サイバー専門家に市庁舎防衛への協力を呼びかける

オピニオン

私が関わっているある政府機関は、100万ドル近い金額を失いましたが、警報は一度も鳴りませんでした。身代金要求のメモも、サーバーのロックもありませんでした。攻撃者は複数の職員のメールアカウントに侵入し、この機関がどのように資金を動かしているかを数か月にわたって観察したうえで、手頃な価格の住宅供給プロジェクト向けの送金を静かに別の口座へ振り替えたのです。資金がすでに失われるまで、誰もそれに気づきませんでした。

これは連邦政府機関やフォーチュン500企業の話ではありません。家賃の支払いに困る家庭を支援する、地域の住宅局で起きたことです。そして私がいつも立ち返るのはこの点です。侵害はこの物語の終わりではなく、この機関が本格的なセキュリティプログラムを立ち上げるきっかけとなったのです。今では、私が関わる中でも防御体制が比較的整った組織の一つになっています。この転換こそが重要なポイントです。ギャップは確かに存在しますが、誰かがそれを埋めると決めれば、多くの人が思うよりも早く縮まるのです。

私はこれまで46州で82件の案件に携わってきましたが、同じような転換を何度も目にしてきたため、それを単なる幸運と呼ぶことはできません。地方自治体は連邦政府と同じ種類のデータ（社会保障番号、医療記録、刑事司法関連ファイル、給与情報など）を保有していますが、それを守る人員は往々にしてごくわずかです。州・地方自治体の80%以上が専任のセキュリティ担当者5人未満で運用しているのが実情です。こうした機関は不注意なのではなく、単に人数で劣勢に立たされているのです。もっとも、リソース不足の問題は工夫次第で対処できます。以下は、私が実際に効果を確認してきた方法です。

基本的な問いから始める

出発点はツールではなく、露出している範囲そのものです。私が手がける案件は必ず、地味な質問から始まります。何を稼働させているか、どんなデータを抱えているか、実際にどこがリスクにさらされているか——製品の話が出るのはその後です。14の部署を1人の管理者だけで担当している郡は、学校区とは同じ計画では対応できません。この違いを見極める1時間こそが、1年後にその取り組みが実際に機能しているかどうかを左右するのです。

そして、その機関の実際の予算規模に合わせて支援することも重要です。多くのエンタープライズ向けセキュリティ製品は、7桁の予算を持つ組織向けに価格設定・パッケージ化されています。IT予算全体で20万ドルしかない郡が、そのような形で購入することはできません。しかし、範囲を絞ったリスク評価や、多要素認証(MFA)の導入、インシデント対応のリテーナー契約であれば、自分たちの条件で購入できます。作業を、その機関が1サイクルずつ予算化できる単位に分割することが、支援を得られるかどうかを分ける大きな要因になることが少なくありません。それは時間のかかるやり方ですが、その「遅さ」こそが、調達手続きや職員の入れ替わり、次の選挙を乗り越えて生き残る秘訣なのです。

コンプライアンスが重要な理由

コンプライアンスに関する話は最初に持ち出すべきです。住宅局はHUDの規則の下で運営され、郡はCJISで規制される記録を保有し、学校区は生徒データを抱えています。契約締結後に持ち出すのではなく、最初の打ち合わせでCJISやSOC 2について説明することが、小規模な機関の経営陣が「賭け」ではなく確信を持って合意できることにつながります。

また、契約が完了しても姿を消してはいけません。何年も経っても存続している機関は、ほぼ例外なく、誰かが継続的に関わり続け、新任職員を再教育し、脅威の変化に合わせて調整を続けてきたところです。IT部門全体が酷使された担当者1人だけという状況では、請求書に記載されたどんなツールよりも、この関係性の方が重要になります。

最後の一つは、無料でできることです。数十の機関にまたがって活動している私たちは、同じ攻撃者集団が、ある郡から次の郡へと同じ手口を繰り返しているのを目にしています。匿名化した調査結果をまとめ、地域のガバメントIT協会に持ち込むことで、ある案件で学んだ教訓が、次の機関を守る力になります。もっと多くの人がこれを実践すべきです。

これらはいずれも、議会の動きや新たな補助金を待たなければできないことではありません。小さな予算しかない相手を「正当な顧客」として扱い、その予算に合わせて取り組みを組み立てる——それを決断するだけのことなのです。