ジョージ・W・ブッシュ氏以降の各大統領の任期ごとに、国家サイバーセキュリティ戦略が改定されてきました。 それはその仕事にはつきもので、たいていはあまり変わりません。
しかし、バイデン政権が3月に発表した「 」（ ）は、初夏までに具体的な実施計画を発表することを目標としていますが、その先を見据えた積極的な「前線での防衛」というアプローチにより、従来の枠組みを打ち破るものです。
従来の、どちらかといえば事後対応的なアプローチとは異なり、ホワイトハウスの最新の計画では、注目を集めるデータ漏洩や、 ランサムウェア攻撃 に対し、 敵対的な国家 による攻撃に対して、攻撃的措置と防御的措置を組み合わせた対策が講じられています。 この文書は、連邦政府のサイバーセキュリティ対策に関する一般的な指針となることを目的としており、民間企業が従うべき明確な指針も示すことになります。
具体的には、この戦略は以下の5つの柱から構成されています：
- 重要インフラ を守りましょう。
- の脅威アクターの活動を妨害し、解体します。
- 市場の動向を形作り、セキュリティと回復力を促進します。
- を、強靭な未来への投資に活用しましょう。
- の国際的なパートナーシップを築き、共通の目標を追求します。
その言葉自体はごくありふれたものに見えるかもしれませんが、そこに込められた概念は決してそうではありません。
とりわけ注目すべきは、政府が脅威アクターの活動を妨害し、解体するために取り組むという考え方は、国防総省の米サイバー軍による、数年にわたる議論――物議を醸しつつも、状況を一変させるような議論――に基づいているという点です。 ここでは、専門家たちが、ハッカーから主導権を奪い、「（持続的な関与）」およびパートナーシップ活動を通じて、世界中でハッカーを追及するための新たな戦略について議論しました。 米国防総省（DOD）は、「持続的関与」を、武力紛争のレベルには達しない活動を含め、悪意のあるサイバー活動をその発生源で阻止するための「前方防衛」と定義しています。 したがって、あるデバイス、ネットワーク、組織、あるいは敵対国が、米国のネットワークや機関に対する脅威であると特定された場合、あるいはサイバー空間内またはサイバー空間を通じてそれらに対して積極的に攻撃を行っている場合、「米国はそれに対して対抗措置を講じ、代償を科すことになる」と、米国サイバーコマンドの「 」ファクトシート（）には記載されています。
こうした混乱や解体に加え、ホワイトハウスの戦略では、 テクノロジー業界 が自社の製品やサービスを強化するためにさらなる取り組みを行う必要があることを公然と示唆することで、サイバーセキュリティの構図を変えようとしています。 これらの柱に加え、この計画は、その実施方法について一節を割いて解説している点でも際立っています。
「［バイデン大統領の新たなサイバーセキュリティ計画］は、はるかに詳細で、より先進的な政策案も盛り込まれており、実行可能なものとなる見込みです。」グレン・ガーステル氏、元国家安全保障局（NSA）法務顧問
この戦略の要素――とりわけ、サイバーセキュリティへの取り組みに積極的に加わらない場合、民間部門はより厳しい規制に直面する可能性があることを示唆する部分――が実効性を発揮するためには、連邦法による立法措置が必要となります。 政治的な分断が進んでいるこの時代においては、それは困難を伴うかもしれません。 しかし、全体として、多くの業界関係者は、 のコロニアル・パイプライン や のソーラーウィンズ といったハッキング事件が、高まるサイバー脅威に対する警鐘を鳴らしたことで、与野党双方に今や行動を起こす動機が生まれたと考えています。 したがって、この最新の国家安全保障計画は、ある程度の実質的な変化をもたらす可能性があるでしょう。
「この文書ははるかに詳細であり、より先進的な政策案も盛り込まれており、実行可能なものとなる見込みです」と、国家安全保障局（NSA）の元法務顧問であるグレン・ガーステル氏は述べています。 「過去の政権は、実行されることを想定していない戦略を打ち出していました。」 「これはそうでした。」
継続的なエンゲージメントの台頭
ある意味では、ホワイトハウスが計画を公表するかなり前から、実施は始まっていました。 例えば、昨年2月にロシアの戦車がウクライナに侵攻する3カ月前、米軍はウクライナ・サイバー司令部の要員と共同でサイバー作戦を実施し、これは記録上初めてとなる「ハント・フォワード」作戦の一つでした。
このような継続的な関与を特徴とするパートナーシップは、それ以来、少なくとも 44 回、22 カ国 で実施されており、その中にはエストニア、リトアニア、クロアチア、モンテネグロ、北マケドニアなどが含まれています。
これらの作戦の結果について、あるいはそれらが単なる実態調査の段階にとどまらず、特定のハッカー集団やネットワークを無力化あるいは壊滅させることを目指していたのかどうかについては、ほとんど詳細が明らかにされていません。 しかし、イランによる政府システムへのサイバー攻撃疑惑への対応として、米国のサイバー専門家がアルバニアで3か月間活動した後、ウィリアム・ハートマン陸軍少将が発表した声明によると、彼らはそうした対応を行ったことが示唆されています。
「パートナー国のネットワーク上でサイバー攻撃の検知活動を行うよう招かれた際、私たちはサイバー空間における敵対勢力の悪質な活動を突き止め、それをパートナー国と共有して、適切な措置を講じてもらうことができます」と、ハートマン氏（ ）は述べました（）。 「そうすることで、敵対勢力のツールや戦術、手順を明らかにし、彼らに代償を払わせるとともに、パートナーや同盟国のサイバーセキュリティ体制を強化することができます。」
