もしも、自分が一国の情報セキュリティーの責任者（CISO）に就任する羽目になったとしたならば？ しかもそれが、世界最大のIT大国でのことだとしたら？ とっぴな発想かもしれませんが、世界最大級の悩みを抱えたとしたときに、何をどういう順番で考えていけばよいのか、という視点を得てしまえば、今、自分自身が所掌する仕事の見通しも良くなるかもしれません。
一般に民間で、サイバーセキュリティーと言ったとき、その仕事は、デジタル化社会の中で行われる事業経営の下振れリスクを測定してコントロールすることとして捉えられるでしょう。
いきなり国家、といわれてもピンとこない面もありますが、そこには守るべきデータがあり、人材の不足や資金のやりくりに腐心することに変わりはないようです。
いつもの通り、Information Security ForumのChief Executiveの話に耳を傾けてみましょう。情報セキュリティーコミュニティーで30年以上にわたって権威とされている組織の長は、何をどう切り取ってブリーフィングしてくれるのでしょうか。
バイデン政権の新CISOへのアドバイス
Steve Durbin, ISF最高経営責任者
Source: SC Media
03 Feb 2021
TomLohdan CreativeCommons Credit: CC BY 2.0
バイデンとハリスのチームが、ITとサイバーセキュリティーのための約90億ドルを含む巨額の支出計画の議会承認を求め、また同時に、連邦政府の最高情報セキュリティー責任者（CISO）を任命したとの最近のニュースは、それなりの期待感を抱かせてくれます。
連邦政府機関では、資金不足によって、技術インフラの最新化や機密データの保護のためのシステム改修が長い間延び延びとなっています。最近のSolarWinds社のハッキング事例など、連邦政府でも個人情報が流出するという非常に憂慮すべき事件が続いており、その点は喫緊の課題です。
予算確保自体は、明るいニュースではありますが、連邦政府レベルの共有サービスを、効率的で、サイバーセキュリティーも組み込まれたものにしていくという課題を克服するには、お金をかけるだけでなく、それ以上のものが必要になるでしょう。
政権が成功するには、新しい連邦政府最高情報セキュリティー責任者（CISO）であるChris DeRushaに、実質的な権限が与えられて、省庁間連携を強固にしたり、政争や党派抗争の心配なく民間企業との強力なパートナーシップを促進したりする政治力が備わらなくてはなりません。そうなって初めて、新CISOは、徹底した政府全体のリスク評価を行い、資金配分に関する最適な意思決定ができるのです。施策推進に当たって、DeRusha氏とチームによって、検討されるべきポイントを五つ、以下に述べます。
連邦政府を一つにまとめる
連邦政府をパッチワークでできたキルトのようなもの――つまり、多くのさまざまな領土で構成されたもの――と考えてみましょう。連邦政府のCISOにとって、これらの領土の全てを一つにまとめ上げていくのは、相当難易度の高い仕事です。DeRusha氏はどのようにしたらこのような環境を乗り越えて、実りのある相互協力を引き出すことができるのでしょうか？ このような政治的環境において、有意義な協働事業を育むためには、力量も粘り強さも必要ですが、真の協力関係の実現は目標とするのに値することです。
連邦政府の全機関がしっかり連携するならば、データ共有、ID管理、コラボレーションツール、共有セキュリティー、クラウドコンピューティングなどにおいて、実に大きな潜在的メリットがあるのです。ただしDeRusha氏が変化を実現するには、強力な支持者と実権が不可欠になるでしょう。経費を切り詰めるよりも無駄遣いが普通という世界で、どこに、どのように予算を付ければ最も効果的なのか、見極めることから始めざるを得ないからです。
リスク評価を掘り下げる
DeRusha氏は、問題から一歩下がって、長い間ITやサイバーが有効に機能しなかった阻害要因を根本的に解明することに時間を使うべきでしょう。大掛かりな仕事になります。まずは、連邦政府の共有資産のリスクを一通り評価することです。弱点はどこにあるのか？ 大きなリスクはどこにあるのか？ まず、最も価値のある資産を保護し、その上で将来を見据えて政府として支出すべきところに予算を集中するのです。重視すべきは、共有セキュリティーやクラウドコンピューティングであり、エッジコンピューティングです。データが共有される連邦政府の危険領域を幅広く掘り下げることが重要となります。
教育も新CISOの仕事です。途方もない金額をセキュリティー課題に充てても、それだけでは、データ侵害がなくなることはなく、セキュリティーを担保することはできません。およそセキュリティー専門家であれば誰もが知っているように、100％間違いのないセキュリティーは存在しません。そうしたはかない夢はついえて、しっかりした復旧計画と適切なインシデント対応、つまりレジリエンスの必要性が生まれました。最終的には、レジリエンスがDeRusha氏の成功を決定づけるものであり、評価されるべき目標なのです。
一流人材との協力関係を築く
政権は2億ドルの予算要求を予定しており、ITやサイバーセキュリティー専門家の雇用拡大に力を入れますが、既に高度なサイバー技能の不足が大きな障害になっています。政府が人材を引きつけるには、策をいろいろと講じる必要がありましょう。コミュニティーに触手を伸ばさなければなりませんが、総合大学や専門大学を支援して、特に高度AIなどの未来技術やその応用技術に力を入れる講座を開設するべきでしょう。
