米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁(CISA)は、大規模な情報技術(IT)および運用技術(OT)の障害発生時に、サービスプロバイダーが迅速かつ正確で透明性のある情報提供を行うよう求める新たなガイダンスを公表しました。
サイバーセキュリティ脅威インテリジェンス
「Communicating Under Pressure: Best Practices for Service Providers(プレッシャー下でのコミュニケーション:サービスプロバイダーのためのベストプラクティス)」と題されたこの文書は、米連邦捜査局(FBI)および海外のパートナー機関と共同で作成されました。
同文書では、サイバー攻撃、機器故障、人的ミス、自然災害、または重要サービスを中断させる防御的な隔離措置などによって障害が発生した際に、組織がどのように情報を伝達すべきかを説明しています。
サービスプロバイダーに透明性ある情報更新を要請
CISAは、通信、クラウドプラットフォーム、マネージドサービスプロバイダー、産業システム、輸送ネットワーク、エネルギー事業、水道事業などに影響する障害は、当初影響を受けた組織の範囲を超えて急速に波及する可能性があると警告しています。
一つのサービスの中断は、相互接続されたサプライヤー、顧客、政府機関、重要インフラ事業者全体にわたるより広範な障害につながりかねません。こうした状況では、不完全な情報発信や更新が長期間途絶えることが、憶測や誤情報、業務上の混乱、そして一般市民の不安を助長する要因となります。
本ガイダンスは、障害が発生してから誰が情報発信を担当するか、どのチャネルを使うか、技術的な詳細をどう検証するかを決めるべきではないと強調しています。
その代わりに、サービスプロバイダーは事前に危機管理コミュニケーション手順を確立し、インシデント対応計画、机上演習、復旧対応、経営層の意思決定プロセスに広報担当者を組み込んでおくべきだとしています。
CISAは、効果的な障害時のコミュニケーションには、透明性と法的義務、法執行機関との連携、運用上のセキュリティ、封じ込め対応との間でバランスを取る必要があると述べています。
サービスプロバイダーは、特に攻撃者がまだ環境内に残っている場合や、情報開示によって防御策が明らかになる恐れがある場合、インシデント対応中にすべての技術的詳細を開示できるとは限りません。
それでも組織は、判明している事実、現在調査中の事項、影響を受けているサービス、そして利用者が取るべき対応について、関係者に明確な情報を提供すべきだとしています。
初期の通知では、根拠のない原因の特定や、推測に基づく根本原因の評価は避けるべきとされています。その代わりにサービスプロバイダーは、障害の発生を認め、可能であれば影響を受けたサービスの区分や地域を特定し、直ちに講じている緩和策を説明し、次回更新の見込み時期を示す必要があります。
例えば、サービスプロバイダーは、サービス障害が顧客の認証機能やリモート監視機能に影響していることを説明し、調査・復旧チームが対応に当たっていることを確認し、利用可能な回避策を顧客に案内した上で、指定した時間枠内に次の更新を行うことを約束できます。
本勧告では、大規模なサイバーインシデントの際には従来の通信システムが利用できなくなる可能性がある点にも言及しています。組織は、電子メール、コラボレーションプラットフォーム、顧客ポータル、音声サービス、インターネット接続が機能低下または利用不能になる可能性を想定しておくべきです。
したがって、重要インフラの所有者・運用者は、緊急連絡網、衛星通信、セキュアなアウトオブバンド・メッセージングプラットフォーム、あらかじめ用意した公開ステータスページ、無線システム、そして本番環境外で管理する連絡先リストなど、代替の通信手段を維持しておく必要があります。
これらの通信チャネルは定期的にテストを行い、事業継続計画やインシデント対応訓練に組み込んでおくべきです。またサービスプロバイダーは、広報チームが侵害されたシステムに依存することなく、承認済みのメッセージテンプレート、法務担当者への連絡先、経営層へのエスカレーション手順、技術的なステータス情報にアクセスできるようにしておく必要があります。
データガバナンスコンサルティング
本ガイダンスは、重要インフラ組織が大規模なサイバーインシデント発生時に重要な運用技術を隔離・復旧できるよう支援するCISAの「CI Fortify」イニシアチブと連動するものです。
攻撃者がITとOT環境の間を横断的に移動するのを防ぐためには、隔離措置が必要になる場合があります。しかし、こうした隔離は可視性、リモートアクセス、自動化、そして顧客向けサービスにも影響を及ぼす可能性があります。
CISAは、透明性を保ち継続的に情報を発信することが、エンドユーザーの業務上の混乱を最小限に抑え、不確実性を軽減し、信頼を維持することにつながると強調しています。重要インフラを支えるサービスプロバイダーにとって、障害時の情報発信は単なる広報活動ではなく、レジリエンスの中核的な機能として位置づけるべきものです。
SOCを常に最新の状態に保ち、出現から24時間以内にアクティブなマルウェアやフィッシングに対応できるようにしましょう。ANYRUNを試して早期検知でインシデントを未然に防ぎましょう。
翻訳元: https://gbhackers.com/cisa-urges-service-providers-to-provide-transparent-updates/
