サイバーセキュリティに関する大統領令、相次ぐ攻撃への対応と2021年以降の保護強化を推進

Ryan Johnson

多くの点で、この1年は、COVIDパンデミック、景気減速、人員削減、そして何よりも多くの尊い命が失われるなど、次々と苦難に見舞われました。幸いにも、米国の社会システムを構成する多くの要素は、こうした逆境に対して比較的高いレジリエンスを示しました。同じ時期に、サイバーセキュリティ分野でも、小規模なものから大きく報道されたものまで、重大な影響を及ぼすさまざまな事案が発生しました。SolarWindsへの侵害は、サイバーセキュリティコミュニティに警鐘を鳴らしました。ソフトウェアサプライチェーンの侵害が最初の被害者だけでなく、そのソフトウェアを利用するすべての企業や連邦政府機関にも影響を及ぼしたためです。IT組織は今なお、この攻撃による被害を受け、その規模を算定しており、この状況は今後もしばらく続くでしょう。この攻撃はITコミュニティの外でも報道されましたが、消費者レベルで実感される影響はごくわずかでした。しかし、この攻撃は、テクノロジー全般だけでなく、米国民にも直接影響を及ぼす攻撃の前兆となりました。Colonial Pipelineへの侵害は、私たちのシステムがいかに脆弱であるか、そして攻撃が米国社会に広範な混乱を引き起こし得ることを浮き彫りにしました。私自身、先週の土曜日にはガソリンを探し回っていたので、よく分かります……

5月12日付の「国家のサイバーセキュリティの改善に関する大統領令」では、この種の攻撃を緩和するための多面的なアプローチが示されています。以下で説明するように、検知、報告、適時の保護策の導入、そして最終的な脅威への防御という能力のいずれか1つでも欠けると、脅威を阻止できるかどうかに連鎖的な影響が及ぶ可能性があります。言い換えれば、攻撃者は一度成功すればよいのに対し、サイバーセキュリティの専門家は常に正しく対処しなければなりません。

ゼロトラストの重要性

ゼロトラストという概念は、以前から存在しています。米国連邦政府がゼロトラストを本格的に導入する契機となったのは、主にTIC 3.0のモダナイゼーションの取り組みでした。その中核はゼロトラストを基盤としています。TIC 3.0イニシアチブが策定された背景には、米国連邦政府機関がクラウドサービスを利用し、政府機関のセキュリティ境界外に連邦政府のデータやサービスを配置できるようにする必要性がありました。しかし、クラウドプロバイダーと政府機関の間で共有される機密データのセキュリティを適切に確保する取り組みは、許容可能なリスク基準を満たしておらず、最近の大統領令でもこの点が指摘されています。

連邦政府は、最新のセキュリティ脅威を常に把握するため、パートナーから脅威データを取得できなければなりません。NISTは、連邦政府にとってゼロトラストが何を意味すべきかを明確にするうえで、SP 800-207によって大きな一歩を踏み出しました。

可視性の重要性がかつてないほど高まっています

多くの政府機関や企業では、依然としてサイバーセキュリティ体制に可視性の死角があります。攻撃を可視化できなければ、検知、報告、緩和もできません。すべてのデータ通信を暗号化する必要性から、従来は安全な内部領域と見なされてきたネットワーク部分にもSSL/TLSが普及し、可視性の確保はさらに大きな課題となっています。また、ゼロトラストの枠組みを適切に機能させるうえでも、可視性は不可欠です。ゼロトラストのポリシー適用ポイント（PEP）がアクセスを許可すべきかどうかを適切に判断するには、必要なデータをすべて取得できなければなりません。

脅威インテリジェンスの報告、監視、共有の重要性

脅威を検知するには、脅威を可視化することが不可欠です。次いで、脅威インテリジェンスの報告、監視、共有が優先されます。脅威インテリジェンスを適切に共有することで、脅威の存在や、その脅威がもたらすリスクの重大度を確認できる可能性があります。さらに重要なのは、新たな脅威を定量化するために必要なすべてのデータをサイバーセキュリティアナリストに提供できることです。

脅威データの集約と報告の実現を支援するため、CDMのような取り組みが以前から進められています。一部のプロセスや脅威インテリジェンスの収集は、求められる基準を大きく下回っており、特に一部のネットワークには依然として重大な可視性の欠如が存在します。これは、サイバーセキュリティ保護の領域全体に連鎖的な影響を及ぼします。最終的に、サイバーセキュリティチームが潜在的な脅威について最も有意義な評価を行うには、クライアントからアプリケーションに至るまでのすべてのトランザクションとデータを可視化する必要があります。連邦政府のパートナーエコシステムでは、脅威インテリジェンスを制約なく共有できなければなりません。脅威インテリジェンスの共有は、ソフトウェアサプライチェーンの脅威を検知するうえでも不可欠です。

セキュリティの俊敏性がますます重要に

新たな脅威は間違いなく出現し、サイバーセキュリティチームは追加または新規の保護対策を導入することになります。問われるのは、セキュリティを確保し、業務を中断させることなく、どれだけ迅速に保護対策を適用できるかです。適切な保護を実現するうえで、検知能力と俊敏性は今やミッションクリティカルな要件となっています。ITは現在、俊敏性の向上に向けた大きな転換期にあります。中断を最小限に抑えながら、最新のアプリケーションを迅速かつ安全に提供する手法は、DevSecOpsと呼ばれています。この最新の開発手法により、組織は安全かつ業務を中断させることなく、サイバーセキュリティの保護対策をより柔軟に導入できるようになります。

Cloud Smartを支える戦略と戦術が勢いを増す

クラウドプロバイダーが標準で導入しているセキュリティ対策により、オンプレミスのセキュリティをクラウド環境に適用できるようになり、クラウド導入を後押しする原動力となっています。一方、クラウド利用者は、データとセキュリティに対する一定の管理権限をプロバイダーに委ねながら、サイバーセキュリティに関してクラウドプロバイダーが「適切に対応している」と信頼せざるを得ない場合が少なくありません。より包括的なセキュリティを実現するには、クラウドプロバイダーと政府機関の間での情報共有を、連邦政府のパートナーエコシステムに組み込む必要があります。

より高いサイバーセキュリティ基準を達成するには、これらの原則をすべて満たす必要があります。最近のサイバーセキュリティに関する大統領令に関連するセキュリティレベルを満たし、さらに上回るうえで、F5 Government Solutionsがどのように役立つかについては、こちらをご覧ください。

Ryan Johnson（F5 U.S. Federal Solutions、ソリューションエンジニアリングマネージャー）

著者について

Ryan Johnson

Ryan Johnsonのその他のブログ記事