サマリ
ランサムウェア攻撃は大規模な連邦機関 および 資金不足の州・地方団体を標的にしています。 昨秋、連邦政府はサイバー助成金として10億ドルを展開しました。 州はどのようにそれに備えるのでしょうか？
このパイロットエピソードでは、2022に収録し、より良い資金調達のための5ステッププランを紹介しています——そしてそれは今も当時と同様に有効です。
ホスト： ダグ・トンプソン、Taniumのテクニカルソリューションエンジニアリングディレクター兼チーフエデュケーションアーキテクト
ゲスト： デイビッド・ランド、ビジネス・テクノロジージャーナリスト
ショーノート
Taniumの新しいオンラインサイバーニュースマガジン、Focal Pointのこれらの記事をご覧ください。
トランスクリプト
以下のインタビューは、明確さのために編集されています。
David Rand: 政府機関、特に市や郡に対するランサムウェア攻撃は、完全に制御不能な状態です…79年に米国政府組織に対して行われたランサムウェア攻撃は2020件に上り、ダウンタイムと復旧コストの合計は約19億ドルに達しました。 つまり、これは些細な金額の話ではありません。
Doug Thompson: こんにちは、Doug Thompsonです。本日のLet's Convergeでは、州および地方政府へのサイバー攻撃についてお話しします。
まず、明らかなことと、あまり明らかでないことから始めましょう。 まず明らかなこととして、ランサムウェア攻撃は政府機関と民間企業の両方で増加しています。
政府機関への攻撃においてあまり明らかでないのは、標的そのものです。 資金力のある大規模な連邦機関だけが狙われているわけではありません。 ここ数ヶ月だけでも、イリノイ州クインシー、ニュージャージー州サマセット郡、ニューメキシコ州ベルナリロでサイバー攻撃が確認されています。 これらの場所を見つけるためにGoogle マップを開く必要があるかもしれませんが、David Randが説明するように、規模が小さいからといって標的になりにくいわけではありません。
Davidはビジネス・テクノロジー分野のレポーターであり、Taniumの新しいオンラインマガジンに頻繁に寄稿しています。このマガジンでは、ビジネスリーダーやテクノロジーリーダーに向けて、今日の最も困難なサイバー課題に関する最新の見解を提供しています。 デイブはこのテーマを深く掘り下げ、州および地方のITリーダーたちと話し合いました。 これらの人々は人手不足で資金も不足しています。 そのため、連邦政府は今年、州に対して10億ドルのサイバー助成金を展開する計画を立てています。 しかし、州のCIOやCISOはどのように準備すべきでしょうか？ 何を優先すべきでしょうか？
さあ、ポッドキャストへようこそ、デイブ。 カバーすることがたくさんありますが、まず、ランサムウェアはすぐにはなくならないと言っても過言ではないですよね？
ランド： ダグ、お招きいただきありがとうございます。 そして、はい、ランサムウェアは大きな問題です。 政府機関、特に市や郡に対するランサムウェア攻撃は、今まさに完全に制御不能な状態です。
今年[2022]だけでも、毎月、米国の町、郡、または州政府がランサムウェアの被害を受けた事例が少なくとも1件はあります。 この種の攻撃で支払われた平均身代金は約$925,000であり、昨年から71%増加しているという統計を見たことがあります。 2020年に米国政府機関に対して79件のランサムウェア攻撃があり、ダウンタイムと復旧コストの合計が約$19十億ドルに達したという別の統計も見ました。 つまり、これは些細な金額の話ではありません。
Thompson: 人々はサイバー保険を万能薬のように頼りにしすぎていることが多いと思います。全員ではありませんが、話を聞くと、サイバー保険に加入しているからと言って、この問題への注意が少し薄れてしまうようです。 保険に頼るだけでなく、できる限り多くの脅威を阻止または遮断しようとする方が良いと思います。
Rand: はい、それについては近いうちに書くことになるでしょう。 サイバー保険は、政府機関や企業が対応すべきすべてのことをカバーしているわけではなく、カバーするコストが非常に高くなっているため、縮小しつつあります。
しかし、政府機関にとっての問題は、ほとんどが限られた予算で運営されていることです。 そのため、最高水準のセキュリティに投資していないのです。 本当に必要であっても、それは通常彼らが行うことではありません。
実際、政府の調達担当者は、より多くのセキュリティ機能を備えた最高品質のハードウェアやソフトウェアではなく、十分なレベルのものを購入することをデフォルトとするケースが多い。 近年、政府機関がサイバーセキュリティの役割が全く異なっていた4年、5年、6年以上前の時代遅れのエンドポイントデバイスやオペレーティングシステムを使用していることも珍しくない。
