州政府や地方自治体、医療機関、学校などがサイバー犯罪者からの攻撃にさらされる中、一部の政府のサイバーセキュリティ担当責任者たちは、今こそ力を合わせ、州全体を挙げてサイバーセキュリティに取り組むべき時期ではないかと考えています。
「州全体を網羅するサイバーセキュリティ」とは何でしょうか？
州全体を視野に入れた取り組みにおいて、州政府は、各州内の自治体、幼稚園から高校までの学校、先住民団体、およびその他の政府機関と連携し、資金やツールセットの提供、指針の提示、情報共有を行っています。 この連携を通じて、現在、サイバーセキュリティ対策のための資金や人材が不足しているK-12学校などの小規模な組織は、より規模が大きく、十分な資金を持つ同業他社のリソースや知見を活用できるようになります。
以前のブログ記事「 」（）でも触れましたが、州全体を網羅するサイバーセキュリティ戦略は、スツールの脚のように互いに支え合う3つの取り組みから構成されています。 その3つの実践とは、以下の通りです：
- ガバナンスと政策立案
- 実装
- 検証
このブログ記事では、この戦略におけるガバナンスと政策立案の側面について考察していきます。 ガバナンスと政策立案には、以下の4つの活動が含まれます：
- 組織横断的なガバナンスチームを立ち上げ、長期的にそのチームを支援するためのコミュニケーションプロセスを構築すること
- インターネットセキュリティセンター（CIS）や米国国立標準技術研究所（NIST）などが策定した、実績のあるポリシーフレームワークを選定し、それを基盤として構築すること
- 方針の策定に役立てるためのリスク評価の実施
- 州全体にわたる戦略を支援するための資金源の確保と活用
州全体のサイバーセキュリティ政策は誰が策定するのでしょうか？
州全体にわたるサイバーセキュリティプログラムは、最終的にはさまざまな政府機関間の連携によるものであり、各機関はそれぞれのサイバーセキュリティ方針について責任を負っています。 これらの政府機関の中には、州知事の管轄下にあるものもありますが、学区や、州の （MS-ISAC）チーム （新しいタブで開きます） など、多くの機関は州知事の管轄下にはありません。 ほとんどの州において、これらの組織はこれまで、サイバーセキュリティに関する取り組みについて緊密に連携したことはありませんでした。 そこで、まず第一歩として、これらのグループの代表者を一堂に集め、顔合わせを行い、ステークホルダー間の信頼関係を築き始めることが重要です。
かつては、州レベルでのサイバーセキュリティ政策に関する業務の多くは、グローバルなシステムインテグレーターなどの外部コンサルタントによって行われていました。 たとえコンサルタントがこの業務の支援を継続するとしても、今後は、この新しく設置された一元化されたサイバーセキュリティチームに報告すべきです。
このチームを立ち上げるには、時間がかかる場合があります。 これらすべての組織のITおよびセキュリティ担当の責任者たちは、すでに多忙を極めています。 今、彼らは新しい会議やビデオ会議、報告書、その他のサイバーセキュリティ関連の活動のために、スケジュールの空き時間を確保する必要があります。 そして、彼らは、公式には報告先ではない組織を含め、他の組織のリーダーたちの判断や意思決定を信頼することを学ばなければなりません。
この共同イニシアチブがもたらすメリット、すなわち、関係者全員のサイバーセキュリティの向上と、将来的なコスト削減について、すべてのリーダーに改めて認識してもらうことが重要です。
また、この組織横断的なチームは、単に従来からサイバーセキュリティ対策の実施そのものを担当してきたITエンジニアによる「タイガーチーム」にとどまらず、ガバナンスに重点を置いた独立した組織であることが重要です。 政策を策定する者と、策定された政策を実施する者は、明確に区別されるべきです。 これにより、ポリシーが業界のベストプラクティスや最新の脅威インテリジェンスに基づいた厳格なものとなることが保証され、コンプライアンスが、たとえ善意に基づくものであっても、単に形式的な報告にとどまらないことが確保されます。 フロリダ州、アリゾナ州、ニューヨーク州などの一部の州では、サイバーセキュリティ政策を策定・検証する役割を担い、かつそれらの政策の直接的な実施には関与しない、独立した政策重視の組織を確保するため、独自の国土安全保障局を設置しています。