こうしたパートナーシップは、単に政府にとっての恩恵というだけではありません。 民間企業にもメリットがあります。 アルバニアでの作戦に関しては、ハント・フォワード・チーム（ ）が、 によると、自らが発見した情報を、アルバニア政府および、アルバニアと米国の両国のデジタルインフラにおいて重要な役割を果たしている民間企業の双方と共有したと報じられています。
責任をテクノロジー業界に転嫁すること
より積極的な姿勢を示すことに加え、ホワイトハウスのサイバーセキュリティ戦略では、テクノロジー企業が製品を開発・リリースする際に遵守すべき最低基準を定めることも目指しています。
「[重要インフラやネットワーク]のセキュリティ確保に向けた自主的な取り組みは不十分です。」アン・ノイバーガー氏、サイバーおよび新興技術担当国家安全保障副補佐官
一部のハイテクハードウェアおよびソフトウェアベンダーは、製品開発の過程で確かにサイバーセキュリティに一定の配慮を払ってきました。 しかし、バイデン政権の計画では、これまでのやり方よりも、業界全体を巻き込んだより積極的な取り組みが想定されています。というのも、従来のアプローチでは十分な効果が得られていないからです。
「『 』戦略における基本的な認識 は、[重要インフラおよびネットワーク]の安全確保に向けた自主的な取り組みだけでは不十分であるということです」と、サイバー・新興技術担当国家安全保障副補佐官のアン・ノイバーガー氏は、戦略国際問題研究所（CSIS）のイベントで述べました。
直接的には明言されていませんが、この戦略は、米国のデジタル環境のセキュリティ態勢を強化するために、 のサイバーセキュリティ規制 を課すことを示唆しているように見えます。ゲルステル氏によれば、これは過去の政権が躊躇していたことだそうです。 しかし、脅威の状況はこれほどまでに深刻化しているため、「R」という言葉を発することさえ、かつてのような政治的なタブーではなくなったと、彼は述べています。
[関連記事：サイバーセキュリティに対する連邦政府の監督強化に、取締役会はどのように備えているか]
「3、4年前、大規模なランサムウェアやその他のサイバー攻撃の被害を受けたこれらの企業はすべて、サイバーセキュリティ対策についてもっと手を打つことができたはずですが、そのための費用が法外な額になる可能性があることなど、さまざまな理由からそうしなかったのです」とゲルステル氏は述べています。 「つまり、連邦行政府が公式な政策として、『責任の所在を見直すべきであり、経済システムを変える必要があり、さらに規制を強化すべきだ』と初めて表明したのです。」
なぜバイデン氏と企業の提携がうまくいくのか
ジェネラル・ダイナミクス・インフォメーション・テクノロジーの副社長であり、サイバーセキュリティ・インフラセキュリティ庁（CISA）の局長元上級顧問であるマット・ヘイデン氏は、ホワイトハウスの戦略では、製品のサイバーセキュリティ対応に関する最低基準が明確に規定されていないと指摘しています。 むしろ、同氏は、この政策は、規制や法的責任の課せられる事態を避けるために何を行うべきかを決定するには、政府と企業が連携する必要があることを示唆していると述べています。
「これを成功させるには、連邦議会と産業界の両方の権力者たちが……、何らかの中間点を見出す必要があります。」ジェネラル・ダイナミクス・インフォメーション・テクノロジーの副社長、マット・ヘイデン氏
「それを可能にするような既存の提携モデルは存在しません」とヘイデン氏は述べています。 「これを成功させるためには、連邦議会と産業界の両方の権力者たちが、政府全体の規制体制と連携し、いくつかの施策を成立させることができるような妥協点を見出す必要があります。」
ヘイデン氏はさらに、ビジネスおよびITのリーダーたちは、ホワイトハウスの政策を引用することで、すべての 製品開発 およびマーケティング活動において、サイバーセキュリティを最優先事項とすべきであるという必要性を強く訴えることができると付け加えています。
「この戦略は、より多くの人々をこの闘いに巻き込むための、真の意味での後押しとなるでしょう」と彼は述べています。
[関連記事：集団訴訟によって、企業はサイバーセキュリティ対策を真剣に考えるようになるのでしょうか]
ゲルステル氏もこれに同意し、企業は規制の可能性に関するありきたりな不満を述べるのはやめ、その代わりにサイバー脅威への対策に積極的に取り組むべきだと述べています。
「規制強化を求める声に失望しているとか、民間セクターだけで十分にこの問題に対処できるといった内容のプレスリリースを、ただ出すだけではいけません」と彼は述べています。 「政府と連携し、規制の策定に協力し始めましょう。 「CISAは皆様のご意見に耳を傾け、ご提案をお待ちしております。」
今が絶好の機会です
国家サイバーセキュリティ戦略の推進は、容易につまずき、停滞してしまう可能性があります。 その可能性を踏まえ、国家安全保障会議（NSC）が実施の責任を担い、行政管理予算局（OMB）および国家サイバー担当官室（ONCD）と連携して取り組んでいます。 同戦略の結論として、これらの機関は、「サイバーエコシステムに内在する変化のスピードに遅れを取らないよう」、対象となる官民セクターの投資を導く責任も負うことになるとされています。
ゲルステル氏は、議員たちへのこうした働きかけは、予想外に好意的な反応を引き出す可能性があるとしています。
「これは、受け入れてくれる聴衆がいるからこそ、まさに絶好のタイミングで打ち出された、思慮深く意義深い戦略です」と彼は述べています。 「10年前なら、誰もがこの文書を見て、肩をすくめて、『これ、何かおかしいですね』と言ったことでしょう。 「そんなものは必要ありません。」 しかし、サイバー環境は変化しました。 「タイミングがすべてですよね？」