もっともDeRusha氏は、現実的であることも必要です。そうしたプログラムを構築しても、最優秀な人材を引きつけるには時間がかかります。今や豊富な人材を誇っている企業に注目したとしても、ITやサイバーの円熟した人材が華やかな民間でのキャリアを捨てて政府のために働くことはまずないでしょう。ただ視点を変えれば、政府はしっかりした民間企業との連携や協調体制を構築することで、サイバーコミュニティーにおける最も優れた企業が抱える希少なスキルセットを利用する有益な機会を得られると思います。
サプライチェーンと第三者リスクに焦点を当てる
連邦政府機関の安全確保は、パズルの一片に過ぎません。多くのデータ侵害の原因は、第三者までさかのぼることになる可能性があります。サイバー犯罪者達や国家の支援を得た犯罪集団は、最も容易に侵入できる経路を探し当て、巧みに第三者のIT環境を通じてアクセスしてきます。そのため、サプライチェーンの保護や第三者リスクの評価に、資金を投じる必要があるのです。最重要なデータはどこにあり、誰から提供されたのか、どのように利用するのか。そうした視点から、連邦政府の隅々は言うに及ばず、連邦政府のコンピューターに入力するデータを送信してくることの多い州や地方機関もリスク評価をしていく必要があります。
資金は、連邦政府のリスク許容度に従って、最も弱いところに配分されることになります。つまり、人員配備と、クラウドや共有サービスまわりのセキュリティーの大幅強化に資金投入が必要とされるでしょう。繰り返すまでもないことですが、これには組織的なレベルでの協力が重要です。
セキュリティー啓発にお金をかけ、プライバシー保護に努める
バイデン大統領は、サイバーセキュリティーの諸課題を改善しようと意欲的ですが、地政学的な不確実性や不安定要素も多く、また国内でも大きな社会的リスクを抱えています。世界中の至る所で監視技術への大規模投資が続き、人々の行動やデータ利用状況を予測しようと躍起になっています。こうしたデータ収集の動きに拍車をかけているのが、現在のパンデミックです。医学研究や社会的な管理に特化しているとは言え、こうした動きは、かつてない水準に至っています。
プライバシー保護は、我々セキュリティーコミュニティーが慎重かつ適切に対処しなければならないほどの大きな問題です。また、セキュリティーは技術問題を解決するものとの思い込みは排して、システムを安全に使うために人が果たす役割を理解する必要があります。一般市民が、セキュリティーを自分たちのあらゆる行動に欠かせない要素として受け入れるまで、教育やセキュリティー意識向上に継続的な資金投入が必要でしょう。
さて、積もる課題の話はいったん横に置きましょう。今ここには、政策目標や企業収益を超えて、公益という目的のために、連邦政府内だけでなくビジネス界も巻き込んで真のパートナーシップを育む好機があると言えます。業務上、個人データや機密データを取り扱う政府機関は全て、サイバーセキュリティーを中核に据えるべきなのです。
これからも、データを活用した連邦政府の横断的取り組みが進められるでしょうが、そうしたデータは、慎重に、きめ細かく、かつ責任をもって扱われる必要があります。そのためには、リーダーシップも超党派の協力体制も、官民連携も求められます。セキュリティーを原動力としてビジネスを活性化しつつ、社会的良心の必要性を訴える一段高い意識は、バイデン大統領が訴える国民の一体化とうまくかみ合うのではないでしょうか。
これからもやるべきことはたくさんありますが、サイバーセキュリティーコミュニティーにとって、明るい未来の兆しが見えるという感覚には、十分な理由があると言えます。
五つのポイント、腹落ちしました。やはり、米国でも、官も民もやるべきことの柱は同じですね。
ただ、話を米国から日本の民間企業に引き直して考えてみようとした時にどうしても気になるのが、サプライチェーンのリスクです。この数年で大きく前提が異なってきているように思えるからです。
一つには、ビジネスのサプライチェーン。従来は、ケイレツを意識した縦型のサプライチェーンをイメージして語られることが多かった印象です。大企業があってそれに向かってサプライヤーが樹形図のように連なっているというアレです。しかし近年では、ビジネスのグローバル化やIT化もあって、取引関係がケイレツをまたがったり、技術革新を果たした中堅企業にデータが輻輳（ふくそう）化したりと、横型や流動型サプライチェーンもあるように思われます。こうなってきますと、ビジネスの契約関係だけでなくリスク評価も一段と難しさを増すように思います。
他方、データ共有や「送受信」ということも、クラウドサービスがマルチ化しグローバル化する中で、ITから見たサプライチェーンや第三者のリスクも、さて評価しようとすると一筋縄ではいかないことになっているようです。日本も、サプライチェーン・サイバーセキュリティー・コンソーシアム（SC3）が立ち上がって、この多面的で深刻な問題に産業界挙げて取り組もうということですから、大変素晴らしい動きをしていると思います。
ISFでも長年サプライチェーン・セキュリティーについて研究が行われてきましたが、昨年三つのツールがISF Supply Chain Suiteとして完成して、ISFメンバーのグローバルなサプライヤーのライフサイクル管理に威力を発揮し出しています。この点については、3月25日に駐日英国大使館主催で行われるセミナーでも簡単に概要をご報告することになっていますが、このブログでも次回以降、少し掘り下げていきたいと思います。
