、それらは不可欠なのです。
検証とは、情報を共有し、州全体として、特に注意を払うべき事項の優先順位付けを支援することです。 この取り組みには、個々の政府機関内での連携に加え、州全体を網羅するプログラムに参加するすべての機関間の連携も必要となります。 そしてこの段階では、その協働の成果が明らかになります。なぜなら、検証を通じてこそ、チーム全体が着実に前進していることが本当にわかるからです。
目標と成果に焦点を当てる
州全体のサイバーセキュリティ・プログラムを包括的に検証するためには、指導者たちは、どの目標や指標を重視するかを明確にし、それらの目標や指標が確実に追跡されていることを確認する必要があります。 おそらく、彼らは政策立案および実施の段階で、すでにこれらの目標を特定していることでしょう。 実際、これらの目標が、予算要件やツールの選定などに関する決定に影響を与えた可能性が高いでしょう。
実施段階に関する私のブログ記事では、特に州全体での取り組みの最初の1～2年間は、各機関が重点を置くべき指標や目標の「トップ20」リストを選定することを推奨しました。 検証段階では、間違いなくその「トップ20」の指標や目標を追跡したいとお考えでしょう。
理想を言えば、選定する目標や指標は、時間の経過に伴う進捗状況を有意義に測定できるものであるべきです。 これらの指標を追跡することで、指導者や関係者は、州全体のサイバーセキュリティ態勢が改善しているのか、それとも弱まっているのかを判断できるようになるはずです。 追跡している指標に改善が見られるにもかかわらず、政府機関がこれまで以上に多くのサイバー攻撃を受けているのであれば、データを再検討し、より有意義な指標を選定すべき時が来ています。
指標と目標を選定したら、特にプロジェクトの初期段階において、ベースラインを設定する必要があります。 質問：
- 州全体を対象としたプログラムに参加している各組織において、これらの指標は通常どのような結果を示しているのでしょうか？
- 改善の土台として、どのような基準を設定すべきでしょうか？
州内のすべてのITおよびセキュリティチームは、ネットワークアドレス、デバイス台数、パッチ適用状況、ウイルス対策スキャンから、セキュリティフレームワーク、脆弱性リスト、脅威インテリジェンスフィードに至るまで、膨大な量のデータを扱っています。 目標や指標を追跡・検証するためには、どのようなデータを収集するか、またどのように収集するかを明確にする必要があります。
そして、このデータを収集したら、それをどのように報告するかを考えなければなりません。 それでは、次にレポートについて見ていきましょう。
3段階の報告体制を確立する
州全体のサイバーセキュリティ政策のために採用されたツールや実践手法の運用状況を検証するには、州内の各組織に所属するIT技術者の業務から、おそらく知事室や州議会と連携して業務を行うチームリーダーに至るまで、以下の3つの報告レベルが必要となります：
- 技術報告書
- 経営層向け報告
- エンタープライズレベルのレポート機能
技術報告書
これは最も基本的なレベルのレポートであり、ネットワークやデバイス上で何が起きているかについての洞察を提供します。 セキュリティオペレーションセンター（SOC）のアナリスト、ネットワーク管理者、システム管理者、その他の技術専門家は、ネットワークやIT資産の状態を把握し、早急な対応が必要な事項があるかどうかを判断するために、毎日このレポートを活用しています。
このレベルのレポートから得られる知見は、具体的な行動につなげられるものであるべきです。 例えば、デバイスの在庫状況、パッチの適用状況、脅威の状況などについて、レポートを作成できる必要があります。 修正が必要な点がある場合は、このレベルの報告に反映されるはずです。 そして、修正が完了すれば、そのステータスの変更もこちらに反映されるはずです。
技術報告書には、州全体の戦略におけるすべての主要な安全保障目標の状況を評価するのに役立つデータが記載されるべきです。 セキュリティ目標が測定できない場合は、新しいツールや測定手段が必要となります。
経営層向け報告
その次のレベルは、経営幹部向けの報告です。 本報告書は、特定の政府機関のITセキュリティに関する全体像を示しています。 このレベルでは、技術報告レベルの内容を要約しています。 技術的な知識のあるリーダーも、そうでないリーダーも理解できる形で、セキュリティの全体的な状況について簡潔な洞察を提供します。
私がアリゾナ州と協力して、州全体のサイバーセキュリティ戦略の策定に携わった際、この種の報告には「緑・黄・赤」の視覚的表示を用いることが有効であることがわかりました。 経営幹部は、この種のレポートを一目見ただけで、どの分野が順調に進んでいるか（緑）、何らかの不足により懸念される可能性があるか（黄色）、そして早急な対応が必要な分野はどれか（赤）を即座に把握できる必要があります。
IT部門および経営陣のリーダーは、このレベルのレポートを活用して、以下のことができます：
- ITチームに対し、より注意を要する問題に対処するよう指示してください。
- リソースが適切に配分されるようにしてください。
- 他の行政機関の同僚たちと、それぞれの知見や経験を共有しましょう。
- この取材記事をご提供いただき、州全体をカバーするチームが最高水準の報道――すなわち、エンタープライズレベルの報道――を生み出すお手伝いをしてください。
エンタープライズレベルのレポート機能
エンタープライズレベルの報告では、州内のすべての政府機関の経営層向け報告書を集計・要約しています。 この報告により、知事、州議会、および州全体を網羅する取り組みに関わるすべてのチームメンバーが、州全体のサイバーセキュリティ体制の整備状況を把握することが可能となります。 州内の各機関から作成された経営層向けの報告書をすべて集約し、有用な形で要約しています。
