方針は適切だが実効性に不安も
トランプ氏の「サイバーセキュリティ大統領令」を褒める人、けなす人、それぞれの見方（1/2 ページ）
トランプ米大統領が出した連邦政府のサイバーセキュリティに関する大統領令は、連邦政府のセキュリティ対策の方向性を示すものとして専門家が評価する一方、実効性に疑問を呈する声もある。
トランプ氏が署名したサイバーセキュリティ大統領令に関する専門家の見方は
待望されていた米連邦政府のサイバーセキュリティに関する米新政権の大統領令（以下、サイバーセキュリティ大統領令）が、再三の延期を経て、ついに署名された。専門家は、大統領令がサイバーリスク管理にスポットを当てている点を称賛している。一方で「“悪魔”は細部に宿る」という指摘も少なくない。
米大統領ドナルド・トランプ氏は2017年5月11日（現地時間）、当初予定より数カ月遅れてサイバーセキュリティ大統領令に署名した。専門家は、このサイバーセキュリティ大統領令が、連邦政府によるサイバーセキュリティの取り組みの新たな方向を提示していると指摘する。
サイバーセキュリティ大統領令は、連邦政府の各省庁や機関のトップがサイバーセキュリティの責任を負うことをあらためて明記し、各省庁や機関が作成する詳細な報告書と計画の要件を明示している。これらの報告書と計画は、米行政管理予算局（OMB）と米国土安全保障省（DHS）の監査を受ける。
サイバーリスク管理を手掛けるCybernanceでCEOを務めるマイク・シュルツ氏は、サイバーセキュリティ大統領令は「サイバーセキュリティに対する連邦政府の捉え方の大きな文化的シフト」を示していると説明する。
シュルツ氏によると現在、連邦政府機関は皆、独自のサイバーセキュリティプロセスによって自組織のシステムを保護している。だがサイバーセキュリティ大統領令は、連邦政府機関のセキュリティについて、包括的なエンタープライズレベルで管理されなければならないと定めているという。「特定のシステム用にセキュリティプロトコルを開発するのではなく、政府機関内の全ての人、プロセス、ポリシーが分析され、報告されなければならない」（同氏）
政府機関に対し、リスクとその軽減に関する包括的な報告書を作成し、国土安全保障省と行政管理予算局長に提出するよう命じたのは、このサイバーセキュリティ大統領令が初めてだとシュルツ氏は説明する。
サイバーセキュリティ大統領令によると、連邦政府の省庁と機関は90日以内に、サイバーリスク管理の取り組みについての報告書を提出する必要がある。OMBは個々の報告書を基に、NIST（米国立標準技術研究所）のサイバーセキュリティフレームワーク（CSF）の実施に必要となるリスク管理や予算不足への対処、ポリシーの変更点の特定に必要な予算要件の説明と計画を、60日以内に大統領に提出することになっている。
「DarkLight Cyber」の名称で事業展開するサイバーセキュリティ分析ベンダー、Champion Technology Companyで最高収入責任者を務めるジェス・リクター氏は、こうした計画は極めて有益であり「何年も前に策定されているべきだった」と語る。
サイバーセキュリティ監査とリスク軽減計画は「全ての企業が避けて通れなくなっており、連邦政府の省庁や機関も、この分野の取り組みについて精査を受けなければならない」とリクター氏は指摘する。「ビジネスの世界では、こうした計画はビジネスリスク評価の対象の一部であり、持っているだけではいけない」（同氏）
一方でネットワーク／セキュリティベンダーGigamonのグローバルセキュリティストラテジストを務めるケビン・マギー氏は、こうした報告書の作成作業は、報告書そのものよりも重要な意味を持ち得ると指摘する。
併せて読みたいお薦め記事
トランプ大統領を取り巻くセキュリティ問題
米国政府とセキュリティに関する議論
マギー氏によると、省庁や機関のトップは、これまでに実施してきたリスクの軽減および許容に関する選択と、それらの選択の根拠となった戦略上、業務上、予算上の考察を文書化するよう命じられている。「彼らがどのように対応するかは、非常に興味深い問題だ」と同氏は述べる。
