American Rescue Planの資金を活用して行政機関のアプリケーションモダナイゼーションを加速

F5エコシステム | 2021年3月22日

1.9兆ドル規模の米国救済計画は、政府機関によるアプリケーションモダナイゼーションの取り組みに、大きな好影響をもたらす可能性があります。この計画には、Technology Modernization Actの資金枠への10億ドルの拠出が含まれています。

Modernizing Government Technology Act（MGT Act）は、サイバーセキュリティを含む政府機関のITモダナイゼーションの取り組みに活用できる資金を提供するため、2017年に成立しました。政府機関は、レガシーシステムからの移行と、アジャイルで変革をもたらすテクノロジーへの投資を支援する目的で設立されたTechnology Modernization Fundに資金を申請できました。

各政府機関には、アプリケーションのモダナイゼーション施策を加速させる大きな機会があります。たとえば労働省は、議会がこの歴史的な計画を成立させてから1日もたたないうちに、エンタープライズデータプラットフォームの刷新に向けてTechnology Modernization Fundからすでに960万ドルの資金提供を受けています。

現在、多くの政府機関では、レガシーアプリケーションやモノリシックアプリケーションがミッションの達成を妨げています。旧式で複雑な連邦政府のネットワークアーキテクチャやアプリ開発プロセス、市民や政府職員にとって使いにくいデジタル体験、変化し続けるセキュリティ脆弱性など、解決すべき課題は山積しています。以下では、ミッションの達成に最大限の効果をもたらすために、アプリのモダナイゼーションで注力すべき領域を提案します。

どこから始めるか

通常、資金の確保が難題となりますが、次に乗り越えるべき課題は、取り組みの重点をどこに置くかを決めることです。NIST Cybersecurity Frameworkは、リスク管理にライフサイクル全体を見据えた包括的なアプローチを採用することで、政府機関がより優れたリスク管理手法を確立できるよう導きます。政府機関はNISTが定めたガイドラインに基づき、特定、防御、検知、対応、復旧という5つの中核機能を通じて、継続的にリスクを評価し、軽減します。このフレームワークは、適応性の高いセキュリティプログラムを構築するための標準化された枠組みを組織に提供する有用なツールです。また、リスク管理と脆弱性への対処に共通の青写真を提供しながら、各組織固有のニーズに合わせてカスタマイズできる柔軟性も備えています。

この1年でサイバーセキュリティについて明らかになったことがあるとすれば、取り組みの優先順位を検討する際に、サイバーセキュリティを最優先事項として考えるべきだということです。直近の一連のサイバーセキュリティインシデントでは、新旧いずれのシステムも対策が不十分であることが明らかになりました。CISAだけでも、「.gov」ネットワークを保護するためのサイバーセキュリティリスク軽減策として6億5,000万ドルを受け取る予定であることが、その深刻さを物語っています。しかし、これは政府傘下のすべてのネットワークとアプリケーションのセキュリティを確保できるという意味ではありません。

デジタルトランスフォーメーションにより、APIベースのトランザクションなど、「新しく」、目に見えにくいテクノロジーが登場しました。こうしたAPIは、ユーザーやアプリケーションからはほとんど見えませんが、攻撃や不正利用の対象となる可能性があります。多くの政府機関では、環境全体のAPIを安全かつスケーラブルに管理する手段が不足しています。APIを安全に導入・管理するためのソリューションへの投資を最優先すべきです。

アプリケーションの脆弱性は、依然として攻撃者がよく利用する攻撃経路です。周知のとおり、ソフトウェアを作るのは人間であり、完璧ではありません。ベンダーは欠陥のないコードの作成に努めていますが、ミスは起こります。今まで以上に、迅速に対応し、防御し、セキュリティを確保できることが重要です。変革が進む中、レガシーアプリと次世代アプリの両方を確実に保護するため、それぞれに対応し続けることは容易ではありません。その結果、ツールが乱立し、複数箇所で整合性を取る必要が生じる可能性があります。アプリケーションデリバリを自動化するだけでなく、アプリケーションがどこにあっても保護できるツールを導入することが極めて重要です。確認すべき場所が増えるほど、見落としが生じる可能性も高まります。あらゆる環境、クラウド、エコシステムで、安全に自動化および運用できるツールに注力しましょう。

最後に、サプライチェーンが極めて重要であるという事実を、改めて認識することになりました。SUNBURSTは、検知、セキュリティ確保、防御の能力で知られる組織でさえ侵害を完全には免れないこと、そしてインフラのセキュリティをさらに強化する余地が業界全体にあることを示しました。