公共部門におけるサイバー攻撃が増加していることは、皆さんご存知の通りです。 昨年、 100 以上の州および地方自治体、ならびに数十の学区が、ランサムウェアによる被害を受けました。 (新しいタブで開きます) そして、地政学的な緊張は、今後、国家と結びついた脅威アクターや金銭的な動機を持つ脅威アクターの両方を、ますます大胆にさせることになるでしょう。 政府機関や教育機関のサイバーセキュリティ担当責任者にとって、今は不安な時期となっています。 しかし、助けはすぐそこにあります。
が提唱する、サイバーセキュリティに対する州全体を視野に入れたアプローチ（ ）は、共通の脅威に直面する組織がサイバーリスクをより適切に管理するための有効な手段として、注目を集めています。 リソースを統合し、情報を共有し、全般的に協力し合うことで、多額の費用をかけることなく、組織全体のデジタル防衛体制を強化することができます。 とTaniumが共同で開催した最近のウェビナー「 」（、全米郡協会 （新しいタブで開きます） ）には、興味深い洞察が盛り込まれています。
パネルには、地方自治体の専門家として、ボルダー郡（コロラド州）のCIOである のベン・エデレン氏 （新しいタブで開きます）、ピナル郡（アリゾナ州）のCISOである のジェリー・キーリー氏 （新しいタブで開きます）、アリゾナ州の暫定CISO兼アリゾナ州国土安全保障局副局長である のライアン・マレー氏 （新しいタブで開きます）、およびコロラド州のCISOである のレイ・イェペス氏が登壇しました。 (新しいタブで開きます)
実存的な課題
なぜ州全体を視野に入れた取り組みが必要なのでしょうか？ というのも、州には深刻なサイバー脅威を撃退するのに十分な資源や能力があるかもしれませんが、多くの小規模な組織――特に学区――は対応に苦慮する可能性があるからです。
「これは、私たちの資源を共有し、小規模な地域パートナーや、ある種の『サイバー貧困ライン』を下回っている同等の自治体に対して、価値あるものを提供することなのです。そうすることで、当州のサイバーセキュリティが向上した際、資金力のある組織だけでなく、私たち全員にとってのセキュリティが向上することになるのです」とエデレン氏は述べています。
また、多くの場合、市や郡、その他の小規模な地方自治体は、敵対的な国家主体や、年間予算が数百万ドルにも及ぶ豊富な資金力を誇るサイバー犯罪組織といった強大な勢力と対峙しているのも事実です。 そのため、より確立されたプログラムや共有できるリソースを持つ人々が、それらを提供することがこれまで以上に重要になります。特に、イェペス氏によれば、その重要性はまさに「存亡にかかわる」ものだからです。
「もし、ある小さな都市がランサムウェアの被害に遭い、バックアップもなく、十分な防御策も講じておらず、しかもサイバー保険会社による補償が数年前に打ち切られていたとしたら、その都市は実質的に行政サービスを提供できなくなってしまいます。そのような事態を絶対に許してはなりません」と彼は主張しています。
うまく機能させる方法
問題は、これらをすべてどのようにまとめ上げるかということです。 マレー氏によれば、重要なのは「車輪の再発明」をすることではなく、共通のアプローチによって実際に効率化や規模の経済が図れる分野を見極めることだそうです。 同氏によると、アリゾナ州のプログラムでは、すでにこうした成果が見られているとのことです。
「『この特定のツールが欲しい』とか『この特定の問題を解決してほしい』といった、バラバラなグループがそれぞれ主張するのではなく、私たち全員が力を合わせて、より大きな規模でそれらの問題を解決しようとしているのです」と彼は説明します。 「そうすれば、州の機関で 27 種類の異なるツールを管理する必要がなくなり、さらに各郡でも30 種類の異なるツールを管理する必要がなくなります。」 「私たちは、あらゆる分野でまったく同じツールを一貫して使用しており、これらはすべて州によって管理され、地元の自治体パートナーによって支援されています。」
パネリストの方々が共有したその他のヒントには、次のようなものがあります：
小規模政党の声に耳を傾ける： 州全体を視野に入れた取り組みは、特定の誰かの専有物ではありません。つまり、都市や郡、そして K12s号線など、最も支援を必要としている人々を支援することに重点を置くべきなのです。 イェペス氏は、「州は自分たちが必要としているものを勝手に決めつけるのではなく、耳を傾け、声の小さな人々の声にも確実に耳を傾けるべきだ」と述べています。
人々のいる場所で対話を行う： 距離を考慮すると、ステークホルダーに州都まで足を運ぶことを期待するよりも、州レベルの専門家が実際に各地を巡回して、彼らが生活し、働く場所で直接会うほうが理にかなっているかもしれない、とマレー氏は述べています。
「小さく始めて、大きく考える」： ニーリー氏によると、まずは、より緊密な協力を望む比較的少人数のグループから始めるのが最善かもしれません。
「助けを求めても大丈夫です」と彼は付け加えます。 「誰も、自分がすべてを知っているなどと思ってはいけません。」 「アリゾナでの私たちの始まりは、ごく少数の仲間が集まって『一緒に活動を始めよう』と話し合ったことでした。」
まずは脅威インテリジェンスから始めましょう： これにより、州全体での取り組みを推進する方々にとって、すぐに成果が得られる道が開かれます。 エデレン氏は、連邦機関やISACなどから提供される脅威インテリジェンスの情報は、確認や正確性の検証に多くの手間がかかるため、提供が遅れることがあると指摘しています。
エデレン氏によると、迅速に対応できる体制を整え、必要に応じて素早く方向転換し、同僚と潜在的に有害な情報を共有できることが重要だとのことです。例えば、同僚の環境に干渉している可能性のあるIPアドレスや、隣接する市や郡で明らかに乗っ取られているメールアドレスといった情報です。
まずは始めてみましょう： どのような委員会やタスクフォースを立ち上げるべきか、その検討に多くの時間を費やしてしまいます。 マレー氏は、こうしたことが全体像を見失わせる恐れがあると結論づけています。
「政権は変わり、また変わり、役員も変わります。」 「こうした事態に巻き込まれて、2年や4年ごとに計画をやり直さなければならないようなことにはなりかねません」と彼は言います。 「まずは何かを始めてみてください。そうすれば、あとは自然と物事がうまくいくものです。」 「あとはすべてうまくいくでしょう。」
To watch the entire webinar, Whole-of-State 2.0: A Tale of Two States and Counties, check out the embedded video above.
にて、市民のデータを保護するための州全体にわたるセキュリティアーキテクチャの導入方法についてご確認いただくには、当社のウェブサイト をご覧ください。また、 にて、25件以上のブログ記事、ホワイトペーパー、オピニオンリーダーへのインタビューなど、豊富なリソースライブラリもぜひご活用ください。 （新しいタブで開きます）
