「州全体を視野に入れたサイバーセキュリティ」とは、サイバーセキュリティ上の脅威を軽減するために、異なるレベルの行政機関、教育機関、先住民団体、および官民のその他の組織間の連携を重視するアプローチです。 この手法により、行政機関間の縦割りを解消することで、州全体にわたる各機関がサイバーセキュリティに関するリソースや情報を共有し、組織全体のセキュリティ態勢を強化することが可能となります。
ここ数年、州政府や地方自治体は、かつてないほど深刻なサイバー犯罪に直面しています。 州政府および地方自治体に対するランサムウェア攻撃 は、 2020年に 485％増加しました 。 Local governments suffer a brutally high price: The cost of rectifying a ransomware attack, including the costs of resources, downtime, lost opportunity, and ransom paid, averaged $1.64 million in 2021.
こうした公共部門の組織の多くは、攻撃者を未然に防ぐために必要な内部リソースや知識、スキルを備えていません。
州全体を網羅するサイバーセキュリティ体制により、州政府や地方自治体、およびそのパートナーは、リソースを共有し、連携して、ランサムウェア、 サプライチェーン攻撃、その他のサイバーセキュリティ上の脅威に対する防御体制を強化することができます。
なぜ今日、州全体を網羅したサイバーセキュリティが必要なのでしょうか？
州および地方自治体を標的としたサイバー攻撃が増加しているため、今日では州全体を網羅した防衛体制が必要とされています。。
通常、各管轄区域は独自の資源を用いてサイバーセキュリティ対策を講じていますが、その成果にはばらつきが見られます。 予算、人員配置、ツールなどの違いは、攻撃を食い止める上で、その組織がどれほど成功できるかを左右する決定的な要因となり得ます。 州内のさまざまな行政機関が、ますます拡大する共通の脅威に直面していることを踏まえると、各機関が資源を統合し、情報を共有し、連携してデジタル防衛体制を強化することは理にかなっています。
州全体でのサイバーセキュリティを実現するには、どのような取り組みが必要でしょうか？
州全体でのサイバーセキュリティを実現するには、主に4つのステップがあります。 具体的には、以下のものが含まれます：
- 人間関係。 現在、猛威を振るうサイバー脅威 に対して、単独では誰も対処することはできません。 サイバーセキュリティに対しては、すべてのステークホルダーを巻き込み、それぞれの資源、知識、専門知識を統合して活用できるような、協調的なアプローチを採用することが不可欠となっています。 まずは、個人や部署間の信頼関係を築くことが必要です。 良いコミュニケーションには、相手の話を聞くことが不可欠です。相手に何が必要か、どうすれば手助けできるかを尋ねてみましょう。 彼らのフィードバックから、複数の人間関係に共通する点を見出し始めることができます。
- ガバナンス。 築き上げた関係が成熟するにつれて、その関係を中心に、より正式な仕組みを構築し始めることができます。例えば、関係者が集まって課題について話し合ったり情報を交換したりできる場を設けたり、意思決定のための枠組みを整備したりすることが挙げられます。 また、各当事者との間で、より正式な合意書の作成に着手することも可能です。例えば、関係性の範囲や目的を明確にすることで、協業の出発点を定める「基本合意書（MOU）」を作成することなどが挙げられます。
- 実装。 次に、新しいツールや方針、その他の対策を実施するための計画と資金が必要となります。 実施にあたっては、連邦および州からの資金援助が極めて重要な役割を果たします。 期間限定の連邦資金や助成金が利用可能な場合は、これを活用して計画を軌道に乗せ、加速させる絶好の機会です。なお、その計画は長期的には州の資金によって維持される必要があります。 実施段階では、民間パートナーとの協働も開始すべきです。 すべての取引先と協議し、予算を統合することで、コスト削減や予算の有効活用を図る方法を模索してください。