多くの州において、この職務の分離は劇的な変化を意味しています。 ITチームは、ポリシーの策定、その実施、およびポリシーへの準拠状況に関する自己確認を担当していた可能性があります。 これらの職務を分離することで、一部の州では、政策をより包括的かつ厳格なものにするとともに、ITチームに対し、客観的に測定可能な形でその政策を実施する責任を負わせるよう努めています。 （この政策と検証へのアプローチについては、州全体戦略における「 」検証段階に関する今後のブログ記事（）でさらに詳しく取り上げる予定です。）
州全体を視野に入れた戦略のためのガバナンスと政策立案
効果的なサイバーセキュリティ方針を策定するにあたり、各州のIT責任者は一から始める必要はありません。 その代わりに、 のCenter for Internet Security（ （新しいタブで開きます） （CIS））や、のNational Institutes of Standards and Technology（ （新しいタブで開きます） （NIST））などが提供する、確立された政策の枠組みを活用することができます。 これらのフレームワークを活用することで、政策担当チームは以下のことが可能になります：
- における適切なサイバー衛生管理の基準を確立する
- リスクの許容可能な閾値を決定する
- これらの基準を実現し、優先度の高いリスクに対処するために、長期的に実施可能な方針を策定してください。
CISおよびNISTのフレームワークは、包括的かつ詳細なセキュリティポリシーを作成するためのテンプレートを提供しています。 このような包括的な方針を策定することは称賛に値する目標ですが、これらの方針を実施することは、短期的にはK-12学区などの組織にとっては、その能力を超えるものとなる可能性があります。
別のアプローチとしては、包括的な方針を定めるだけでなく、誰もが従うべきベストプラクティスの優先順位の高いリストも策定することです。 これは、アリゾナ州が州全体を視野に入れた戦略において採用したアプローチです。 州のサイバーセキュリティチームは、 の「CIS コントロール実施すべきトップ 18” リスト （新しいタブで開きます） 」を特定し、あらゆる規模の政府機関が重点的に取り組むべき、管理しやすいプロジェクトリストを提供しました。 セキュリティ対策は改善され、どの組織も膨大な要求事項に圧倒されることはありませんでした。
政策立案のための包括的な可視性
ITセキュリティポリシーを策定する際、すぐに浮かぶ疑問の一つは、具体的にどのようなIT資産を保護すべきかを決定することです。 何しろ、自分がどのような資産を持っているのか分からなければ、資産を保護するための方策を立てることはできません。 したがって、効果的な政策立案のための要件の一つは、州全体プログラムに参加するすべての組織にわたるすべてのIT資産の目録を作成することです。
プロジェクトリーダーは、組織内のIT責任者に対し、それぞれのIT環境にあるすべてのエンドポイント（ノートパソコンやサーバーなどのデバイス）のリストを作成するよう依頼することができます。 これらの資産台帳を作成する際は、各機関やIT担当者が自組織が保有する資産を確実に把握できるよう、用語を統一するようにしてください。 たとえば、Windows 10 搭載のノートパソコンを数える場合、Windows 10 搭載のノートパソコンの数え方を決めておくとよいでしょう。そうすれば、Windows 8.1 搭載のノートパソコンと混同される心配がなくなります。
このプロジェクトの策定および実施段階の早い段階でこの作業を行う理由の一つは、ポリシー担当チームが、管理対象となるあらゆる種類のデバイスについてポリシー案を作成できるようにするためです。 たとえば、IoTデバイスを軽視してしまい、後になって、それらが先進的な自治体の交通システムにおいて重要な役割を果たしていることに気づくような事態は避けたいものです。
政策立案のためのリスク評価
NISTおよびCISのフレームワークでは、 リスク管理の重要性が強調されています。 (新しいタブで開きます)。 リスク管理とは、不確実性が組織の目標に及ぼす影響を評価し、その影響を軽減するための措置を講じる取り組みのことです。
