CISA、官民連携・リスク評価・システミックな対策の運用上の優先事項を策定

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、重要インフラ間に潜む危険な相互依存関係の把握、重大なサイバー脅威の無力化、システミックな脆弱性の低減に重点的に取り組み、国家のレジリエンス（回復力）を高める方針です。最近の内部メモで明らかになりました。

CISAのニック・アンダーセン長官代行は、11月2日付で幹部職員に宛てたメモの中で、2027会計年度の目標とその達成に必要な情報要件を示しました。このメモはCybersecurity Diveが入手しました。メモには、CISAが掲げる3つの最優先事項が列挙されています。国家のサイバー防御を主導すること、重要インフラの安全確保を優先すること、全米のレジリエンス強化を統括することです。あわせて、関連する活動、情報収集のニーズ、任務遂行を支える要件も盛り込まれています。

アンダーセン氏はメモに「目指すのは、あらゆる階層の職員が、組織としてどこに注力しているのか、何を把握する必要があるのか、その情報がなぜ重要なのか、そしていつ上層部に報告すべきかを理解している組織をつくることだ」と記しました。このメモについては、Nextgovが最初に報じました。 

この運用指針が示されたのは、CISAが相次ぐ人員削減や任務の縮小で疲弊し、上院で承認された長官が不在のまま3年目に入ろうとしている時期です。ドナルド・トランプ大統領は月曜日、データ分析企業Palantirの幹部をCISA長官に指名しましたが、上院での承認には壁が立ちはだかる可能性があります。その間、2月から長官代行を務めるアンダーセン氏は、苦境にある職員に対し、より安定した方向性を示すための措置を講じてきました。

メモが示す新たな枠組みの優先事項の多くは、民間企業との連携、とりわけ重要インフラの運営事業者や基幹技術の開発企業との連携を重視しています。こうした連携の一部は、CISAがサービスを縮小し、全米に展開していた拠点も減らしたことで、ここ数年ぎくしゃくしています。この枠組みで最も一貫している主張の一つが、今後の支援では、システミックな重要性が最も高い組織を優先して振り分けるべきだという考え方です。

メモには6つの「運用上の重点分野」が挙げられています。その一つが「国家的に重要なインフラ」のリスク低減で、「機能が停止すれば国家に最も深刻な影響が及ぶインフラ、システム、資産、機能」に資源を振り向ける形の連携を通じて進めるとしています。もう一つの重点分野は、政府や民間のパートナーと集団的な取り組みを動かすことで、「共有された理解を、連携したリスク低減の行動へと転換する」ことを目指します。

CISAが把握すべきとする情報

6つの「重要情報要件」は、CISAが任務を果たすために必要だと考えるデータの概要を示したものです。その一つは、公共の安全、経済安全保障、その他の重要な社会機能に「重大な影響」を及ぼしかねない「新たな、あるいは進行中の脅威、インシデント、障害」を問うています。別の要件は、企業や政府機関が大規模な停止や障害に対処できなくなる恐れのある「備えの重大な不足」について尋ねています。

これらの問いに答えるため、CISAは7つの「優先インテリジェンス要件」を活用します。内容は、国が攻撃に対処する能力に影響しうる「国家のリスク環境の変化」、悪意あるサイバー攻撃者の標的選定の動き（特に制御技術・運用技術〈OT〉に関するもの）、重要インフラに不可欠なサプライチェーンの実態、そして新興技術や地政学的動向がリスクの水準と攻撃者の意図に与える影響などです。

ここからメモの内容はさらに細かくなります。13項目の「任務の維持・レジリエンス要件」は、CISAが目標を達成する態勢に影響しうる課題を列挙しています。いくつかは人員体制や職員の能力に関するものです。ほかには、攻撃者の活動を検知する能力を含む技術的な能力を扱うものがあります。さらに、セクター・リスク管理機関（SRMA）や重要インフラ事業者との意思疎通・情報共有に関する項目もあります。

メモはさらに、優先インテリジェンス要件ごとにCISA職員が検討すべき具体的な問いを列挙しています。国家のリスク環境の変化については5つの問いがあり、攻撃者が重要ネットワークを侵害する計画については11の問いが設けられています。

アンダーセン氏はCISAの管理職に対し、これらの優先事項と要件を各自の活動に組み込み、日々の業務で意識し、要件に関連する新たな情報は速やかに共有し、「組織の壁を越えて」情報を交換するよう指示しました。

アンダーセン氏が幹部職員に語ったところでは、この新たな枠組みの目標の一つは、CISAの各実務部門の間に従来から存在してきた縦割りを打破することです。「［CISAの］優先事項についての共通認識」がなければ、部門ごとに情報収集、リスク評価、上層部への報告の進め方が異なってしまう可能性がある、とメモに書いています。