- 検証。 最後のステップは、導入した仕組みが効果的に機能しているかどうかを確認することです。 を通じて、提携している他の事業体に関する可視性 が高まるにつれ、どの事業体が苦戦しているか、またどこに弱点があるかを特定できるようになります。 ぜひ連絡を取り、より大きな組織としてどのような支援ができるかお尋ねください。 具体的には、同じ地域にいる誰かに立ち寄ってもらい、問題の解決策を一緒に検討してもらうことや、自社のITアーキテクトに、自社のシステムに関する問題の解決を手伝ってもらうことなどが考えられます。 これは、州全体を巻き込んだプロセスの初期段階で築かれた関係が実を結ぶ段階です。
州全体におけるサイバーセキュリティのベストプラクティスとはどのようなものでしょうか？
州全体を網羅するアプローチを成功させるためには、いくつかのベストプラクティスに従うことが重要です。
「現在のサイバー脅威の猛攻を、単独で乗り切ることは誰にもできません。」
まず第一に、長期的な資金調達計画を立てることです。 連邦政府からの助成金の交付は、立ち上がったばかりのプロジェクトにとって待望の資金注入となる一方で、プロジェクトを長期的に維持するためにこれに依存すべきではありません。 連邦政府の助成金は期間限定で提供されており、資金提供が打ち切られれば、州全体での取り組みもそれに伴って停止してしまう可能性があります。 また、州全体のサイバーセキュリティ計画が、効果的に実施するために必要な資金を確保できていないように見える場合、ステークホルダーがその計画に参加したり、自らのリソースを投じて支援したりする可能性は低くなるでしょう。 したがって、早い段階で長期的な州からの資金援助を確保することが極めて重要です。
2つ目は、他の組織との関係において、協力的な姿勢を持つことです。 このような姿勢を育む最善の方法は、相手に「こうすべきだ」と指示するのではなく、何が必要かを尋ねることです。 彼らの懸念に耳を傾け、彼らと協力して実行可能な解決策を見出せば、彼らもあなたに対して同じように対応してくれるでしょう。 州全体を網羅するサイバーセキュリティの有効性は、いかなるツールセットや政策よりも、むしろこの相乗効果に由来しているのです。
州全体のサイバーセキュリティには、どのような資金が充てられているのでしょうか？
州全体を対象とした戦略にはさまざまな資金調達方法がありますが、通常は連邦政府および州政府の支出によって支えられています。 連邦政府の助成金は、州全体を巻き込んだ取り組みを軌道に乗せるための素晴らしい手段です。 これらは、プロジェクトを立ち上げる際や、さまざまなツールやアイデアの実証に活用でき、プロジェクトの進行に合わせてそれらを拡大していくことができます。
[関連記事：各州のCISOが連邦政府に「予算を提示せよ」と要求]
各州が、州全体を網羅するサイバーセキュリティの取り組みを継続するために、資金を拠出することも不可欠です。 各州は、自州のITシステムを、 道路、 電力網、および水道供給と同様に重要な重要インフラ として捉え始める必要があります。 公共部門は、膨大な情報やデータを預かっているため、その組織はサイバー犯罪者にとって格好の標的となっています。 州はこれを認識し、ITシステムのセキュリティが永続的に確保されるよう、持続可能な資金提供を行う必要があります。
州全体のサイバーセキュリティは、どのように管理されているのでしょうか？
州全体の安全保障を統治する方法は一つだけというわけではありません。 ルイジアナ州のジョン・ベル・エドワーズ知事が行ったように、正式な委員会を設置することも可能です。同知事は、州の法執行機関、地方自治体、主要産業、公立大学のメンバーで構成される15名のサイバーセキュリティ委員会「 」 を設立しました。 あるいは、全員が対等に発言できる、気取らない円卓会議形式を採用することも可能です。
「各州は、ITシステムを、道路、電力網、水道と同様に重要な重要インフラとして捉え始めなければなりません。」
「州全体を巻き込んだ取り組み」がどのような統治体制を採用するにせよ、その目標は、すべての関係者を一堂に集め、情報やベストプラクティスを共有し、懸念事項や課題について議論し、協働して意思決定を行うことであるべきです。
