近年、米国の州および地方自治体の機関に対するサイバー攻撃が大幅に増加しています。 現在、世界中のランサムウェア攻撃の約 44％が自治体を標的としています。 ランサムウェアは、少なくとも 2,354 の政府機関、 （新しいタブで開きます） および 2020 カ国だけで101の医療機関や学校を襲いました。 こうした攻撃が成功してしまうケースがあまりにも多いのは、自治体や小中高校、その他の小規模な政府機関が、自らを適切に防御するために必要な人員、ツール、専門知識を十分に備えていないためです。
「州全体を網羅するサイバーセキュリティ戦略」とは何でしょうか？
こうした攻撃から自治体やその他の地方公共団体を守るため、一部の州政府では現在、サイバーセキュリティに対して「州全体を網羅する」アプローチを採用しています。 州レベルで実施される「州全体を網羅する戦略」において、州政府は小規模な地方自治体と連携し、すべての人が脅威から確実に守られるよう取り組んでいます。 この連携の一環として、州政府は、サイバー防衛体制を強化するため、自治体やその他の地域組織と、研修、脅威情報、ツール、その他のリソースを共有しています。
このサイバーセキュリティに対する新しいアプローチを推進している要因と、その実現に必要な3つの主要な要素――ガバナンス、実装、検証――について見ていきましょう。
この「To the Point」のビデオインタビューをご覧ください。ジェニファー・ピットマン＝リーパー氏が、「州全体を網羅するサイバーセキュリティ戦略」とは何か、またその取り組みをどのように始めればよいかについて解説しています。
https://youtu.be/BOEF82h1r44
サイバー衛生管理の改善が急務です
調査によって数値は異なりますが、ランサムウェアやその他の攻撃の不釣り合いなほど多くの割合が、州政府や地方自治体を標的としていることは明らかです。
なぜこれらの組織を標的にするのでしょうか？ 攻撃の中には、おそらく無作為なものもあり、攻撃者が標的選定において「手当たり次第に攻撃する」という手法をとった結果、たまたま州や地方の機関が標的となってしまったものもあると思われます。
また、攻撃者が政府機関を標的にするのは、その機関が身代金や必要な復旧費用を支払うサイバー保険に加入していると疑っているためである場合もあります。 これには一理あります。 実際、ランサムウェアの被害者が身代金の支払いを決断した場合、 によると、州や地方自治体が支払う金額は、民間企業が支払う金額の 10 倍にも上ります。 （新しいタブで開きます）
攻撃者は、州や地方自治体レベルではサイバーセキュリティ対策が脆弱であることを承知しているため、自治体やその他の小規模な機関を標的にしている可能性もあります。 ほとんどの州では、IT予算の 1-2％しかサイバーセキュリティに充てていません。 （新しいタブで開きます）。一方、連邦政府機関や民間企業では 5-20％を充てています。
最後に、多くの地方自治体のサービスは不可欠であると見なされているため、行政の指導者たちは身代金を支払い、攻撃を迅速に解決しようとする強い動機を持っています。 例えば、 2019年にランサムウェア攻撃によりボルチモア市の行政サービスが停止した際（ ）、市に与えた影響は広範囲に及び、多大な損害をもたらしました（ （新しいタブで開きます））。 例えば、不動産の所有権移転手続きが行えなかったため、不動産市場が低迷することになりました。 市民は、水道料金や固定資産税、駐車違反の罰金の支払いに利用していたウェブサイトにアクセスできなくなってしまいました。 Remediating the effects of the attack took months and eventually cost the city at least $18.2 million.