しかし、一部の州はこの問題を真剣に検討しており、変革を望み、地方自治体がより高いレベルのサイバーセキュリティ能力を身につけられるよう支援する方法を模索している。
Thompson: 私は教育現場でこの問題によく直面します。予算を持たない小規模なK-12sが存在するのです。 彼らはどのようにして自力で対処するのでしょうか？ なぜなら、こうした非常に小規模なところでは、野犬捕獲員や用務員がIT担当者を兼ねていることもあるからです。
Rand: ええ、それはまったくその通りです。 自治体の規模や機関の規模、あるいは部族地域によっても異なります。 つまり、おっしゃる通り、ITスタッフすら存在しない場合もあります。 ITスタッフがいる場合でも、ある程度の技術的背景を持つIT担当者がいたとしても、実質的な変化をもたらすために必要な資金が必ずしも確保されているわけではありません。
つまり、市の事務所や市マネージャーのオフィスに入ると、彼または彼女の机の上にWindows Vistaのマシンが置いてあるのを見かけることは珍しくないでしょう。
Thompson: ええ。 [笑い。] 私はVistaが出たときにMicrosoftにいました。 SP1になってからは、それほど悪くはありませんでした。
Rand: [笑い。] 私もWindows VistaのときにMicrosoftにいたので、それがどういうことか分かっていると思います。
Thompson: まあ、明らかにあなたは私たちがそれをローンチしたときにフィラデルフィアにいませんでしたね。 2月の真夜中で、気温は氷点下以下で…まあとにかく、それは私たちが[笑い。]過ごした全く別の人生でした。
でも、資金調達の話をすると、連邦政府はこれについて何かしなければならないというメッセージをある程度受け取ったと多く聞きます。 いくつかの資金が出てくると知っていますが、あなたは先日、州のCISOと興味深い会話をしていましたよね？
Rand: そうでした。 あの方はライアン・マレーさんで、素晴らしい人物です。
現在、多くの州がサイバーセキュリティの熟練度をより高いレベルに引き上げるために、地方自治体をどのように支援できるかを検討しています。 アリゾナ州もその一つであり、多くの州と同様に、主に農村部のコミュニティや観光地における政府業務を保護するための資金調達に苦労してきました。
そこで3年前、連邦補助金と州予算の組み合わせを活用して、老朽化したITシステムのアップグレードに着手しました。 つまり、これは今年になって突然浮上した話ではありません。
しかし最近、彼らは昨年11月に可決されたバイデン政権のインフラ法案に含まれる10億ドルのサイバーセキュリティ補助金の一部を獲得しようとすることを決定しました。 その資金だけでは十分ではありませんが、アリゾナ州はこうした種類の補助金の獲得に実際かなり積極的に取り組んでいます。 本当に、できる限りあらゆる場所で資金を求めて回っています。 彼らは地域的に変化をもたらすという考えのもと、資金を共有するために他の州とも提携しています。 アリゾナ州のCISOであるライアン・マレー氏は、時間をかけて州のセキュリティ体制を強化することに楽観的だと私に語りました。
Thompson: ITの予算というのは—そして予算全般についても—もらえるものをもらって、それを活用して、うまくいけば次のステップへの足がかりになるというものです。 特にサイバーセキュリティに関しては。 おっしゃる通り、こういった場所で非常に古く、時代遅れで、脆弱な機器が見つかることは珍しくありません。 納税者として、私は自分の州が無駄遣いをせず、納税者のお金を大切に使おうとしていることを評価しています。
しかし、1）議員たちに、そして2）納税者たちに、「これがなぜ必要で、何をもたらすのか」という教育が必要だと思います。
Rand: おっしゃる通りです。 ライアン・マレー氏は、それが継続的な教育プロセスだったと私に語りました。 議員たちや知事と協力しながら、状況を説明しようとしてきました—例えば、ランサムウェアとは何か、潜在的なコストはどれくらいか、業務にどのような影響を与えるか、公共のイメージにどのような影響を与えるか、といったことです。
アリゾナ州では、ドゥーシー知事がこの問題を理解しているようで、州予算にITセキュリティの部分が含まれています。 マレー氏は、資金調達の可能性があるところならどこでも追求しようとする上で、知事が素晴らしいパートナーであると私に話してくれました。
トンプソン： 何がきっかけで知事はこの問題を認識したり、このような方針をとるようになったのでしょうか？ というのも、あなたは多くの人と話したり、多くの人を見てきた中で、まだそのメッセージを十分に受け取っていない人もいますよね。