州全体を視野に入れたアプローチにおいては、「画一的な対応」が通用することはめったにないということを理解しておくことが重要です。 すべてのツールや方針が、あらゆる組織に適しているわけではありません。 例えば、グループ全体として特定のモニタリングソリューションの導入を決定する場合でも、ある事業体は契約上、別のソリューションを使用しなければならない場合があります。 このような場合、グループ内では、当該事業体が契約期間が満了するまで現在の監視ツールを引き続き使用し、その後、グループ内の他の事業体が使用しているツールに切り替えることで合意する可能性があります。 州全体を代表する参加者が選択するガバナンスモデルによって、こうした対立にどう対処するか、またグループの利益のためにどのような戦略を立てるかが決まります。
州全体としての成功をどのように測定すればよいのでしょうか？
州全体としての成果は、いくつかの方法で測定することができます。 もし貴グループが枠組みを確立し、重要な原則について合意に至っているのであれば、それ自体が成功の指標となります。なぜなら、それは関係各者が従来の縦割り構造から脱却し、互いにコミュニケーションを取り合い、円滑に協力し合っていることを意味するからです。
グループが合意した方針やツールを導入した後、それらを利用している当事者の数によって、その成果をさらに測定することができます。 これにより、そのグループが計画を中心にどれほど結束しているかが明らかになります。 また、稼働時間、平均復旧時間（MTTR）、セキュリティインシデントの件数といった従来のシステム指標を用いて、州全体を対象とした取り組みの効果を測定することも可能です。 これらは、正しい方向に推移している場合、成功の兆しを示す重要な指標となります。
これらはすべて重要な指標ではありますが、州全体としての成功を測る最も正確な指標は、おそらくこの取り組みにどれだけの個人や団体が参加しているかということでしょう。 グループが大きくなればなるほど、皆が同じ認識で結束して守り合うことになるため、構築しているネットワークはより強力なものになります。 たとえグループのメンバー全員が、すべての方針やツールを積極的に取り入れているわけではないとしても、少なくとも議論に参加し、グループ全体の取り組みを後押しするフィードバックを共有しています。
[関連記事：社員の賛同を得るのが難しいとお悩みですか？ 【従業員がサイバーセキュリティポリシーに違反してしまう理由はこちら】
関係性は、州全体を構成する基盤であり、その関係の強さと有効性は、取り組み全体としての強さと有効性を示す確かな指標となります。
情報の共有は、州全体を網羅する計画にどのような影響を与えるのでしょうか？
情報の収集と普及は、サイバー犯罪との闘いにおいて極めて重要です。 情報を共有することで、すべてのステークホルダーは自社のサイバーセキュリティ体制を強化でき、ひいてはグループ全体のセキュリティ体制の向上につながります。
脅威インテリジェンス（）――脅威アクターの動機、標的、攻撃行動を理解するのに役立つ、集約・分析されたデータ――は、組織がより適切なサイバーセキュリティ上の意思決定を行い、事後対応型のセキュリティ体制から事前対応型のセキュリティ体制へと移行するのに役立つため、特に重要です。 悪意のあるIPアドレスやドメイン名など、一部の脅威インテリジェンスデータは自動化が容易であり、無料やオープンソースのデータフィードを通じて入手することができます。 脅威アクターの動機や行動など、その他の種類の脅威インテリジェンスについては、人的リソースと分析が必要となります。
州全体を網羅する取り組みにおいて、脅威情報を受け取り、それに基づいて対応するための最も簡単な方法の一つは、 の「多州情報共有・分析センター（MS-ISAC）」 を活用することです。 これは、 が運営する24時間体制のセキュリティオペレーションセンター（SOC） であり、州政府および地方自治体に対し、情報提供、検知、および対応支援を行っています。
