数十年にわたり、米国政府と民間セクターはサイバー空間の防御に懸命に取り組んできましたが、サイバー犯罪者や外国の敵対勢力がもたらす数々のサイバー脅威に対して、わが国はいまだに驚くほど脆弱なままです。犯罪的なランサムウェア攻撃から、電力・水道・その他の重要インフラシステムに対する外国政府による侵入に至るまで、サイバー侵害に関する日々のニュースは、「ほぼあらゆる指標において、サイバーセキュリティの脅威環境は実際に悪化している」という事実を絶えず思い起こさせます。私たちは、より良くできるし、そうしなければなりません。効果的な国家サイバーセキュリティ戦略を策定するにあたり、政策立案者は以下の10のポイントを検討すべきです。
「重要システム」を優先する
政策立案者は、サイバーセキュリティ上の失敗が国家安全保障、経済安全保障、公衆衛生または安全に壊滅的な影響を及ぼしうる重要インフラの防御を優先すべきです。こうしたシステムには、電力網、水道システム、港湾、鉄道および航空輸送、ならびに連邦・州・地方政府が含まれます。
重要システムにメモリ安全な言語を使用する
根本的なサイバーセキュリティの問題の一つは、安全でないプログラミング言語で書かれたソフトウェアが広く使われていることに起因します。これらの言語は、サイバーセキュリティが考慮される以前のコンピューティング黎明期に効率性を重視して設計されたものであり、「メモリ安全性エラー」と呼ばれる種類のバグに対して脆弱です。
メモリ安全性エラーは「今日におけるハッカーにとって最大の攻撃面」とも評されており、ソフトウェア脆弱性の約70％の原因であると推定されています。幸いなことに、現在のメモリ安全なプログラミング言語（例：Rust）は、メモリ安全性エラーを排除するよう特別に設計されています。
連邦政府は、企業がメモリ安全なコードへ移行するのを支援するためのロードマップを策定しており、多くの企業がすでにその移行の旅路を歩み始めています。この移行を加速させることは、国家のサイバーセキュリティを大幅に強化することにつながります。
重要システムに形式手法を適用する
メモリ安全な言語は多くのソフトウェア脆弱性を排除しますが、万能薬ではありません。「形式手法」を用いることで、さらに高いレベルの安全性が得られます。形式手法は、数学的証明を用いて「超高い安全性と信頼性を備えたソフトウェアを作り出す」ものです。実際、国防高等研究計画局（DARPA）が軍用ヘリコプターの飛行制御コンピュータのプログラムに形式手法を用いたところ、その後のすべてのハッキング試行は失敗に終わりました。
形式手法は現在、Amazon Web ServicesやMicrosoftといった多数の先端テクノロジー企業や、飛行制御ソフトウェアの開発といった高保証が求められる分野で利用されています。形式手法の導入には一定の作業が必要ですが、必要なツールは公開されており、得られる利益は大きく、将来的な自動化の進展により導入はさらに容易になると見込まれます。
レジリエントなアーキテクチャを構築する
「ゼロトラスト」原則に基づくレジリエントなアーキテクチャへの移行は、重要システムのサイバーセキュリティをさらに強化します。従来のセキュリティモデルは、組織の境界内にいるユーザーを自動的に信頼します。これに対し、ゼロトラストモデルはデフォルトでは誰も信頼しません。「決して信頼せず、常に検証する」というアプローチをとることで、アクセス要求がどこから来たものであってもすべて検証し、侵害の可能性を低減します。
政策立案者は、すでに州間の電力送電、鉄道、パイプライン向けに確立されているものと同様の連邦規制や議会による措置を通じて、重要インフラの中核となるシステムにゼロトラストアーキテクチャが導入されるようにすべきです。
データのレジリエンスを構築する
データのレジリエンスとは、サイバー攻撃の最中であっても、データをアクセス可能かつ破損のない状態に保つ能力を指します。データレジリエンスを高める効果的な方法の一つは、重要システムをクラウドにバックアップすることです。これはロシアの侵攻直前にウクライナが用いたことで有名なアプローチです。数千テラバイトに及ぶデータをクラウドへ移行したことで、ウクライナは激しい実戦行動とサイバー攻撃にさらされながらも、重要な政府データを守り、政府機能を維持することができました。
スレットハンティングによる能動的防御
