米サイバーセキュリティ・インフラセキュリティ庁(CISA)が開催した、係属中のサイバーインシデント通知規制に関するタウンホールで発言した業界団体は、いくつかの一貫したメッセージを発していました。
この規制の対象になる企業をもっと減らしてほしい。報告しなければならないインシデントの数を減らしてほしい。報告する際に提供する情報も少なくしてほしい――というものです。
CISAは先週、2022年重要インフラ向けサイバーインシデント報告法(CIRCIA)をめぐる、遅延している規則についてタウンホールで集めた意見の議事録を公開しました。この法律は、議会がこれまでに可決した中でおそらく最も重要なサイバー関連法とされています。同法は、重要インフラの事業者に対し、重大なサイバー攻撃を72時間以内に、ランサムウェアの身代金支払いを24時間以内に連邦政府へ報告するよう義務付けています。
この法律は、連邦政府が重大インシデントに関する情報をより広く共有し、他の潜在的な被害者に備えを促すことを目的として設計されました。CISAは2024年、「対象となるサイバーインシデント」などの用語を定義するため、この法律に関する規則案を公表しましたが、業界団体はそれ以降一貫して異議を唱え続けています。
CISAは2025年10月の規則確定期限を逃し、続いて仕切り直しとして設定した5月の目標期限も逃しました。政権は現在、規則を9月に完成させるとしています。
業界関係者の一部はCyberScoopの取材に対し、それは実現しそうにないとの見方を示しました。また、CISAがタウンホールで寄せられた意見のうちどの程度を取り入れるつもりなのか、CISAから何の手がかりも得られていないという声も大半でした。
対象企業、インシデント、情報
6月の4日間にわたって行われたこれらのタウンホールでのコメントは、しばしば非常に率直なものでした。
「この規則は対象となる企業が多すぎます」と、自動車部品業界団体Auto Care Associationの規制対応担当ディレクター兼シニア弁護士、グラント・マッキンタイア氏は述べました。CISAの試算では、30万社を超える事業体が同規則の対象になるとされています。
保険業界の一部を代表する2つの異なる団体のように、対象からの全面的な除外を求めた業界もありました。また、原子力エネルギー協会(Nuclear Energy Institute)のように、対象リストをすでに原子力規制委員会(NRC)のサイバーセキュリティ報告要件の対象となっている企業だけに絞り込むよう求め、業界内での対象企業数の削減を目指す動きもありました。
CISAは中小企業への過度な負担を避けることを意図してこの規則を起草しましたが、実際にはそう機能しないのではないかと懸念する声もありました。
「規模または業種のいずれかで該当すれば対象となる現行のアプローチは、中小企業を対象外とする本来の趣旨を事実上骨抜きにしています」と、化学品流通業界団体Alliance for Chemical Distributionの渉外担当バイスプレジデント、ダグラス・リー氏は述べました。「化学品流通業では、小規模事業者であっても複数のサイバー分類の下で対象に含まれてしまう可能性があります」
規則が重大インシデント発生時に組織が報告すべきデータの種類を規定している部分について、CISAは「情報の正確性と報告のスピードを高めるため、最も報告しやすい形で、必要最小限の情報のみを収集するよう努めるべきです」と、健康保険業界団体AHIPで技術・政府渉外担当バイスプレジデントを務めるサマンサ・バーチ氏は述べました。
例えば、報告書には対象事業体のセキュリティ対策に関する情報を含めるべきではないと主張する声も多く聞かれました。
また、どのような種類のインシデントが報告義務のトリガーとなるのかを懸念する声もありました。
「私が大きく懸念しているのは、外国の主体がただpingを送ったり検索をかけたりしただけで、実際に何かをしたわけでもないのに、ファイアウォールをちょっと『つついた』だけの事案まで毎回報告させられるようになるのではないかということです」と、ネブラスカ公共電力地区(Nebraska Public Power District)の最高セキュリティ責任者、ティム・ポスピシル氏は述べました。「それでは非常に大きな負担になりかねません」
業界の期待
ある業界関係者はCyberScoopの取材に対し、CISAがタウンホールを開催した意欲は、「常識的な規制」を重視するトランプ政権の方針と相まって、規則がどの方向に向かうのかを占う良い兆候だと述べました。