MS-ISACが提供するメリットには、 のインシデント対応、 およびデジタルフォレンジックサービス、毎週発行される悪性ドメインおよびIPアドレスのトップリストレポート、悪性コード分析プラットフォーム（MCAP）へのアクセス、ならびにランサムウェアをブロックする悪性ドメインブロック・報告（MDBR）サービスへのアクセスなどが含まれます。 会員登録は無料で、州、地方自治体、部族、および準州（SLTT）のすべての機関の従業員または代表者ならどなたでもご登録いただけます。
サイバー司令センターは、州全体の作戦をどのように強化するのでしょうか？
サイバー司令センターは、州全体を網羅する原則と機能を、一元化された拠点において体系化しています。 アリゾナ州のダグ・デューシー知事は先ごろ、同州の「 」サイバーコマンドセンター（）を開設しました。同センターは、 アリゾナ州のサイバーセキュリティ運用 を統括する本部として機能することになります。 この仕組みは、サイバーセキュリティの専門家や地方・州・連邦の各機関が情報を共有し、サイバー攻撃の防止や対応を行うための一元的な拠点を提供します。
「州全体での取り組みは、他団体への働きかけ、コミュニケーションの促進、そして共通の課題の特定から始まります。」
アリゾナ州のサイバー司令センターは他に類を見ない施設ですが、米国のすべての州および準州には、少なくとも1つのフュージョンセンターが設置されています。 これらの機関は、州および地方自治体が所有・運営しており、連邦政府、SLTT機関、および民間セクターのパートナー間において、脅威に関する情報を伝達するための拠点としての役割を果たしています。 フュージョン・センターは、大都市圏や州全体を管轄対象とすることがあり、いずれも、政府やそのパートナーが州全体を視野に入れた取り組みを推進する上で頼りになる重要な資源です。
州全体を網羅するモデルは、インシデント対応にどのような影響を与えるのでしょうか？
州全体を網羅するモデルにおけるインシデント対応では、必要に応じて外部のサービスや組織の力を活用します。 例えば、コロラド州運輸局がランサムウェア攻撃を受けた際、同州のIT担当幹部たちは州兵と緊急事態管理事務所を招き入れ、それぞれが持つサイバーセキュリティの専門知識と危機対応能力を活用しました。 これにより、当事者たちはその問題に対して、その場しのぎの対応をするのではなく、体系的な作戦計画に基づいて取り組むことができました。
州全体を網羅する戦略は、州および参加する関係者にとってどのようなメリットがあるのでしょうか？
州全体を網羅する戦略の主な利点は、認知度の向上です。 政府のさまざまな部門は、しばしば共通の脅威に直面しているにもかかわらず、それらに対処するために十分な連携が取れていないのが現状です。 情報の共有が始まると、行動の根拠となるデータが増え、それにより、より多くの資産を保護し、より適切な意思決定を行い、脅威に対してより迅速に対応できるようになります。
もう一つのメリットは、より多くのリソースを利用できることです。 資金を出し合うことで、各当事者はより高性能なツールを導入したり、パートタイムではなくフルタイムのスタッフを雇用したり、追加費用をかけずにその他のサイバーセキュリティ対策の強化を図ったりすることができます。
州全体を視野に入れたアプローチは、今日のITおよびサイバーセキュリティ分野の人材確保に関する課題にどのように対処するのでしょうか？
「Whole-of-state」の取り組みにより、自治体はコミュニティカレッジや大学との連携を通じて、労働力に関する課題を克服することができます。 例えば、テキサス州では最近、 の地域セキュリティ運用センター（RSOC） を設立しました。 これらのプログラムに参加する学生は、最先端のツールを用いて複雑なシステムを監視することで、実社会でのIT実務経験を積むことができ、卒業後に就職する際に有利な立場に立つことができます。
[関連記事：NPowerのような団体の活動のおかげで、支援が十分に行き届いていないコミュニティの学生やその他の人材を継続的に確保することが、以前より容易になりました]
