米サイバーセキュリティ・インフラセキュリティ庁(CISA)は、重要インフラ組織向けに提供してきた無料評価サービスを縮小しており、これは同庁の核心的使命である「国家インフラの防護支援」からの大きな後退を意味する動きです。
CISAが確認したところによると、同庁の地域担当スタッフは今後、サイバーレジリエンスレビュー(Cyber Resilience Reviews)、サイバーレジリエンス基礎調査(Cyber Resilience Essentials surveys)、ランサムウェアリスク評価(Ransomware Risk Assessments)、インシデント管理レビュー(Incident Management Reviews)、外部依存関係管理評価(External Dependencies Management Assessments)、サイバーインフラ調査(Cyber Infrastructure Surveys)を実施しないとのことです。
CISAのサイバーセキュリティ部門で執行副局長代理を務めるクリス・ブテラ氏は、声明で次のように述べています。「CISAは自らのサービスやツールを常時評価し、改善のために必要な変更を行っています。CISAおよび評価を依頼する組織双方の重複を減らすため、CISAは一部の旧来型アンケート評価を廃止いたします」
CISAの現場スタッフを統括する統合運用部門(Integrated Operations Division)で局長代理を務めるジェームズ・ハレル氏は、8月25日の部門内会議で、職員に対しこれらの評価の実施を今後停止するよう伝えたと、事情に詳しい関係者がCybersecurity Diveに明らかにしました。この関係者は、機密性の高い内容であることから匿名を条件に取材に応じています。
今回の変更はCybersecurity Diveが最初に報じたもので、トランプ政権第2期の発足以降、CISAが職員の約3分の1を失い、重要インフラ関連のパートナーへの支援に苦慮している最中に明らかになりました。
縮小されるサイバーセキュリティサービス
今回廃止される6種の評価は、CISAが全米のインフラ事業者に提供してきた重要なサービスの一部でした。いずれもCISAの地域アドバイザーが事業者と直接面談し、質問を行った上で、同庁のサイバーセキュリティ評価ツール(Cyber Security Evaluation Tool、CSET)を活用し、推奨されるセキュリティ改善策をまとめた報告書を作成するというものでした。CISAは州・地方自治体の担当者やインフラ事業者との会合の場で、これらのサービスを定期的に周知していました。
サイバーレジリエンスレビューは、危機発生時にサービス提供を継続する組織の能力を評価するものです。外部依存関係管理評価は、サプライチェーンリスクを軽減するための組織の取り組みを対象としています。サイバーインフラ調査は、複数の分野において組織が適切なセキュリティ管理策を導入しているかを確認するものです。ランサムウェアリスク評価は、感染を封じ込めてインシデント対応中も業務を継続する組織の能力を評価します。インシデント管理レビューは、侵入を検知・分析・封じ込める組織の能力を評価するものです。
CISAは、重要インフラ事業者に対し、今後は分野横断的サイバーセキュリティパフォーマンス目標(Cross-Sector Cybersecurity Performance Goals、CPG)を案内していくとしています。CPGには、組織がレジリエンス向上策を特定する助けとなるアンケートが含まれています。ブテラ氏は声明の中で、CPGは「旧来型評価」と同じ「目的と成果」を共有しており、全米規模でのデータ収集と比較がより充実することになると述べています。
しかし、CPGはこれまでの評価が提供してきたような対話型の指導とは同等ではありません。事情に詳しい関係者は、CPGの枠組みは「率直に言って価値を付加するものではない」とし、「より高度な評価で調べるべき領域を特定するだけのものだ」と指摘しています。
CISAのサイバーセキュリティ部門で元局長を務めたジェフ・グリーン氏は、CSETベースの評価をCPGに置き換えようとする理由が理解できないと述べています。
同氏は「CSETの基準に基づく評価は、現在地点を測るものです」と説明した上で、「CPGは、どこに力を注ぐべきかを見極めるためにより多く活用されます。両者は補完し合う関係にあります」と述べています。
CSETはオープンソースツールであり、最新版では今回廃止された評価を実施する機能は無効化されているものの、旧バージョンであれば依然としてこれらの評価を組織自身で進め、報告書を作成することが可能です。一部の組織は、CISAの結果解釈支援なしに、旧バージョンのCSETを自力で利用する道を選ぶ可能性もあります。
逼迫するCISA、規模縮小へ
トランプ政権が同庁の人員を大幅に削減し、公益事業者や州・地方自治体の担当者にとって重要な資源であった地域アドバイザーを異動・退職させ始めて以降、CISAと多くの重要インフラパートナーとの関係は著しく悪化しています。今回のCISAによる評価廃止は、こうした亀裂をさらに深め、より多くの組織が同庁の存在価値そのものに疑問を抱くきっかけとなりかねません。
事情に詳しい関係者は「意思決定を行う立場の人間が、ツールなしでステークホルダーを支援することがどれほど困難かを全く理解していないのは、実に嘆かわしいことだ」と述べています。
バラク・オバマ大統領のホワイトハウスでサイバーセキュリティ調整官を務めたマイケル・ダニエル氏は、今回の評価廃止について、トランプ政権が続けてきた「連邦政府によるサイバーセキュリティへの関与を縮小する」という傾向を反映したものだと指摘しています。
業界間の連携団体であるサイバー脅威アライアンス(Cyber Threat Alliance)の会長を現在務めるダニエル氏は、「CISAはこれらの評価を無償で提供してきたため、この重要インフラの所有者・運営者層に対し、同等のサービスを彼らが負担できる価格で提供できる主体が他にいるのかは不明だ」と述べ、「最終的には国全体のサイバーリスクが高まる結果になるだろう」と警鐘を鳴らしています。
OTサイバー連合(OT Cyber Coalition)の事務局長を務めるタチアナ・ボルトン氏は、「深刻な予算削減により、CISAはかつてのような水準で重要インフラに対する実地の運用支援を提供できない状況に追い込まれている」ことを認めています。
その一方でボルトン氏は、インフラシステムを狙う国家主導のサイバー脅威が拡大の一途をたどる中、「直接支援を縮小するには、あまりにも危険な時期だ」と付け加えています。
内部対立がCISAの足かせに
CISAが評価を廃止する背景には、コストに見合うだけの価値を提供できていないと同庁幹部が判断したことがあります。統合運用部門(IOD)は、現場での活動においてCSETを実際に使用する部門である一方、サイバーセキュリティ部門(CSD)はこのツールを開発し、新たなセキュリティのベストプラクティスを反映させるための更新を担っています。CSDはまた、CSETが生成する膨大なデータを処理し、比較分析をIODに提供することで、地域スタッフがインフラのレジリエンスに関する大きな傾向を把握できるよう支援してもいます。
事情に詳しい関係者によれば、CSDはこうした業務のいずれについても、もはや担いたくないとの意向を示しているといいます。
この関係者は「誰もが苛立っている。なぜなら、これこそが我々がステークホルダーに真に価値をもたらす手段だからだ」と述べ、「ある一部門が、我々に何ができて何ができないかを指図してくることに問題がある」と語っています。
さらにこの関係者は、「CISA局長代理のニック・アンダーセン氏が、もし本当にこれらの評価の実施を我々に禁じると決めた場合、その影響がどれほどのものになるか、彼が本当に理解しているのか分からない」と述べ、「彼はCSD側の視点からしか理解していないのかもしれない。彼自身がそこの出身だからだ」と付け加えています。
翻訳元: https://www.cybersecuritydive.com/news/cisa-cybersecurity-assessments-ending/829371/