ITセキュリティにおいて、リスク管理とは、組織の使命を支える上で最も重要なIT資産やプロセスを特定し、それらを保護することに尽きます。 例えば、州の自動車局（DMV）にとって、申請者の記録を安全に保管・管理できることは極めて重要です。 また、クレジットカードで支払われるライセンス料が、PCI-DSS基準に準拠したシステムによって保護されるようにすることも重要です。
この場合のリスク管理とは、部門の記録の作成および管理に関わるすべてのITリソースとプロセスを特定し、これらのリソースやプロセスに関連するすべてのリスクを特定し、各リスクの発生可能性を評価した上で、人材、プロセス、およびテクノロジーを活用して、それらのリスクに対処することを指します。 例えば、安全で社外に保管されたバックアップを用意することが、部署の記録の完全性を保護するのに役立つのであれば、そうしたバックアップ体制の構築は、その部署のリスク管理戦略の一環となります。
州全体を対象とした最も包括的なサイバーセキュリティプログラムであっても、すべてのIT資産やITプロセスを可能な限り最大限に保護することは不可能です。 ITへの投資については、優先順位をつける必要があります。 したがって、州全体を網羅するプログラムに関与するすべての組織にわたってリスクを評価しておくことが望ましいでしょう。そうすることで、各チームは合理的な方針を策定し、各組織にとって最も重要なものを保護するために適切なリソースを配分できるようになります。
州全体を対象としたサイバーセキュリティ・プログラムに関する資金調達の特別な考慮事項
政策立案の段階で検討すべき最後のいくつかの課題は、資金調達に関するものです。 州の指導者たちは、そもそも州全体を網羅するサイバーセキュリティ対策に、どのように資金を調達すればよいのかと頭を悩ませているかもしれません。 また、財政的な負担が少数の集中管理チームにすべてかからないように、予算をどのように設定すべきか、と疑問に思うかもしれません。
州全体を対象としたサイバーセキュリティ・イニシアチブの資金調達を支援するため、SLED傘下の組織は、見つけられるあらゆる資金源を活用すべきです。 自治体、学校、先住民団体、あるいは州自体が一連の標準化されたサイバーセキュリティツールやサービスの導入費用を賄うのに役立つ可能性のある助成プログラムを探してみてください。 さらに、連邦政府は、サイバーセキュリティ対策に取り組むため、各州に対して短期的な資金増額措置を講じています。 各州は、その連邦資金が利用可能なうちに、これを活用すべきです。
第二に、州全体を網羅するサイバーセキュリティチームは、州全体のサイバーセキュリティ・イニシアチブを支援するための州予算の確保に取り組むべきです。 すでにいくつかの州でこの措置が講じられています。 数百万ドル規模の専用基金を活用することで、学区やその他の組織が必要とするIT機器や研修サービスを購入することができ、大量購入による割引を確実に適用するとともに、政府機関間でソフトウェアやハードウェアの統一性を可能な限り高めることができます。 この追加資金は、組織がこの取り組み全体に参加するためのさらなる動機付けとなります。 ITインフラの近代化とセキュリティ強化のための助成金を申請することで、学区などの組織は、サイバー衛生状態を改善すると同時に、他のサイバーセキュリティ関連プロジェクトに充てる資金を確保することができます。
最後に、州全体を網羅するサイバーセキュリティプログラムが成功すれば、州、自治体、K-12学校、およびその他の地域組織の経費削減につながるという点も指摘しておく価値があります。 セキュリティの強化によって、数百万ドルもの身代金の支払いが不要になったり、収益の損失につながるシステム停止が解消されたりすれば、その初期投資は十分に元が取れることになります。
詳細を見る
この投稿は、州全体にわたるサイバーセキュリティ戦略の実現に必要な3つの取り組み――ガバナンス、実施、検証――をそれぞれ検証するシリーズの一部です。
の「Tanium Converged Endpoint Management」プラットフォーム（ ）が、貴社のサイバーセキュリティ戦略のさらなる成熟化にどのように貢献できるかについてご興味をお持ちでしたら、ぜひ弊社までお問い合わせください。
