CISA、連邦サイバーレビュー後に10の緊急指令を廃止

米国サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、目的が達成されたことが判明したレビューに基づき、2019年から2024年の間に発行された10の緊急指令を正式に廃止しました。

この決定は、一度に廃止された緊急指令の最大数を示しており、連邦民間機関全体でサイバーリスクがどのように管理されているかの変化を反映しています。

このアップデートは、必要な修復措置が連邦民間行政機関によって完全に実装されるか、拘束力のある運用指令22-01に組み込まれたというCISAの評価に続くものです。

その常設指令は、既知の悪用された脆弱性（KEV）によってもたらされる継続的なリスクに対処し、現在はこれらの問題を管理するための主要なメカニズムとして機能しています。

一時的なマンデートから継続的なコントロールへ

緊急指令は緊急かつ差し迫った脅威に対処するために発行され、必要な限りの間のみ有効である予定です。CISAは、連邦機関との継続的な調整が、根本的なリスクを解決し、サイバーセキュリティのベストプラクティスを組み込み、時間制限のある緊急措置への依存を減らすのに役立ったと述べています。

「連邦サイバーセキュリティの運用リーダーとして、CISAはその権限を活用して連邦システムを強化し、受け入れられないリスクから防御します」と、代理ディレクターのマドゥ・ゴットムッカラ氏は述べています。

「これら10の緊急指令の廃止は、連邦全体での運用上の協働に対するCISAのコミットメントを反映しています。」

廃止されたいくつかの指令は、特定の共通の脆弱性と露出（CVE）にリンクされていました。これらの問題は現在、CISAのKEVカタログを通じて追跡されており、これは機関がどのように広く悪用される欠陥を識別し修復するかを標準化しています。

現在有効でない指令は以下の通りです：

DNSインフラストラクチャの改ざんに対処するED 19-01
WindowsおよびNetlogonの脆弱性に関連するED 20-02～ED 20-04
SolarWinds Orion、Microsoft Exchange、Pulse Connect Secure、およびWindows Print SpoolerをカバーするED 21-01～ED 21-04
VMwareの脆弱性に焦点を当てたED 22-03
Microsoft企業向けメールシステムの国家レベルの侵害に関連するED 24-02

CISAは、これらの指令の3つ（19-01、21-01、および24-02）が、その要件がもはや現在のリスク態勢や運用慣行と一致していないと判定した後に廃止されたと述べています。

緊急指令は必要に応じて引き続き発行されますが、CISAは長期的なリスク削減は、連邦システム全体で標準化された指令とセキュアバイデザイン原則にますます依存していることを強調しました。