ランド： 正直なところ、よくわかりません。 どのレベルのCISOも、これが問題であることは認識していると思います。 誰にとっても驚くべきことではありません——先ほど申し上げたように、ランサムウェアは制御不能な状態です。 アリゾナ州のように州の80%が農村部に位置している場合、状況は一向に改善されていません。 農村部では、帯域幅やWi-Fi接続の問題だけでなく、基本的なサイバーセキュリティの確保にも苦労しており、多要素認証のようなもの——そのベストプラクティスの実践や、パスワードからの移行なども課題となっています。
セキュリティの専門家であれば、こうしたことが必要であるのは当然のことです。 立法者にとって驚きであることもあります。なぜなら、彼らは自分たちのシステムがいかに時代遅れであるか、いかに遅れているかを必ずしも十分に認識していないからです。 そして、ご存知のように、これまでのやり方は、私が述べたように、最高水準のセキュリティではなく、十分なセキュリティを目指すというものでした。
昨今、ハッカーとその高度な技術レベルを考えると、十分なセキュリティでは十分ではありません。
Thompson: あなたはサイバーハイジーンの必要性についても書いていましたね。なぜなら、私たちはフェラーリの鍵を誰かに渡しても、運転の仕方を教えないことがあるからです。 ブロードバンドへの資金提供をする際に、サイバーハイジーンやITセキュリティのような分野への継続的な資金提供も行うべきだという必要性を、人々が理解しつつあると感じますか？
Rand: そうですね、ITセキュリティチームやCISOにとって、技術的な観点から行うあらゆることにセキュリティを組み込むことの重要性を常に伝え続けることが、継続的な教育プロセスだと思います。
最初から——私はハイテク業界に長年携わってきました。認めたくないほど長い間——そして、ハイテク産業においてさえ、セキュリティは後回しにされることがあります。 チェックボックスのようなものになってしまうこともあります。 製品を開発して、その道を進んでいき、最後の最後になって、あ、待って、これをどうやって安全にするんだ？となるのです。 製品にとても興奮してしまうからです。それはただの人間の本性です。 そして、それは州レベルでも続いていると思います。
あなたのご指摘の通り、何らかのデジタルトランスフォーメーションを行う場合でも、ブロードバンドを展開し始める場合でも、あるいはこのケースのように地方レベルでITインフラをアップグレードしようとする場合でも、セキュリティは最初から戦略や計画に組み込まれていなければなりません。
Thompson: あなたもMicrosoftにいたとおっしゃっていましたね。私がそこにいた時期もあって、私たちはセキュリティを第一に考えて製品を開発し始めなければならないと言い始めました。 そして、その結果がどうなったか見てください——まだ穴がありますよ！ でも、それはソフトウェアを開発する際の本質的な性質です。 そういったことは必ず起きるものですし、悪意ある者たちは、製品が世に出た後に私たちよりも先にそれを見つけてしまいがちです。
連邦資金についておっしゃっていましたね、それについて話しました。 でも、連邦政府が資金を提供する際には、必ずハードルや条件が付いてくることは常に分かっています。
Rand: ええ、もちろんです。 私が書いたばかりの記事では、インフラ法案の一部としてこのサイバーセキュリティ資金がどのように機能するかについて説明しています。10億ドルが50州の間で分配されることになっています。 さて、すべての州がそれに賛同するわけではありませんが、50州がサイバーセキュリティのためにわずか10億ドルを分け合うことを想像してみてください。 それほど大きな金額ではありません。 でも、何かしらの意味はありますよね？
そして、今後約4年間にわたって、段階的に配分される予定です。 つまり、今年[2022]は$200百万ドルが利用可能となり、2023年には$400百万ドル、2024年には$300百万ドル、そして2025年にはさらに$100百万ドルが配分されます。 さて、規則では、その期間中に助成金の少なくとも80%が地方自治体に流れることが求められています。 つまり、州が資金を獲得しようとしていても、それを市や郡、部族地域に届けなければなりません。
言い換えれば、州は助成金に自らの資金を上乗せしなければならないため、積極的に関与する必要があるということです。 知事も関与しなければならず、予算の一部として組み込まれなければなりません。
そのため、州は初年度に10%を拠出しなければならず、それは2025年まで毎年10パーセントポイントずつ増加していきます。 そのため、彼らはこの一環として、サイバーセキュリティ計画を提出する必要があります。 この資金を得るためにこの計画を提出しなければならず、資金がどのように配分され、どのように適用されるかを正確に示す必要があります。 それを実行するための体制を整えておく必要があります。
