CISA、今後4年間を見据えた戦略を公表

米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は月曜日、サイバー防御で主導的な役割を担い、重要インフラの保護を優先し、攻撃に耐える能力を築くことを柱とする戦略を公表しました。

10ページからなる戦略「CISA 2030: Defend, Harden, Prevail」は、同庁の既存の役割をおおむね再確認する内容です。ただしCISAは、中核となるサービスと能力の見直しを60日以内に開始し、主要目標を満たしているかを確認します。その後の180日間で実施に移し、1年後に進捗の最新状況を示す計画です。

CISAのニック・アンダーセン長官代行は序文で、脅威に直面する同庁は「新たな決意」を持って行動する必要があると述べました。

「私たちが今日直面する脅威の状況は、決して固定的ではありません」とアンダーセン氏は述べています。「国家を後ろ盾とする攻撃者をはじめとする悪意ある敵対者は、ネットワークへの侵害を図る手口を一段と高度化させています。強固な防御を築いても、侵入を確実に排除できる保証はありません。トランプ大統領が指摘してきたとおり、レジリエンスは私たちの取り組みの土台とならなければなりません。敵対者に足場を築かれた場合でも、迅速に検知し、断固として排除し、重要な業務を中断させずに継続できるよう備える必要があります」

この戦略は、3月に公表された政権のより広範なサイバー戦略や、昨年の州・地方政府の備えに関する大統領令とも足並みをそろえる狙いがあります。

「重要インフラのコミュニティに属するすべての企業・組織、つまり所有者や運用者から、ベンダー、テクノロジーメーカーまで、今すぐ行動するよう呼びかけます」と、アンダーセン氏は戦略とあわせて発表したコメントで述べました。「CISA 2030は、防御を強化し、敵対者の足場を排除し、国家の安全保障、経済、公衆衛生を脅かしかねない優位性を一切与えないための、焦点を絞ったロードマップです」

戦略の各セクションには、それぞれ個別の目標も掲げられています。

「防御（Defend）：国家のサイバー防御を主導する」では、主な目標として、州・地方・産業界のサイバー防御の統合、制御技術（OT）の保護、ソフトウェアセキュリティに関するガイダンスとベストプラクティスの策定、新興技術の評価と開発を挙げています。

「強化（Harden）：国家インフラのセキュリティを優先する」では、重要インフラに関するインテリジェンスの調整、インフラデータの分析、国際パートナーとの連携、国家にとって最も重要なインフラの強化の重視を主な目標としています。

「克服（Prevail）：国家のレジリエンスを結集する」では、重要インフラのレジリエンスへの投資、国家の通信相互運用性の強化、計画と演習の近代化、次世代の相互運用可能なインフラの構築を主な目標に掲げています。

批判的な見方もあります。トランプ政権による同庁の予算削減によって、CISAの多くの部門が大きく弱体化したと指摘されています。削減の影響を受けた分野には、今回の新戦略が特に重視するものも少なくなく、同庁は人手不足に陥っているといいます。

2023年に公表された同庁の前回の戦略計画も、3つの柱で構成されていました。差し迫った脅威への対処、環境の強化、大規模なセキュリティの推進です。