サイバー通信規制法案、サルト・タイフーン事案受け通信業界の自主的サイバーセキュリティ規則を提案

超党派の上院議員チームが、通信業界向けの自主的なサイバーセキュリティのベストプラクティス策定と、企業が任意で取得できる認証制度の構築を盛り込んだ新法案を提出しました。

マーク・ワーナー上院議員（民主党・バージニア州選出)とテッド・クルーズ上院議員（共和党・テキサス州選出)は木曜日、通信サイバーセキュリティ・レジリエンス法案を提出しました。両氏は、中国のハッカーが米国の主要通信大手をほぼすべて数年にわたって侵害した「サルト・タイフーン」攻撃を踏まえ、この新たな取り組みが必要だと主張しています。

「サルト・タイフーンによる侵入は、わが国の歴史上最悪の通信ハッキングであり、重要インフラがいかに脆弱であるかを露呈しました。しかし、事態はこのままである必要はありません」とワーナー氏は声明で述べました。

「通信企業がサイバーセキュリティのベストプラクティスを採用すれば、われわれのネットワークはより強靭になります」

同法案は、米国家電気通信情報局（NTIA)内に「通信サイバーセキュリティ・ワーキンググループ」を設置し、通信事業者、サプライヤー、サイバーセキュリティ専門家、連邦当局者を結集させる仕組みを設けています。

同グループは最終的に、通信企業が自社システムの保護強化のために採用できる自主的なサイバーセキュリティのベストプラクティス集を策定する予定です。

今回の法案提出は、共和党当局者がサルト・タイフーン事案を受けて元々可決されていた通信規制の撤廃に成功してから、ほぼ1年後のことです。サルト・タイフーンでは、中国政府の支援を受けたハッカーがVerizon、AT&T、Lumenを含む米国の通信大手少なくとも9社に対し、広範かつ長年にわたるアクセスを獲得していました。

侵入者たちは「通話詳細記録（Call Detail Records)」へのアクセスを獲得しました。これは、誰が、いつ、どのくらいの時間、どこで通話したかといった詳細なデータを提供するものです。一部のケースでは、ハッカーが音声やテキストを傍受することもできていました。

ハッカーらは、ドナルド・トランプ大統領、JD・バンス副大統領、当時のカマラ・ハリス副大統領のスタッフ、さらにはチャック・シューマー上院議員（民主党・ニューヨーク州選出)ら政府高官を含む、150人の著名な標的に関する情報収集に重点を置いていたとされています。

超党派の怒りを受けて開始された一連の調査では、バイデン政権当局者からの報告として、安全な設定、最新のパッチ適用、早期検知を可能にする異常行動監視体制の構築、多要素認証によるアカウント管理といった最低限の対策を通信事業者が講じていれば、サルト・タイフーンによるキャンペーンは「中国にとってはるかにリスクが高く、困難で、コストのかかるもの」になっていたはずだと指摘されました。

現在は撤廃された規制は、通信事業者にネットワークのセキュリティ強化を義務付け、サイバーセキュリティ・リスク管理計画の策定を証明する年次認証の提出を求めるものでした。ワーナー氏をはじめとする民主党当局者は、この規制撤廃の決定を強く批判し、罰則のない自主的な規範では中国政府によるハッキングキャンペーンを止められないと警告していました。

木曜日にワーナー、クルーズ両氏が提出した法案は、同ワーキンググループに対し、「既存の連邦の枠組みや脅威情報を土台としつつ、通信セクターに特化した」新たな自主的ルールの策定を課しています。

ワーキンググループが策定するベストプラクティスは2年ごとに見直され、大規模なサイバーインシデントが発生した際にも更新されます。同ワーキンググループはまた、その活動について年次報告書を議会に提出することになります。

さらに同法案は、独立した第三者機関が企業によるベストプラクティスの導入・維持状況を評価・認証できる、任意の認証プロセスも創設します。

「海外の敵対勢力は米国の通信ネットワークへの攻撃を強めています。これを守るには、進化する脅威に対応し続けるアプローチが必要です」とクルーズ氏は述べました。

「この理にかなった法案は、硬直的な連邦の義務付けを導入して早々に時代遅れになるのではなく、政府と業界が協力し、通信業界に特化した自主的なサイバーセキュリティのベストプラクティスを策定するためのものです」

同法案は、人工知能分野を対象とするものなど、他の超党派のサイバーセキュリティ関連規制と相次いで提出されました。