Thompson: わかりました、Daveさん、私が小学5年生だと思って説明してください：私は州のCIOまたはCISOです。 この資金を得るために今何をすべきでしょうか？ ステップバイステップで教えてください。
Rand: 州が実施できる、またはすべきことが実際に5つあります―これは私の情報源が教えてくれていることです。
まず、そのサイバーセキュリティ計画を見直してください。 計画をお持ちかもしれませんが、このインフラ法案の資金で何を行うかについて、再度具体的に示す必要があります。 州が地方や部族地域のセキュリティをどのように向上させるかについて、州または州の方法を詳細に記載する必要があります。
第二に、地元の人々と話し合うこと。 CISOは、ツールやエンドポイントデバイスの観点から何をすべきかを判断するだけでなく、トレーニングサポートの強化や、サイバーセキュリティの改善を実施するためのマネージドセキュリティサービスプロバイダー（MSSP）の雇用なども検討するために、今すぐ地元機関と連携する必要があります。 ちなみに、アリゾナ州のライアン・マレー氏が私に話してくれたことの一つは、MSSPを導入して支援を求めることを検討しているということです。
なぜなら、あなたが指摘するように、すべての地域が社内スタッフを抱えているわけではないからです。 もしかしたら、用務員だけではゼロトラストセキュリティインフラを実装するには不十分かもしれません。 ですから、MSSPを検討することは非常に良い選択です。
第三に、他の政府関係者を教育すること。 繰り返しになりますが、ダグ、あなたが指摘するように、知事、州議会議員、そして行政担当者は、ランサムウェアのようなサイバー攻撃を未然に防ぐためのサイバーセキュリティの重要性を理解する必要があります。 そして、できるだけ早くITインフラおよびセキュリティインフラをアップグレードする必要があります。 彼らをこれらの取り組みのパートナーにすることで、時間をかけて利用可能な資金を増やすことが可能になります。
例えばアリゾナ州では、Ducey知事の予算案により、地方自治体およびK-12学区がセキュリティ体制を強化するために$10百万ドルが確保されています。
4つ目に考えるべきことは、自分自身を制限しないこと、つまり広い視野で考えることです。 このインフラ法案の資金だけを見て、その金額が少なすぎて追求する価値がないと考えないでください。
4年間にわたる多くの作業に対してわずかな金額だと考えてしまうのは人間の本能です。 しかし、州が活用できる連邦資金プログラムは複数あり、常に新しいものが登場しています。 例えば、国土安全保障省は最近、テロ対策のための準備助成金として$1.6十億ドルを発表しており、その中にサイバーセキュリティの資金調達コンポーネントも含まれています。 アリゾナ州もそれを追求しています。
最後に申し上げたいこと、そして私が驚いたことは、他の州と連携できる可能性があるということです。 CISAが禁止しない限り—そうする理由はないと思いますが—州は実際に互いに連携して、サイバー犯罪と戦うための時間、資金、リソースを各州内ではなく地域単位で共有することができます。 私の理解が正しければ、アリゾナ州はテキサス州とニューメキシコ州の政府指導者たちと、まさにそれを実行することについて話し合っていると思います。
Thompson: これについての最終的なお考えは何ですか？ 何か思い浮かぶことはありますか？
Rand: 州が連邦資金を追求する機会はたくさんあり、そうすべきです。 積極的に関与し、もらい物に文句をつけず、より広い視野で考える必要があります。 改めて、州議会の同僚と連携し、知事とも連携してください。 他の州との連携も考えてみてください。 地域的な視点で見てください。
TaniumのカスタマーエンゲージメントマネージャーであるJennifer Pittman-Leeperは、この資金は魔法の杖ではないが、始まりであり、政府機関はどこかから始めなければならないと述べています。 このようなプログラムをまだ検討していない場合は、このインフラ法案の資金から始めるのが良いでしょう。
Thompson: Dave、重要かつ時宜を得た情報をすべて共有していただきありがとうございます。
受賞歴のあるジャーナリスト、デイビッド・ランドと話をしました。彼はTaniumの新しいオンラインサイバーセキュリティニュースマガジンに記事を書いています。 これらの記事はTanium.comでご覧いただけます。
州のCIOまたはCISOで、この連邦資金の獲得方法やサイバーハイジーンの改善方法について詳しく知りたい場合は、ポッドキャストのショーノートにあるリンクをご確認ください。 このようなストーリーをもっと聞くには、Apple PodcastやSpotifyなどお気に入りのポッドキャストアプリでLet's Convergeを必ずご登録ください。
ご視聴ありがとうございます。Let's Convergeの次のエピソードでさらなるサイバーインサイトをお届けできることを楽しみにしています。
