攻勢への転換：米国がサイバー戦略を変更

ホワイトハウス国家サイバー長官ショーン・ケアンクロス。出典：Aspen Summitのビデオキャプチャ

米国は、米国企業、政府機関、市民を攻撃するグループに対してより積極的な姿勢を取ることに焦点を当てた、単一かつ協調的なサイバー戦略を追求するが、この取り組みが機能するかどうかは実行力に大きく依存すると専門家は述べている。

今週初め、ホワイトハウス国家サイバー長官ショーン・ケアンクロスは、トランプ政権が攻撃者に対してより積極的な姿勢を取り、公民連携を深め、サイバーセキュリティ人材を補充し、異なる連邦機関の取り組みを統合する、更新された国家サイバー戦略を発表する計画であると述べた。

「この戦略は、敵対者の行動を形成し、この状況にコストと結果をもたらすことに焦点を当てるつもりです」と彼は述べた。「我々は国として、敵対者に対してこの行動が無害では済まされないというシグナルを送ることが十分にできていませんでした。そして、それを行う必要があります。なぜなら、脅威は拡大しており、日を追うごとにより攻撃的になっているからです。」

全体として、国家サイバーセキュリティ戦略は6つの柱から構成される予定だが、Aspen Cybersecurity Summitでは詳細は明かされなかった。しかし、能動的な防御策、公民連携、労働力イニシアチブが含まれるようだ。さらに、トランプ政権は「規制環境をセクターごとに合理化する」ことをケアンクロスによれば約束している。

その結果には、個人、組織、国家に対する制裁などの経済的措置や、攻撃者のインフラを破壊するなど、より積極的な措置が含まれる可能性が高いと、セキュリティ自動化プロバイダーSwimlaneのリードセキュリティオートメーションアーキテクト、ニック・タウセックは述べている。

国際的な法執行機関による摘発がいくつか大きな成功を収めている一方で、タウセックはその協力が今後も続くとは必ずしも見ていない。

「米国から様々な国家や組織に対する広範な攻撃が見られると予想しています。これは敵対者の行動を妨害するだけでなく、偵察、データ窃取、情報収集を行うためであり、現在敵対者が我々に対して行っていることと同様です」と彼は述べた。「また、これまで外国の敵対的行為者を訴追・妨害するために頼ってきた国際的な法執行協力が縮小し、より一方的な行動が増えるとも予想しています。」

攻撃的サイバー作戦は難しい課題

しかし、攻撃的なサイバー作戦は常に厳格に運用すべき難しい分野と見なされてきた。米国はすでに様々な組織とサイバー空間で継続的な対立状態にあるが、サイバー犯罪者のインフラを破壊することと、敵対国のシステムやネットワークを攻撃することには違いがあると、シンクタンクAtlantic CouncilのCyber Statecraft Initiative副所長ジェン・ロバーツは述べている。

「エスカレーションのリスクは無視できません」と彼女は述べた。「明確な規範やコミュニケーションチャネルがなければ、意図しない結果が生じる可能性があり、このリスクは戦略の中でしっかりと対処されなければなりません。」

それでも、東南アジアのサイバー犯罪組織によって数百億ドルが盗まれ、紛争地帯でサイバー戦の革新的な利用が進められている中、サイバー攻撃とサイバー抑止の両方を国家のサイバー戦略に含める必要があると、サイバーセキュリティサービスプロバイダーNCC Groupの政府渉外責任者ヴェロナ・ジョンストン＝ハルスは述べている。

「米国だけが最近、攻撃的なサイバー作戦に焦点を当てるようになったわけではありません」と彼女は述べた。「韓国からオーストラリアまで、ほぼすべての国家サイバー戦略が防御と攻撃のバランスを取るようになっており、一方だけでは成り立たないことを認識しています。」

しかし米国にとっては、細部が重要であり、最も重要な細部の一つは、どの機関がサイバー攻撃能力の主導権を握るかだと、Atlantic Councilのロバーツは述べている。

「『アクティブ・サイバー・ディフェンス』への転換は数年前から進行中ですが、今の大きな不確実性は、どの組織がこのより攻撃的な任務を担うのかという点です」と彼女は述べた。「サイバーコマンド？FBI？情報機関？CISA？それぞれ権限や能力が異なります。明確な役割分担が必要です。現状では線引きがあいまいすぎます。」

「分断された」対応

米国の各機関による統合的な攻撃的セキュリティ同盟の主導者を決めるのは難しい。特に政府閉鎖や「政府効率省（DoGE）」による削減の後、さまざまな機関のサイバー能力が人手不足になっているためだ。

Aspen Summitでの発言で、ケアンクロスは現在のアプローチを「分断された対応」と表現し、今後は攻撃者を抑止するために長期的なアプローチに各機関が注力すると述べた。どの機関が国家のサイバー攻撃の主導権を握るかは明言しなかった。

ケアンクロスはまた、国家サイバーセキュリティ戦略で取り組む他の課題、特にサイバーセキュリティ人材のパイプライン強化についても言及した。彼は、イスラエルの優秀な若者を義務的な兵役期間中にエリート情報機関「8200部隊」へ送り込む仕組みを一つのモデルとして挙げた。そのプログラムの卒業生は、サイバーセキュリティ業界のスタートアップ創業者や中堅・上級幹部のかなりの割合を占めている。

「うまくいっているものがあれば、それを真似したい」とケアンクロスはイスラエルモデルについて述べた。「彼らは素晴らしいシステム、スタートアップや新技術企業のエコシステムを築き上げました。その一因はベンチャーキャピタルの関与であり、それが市場インセンティブを生み出しています。」

バイデン政権が2023年に発表した前回の国家サイバーセキュリティ戦略は、今後数年で実施を目指す65以上の施策を盛り込んだ57ページの文書だった。しかし、米国の分極化した政治環境では、戦略は超党派の支持や予算を欠いていた。バイデン大統領が2025年1月に署名した大統領令は国家のサイバーセキュリティをさらに強化することを目指していたが、トランプ大統領が就任後100日以内に大部分を覆した。

ケアンクロスは2月に指名され、8月に承認された。彼は共和党全国委員会（RNC）の最高執行責任者を務めていたが、今回の任命以前にサイバーセキュリティの職務に就いた経験はないようだ。ケアンクロスは国家戦略の発表時期については明言しなかったが、「できるだけ早く発表する」と述べている。