方針は適切だが実効性に不安も
トランプ氏の「サイバーセキュリティ大統領令」を褒める人、けなす人、それぞれの見方（1/2 ページ）
トランプ米大統領が出した連邦政府のサイバーセキュリティに関する大統領令は、連邦政府のセキュリティ対策の方向性を示すものとして専門家が評価する一方、実効性に疑問を呈する声もある。
トランプ氏が署名したサイバーセキュリティ大統領令に関する専門家の見方は
待望されていた米連邦政府のサイバーセキュリティに関する米新政権の大統領令（以下、サイバーセキュリティ大統領令）が、再三の延期を経て、ついに署名された。専門家は、大統領令がサイバーリスク管理にスポットを当てている点を称賛している。一方で「“悪魔”は細部に宿る」という指摘も少なくない。
米大統領ドナルド・トランプ氏は2017年5月11日（現地時間）、当初予定より数カ月遅れてサイバーセキュリティ大統領令に署名した。専門家は、このサイバーセキュリティ大統領令が、連邦政府によるサイバーセキュリティの取り組みの新たな方向を提示していると指摘する。
サイバーセキュリティ大統領令は、連邦政府の各省庁や機関のトップがサイバーセキュリティの責任を負うことをあらためて明記し、各省庁や機関が作成する詳細な報告書と計画の要件を明示している。これらの報告書と計画は、米行政管理予算局（OMB）と米国土安全保障省（DHS）の監査を受ける。
サイバーリスク管理を手掛けるCybernanceでCEOを務めるマイク・シュルツ氏は、サイバーセキュリティ大統領令は「サイバーセキュリティに対する連邦政府の捉え方の大きな文化的シフト」を示していると説明する。
シュルツ氏によると現在、連邦政府機関は皆、独自のサイバーセキュリティプロセスによって自組織のシステムを保護している。だがサイバーセキュリティ大統領令は、連邦政府機関のセキュリティについて、包括的なエンタープライズレベルで管理されなければならないと定めているという。「特定のシステム用にセキュリティプロトコルを開発するのではなく、政府機関内の全ての人、プロセス、ポリシーが分析され、報告されなければならない」（同氏）
政府機関に対し、リスクとその軽減に関する包括的な報告書を作成し、国土安全保障省と行政管理予算局長に提出するよう命じたのは、このサイバーセキュリティ大統領令が初めてだとシュルツ氏は説明する。
サイバーセキュリティ大統領令によると、連邦政府の省庁と機関は90日以内に、サイバーリスク管理の取り組みについての報告書を提出する必要がある。OMBは個々の報告書を基に、NIST（米国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）の実施に必要となるリスク管理や予算不足への対処、ポリシーの変更点の特定に必要な予算要件の説明と計画を、60日以内に大統領に提出することになっている。
「DarkLight Cyber」の名称で事業展開するサイバーセキュリティ分析ベンダー、Champion Technology Companyで最高収入責任者を務めるジェス・リクター氏は、こうした計画は極めて有益であり「何年も前に策定されているべきだった」と語る。
サイバーセキュリティ監査とリスク軽減計画は「全ての企業が避けて通れなくなっており、連邦政府の省庁や機関も、この分野の取り組みについて精査を受けなければならない」とリクター氏は指摘する。「ビジネスの世界では、こうした計画はビジネスリスク評価の対象の一部であり、持っているだけではいけない」（同氏）
一方でネットワーク／セキュリティベンダーGigamonのグローバルセキュリティストラテジストを務めるケビン・マギー氏は、こうした報告書の作成作業は、報告書そのものよりも重要な意味を持ち得ると指摘する。
併せて読みたいお薦め記事
トランプ大統領を取り巻くセキュリティ問題
米国政府とセキュリティに関する議論
マギー氏によると、省庁や機関のトップは、これまでに実施してきたリスクの軽減および許容に関する選択と、それらの選択の根拠となった戦略上、業務上、予算上の考察を文書化するよう命じられている。「彼らがどのように対応するかは、非常に興味深い問題だ」と同氏は述べる。
サイバーセキュリティ大統領令は省庁や機関のトップに対し、現在のサイバーセキュリティ体制について責任を負うだけでなく、サイバーセキュリティリスクをどの程度戦略的に捉えてきたか、どのような要因に基づいて判断の優先順位を付けてきたかを示すよう求めている。「これは非常に重要な試金石になる」（マギー氏）
米連邦捜査局（FBI）のニューヨーク支局で特別捜査官として特殊なサイバー任務を担当し、現在はCyxtera Technologiesの最高情報セキュリティ責任者（CISO）を務めるレオ・タデオ氏は、サイバーセキュリティ大統領令の下でDHSが担う役割について懸念を示す。「サイバーセキュリティ大統領令は、連邦政府が抱えるサイバーセキュリティ問題の解決に向けた計画ではない」とタデオ氏は指摘。「各政府機関にNISTのフレームワークを導入して自組織のサイバーリスクを評価し、その軽減計画を作成するよう命じるものだ」と説明する。
これらの評価と計画の適切さを判断する任務は、DHSとOMBに課されている。「これはリスキーなアプローチだ」とタデオ氏は語る。「DHSのサイバーセキュリティに関する実績には疑問符が付くからだ」（同氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[LRM株式会社] 「標的型攻撃メール」事例・サンプル集 -
製品資料
[LRM株式会社] セキュリティ教育はなぜ「年間計画」を立てる必要があるのか？ -
製品資料
[LRM株式会社] セキュリティの重要性が伝わらない…… 効果がない社員教育から脱却する方法 -
製品資料
[LRM株式会社] 「標的型攻撃メール訓練」導入ガイド 社員の意識を確実に高める仕組みの作り方 -
事例
[株式会社マクニカ] アイカ工業に学ぶ脆弱性対策 情シスが把握できずにいたアセットも正確に把握
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
2
100億円の「Linux更新」を回避 みずほ銀行が選んだ“おきて破り”のRHEL延命策
-
3
「Microsoft 365」が乗っ取られる 跡形もなくMFAを破る手口
-
4
Oracle巨大ITプロジェクトはなぜつまずいたのか 8年で導入1割、追加で170億ドル
-
5
Microsoft製品でここまで自動化できる 情シスがやめられる手作業10選
-
6
AI全部入り「Microsoft 365 E7」に企業が二の足を踏む訳 移行意向はわずか4％
-
7
ISMSの“コンサル丸投げ”が招く数千万円の無駄 NTTドコモビジネスの脱出劇
-
8
エンジニアが選考を辞退する本当の理由 7割が隠す“面接の違和感”とは
-
9
Netflixのバックエンドは「ほぼJava」 3000超のアプリを支える開発基盤の裏側
-
10
なぜOpenAIやAnthropicのAIは「脱走」したのか 情シスが迫られるエージェント統制
ホワイトペーパーランキング PR
-
1
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
2
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
5
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
6
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
7
PostgreSQLの「機能」「性能」「運用」「拡張性」に関する悩みの解消法
-
8
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
9
Macの安全神話は崩壊？ 最新の脅威動向から見えた攻撃のトレンドと有効な対策
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー