新しい国家サイバーセキュリティ戦略実施計画について知っておくべきこと

今日の複雑なサイバーセキュリティ環境では、ランサムウェアや侵害が日常的に発生しているのは事実です。

2023年3月、バイデン政権は待望の声明を発表しました 国家サイバーセキュリティ戦略。私は、国のサイバー・レジリエンスを強化するための強力なビジョンを提示しつつ、 ザ・ヒルのために書きました この計画、特にその10年間の見通しには、即時の影響力や説明責任がないことに、私がどれほど深く落胆したかについて。連邦政府は、ランサムウェアや情報漏えいに対してより迅速に行動を起こさなければなりません。

バイデン大統領は最近、政府機関に実践的なサイバーセキュリティ戦略を提供することの重要性を認識し、新しい戦略を発表しました。 国家サイバーセキュリティ戦略実施計画 (略称)。この計画は、各機関がサイバーセキュリティに関する役割、責任、およびリソースの割り当て方法を変更するためのロードマップを提供します。

新しいプランについて知っておくべきことは次のとおりです。

NCSIPの5つの戦略的柱

この計画は5つの柱に分かれており、それぞれに特定のサイバーセキュリティイニシアチブが含まれています。これらの柱とその取り組みを以下に概説し、まとめました。

• 第1の柱:重要インフラの防御 —この柱は、国家安全保障と公共の安全を守るサイバーセキュリティ要件を確立することを目的としており、公共部門と民間部門の間の協力を拡大することの重要性を強調しています。連邦政府のサイバーセキュリティセンターを統合して、調整と情報共有を改善することを目指しています。さらに、連邦政府のインシデント対応計画とプロセスを更新すると同時に、連邦政府のサイバーセキュリティ防御を近代化して、進化する脅威の一歩先を行くことも目指しています。

• 第2の柱:脅威アクターの妨害と解体 —この柱は、サイバー犯罪活動を妨害するための連邦政府の取り組みを統合し、敵対者を妨害するために公共部門と民間部門の間の協力を強化することを目的としています。この柱は、迅速かつ広範囲に情報を共有し、サイバー攻撃の被害者に通知することの重要性を強調しています。また、米国を拠点とするインフラの悪用を防ぎ、サイバー犯罪、特に標的型犯罪と闘うことも目的としています。 ランサムウェア攻撃。
• 第3の柱:セキュリティとレジリエンスを推進するための市場勢力の形成 —この柱は、安全なモノのインターネット（IoT）デバイスの開発を推進することを目的としており、安全でないソフトウェア製品やサービスに対する責任をメーカーやプロバイダー間の説明責任を促進するために責任を移す必要性を強調しています。連邦政府の助成金やインセンティブを利用してセキュリティ対策を優先することを提案しています。さらに、説明責任を強化し、サイバーセキュリティ慣行を促進するために、連邦調達機関を活用することを提案しています。また、大規模なサイバーインシデントが発生した場合に支援を提供する、連邦政府のサイバー保険によるバックストップの可能性を模索していることも言及されています。
• 第四の柱:レジリエントな未来への投資 —この柱には、サイバーセキュリティに関する連邦政府の研究開発の活性化に重点を置くことから始めて、インターネットの基盤要素を強化する取り組みが含まれています。また、ポスト量子時代の課題への備えと、クリーン・エネルギー分野の安全を確保することの重要性も浮き彫りにしている。さらに、将来の脅威に対処するうえでの重要性を認識しつつ、サイバーセキュリティ人材を強化するための国家戦略の策定も強調している。
• 第五の柱:共通の目標を追求するための国際的なパートナーシップの構築 — この柱には、デジタルエコシステムに対する脅威に対処するための国際連合の構築が含まれます。これは、国際的なパートナーの能力を強化し、同盟国やパートナーを支援する米国の能力を拡大することに重点を置いています。また、サイバー空間における責任ある国家行動の国際規範を強化する連合の設立も目指しています。さらに、この柱は、情報、通信、オペレーショナル・テクノロジーの製品とサービスのグローバル・サプライ・チェーンを保護する必要性を浮き彫りにしています。

連邦最高技術責任者（CTO）としてこの計画から得た重要なポイント

NCSIPから得た最も重要なポイントは、改善に向けて政府機関に待望のガイダンスを提供していることです。 サイバーレジリエンス 今だけでなく、今後も。これは、今日の複雑で進化し続けるサイバー脅威に対抗するには、従来の防止および検出ツールだけでは不十分であることを認識しています。

侵害は避けられません。組織は、次のようなテクノロジーを活用した積極的な侵害封じ込め戦略を優先する必要があります。 ゼロトラストセグメンテーション (ZTS) 侵害が発生した場合ではなく、侵害の拡大を食い止めて封じ込め、業務が妨げられることなく継続できるようにすること。実際、組織はこれを活用しています。 イルミオ ZTS を見た 66 パーセント 突破による衝撃（または爆発半径）の縮小と救済 380万ドル 停電やダウンタイムが減ったためです。

計画では次のことも割り当てられます 期限付きの目標とイニシアチブ 各機関に、戦略の明確な目標を達成する方法についての指示を与えます。これらの目標とイニシアチブには、 切迫感 これは重要です。テクノロジーの進歩の速さから、3 年、5 年、10 年後にセキュリティに与える影響を想像することは不可能だからです。

この計画は、以下のことを理解していることを示しています 政府機関が直面する資源と財政の課題 これらの危険を克服するために。NCSIPには直接の資金提供は含まれていませんが、政府機関が目的を達成し、サイバー攻撃に対抗できるよう、政府機関のサイバー予算の優先事項と合致しています。政府機関が予算上の責任とリソースをこれらのイニシアチブに合わせることができれば、現在と将来のサイバーレジリエンスを強化するための準備が整います。

特に、連邦調達を活用して改善を図るイニシアチブ 3.5.1 と 3.5.2 説明責任は、規制上のサイバーセキュリティ機能にとって大きな前進です。政府はドルの力を活用することで、企業にコンプライアンスを強いることができます。これにより、連邦政府は新しい法律を制定することなく、新しい戦略を迅速に実施することができます。

何が足りないの？アカウンタビリティ・メカニズムと大胆な取り組み

他の多くの政府計画と同様に、含まれていない主要な部分は説明責任メカニズムです。これらの計画が成功するためには、政府機関に説明責任を負わせるための測定方法が必要です。政府機関は、これらの目標を達成しなかった場合の結果を知る必要があります。

そして、ランサムウェアとの戦いを大きく変えるような、大きくて大胆なアイデアがまだいくつか欠けています。これは、サイバー犯罪者がこれらの攻撃から利益を得るのを防ぐために、ランサムウェアへの支払いを禁止するようなものかもしれません。政府はまた、民間組織や政府機関に対し、侵害から72時間以内に顧客に公に通知するよう義務付けることもできます。この種の特効的な取り組みは、ランサムウェアの阻止に即座に効果をもたらし、数年後や10年後ではなく、問題の緊急性に今すぐ対処できるでしょう。

新しいNCSIPは、サイバーレジリエンスを強化し、進化する脅威に対抗するための連邦政府の共同の取り組みにおける重要なマイルストーンとなります。この計画は、ほとんどの場合、政府機関にとっての明確な方向性を示しています。積極的な侵害封じ込めアプローチを採用し、NCSIPのイニシアチブと連携することで、公的機関と民間組織の双方が、今日の複雑なサイバーセキュリティ状況を乗り切り、重要な資産を効果的に保護することができます。力を合わせれば、よりレジリエントで安全なデジタルの未来を築くことができます。

方法についてさらに詳しく イルミオZTSは連邦政府機関を支援できます NCSIPイニシアチブを実装します。

今すぐお問い合わせ 当社のサイバーセキュリティ専門家にご連絡ください。

‍