この組織は、そうでなければ負担できなかった 24/7 の補償範囲を確保できるだけでなく、システムを積極的に監視できるよう訓練を受けた人材がいるという安心感も得ることができます。 これは、州全体が関係するすべての当事者に利益をもたらすという、また一つの例です。
各州は、どのようにして州全体としての目標を策定すればよいのでしょうか。
各州は、以下の手順を踏むことで、州全体を網羅する独自の戦略を策定することができます：
- そのことについて話し始めましょう。 州全体での取り組みは、まず他の関係者に働きかけ、コミュニケーションを深め、共通の課題を特定することから始まります。 これがガバナンスの基盤となります。
- 困難を乗り越えましょう。 戦略を実行し、それが機能していることを確認してください。 一度に一つの課題に取り組み、その成功を積み重ねて、自信とやる気を高めていきましょう。
- 辛抱強くお待ちください。 サイバーセキュリティ戦略の策定は決して容易なものではありませんが、これほどの連携を要する戦略を策定しようと試みることは、とりわけ困難を極める可能性があります。 根気よく、その過程でつまずきもあることをご理解ください。 挫折があったからといって、その戦略が長期的には効果を発揮しないということにはなりません。 目標に向かってひたすら前進し続けていれば、きっと成功は訪れるでしょう。
- これからも関係を築き続けていきましょう。 解決方法がわからない課題に直面するたびに――それは、まだ話をしていない人がどこかにいるということです。 継続的な成功を確実にするため、新たな関係を築き続けていきましょう。 この点において、民間セクターのパートナーは特に貴重な存在です。彼らはより多くのリソースを有しており、あなたの課題に対して新たな視点をもたらしてくれる人材を見つける手助けをしてくれるからです。
州全体を網羅した効果的な戦略とは、どのようなものなのでしょうか？
いくつかの州が、サイバーセキュリティに対して協調的な取り組みを進めています。 特に成功した事例としては、次のようなものがあります：
- アリゾナ州。 前述の通り、アリゾナ州は4年の歳月をかけて、州全域をカバーするサイバー司令センターを設立しました。 州全体を網羅するサイバーセキュリティ戦略への取り組みをさらに示す動きとして、同州はCISOをアリゾナ州国土安全保障局へ異動させました。同氏は同局の局長を務めており、州知事に直接報告しています。
- ニューヨーク。 ニューヨーク市サイバーコマンドは、州全体を網羅する戦略に一般市民も巻き込んでいます。 同市は、「NYC Secure」アプリをリリースしました。このアプリは、ユーザーの携帯電話に無料でリアルタイムの保護機能を提供します。 また、デフォルトのインターネットサービスプロバイダーや企業のドメインネームサーバーの設定を置き換える無料のサイバーセキュリティプラットフォーム「 Quad9」と提携し、市内全域の 3,000 カ所の公衆Wi-Fiアクセスポイントのセキュリティを確保しました。 また、同市の中小企業支援事務所と提携し、ビジネスコミュニティに向けて、 の基本的なサイバー衛生に関する情報（ ）を提供しています。
- バージニア州。 ヨーク郡では、IT部門が選挙管理委員会と連携し、すべての管轄区域に対して基本的なサイバーセキュリティに関する指針を周知しています。 情報技術担当副部長は、中小企業と直接連携したり、中小企業地域開発センターを通じて、サイバーセキュリティの基礎に関する情報を提供してきました。 彼は、オンライン上で個人情報を守る方法など、同様の情報を市民に提供しています。
州全体を網羅するサイバーセキュリティを導入した組織からは、どのような教訓が得られているのでしょうか？
ここから得られる主な教訓は、州全体を視野に入れた取り組みにおいては、人々が自らの運命を自ら切り開けるようにする必要があるということです。 特定の問題を解決するために何をすべきかを人々に教えたり、そのツールが業界最高水準だからといって、特定のツールの使用を勧めたりしたくなるものです。 しかし、それではツールの導入やポリシーの順守が不十分になってしまうだけです。 人々に何が必要かを尋ね、その意見に耳を傾けることは、協働的な環境を醸成し、州全体を巻き込んだ戦略の最終的な成功を左右する鍵となります。