経営幹部向けの報告と同様に、企業全体の報告においても、細部に囚われることなく、具体的な数値を活用すべきです。 サイバーセキュリティだけでなく、数多くの行政課題を担当する政府幹部の方々にも理解していただけるよう、重要な情報を簡潔かつ明確に伝える必要があります。
先ほど説明した「信号機方式」の報告体制を継続することをお勧めします。緑・黄・赤のグラフィックを用いて、何が順調に進んでいるか、何に注意が必要か、場合によっては緊急の対応が必要かを、一目で把握できるようにしてください。
このレベルの報告を通じて、指導者は各行政機関のリスク対応態勢を把握できるようになるはずです。 この報告により、これまで見過ごされていたリスク領域が明らかになる可能性があります。
この報告には、いくつかの重要な役割があります：
- 包括的な分析
これにより、政府の指導者たちは、州のサイバーセキュリティ態勢（サイバーセキュリティツールや対策の全体的な強靭性）について包括的な把握が可能となります。 おそらく、これらの指導者たちは、これほど包括的な報告を受けたことはこれまで一度もないでしょう。 - 実用的な知見
これにより、リーダーは、どの取り組みが順調に進んでいるか、またどの取り組みにさらなる注意が必要かを見極めることができます。 こうした取り組みは、すべての組織に影響を及ぼす特定の種類の脅威に関連する場合もあれば、特定の組織が直面している問題に関連する場合もあります。 例えば、この報告書では、幼稚園から高校までの学校が、脅威検知対策の導入に苦戦していることが示されているかもしれません。 その後、組織横断的なチームがこの問題にどのように対処するのが最善か決定することができます。 - 資金調達の根拠
ベンチマークの実施と進捗状況の実証は、州全体の参加者が州からの資金、さらには連邦政府からの資金を調達するための根拠を示す上で役立つはずです。
1回限りの監査ではなく、継続的な報告体制を導入してください
報告や検証は、監査のようなものだとお考えになるかもしれません。 しかし、監査とは、ある特定の時点における貴社のサイバーセキュリティ態勢の状況を反映したものに過ぎません。 その状況は、感染したデバイスがネットワークに接続されたり、新たなセキュリティの脆弱性が公表されたり、あるいは実環境で新たな種類のゼロデイ攻撃が確認されたりした際、次の瞬間にも変わる可能性があります。
政府機関のサイバーセキュリティ態勢を真に正確に把握するためには、継続的かつリアルタイムの監視と分析が必要となります。 そのような分析は、自動化があってこそ可能になります。 ITセキュリティツールは、IT技術者による時間のかかる手作業を必要とせず、継続的かつ自動的にデータを収集・報告できるものでなければなりません。
継続的なモニタリングと報告を行うことで、各レベルのチームは、週次や月次の指標を収集するための特別なタスクフォースを立ち上げる必要なく、最新のデータを確認することができます。 データの共有は週次または月次で行われる場合がありますが、いつ共有されても、データは最新の状態であり、現在のサイバーセキュリティの強みと弱みを正確に把握することができます。
ゲーミフィケーションの導入をご検討ください
州全体のサイバーセキュリティチームは、報告体制にゲーミフィケーションを取り入れることを検討するとよいでしょう。そうすることで、各政府機関がサイバーセキュリティの目標達成に向けて取り組む中で、友好的な競争の精神を育むことができるでしょう。 チームリーダーは、特定の目標を達成したり、パッチカバレッジなどのカテゴリーでトップになったりといった成果に対して、バッジやその他の記念品を授与することがあります。
ゲーミフィケーションは、サイバーセキュリティ研修において、従業員のモチベーションとエンゲージメントを向上させることが示されています。 (新しいタブで開きます) また、各州の州全体を網羅するサイバーセキュリティプログラムの推進にも役立つでしょう。
リスク低減における可視性の重要性
サイバーセキュリティにおいて、可視性はすべてです。 目に見えないものは、守ることはできません。 問題があることに気づかなければ、それを解決することはできません。
州全体をカバーするチームの報告体制がより確立され、セキュリティ態勢や運用状況についてより明確な把握ができるようになると、いくつかの点が明らかになってくるでしょう。 どの製品が効果的に機能しているか、またどの製品がそうでないかが分かります。 また、不要なものやほとんど使われていない商品が見つかるかもしれません。
レポート機能により、ツールの選定や調達戦略を微調整するために必要な可視性が得られます。 適切なツールの選定を支援することで、レポート機能は、サイバーセキュリティへの投資全体の効果を高める一助となります。
結局のところ、州全体を網羅するサイバーセキュリティ・プログラムの目的は、リスクの低減にあります。 レポート機能を活用することで、リスクを把握し、是正措置を講じ、その取り組みの価値を、関係するすべての方々に示すことができます。
詳細を見る
サイバーセキュリティ上の脅威は、その発生頻度と巧妙さを増し続けています。 幸いなことに、小規模な行政機関であっても、州全体を網羅するサイバーセキュリティ戦略に参加することで、セキュリティ管理の体制を改善することができます。 こうした広範かつ包括的な戦略を実施することで、各州は、管轄区域内のあらゆる政府機関が、データやインフラを保護し、その使命を果たすために、利用可能な最高の研修、ツール、知見を確実に得られるようにすることができます。
の「Tanium Converged Endpoint Management」プラットフォーム （新しいタブで開きます） が、貴組織や州が成熟したサイバーセキュリティ戦略を策定する上でどのように役立つかについて、詳しくは弊社までお問い合わせください。
