連邦政府機関に対するサイバー攻撃は、絶えず進化する継続的な脅威であり、ますます高度な対応が求められています。クラウド環境やモバイル環境の利用拡大に加え、リモートワーカーがかつてないほど増加したことで、連邦政府の広範なオンラインプレゼンスを標的とするハッカー、詐欺師、悪意ある国家主体の脅威に対し、政府機関はこれまで以上に脆弱になっています。改訂版の「Trusted Internet Connections」ポリシー（TIC 3.0）が公開されたことで、政府機関はこうした新たなリスク課題に、より適切に対処できるようになります。
TIC 3.0の主な目標の1つは、クラウド導入の拡大や、複数のデバイスを使用するリモートワーカーへの対応など、政府機関のモダナイゼーションを促進することです。こうした取り組みを積極的に進めている政府機関にとって、今こそTIC 3.0のガイダンスに基づいてセキュリティアプローチの強化を検討する絶好の機会です。
TIC 3.0へのアップグレード
2007年に導入されたTICイニシアチブは、セキュリティ制御、分析、ガバナンス、アプリケーションSDLCプラクティスの枠組みを確立し、連邦政府のサイバーセキュリティにおける重要な一歩となりました。TIC 3.0は、インフラストラクチャ技術以外の側面も考慮し、安全で柔軟かつ拡張性の高いアーキテクチャを導入するための最新ガイドラインです。
この取り組みを監督する3つの機関、すなわち行政管理予算局（OMB）、国土安全保障省（DHS）サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、および一般調達局（GSA）は、クラウド通信を含む各政府機関のトラフィックを可視化しながら、連邦政府のデータ、ネットワーク、境界を保護することをTIC 3.0の目標として掲げました。主な強化点には、従来のネットワークセキュリティに代わるアプローチの必要性に対応するための、より柔軟なガイダンスと実際のユースケースが含まれます。
現在、従来型TIC、クラウド、支局、リモートユーザーという4つのユースケースがあり、各政府機関は、変化する今日の業務環境に適した新たな情報技術ソリューションの導入を促進できます。リモートワークは職場でますます一般的になっているにもかかわらず、以前のバージョンのTICでは効果的に対応できていませんでした。COVID-19パンデミックによってリモートワークへの移行が大幅に加速したため、従来とは異なる業務環境に安全で信頼性の高いアクセスを提供する戦略が、これまで以上に緊急に求められています。TIC 3.0ガイドラインを適切に実装することで、各政府機関は連邦政府機関のトラストゾーン内で安全なネットワークトラフィックと境界トラフィックを促進し、その対象を政府機関のすべてのトラフィックに拡大できます。
アーキテクチャの評価
The TIC 3.0 Use Case Handbookでは、各機関に対し、自組織のアーキテクチャを評価して適用可能なユースケースを特定するよう推奨するとともに、アーキテクチャのセキュリティを確保し、TIC要件に準拠する方法を説明しています。これは各機関、特に特定のユースケースに必要なアーキテクチャコンポーネントが不足している機関にとって、非常に有用なツールだと考えます。
各政府機関には、OMB Memorandum M-19-26に従ってネットワーク境界を保護することが求められています。ただし、各機関の状況はそれぞれ異なります。そのため、セキュリティアプローチを決定する際には、自機関のミッションを念頭に置き、TIC 3.0が提示する戦略とミッション目標とのバランスを取ることが重要です。
政府機関には適切なサイバーセキュリティフレームワークが重要
TIC 3.0フレームワークは、主に米国国立標準技術研究所（NIST）の「サイバーセキュリティフレームワーク」に基づいています。このフレームワークは、極めて重要な5つの中核機能で構成されています。
特定：リスクを評価・管理できるよう、システム、人員、資産、データ、能力を十分に把握します。
防御：潜在的なサイバーセキュリティイベントの影響を抑制または封じ込めるため、適切な保護対策を策定し、実施します。
検知：継続的な監視ソリューションを使用して、サイバーセキュリティイベントの発生を迅速に検知できるようにします。
対応：検知したサイバーセキュリティイベントに対処し、その影響を抑えられるよう、対応計画を策定します。
復旧： サイバーセキュリティインシデントの影響を受けたシステムや資産を復旧するための効果的な計画を策定し、実施します。得られた教訓を反映して戦略を見直します。
このフレームワークで最も重要なのは、これらの各機能がTIC 3.0フレームワーク内のUniversal SecurityまたはPolicy Enforcement Point Controlにマッピングされている点でしょう。アクセス制御の単一ポイントとしてアイデンティティを使用することは極めて重要ですが、F5 Labsレポートによると、侵害の33%が最初にアイデンティティを標的としていたという事実は、目を見張るものでした。したがって、アイデンティティ境界を保護することが極めて重要です。
アクセスプロキシは、単一の制御ポイントを適用するための効果的なツールです。アプリケーションの前段で必要となるアクセス制御と認証要件を、一貫した方法で実装できます。これにより、すべてのアプリケーション開発者が認証の専門家であるという、現実には考えにくい前提に頼る必要がなくなります。
更新したセキュリティ標準を導入する際は、TICガイダンスの該当要件を満たすために、適切なアダプティブアプリケーションソリューションを導入することを推奨します。また、特に政府機関に関連するユースケースを踏まえ、TIC 3.0フレームワークの多くの基本原則を統合して満たす、以下の6つの中核要素を網羅した「コードから顧客まで」の一連のプロセスに従う必要があります。
- アプリケーション中心の視点（インフラストラクチャ中心の視点との対比）
- マルチクラウドの価値提案としてのプラットフォーム非依存性
- 中核にオープンソースを採用
- 統合セキュリティ
- 組み込みの分析機能／AI対応
- モダンアプリケーション開発に対応するAPIファースト設計
今こそ、政府機関のセキュリティアプローチを綿密に見直すとき
TIC 3.0は、組織のセキュリティアプローチを見直す絶好の機会です。脅威が進化する中、組織のセキュリティ専門家は、常に警戒を怠らないことの重要性を認識しています。テクノロジーが変化しても、組織を保護するという最終目標は変わりません。
F5がお手伝いします：F5の製品と機能のほぼすべてがTICガイダンスのいずれかの要素に対応しているため、TIC 3.0に示された多くの推奨事項や管理策への対応を強力に支援できます。米国の全閣僚級省庁および国防総省の各部門は、市民、職員、軍人がいつでも、どのデバイスからでも、どこからでも安全にアクセスできるアプリの提供にF5を活用しています。F5は、あらゆるアプリをどこにでも安全かつ確実に提供できる自由をお客さまに提供します。詳しくは、F5 for US Federal Solutionsページをご覧ください。
Bill Church
最高技術責任者（CTO）– F5 US Federal Solutions
著者について
関連するブログ記事
F5 Application Study Tool：OpenTelemetryによるF5 BIG-IP環境の監視
F5の新しいオープンソースツールは、BIG-IP環境を詳細に可視化し、データを追跡するとともに、強力でカスタマイズ可能なインサイトを得るための基盤を提供します。
F5 BIG-IPでAI防御を実現
F5 BIG-IP Advanced WAF、BIG-IP APM、BIG-IP SSL Orchestratorが、生成AIアプリ向けに包括的なセキュリティソリューションを提供する仕組みをご覧ください。
F5 Advanced WAFによるGraphQL APIの保護
ここ数年、多くの組織がデジタルトランスフォーメーションを進めており、COVID-19のパンデミックによってその動きは加速しています。
アプリケーションサービスの現状 通信業界版：リーダーとしての台頭
通信ネットワークが進化し、さまざまな業界の幅広いユースケースに対応するなか、通信業界の回答者がテクノロジーリーダーとしての存在感を高めていることがわかります。
デジタルトランスフォーメーションは、単なるペーパーレス化ではない
デジタルトランスフォーメーションは、単なるペーパーレス化ではありません。真のモダナイゼーションにアプリケーションアーキテクチャとセキュリティの再構築が必要な理由を、F5ブログでご覧ください。
やめましょう。もう本当にやめましょう。HTTPSはHTTPより高速ではありません。
もうやめましょう。HTTPSはHTTPより高速ではありません。プロトコルのパフォーマンスに関する微妙な違いと、暗号化トラフィックを適切に最適化する方法については、F5ブログをご覧ください。