「彼らはバイデン政権のアプローチを踏襲して微調整しているわけではありません。『サイバーインシデントの際、重要インフラ企業の対応を助けるために本当に必要な情報とは具体的に何か』という発想で考えているのです」と、Business Software Allianceのポリシー担当シニアディレクター、ヘンリー・ヤング氏は述べました。「全体として業界は楽観的に見ています。最終的には最も重要な情報だけに絞られ、緊急時には企業が大量の書類作成に追われるのではなく、迅速に行動し実際にインシデントに対応できるようになるだろうと期待しています」
ただ、複数の業界関係者は、CISAの意図について多くの手がかりを得られていないと述べています。また、規制・規制緩和措置に関する統一アジェンダに記された9月という目標期限をCISAが守れるとも楽観視していません。
「ずれ込む可能性はあります」とある関係者は述べました。「ですが、CISAは間に合わせようとするはずです」
その業界関係者は、CISAが何かを最終的に確定させる前に、まず提案を示してほしいと述べました。
別の業界関係者は、これまでのCISAの遅延の経緯を踏まえると、9月という期限を信頼するのは難しいと述べました。その遅延の一部は、複数回の政府機関閉鎖への対応など、CISA自身の責任とは言えないものもあります。一方で、遅延の一部はトランプ政権によるCISAの大規模な人員削減に起因しています。
議会もしびれを切らし始めています。
下院歳出委員会は、2027会計年度の国土安全保障省歳出法案に関する委員会報告書の中で、「CIRCIAの最終規則の公表が遅れていることを懸念しており、利害関係者による審査と意見聴取が終わり次第、速やかに規則を確定させるようCISAに強く求める」と記しています。
CISAがこの規則の起草に着手した当時とは、世界の状況が大きく異なっており、この点も今、CISAが考慮しなければならない要素の一つです。
「AIはゲームのルールを根本から変えてしまいました」とその関係者は述べました。「この規則の枠組みが作られた当時は、まだ第一世代のChatGPTすら存在していませんでした。今や私たちは、まったく次元の異なる環境に置かれています」。それによって「脅威を特定し、それを軽減するまでのスピード、人間の介入の度合い、そして機械がどこまで関与し得るかが変わってきています」ということです。
CISAの意図が善意であったとしても、これまでのやり取りを踏まえると、業界と協調的に取り組む能力がどれほどあるのか、疑念を抱かざるを得ないと、その関係者は述べました。
また別の業界関係者は、CISAとのやり取りから判断する限り、CISAは規則をより小さく、より狭い範囲に絞り込んで簡素化し、その後、段階的に肉付けしていく方針を検討しているようだと述べました。
CISA自身の言葉から
CISA長官代行のニック・アンダーセン氏は、タウンホールでCIRCIAに関する自身の基本的な考えについて語りました。
「CISAはCIRCIAを、単なるチェックボックス的なコンプライアンス対応とは捉えていません」とアンダーセン氏はあるタウンホールで述べました。「CIRCIAは、サイバー脅威の状況に対する可視性を高め、重要インフラのための強固な国家的早期警戒能力の実現を後押しするものです。対象となるサイバーインシデントや身代金の支払いを迅速にCISAへ報告していただくことで、私たちは皆さんのネットワーク防御担当者に対し、タイムリーかつ実行可能な防御・排除策を提供できるようになります」
CyberScoopがCISAに対し、CIRCIAの今後のステップや業界からの意見をどのように取り入れる可能性があるかを尋ねたところ、広報担当者から次のような声明が寄せられました。
「CISAはCIRCIAの重要性を認識していますが、複数回にわたる予算切れが、CIRCIAに関する規則制定作業を進めるCISAの能力に影響を及ぼしました。CISAは最終規則の策定作業を引き続き進めています」と広報担当者は述べ、タウンホールには1,200の重要インフラ関係者が参加したと付け加えました。「CISAは今後も、CIRCIAの規則制定プロセスとスケジュールに関する最新情報を、CISA.gov/CIRCIA、および情報・規制問題室(Office of Information and Regulatory Affairs)の規制・規制緩和措置に関する統一アジェンダを通じて発信していきます」
翻訳元: https://cyberscoop.com/cisa-circia-cyber-incident-reporting-rule-feedback/
