細部に目を転じると……

　マネージドサービスを手掛けるStratiformでATGサイバーセキュリティソリューション担当ディレクターを務めるジョン・クロニック氏は、サイバーセキュリティ大統領令で命じられていることを期限内で実行するのは「至難の業だ」と指摘する。

　NISTのCSFは数年前に発表され、改訂されてきた。だが一貫した、あるいは包括的な形では実装されていない。その利用効果を測定する方法はまだ開発途上にある。またCSFを利用してリスク評価をすることと、リスク評価で特定した問題を是正するために行動を起こすことは「全く別物だ」とクロニック氏は語る。

　クロニック氏によると、サイバーセキュリティ大統領令はCSFの利用を命じているが、政府機関にCSFに関する研修を義務付けていない。「政府機関でCSFを最も活用できる方法や見つかった問題の是正策、CSFの不足点や問題に対処しないことによる結果についてのコンセンサスは存在しない」と同氏は言う。

　多くの専門家が、サイバーセキュリティ大統領令で報告書の作成が義務付けられても、議会で予算が付かなければ、現状の改善にはつながらないと指摘する。

　脆弱（ぜいじゃく）性対策ベンダーTenable Network Securityでフェデラルテクニカルディレクターを務めるジョン・チラート氏は、省庁や機関のトップに責任を持たせるのは「理論上は素晴らしく聞こえるが、彼らが責任を果たすのは極めて難しい」と語る。

　議会がタイムリーに予算を成立させることができなければ、多くの政府機関はすぐに資金を使うことができず、セキュリティ対策全般の向上に必要な投資をすることができない。使える資金があっても、技術調達プロセスが何年も掛かることもあり「その間、問題を解決するために欲しいものや必要なものが手に入らない可能性がある」とチラート氏は説明する。「火を消すために消防ホースが必要でも、連邦調達規則（FAR）のせいで、園芸用ホースを買うのに11カ月も待たされる。店に着く前にとっくに家が燃えてしまう」（同氏）

　Lieberman Softwareのフィリップ・リーバーマン社長も同じ意見で「議会で予算が確保されなければ、サイバーセキュリティ大統領令の実質的な効力はほとんどない」と語る。どのような計画を実行するのにも、資金や固有の法令の整備が必要だ。「サイバーセキュリティの重要性に疑問の余地はない。だが取り組みの成果を左右するのは、細部や具体的な要素だ」とリーバーマン氏は語り、こう付け加える。「NISTは、問題を解決する方法の具体的なガイダンスは提供しない。解決すべき問題の洗い出し方に関する具体的ガイダンスを提供するだけだ」

連邦政府のCISOはまだ不在

　専門家がサイバーセキュリティ大統領令について指摘したもう1つの問題は、連邦政府のCISOの役割に関する言及が一切ないことだ。前任のグレゴリー・トウヒル氏がトランプ氏の大統領就任の前日に辞任して以来、このポストは空席のままとなっている。

　マギー氏は、サイバーセキュリティ大統領令が「サイバーセキュリティリスク管理の戦略的な重要性を認め、省庁や部門のトップに、その責任を持たせた」ことを称賛する。「サイバーセキュリティ大統領令は、監督権限の集約を目指しているように見える。指揮系統の一元化という点で、連邦政府CISOを置き、投資の優先順位設定や計画実行の監督を任せるのは、理にかなっているだろう」（同氏）

　一方でマギー氏は、連邦政府のサイバーセキュリティの現状における大きな注意点も指摘する。サイバーセキュリティ大統領令で義務付けられた省庁や機関のさまざまな報告書が出され、必要な改革が明らかになっても、その司令塔となる連邦政府CISOが不在のままでは「これからも政府のサイバーセキュリティニーズへの対処は、サイロ化されたバラバラなアプローチで実施されることになってしまうだろう」と同氏は語る。