CISAが「インサイダー脅威対策ガイド」を更新、新たな緩和策を追加

米サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、インサイダー脅威緩和ガイドを更新しました。新たな事例研究や統計データに加え、ハイブリッドワーク・リモートワーク、人工知能、従業員の不本意な離職といったテーマに関する指針が盛り込まれています。

同庁は9月9日に改訂版を公開しました。2020年に初めて発行されたこのガイドは、インサイダー脅威対策プログラムを運用するセキュリティおよび人事の担当者、さらにあらゆる階層のリーダーを支援するものです。CISAは、セキュリティ体制の成熟度にかかわらず、どのような組織でも活用できるとしています。

同庁はさらに、今回の更新がインサイダー脅威が重要インフラに及ぼす影響の拡大を踏まえたものであり、同庁が「ダイナミックかつ進化し続ける業務環境」と呼ぶ状況に対応するユースケースを追加したと説明しています。

変化する職場リスクに対応する新たな指針

CISAはまた、今回のガイドはセクションを統合し、より簡潔な構成になったとしています。内容としては、職場における新たなトレンド、特にハイブリッドワークやリモートワークの増加と、それぞれが物理的・デジタルアクセスに対する組織の管理能力にどのような変化をもたらすかについて拡充されています。

人工知能に関しては、同庁は新たに追加された内容が、操作や欺瞞に悪用されるAIを対象にしていると述べています。CISAはさらに、アクセス制御、来訪者の審査、従業員の不本意な離職に伴うリスクの緩和についてもコンテンツを追加しました。

このガイドは、リスクの兆候となりうる行動上の指標について、従業員の理解を深めることを目的としています。また、CISAが新たに公開したリソースも紹介しており、これは事前対策や早期のリスク検知を支援するもので、同庁はまだ対策プログラムを持たない組織にとって、この分野に取り組むための実践的な入り口になると位置づけています。

インサイダー脅威リスクに関する関連記事: AIが引き起こすインサイダーリスクが「重大な経営課題」に、レポートが警鐘

CISAのインフラストラクチャセキュリティ担当次官補代理を務めるスコット・ブレオー氏は、「インサイダー脅威は技術の高度化に伴い進化し続けています」と述べました。同氏は各組織に対し、「主要な資産を守り、暴力を防ぎ、損失を減らし、機密データを保護し、そして人命を救う」対策プログラムの構築を求めています。

データだけでなく暴力の防止にも踏み込むガイド

CISAが示す枠組みは、データ損失にとどまらない広範なものです。ブレオー氏が挙げた項目は、資産の保護から暴力の防止、人命の保護にまで及んでおり、このガイドは同庁の物理セキュリティ分野に位置づけられ、アクセス制御や来訪者審査に関する新たな内容と並んで扱われています。

ブレオー氏は、今回の更新には業界および政府のパートナーからのフィードバックが反映されていると述べ、各組織に対してガイドを確認し、自組織の対策プログラムを照らし合わせて評価するよう促しました。CISAは今後の改訂について具体的な時期は示していません。

今回の改訂は、従業員とAIツールをめぐる懸念が高まる中で発表されました。ただし、AIに関する新たな内容が扱っているのは、操作や欺瞞への悪用に限られており、インサイダー事案におけるAI技術の役割全般について、より広範な評価を行ったものではありません。