Modernizing Government Technology Actを活用してサイバーセキュリティを今すぐ強化

Michael Colemanシニアソリューションアーキテクト | F5

2017年に「Modernizing Government Technology Act」（MGT Act）が成立した際、その目的は、サイバーセキュリティを含むITモダナイゼーションの取り組みに活用できる資金を政府機関に提供することでした。政府機関は、レガシーシステムからの移行と、アジャイルで変革をもたらすテクノロジーへの投資を支援するために設けられたTechnology Modernization Fundに資金を申請できました。

実際、MGT Actの制定は、誰もが想像していた以上に先見性のある取り組みだったことが明らかになりました。

COVID-19の影響により、従来のサイバーセキュリティシステムを最新化し、クラウドへ移行する必要性が急速に高まっています。また、パンデミックによって、悪意あるハッカーがランサムウェアやDDoS/DoS攻撃をはじめとする多様な手口で脆弱性を悪用する機会も生まれました。実際、今年初めには、米国国土安全保障省と英国のNational Cyber Security Centreが、マルウェアとランサムウェアの増加について厳しい警告を発しました。

もちろん、セキュリティ上の脅威はCOVID-19の発生よりはるか以前から増加していました。パンデミック初期にVerizonが発表したレポートによると、公共部門におけるマルウェア関連インシデントの61%をランサムウェアが占め、侵害の33%は内部関係者によるものでした。また、Cybersecurity & Infrastructure Security Agency（CISA）が2020年初頭に発表したレポートでは、「国外のサイバー攻撃者は、公共部門や民間部門の組織を含む幅広い標的に対し、一般に知られているソフトウェアの脆弱性（多くは古い脆弱性）を引き続き悪用している」と指摘しています。

境界は存在しない

しかし、COVID-19によって攻撃対象領域が拡大しました。リモートワークが一般化し、ユーザーはクラウドベースのアプリケーションへの依存を強めています。在宅勤務を行う政府職員が増えるにつれ、キャパシティとセキュリティに対する需要が高まり、システムやプロセスでは対応しきれなくなっています。

こうした要因により、分散化が進むネットワークや、脆弱性が潜んでいる可能性のある多様なアプリケーションのセキュリティ確保を担うITセキュリティチームは、課題に直面しています。従来は、ネットワーク境界を防御するために従来型のセキュリティソリューションを利用できましたが、現在では実質的に境界そのものが存在しません。

そのため、組織はさまざまな側面でセキュリティを確保するために、MGT Actの資金を複数の動的な保護対策に投じることを検討すべきです。たとえば、特権ユーザーのアクセスを監視し、アイデンティティ管理プロトコルを実装することで、適切な権限を持つ人だけがネットワークや機密性の高い情報にアクセスできるようになります。一方、アプリケーションセキュリティツールは、APIの脆弱性、インジェクション、クロスサイトスクリプティング攻撃などに対する保護を提供します。

組織は、マルチクラウドまたはハイブリッドクラウドのプラットフォーム全体で、セキュリティポリシーの一貫性も確保する必要があります。これらのプラットフォームは、優れた柔軟性とコスト面のメリットをもたらす一方で、極めて複雑になる可能性があります。クラウドプロバイダーごとに準拠するポリシーは異なり、データセキュリティは顧客の責任であると定める責任共有モデルなどもあります。そのため、複数のクラウドにわたるアプリケーションセキュリティの全体像を明確に把握することは容易ではありません。オンプレミス環境と各種クラウド環境にわたってセキュリティを自動化することで、アプリケーションが配置場所を問わず同じポリシーの適用対象となり、セキュリティを維持できるようになります。

成功に向けたフレームワーク

各機関は、利用可能な資金を新たなサイバーセキュリティ技術に投資することを検討する際、それらの技術を活用するためのサイバーセキュリティフレームワークの構築にも着手する必要があります。米国国立標準技術研究所（NIST）のサイバーセキュリティフレームワークは、その出発点として最適です。

The NIST Cybersecurity Frameworkは、リスク管理にライフサイクル全体を見据えた包括的なアプローチを採用することで、政府機関がより優れたリスク管理手法を確立できるよう支援します。政府機関は、NISTが定めたガイドラインに基づき、「特定」「防御」「検知」「対応」「復旧」という5つの中核機能を通じて、継続的にリスクを評価し、軽減します。前述のテクノロジーは、潜在的な脆弱性を可視化し、侵害発生時の修復方法を提供するため、これらすべてのカテゴリーに適合します。

NIST Cybersecurity Frameworkは、組織が適応性の高いセキュリティプログラムを構築するための標準化された枠組みを提供する有用なツールです。リスク管理と脆弱性への対処に共通の指針を提供しながら、各組織固有のニーズに合わせてカスタマイズできる柔軟性も備えています。組織は、NISTが推奨する標準とベストプラクティスを活用しつつ、独自のセキュリティポリシーをこのフレームワークに組み込むことができます。

代償を払わないために

Ponemonの最新レポートによると、データ侵害の平均コストは実に386万ドルに上ります。パンデミックの影響で予算の縮小が続き、政府機関を含む多くの組織が、より少ないリソースでより多くの成果を求められている現状を踏まえると、驚くべき金額です。

政府機関が、文字どおりにも比喩的にも警戒を緩める余裕がないことは明らかです。今こそ、MGT Actを通じて利用可能な資金の一部を、進化する脅威から保護する最新の自動化されたサイバーセキュリティソリューションに投資し、データを守るとともに、数百万ドル規模の損失を回避できる可能性を高めるべきです。F5ソリューションが連邦政府機関をどのように支援しているかをご覧ください。ネットワークのセキュリティ確保、コスト削減、ミッションの達成に役立ちます。

F5連邦政府向けソリューションエンジニアリング責任者、Michael Coleman執筆

著者について

Michael Colemanシニアソリューションアーキテクト | F5

Michael Colemanのその他のブログ記事