米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、サイバーインシデントを報告するための拡張版フォームを公開しました。2026年11月9日に公開された更新版フォームには新たな質問票が加わり、データの質を高めるため、サイバーインシデントに関するより詳細な情報の提出が求められます。追加情報により、CISAは迅速かつ徹底的な脅威分析を行いやすくなります。関連するサイバー脅威の活動を的確に結び付けて大きな傾向を把握し、対応の優先順位を付ける能力も高まります。
新フォームには、サイバーコミュニティにとってなじみ深い、攻撃者の行動に関するMITRE ATT&CKフレームワークの用語が取り入れられています。報告者は、インシデントの性質についてより詳しい情報を提供しなければなりません。具体的には、攻撃にマルウェアが関与していたか、ソーシャルエンジニアリングが使われたか、インサイダー脅威によるインシデントだったか、そして使用されたハッキング手法（判明している場合）などです。
現在、CISAがサイバーインシデントの報告を義務付けているのは、連邦政府の文民機関と、運輸保安局（TSA）または米国沿岸警備隊の規制対象となる一部の事業者のみです。ただし、重要インフラ事業者にも報告義務を広げる「重要インフラに対するサイバーインシデント報告法（CIRCIA）」の最終規則が、公表間近となっています。CIRCIAは2024年4月に初めて提案され、最終規則は2025年10月に公表される予定でしたが、遅れが生じています。最終規則はすでにCISAが作成を終えており、現在はホワイトハウスによる審査を受けています。
最終規則が公表されると、報告義務は16の重要インフラ部門の一部の組織に拡大されます。対象組織は、重大なサイバーインシデントを72時間以内に、身代金の支払いを24時間以内にCISAへ報告しなければなりません。最終規則がいつ公表されるのかというスケジュールは示されていません。 義務的な報告とは別に、CISAはすべての組織に対し、自組織が経験したサイバーインシデントの情報をこのフォームから自主的に提出するよう呼びかけています。こうした情報は、攻撃の傾向を把握し、新たな脅威に迅速に対処するうえで役立つためです。
「サイバーセキュリティはチームスポーツです。ある組織による検知は、別の組織にとっての防御になります」。サイバーセキュリティ担当のクリス・ブテラ代理執行次官補はこう述べています。「重要インフラのサイバーセキュリティとレジリエンスの国家調整機関として、CISAはこうしたインシデント報告を活用できます。新たなサイバーキャンペーンを特定し、標的となり得る組織に警告し、国全体の集団防御を強化していきます」
翻訳元: https://www.hipaajournal.com/cisa-updates-cyber-incident-reporting-form/