このような教訓となる事例がある以上、他の自治体や政府機関が、ランサムウェアやその他のサイバー攻撃の被害に遭わないよう警戒したいと考えるのも当然のことです。
各州政府は、自分たちにも支援できると認識しています。 自治体やその他の地方機関が人員不足や資金不足に直面していることを踏まえ、一部の州政府は「州全体を視野に入れた」戦略を採用し、資源を統合し、情報を共有することで、市から州レベルに至るまでの行政組織を保護しています。
“State governments are increasingly providing services to county and municipal governments, including endpoint protection, shared service agreements for cyber defensive tools, incident response, and statewide cybersecurity awareness and training,” the National Governors Association (NGA) and the National Association of State Chief Information Officers (NASCIO) wrote in their 2020 report, Stronger Together: State and Local Cybersecurity Collaboration (opens in a new tab). それ以来、この運動はますます勢いを増しています。
「州政府は、エンドポイント保護、サイバー防御ツールに関する共同利用契約、インシデント対応、州全域を対象としたサイバーセキュリティ啓発・研修など、郡や市町村の政府に対して提供するサービスをますます拡大しています。」
州全体を網羅するサイバーセキュリティ戦略の構成要素
州全体を網羅するサイバーセキュリティ戦略では、相互に連携する3つの取り組みが提示されています。 それらを、スツールの脚のようなものだと考えていただければと思います。 この戦略を成功させるには、この3つすべてが必要です。
これら3つの実践とは、以下の通りです：
- ガバナンスと政策立案
- 実装
- 検証
これらについて、一つずつ見ていきましょう。
ガバナンスと政策立案
優れたITリーダーは、 （CIS） （新しいタブで開きます） や、 （NIST） （新しいタブで開きます） といった、確立されたポリシーやフレームワークを参考にし、堅牢なサイバーセキュリティプログラムの基盤を築くよう努めます。 これらのフレームワークは、組織が 適切なサイバー衛生管理の基準を確立し、リスクの許容可能な閾値を決定し、それらの基準を実現し、リスクに対処するために継続的に実施できるポリシーを策定するのに役立ちます。
多くの州では、グローバル・システム・インテグレーターなどのコンサルタント企業が、こうした政策立案業務の多くを担ってきました。 最近では、一部の州では、この業務を州の国土安全保障局や同様の組織に「内製化」しています。
一般的に、政策立案と実施の業務は分けて行うのが望ましいと言えます。 そうすることで、ポリシーは、特定のITチームの既存のツールセットや慣行（および習慣）に合わせて策定されるのではなく、業界全体のベストプラクティスに基づいて、十分に検討・策定されるようになります。
実装
これは、州全体を網羅する戦略における「実行」段階です。 このフェーズでは、ITエンジニアやマネージャーが、ポリシー策定フェーズで策定されたポリシーを運用・管理します。
また、サイバーセキュリティ戦略が機能しなくなることもよくある分野です。 というのも、政策立案チームと実施チームの間で十分な連携が取れていないと、政策の範囲が広すぎたり、実施に多額の費用がかかりすぎたりする恐れがあるからです。 政策は厳格であり、大胆でさえあるべきですが、同時に現実的であるべきです。
真に省庁横断的かつ州全体を網羅する戦略を実施するためには、各省庁、自治体、およびその他の地域組織が、政策の実施に用いるツールセットやプロセスを標準化する必要があります。
新たなソフトウェアの脆弱性が公表された場合、州政府から各自治体に至るまで、州全体としてどのくらいの速さでIT資産の全容を把握し、どのエンドポイントを更新する必要があるかを特定できるでしょうか？ あるIT機関がベストプラクティスを策定した場合、そのベストプラクティスを州全体でどれほど容易に共有できるでしょうか？ ツールセットが標準化されていない場合、知識や技術の共有はより困難になる可能性が高いでしょう。
導入が最終的に成果を上げるためには、組織を横断した共同での意思決定と、連携のとれた投資が必要となります。
検証
検証とは、政策の実施状況を継続的に監視する取り組みのことです。
サイバーセキュリティが単なる「形だけのもの」にならないようにするためには、ポリシーの実施状況を検証する責任者が、単に書類のチェックボックスに印を付けて、コンプライアンスを自己申告するだけではいけないことが重要です。 むしろ、管理対象のすべてのIT資産のリアルタイムな状況を反映したレポートを作成することで、コンプライアンスを証明できるべきです。 つまり、チームは同僚からの口頭での保証ではなく、セキュリティツールから得られる確かなデータに基づいて、コンプライアンスの遵守状況を検証すべきです。
包括的かつリアルタイムのモニタリングと報告により、すべての利害関係者は、州全体を網羅する戦略の現在の強みと弱みを明確に把握することができます。 また、報告書の結果、追加の投資が必要であることが判明した場合、その報告書が事実に基づき、データで裏付けられたものであるという点は、自己申告や一般的な所見よりも説得力を持つことになるでしょう。
詳細を見る
今後数週間のうちに、「州全体を視野に入れた戦略」を採用することのメリットについて、さらに多くのブログ記事を公開していく予定です。 次回の記事では、州全体を網羅するサイバーセキュリティ戦略を実践するために必要な3つの取り組み、すなわち「ガバナンス」「実施」「検証」について、それぞれ詳しく見ていきます。
のTanium Platform（ ）が、貴社のサイバーセキュリティ戦略のさらなる成熟化にどのように貢献できるかについてご興味をお持ちでしたら、より、 までお問い合わせください。