サイバーセキュリティ大統領令は省庁や機関のトップに対し、現在のサイバーセキュリティ体制について責任を負うだけでなく、サイバーセキュリティリスクをどの程度戦略的に捉えてきたか、どのような要因に基づいて判断の優先順位を付けてきたかを示すよう求めている。「これは非常に重要な試金石になる」（マギー氏）
米連邦捜査局（FBI）のニューヨーク支局で特別捜査官として特殊なサイバー任務を担当し、現在はCyxtera Technologiesの最高情報セキュリティ責任者（CISO）を務めるレオ・タデオ氏は、サイバーセキュリティ大統領令の下でDHSが担う役割について懸念を示す。「サイバーセキュリティ大統領令は、連邦政府が抱えるサイバーセキュリティ問題の解決に向けた計画ではない」とタデオ氏は指摘。「各政府機関にNISTのフレームワークを導入して自組織のサイバーリスクを評価し、その軽減計画を作成するよう命じるものだ」と説明する。
これらの評価と計画の適切さを判断する任務は、DHSとOMBに課されている。「これはリスキーなアプローチだ」とタデオ氏は語る。「DHSのサイバーセキュリティに関する実績には疑問符が付くからだ」（同氏）
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
事例
[サイボウズ株式会社] DXに必要な「Dスキル」「Xスキル」を持った人材を育成するには？ -
市場調査・トレンド
[サイボウズ株式会社] データで見る、DXが「順調に進む企業」と「つまずく企業」の違い -
製品資料
[サイボウズ株式会社] 賛否が割れがちな「Notesからの移行」 新環境への移行を納得してもらうには？ -
事例
[ServiceNow Japan合同会社] 農林中金に学ぶ内製開発 処理効率を約2倍に高めAI活用も加速させた方法とは？ -
事例
[ServiceNow Japan合同会社] NTTグループのデジタル変革術、17万人が利用する決裁プロセス刷新の全貌
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
【基本情報技術者試験】「デュプレックスシステム」と「デュアルシステム」の違いは？
-
2
kintoneで実践 製造業のための「見積もり管理」改善のヒント
-
3
「Microsoft一択」で本当にいいのか 知らぬ間にライセンス費用が膨らむ真相
-
4
「VMware離れ」は本当か 3000社がVCF 9にかじを切った現実的な理由
-
5
サーバ約70台をAWSへ ヤナセが移行前にやった「通信要件の可視化」
-
6
脱VMwareの真実：データセンター大手がNutanixを選んだ「コスト以上の理由」
-
7
MS月例パッチが1000件突破 人手不足の情シスを襲う「月1回メンテ」の崩壊
-
8
製造業と金融業で「AI導入」が進まない理由 それぞれが抱える“恐怖”とは
-
9
「AI活用」を掲げた年金刷新が炎上 英政府が大手ITアウトソースを切り捨て「内製回帰」した理由
-
10
急増する「AIはこう言ってる」マン 判断を狂わせる「AI忖度」を防ぐには？
ホワイトペーパーランキング PR
-
1
生成AIのハルシネーションを防止 回答精度を高めるセマンティックレイヤーとは
-
2
AIエージェントで多様な日常業務を効率化するための入門ガイド
-
3
5回聞くだけじゃ足りない？ トヨタ式「なぜなぜ分析」の正しい実践方法
-
4
AIが「わざわざ使うツール」になっていない？ 業務で自然に使う導線にする秘訣
-
5
JR西日本ITソリューションズが「監視業務の属人化」を解消した方法とは？
-
6
「脱Excel」か「Excel快適化」か？ 現場にやさしい業務改善の進め方
-
7
インシデント対応工数を約3割削減、東京ガスの事例に学ぶ監視体制刷新のコツ
-
8
マンガで解説：「ゼロトラスト」「SASE」の必要性とメリット
-
9
5分で分かる「セキュア大容量ファイル転送サービス」の機能とメリット
-
10
情報セキュリティ対策早分かりガイド：25の自社診断で弱点と解決策を理解
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー