#BHUSA：CISA幹部、サイバーセキュリティ情報共有法の延長に「期待」

米国サイバーセキュリティ・インフラストラクチャ庁（CISA）の幹部は、企業が脅威インテリジェンスデータを政府や他社と自主的に共有する際の保護措置を提供する米国の法律が、まもなく期限切れとなるため、米議会がこれを更新することを期待していると述べました。

問題となっている法律は、サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act）であり、当時のバラク・オバマ大統領によって2015年12月に採択・署名されました。この法律は2025年9月30日に失効する予定です。

CISAの現職執行副局長クリストファー・ブテラ氏と、同庁CIOのロバート・コステロ氏は、2025年8月7日に開催されたBlack Hat USAで、米国のサイバーセキュリティ機関の現状について語りました。

同庁の代理局長であるマドゥ・ゴットゥムカラ氏もイベントに出席予定でしたが、「個人的な事情」によりキャンセルとなりました。

ブテラ氏とコステロ氏は、サイバーセキュリティ情報共有法について「議会が期限前に再認可してくれることを本当に期待している」と述べ、数年間の延長が見込まれることを示唆しました。

コステロ氏はさらに「敵対者が非常に速く動くため、情報はすぐに古くなってしまう。だからこそ迅速な情報共有がより重要になる」と付け加えました。

Infosecurityの取材に対し、HalcyonのSVPで新設されたランサムウェア研究センターの責任者、元FBIサイバー部門副部長のシンシア・カイザー氏は、この法律の更新が「絶対に必要だと強く信じている」と述べました。

CISA、CVEプログラムへの資金提供を継続

Black Hatの場で、ブテラ氏とコステロ氏は、CISAが支援しMITREが運営する共通脆弱性識別子（CVE）プログラムへの資金提供を同庁が継続することも保証しました。

「CISAとしてこのプログラムには大きく投資しています。今後もCVEプログラムへの資金提供と改善を続けていきます」とブテラ氏は述べました。

コステロ氏は「CVEは非常に強力なツールであり、とてもよく機能している」とコメントしました。

またブテラ氏は、プログラムが自動化に注力する必要があるとし、「迅速な対応のためにはエコシステムに自動化を組み込む必要がある。そして私たちはそれを構築し続けている。今、成長の時代から品質の時代へと移行している」と述べました。

最近のCISAでのレイオフや、トランプ政権下で3分の1の人員が失われたと報じられていることについて問われると、コステロ氏は「CISAの終焉は大げさに報じられている」と考えていると述べました。

彼はアーネスト・ヘミングウェイの言葉を引用し、「私たちは撤退しているのではなく、新たな方向へ進んでいるのです」と語りました。

ブテラ氏は「政府から自主的に退職した人もいましたが、CISAには依然として非常に優秀な人材が多く残っています」と付け加えました。

CISA幹部らは、『ToolShell』SharePointの脆弱性を悪用した攻撃キャンペーンの緩和支援など、同庁が政府機関や企業を支援してきた取り組みについても言及し、これが同庁の継続的な能力や「セキュリティ研究者や業界との連携の好例」であると述べました。

また、現CISAスタッフによる新たなマルウェア・フォレンジック分析プラットフォーム「Thorium」の立ち上げについても触れ、これはBlack Hat開催数日前にリリースされたと説明しました。

ブテラ氏は、州および地方自治体向けの1億ドル規模のサイバー助成金の最近のリリースについても強調し、これを「非常に重要なツール」であり、CISAとして「これらの団体にぜひ活用してほしい」と「非常に期待している」と述べました。

最後にコステロ氏は、CISAが「今後数か月以内に、サイバーハイジーン（Cyber Hygiene）サービスへの登録をより簡単にするITサービスをリリースする間近にある」と述べました。

サイバーハイジーン（CyHy）は、CISAが提供する、公開されているエンドポイントの脆弱性をスキャンするサービスです。ブテラ氏とコステロ氏は、このサービスの利用者が現在1万1,000人を超えていると述べました。