政策立案者は、防御的なサイバー「スレットハンティング」（ネットワーク上に潜む未検知のサイバー脅威を能動的に探索すること）が、重要ネットワーク上で定期的に実施されるようにすべきです。多くの重要システムはすでに民間企業との契約を通じてスレットハンティングサービスを受けていますが、政策立案者は、必要なベースライン要件を設けるなどして、すべての重要システムが対象となるようにする必要があります。民間企業がこの支援の多くを提供できる一方で、沿岸警備隊が重要な港湾インフラを保護するための「港湾長（Captain of the Port）」権限の下で行うように、政府機関も役割を果たすことができます。最後に、重要ネットワーク上での防御的スレットハンティングは公共の利益に資するものであるため、議会は税額控除や専用予算の配分など、財政的支援の提供を検討すべきです。
政府と民間セクターのサイバーセキュリティ対策を調整する
効果的なサイバーセキュリティには、政府と民間セクターの緊密な連携が不可欠です。この調整を確実にするため、国家サイバー長官（National Cyber Director）の監督下にある中央組織を設置すべきです。NCDは「ヘッドコーチ」として両セクターにまたがる取り組みを指揮しつつ、日々のオペレーションはそれを最も得意とする組織に委ねる役割を担います。
「地域レジリエンス地区」を設置する
政策立案者は、重要地域においてセクター横断的なリスク管理を可能にする地域ベースのサイバーセキュリティアプローチを支援すべきです。チャールストン（サウスカロライナ州）やヒューストン船舶航路のような大規模な軍事施設を抱える地域で地域レジリエンス地区を試験的に導入することで、セクター横断的な防御を強化し、サイバーセキュリティ上の失敗による連鎖的影響を抑え、大規模攻撃からの復旧力を高めることができます。
サイバー作戦に敵対勢力の攪乱を組み込む
政策立案者は、主要な民間企業と協力し、利用規約違反の主体をネットワークから排除するなど、敵対的なサイバー攻撃を攪乱する能力を評価すべきです。そのうえで、民間セクターと政府が、それぞれまたは協調して、いつ・どのように行動することが敵対勢力の攪乱に最も効果的に貢献しうるかを判断する必要があります。
政府はこれまでも、第四修正条項に基づく資産差押え権限を用いるなどして、民間セクターと協力しながら犯罪的サイバー組織の壊滅に取り組んできました。犯罪者（例：ランサムウェアオペレーター）や国家レベルの敵対勢力（例：中国のTyphoons）によるサイバー侵入が増加している現状を踏まえ、政策立案者は、資産差押えにとどまらず、能動的な攪乱行為を含むよう、これらの取り組みを拡大することを検討すべきです。
新興テクノロジーを活用する
最後に、政策立案者は、産業界、政府、連邦R&Dセンター、国立研究所、学界などの専門知を含むイノベーションパイプラインを活用し、人工知能のような新興テクノロジーを、攻撃的・防御的サイバーセキュリティ任務の双方を支援する形で効果的に適用すべきです。
サイバーセキュリティの政策立案者は、上記10のステップに従うことで、デジタル防御を劇的に強化するまたとない機会を有しています。これらの施策を実行に移すことにより、ますます複雑化する脅威環境の中で、国家安全保障、重要インフラ、そして公共の利益を守ることができるでしょう。今こそ、断固たる行動を起こすべき時です。
本オピニオン記事は、筆者らによる近刊のアトランティック・カウンシル報告書「Cybersecurity Strategy for the United States（米国のサイバーセキュリティ戦略）」に基づいています。
フランクリン・D・クレイマーはアトランティック・カウンシルの特別フェローであり、同評議会の理事を務めています。かつて国際安全保障問題担当国防次官補を務めました。
ロバート・J・バトラーはCyber Strategies LLCの共同創業者兼マネージングディレクターであり、初代宇宙・サイバー政策担当国防次官補代理を務めたほか、グローバルデータセンター企業であるIO Data Centersの最高セキュリティ責任者（CSO）を務めるなど、企業および政府組織の双方でサイバーセキュリティ関連の役職を歴任してきました。
メラニー・J・テプリンクスキーは、アメリカン大学（AU）ワシントン・カレッジ・オブ・ローのテクノロジー・法・安全保障プログラムの非常勤教授兼シニアフェローです。以前はSteptoe & Jonson LLPでテクノロジー法を扱う弁護士として勤務し、CrowdStrikeのIPO前アドバイザリーボードにも参加していました。
翻訳元: https://cyberscoop.com/effective-us-cybersecurity-strategy-key-steps-op-ed/
