CIRCIA最終規則は保留のまま、CISAがインシデント報告フォームを拡充

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、サイバーインシデント報告フォームを刷新しました。新フォームでは、インシデントの種類についてより細かく質問し、観測された活動をMITRE ATT&CKの用語で整理して報告するよう求めています。

CISAは11月9日に公開した発表で変更点を説明しています。更新されたウェブ版の質問票は、同庁のインシデント報告ポータルから利用できます。

CISAによると、データの質が向上すれば、個別のインシデントに見えるものを関連づけ、より大きな脅威の傾向として把握しやすくなります。今回の更新には、CISAがこれまでに寄せられたコミュニティからのフィードバックが反映されています。

質問を細分化し、ATT&CKの用語を導入

改訂版のフォームでは、インシデントにマルウェア、ソーシャルエンジニアリング、ハッキング手法、内部脅威のいずれが関与していたかを尋ねます。観測された活動に関する質問には、MITRE ATT&CKを採用しました。ATT&CKは攻撃者の行動を記述するフレームワークで、CISAはサイバーコミュニティにとってなじみ深いものだと説明しています。

CISAによると、今回の変更は、迅速かつ徹底的な脅威分析を支援することが狙いです。

「サイバーセキュリティはチームスポーツです。ある組織の検知は、別の組織の防御につながります」と、CISAのサイバーセキュリティ担当エグゼクティブ・アシスタント・ディレクター代行であるクリス・ブテラ（Chris Butera）氏は述べています。「重要インフラのサイバーセキュリティとレジリエンスに関する国の調整役として、CISAはこうしたインシデント報告を活用し、新たなサイバーキャンペーンを特定し、標的になり得る組織に警告を発し、国家の集団防衛を強化できます」

現時点でインシデントをCISAに報告する義務があるのは、連邦政府の文民機関のみです。CISAは、インシデントに遭遇したその他の組織にも任意での報告を呼びかけています。提出された情報は、保護対象重要インフラ情報（PCII）プログラムにより、開示から保護される場合があります。

CIRCIA規則はホワイトハウスで審査中

今回の更新は、重要インフラ向けサイバーインシデント報告法（CIRCIA）を施行するための最終規則が承認待ちとなっている中で行われました。この規則は10月1日にホワイトハウスへ送られ、審査に入りましたが、現在も保留中と表示されています。

CIRCIAの関連記事：米国の重要インフラ、大規模な新サイバー報告規則に備える

CISAによると、規則が発効すれば、対象となる重要インフラ事業者は、報告対象のサイバーインシデントが発生したと合理的に判断してから72時間以内に報告しなければなりません。ランサムウェアの身代金を支払った場合は、支払いから24時間以内の報告が必要になります。

CISAは2024年4月にCIRCIA規則案を公表しましたが、2025年10月という法定の最終化期限には間に合いませんでした。CISAの規制アジェンダによると、規則案に寄せられた多くの意見は、適用範囲の絞り込み、負担の軽減、他の連邦報告規則との一層の整合を求めていました。

今回のCISAの発表は、CIRCIAに触れておらず、強化された報告フォームが審査中の規則の下でも使われるのかどうかも明らかにしていません。