CISAは厳しいCIRCIAの期限に直面しています。ショーン・プランキーがそれを達成するためにできること

今月初めに開催された上院国土安全保障・政府問題委員会の公聴会で、ショーン・プランキーがサイバーセキュリティ・インフラセキュリティ庁（CISA）の長官に適任かどうかが議論された際、ランキングメンバーのゲイリー・ピーターズは、CISAの指名者に対し、2022年重要インフラ向けサイバーインシデント報告法（CIRCIA）を含む、すべての法定要件をどのようにして確実に満たすのかと質問しました。

問題は、それができないということです。議会が定めた法定期限を守るためには、CISAは10月までに最終規則を公表しなければなりません。つまり、CISAにはあと2か月しか残されていません。

CIRCIAが2022年3月に法律として成立して以来、CISAはこの期限を守る意志を持ち続けてきました。なぜなら、私はCISAでこのプログラムを担当しており、法律が成立した日から今年1月に政府を離れるまでその業務を担っていたからです。

私の言葉を鵜呑みにする必要はありません。CISAはこのスケジュールへのコミットメントを公然と示してきました。政府の公式な規制予定記録であるUnified Agendaの2024年秋と2024年春の両方で、CISAが10月4日を最終規則の締切日として目標にしていることが記載されています。これらのコミットメントは、国家サイバー長官室が発表した国家サイバーセキュリティ戦略実施計画で提供された最新情報によっても強化されています。これらの公式発表は、CISAや国土安全保障省の幹部が何年にもわたり一貫して行ってきた公の声明と一致しています。

しかし、1月以降、CISAからCIRCIAに関する発表はありません。CIRCIAの規則案通知に対して数百件のパブリックコメントが寄せられ、それにどう対応し規則を修正するかを決定する内部方針プロセスが必要にもかかわらず、CISAは進捗について何の公的発表もしていません。

CISAが数百もの方針決定に対応し、450ページに及ぶ規則を修正し、それらの修正を関係各機関と調整し、必要なホワイトハウスの承認を2か月で得ることは不可能です。この作業は、現政権が初日から優先していれば達成できたかもしれません。しかし、CISA長官が不在のままでは、その作業が進んでいるようには見えません。

ピーターズ上院議員の質問に対し、プランキーは「現場の担当者に権限を与えて業務を遂行させる」と答えました。私は、パブリックコメントを分析し、既存の技術システムを近代化し、議会がCIRCIAのために割り当てた資金で新しいツールを構築し、CIRCIA開始前に被害者支援能力を拡大するために夜間や週末も働いた担当者たちを知っています。彼らは次期CISA長官に重要な方針事項を提示し、迅速に最終規則の策定に動く準備ができています。

またピーターズは、予算削減や多数の人員流出の中で、プランキーがどのように目標を達成するのかも尋ねました。CIRCIAプログラムも人員の入れ替わりはありましたが、中心となるスタッフはこの目的に引き続き尽力しています。

議会はCIRCIAに多額の資金を提供していますが、庁内にこの業務に特化した中央部門や下部組織がないため、プログラムがこれらの資金をCIRCIAの新たな要件のためだけに守り、活用するのは困難です。完全な資金が確保されているわけではありませんが、プログラムには強い支援があり、新しい長官は議会がCIRCIA実施のために割り当てたすべてのリソースと人員が、CISAを国家のサイバーインシデントの中核的なリポジトリとして準備することに集中できるようにすべきです。

プランキーがCISA長官に就任しようとしている今、私は彼が議会からのこれらの法定要件を優先し、国家安全保障のためにCIRCIA最終規則の推進に直ちに取り組むことを期待しています。プランキーは、もし承認されたなら「現場に入り、指示を出し、私たちが目指すべき目標を示し、重要インフラへのサイバー攻撃からアメリカ国民を守りたい」と述べました。

私は、彼がCIRCIAチームと協力して、まさにそれを実現してくれることを願っています。

ローレン・ボアス・ヘイズは、CISA、Meta、デロイトでの勤務経験を持つサイバーセキュリティおよびテック・トラスト＆セーフティの専門家です。Integrity Instituteの創設フェローであり、ジョージタウン大学およびジョンズ・ホプキンス大学SAISの非常勤教授も務めています。