米国政府、新しい戦略と予算を確保してゼロトラストの導入に向け取り組みを開始

※この投稿は米国時間 2023 年 2 月 25 日に、Google Cloud blog に投稿されたものの抄訳です。

連邦政府はサイバーセキュリティに投入するリソースを増やしています。このことは州政府や地方政府にとって大きなメリットがあります。2021 年 6 月 21 日、バイデン大統領は 2021 年州および地方政府サイバーセキュリティ法に署名しました。これは、サイバーセキュリティ向上のために、米国国土安全保障省（DHS）と州政府、地方政府、部族政府間の連携を強化することを目的とした法律で、ツールやリソースの共有とトレーニングが重要なポイントとなります。

この法律と、ゼロトラストを重視した大統領命令（EO）14028 は、州政府と地方政府のサイバーセキュリティ体制に影響を与えました。州政府最高情報責任者の 67% が、3 年以内にゼロトラスト フレームワークを取り入れたサイバー セキュリティ体制を導入または拡大すると表明しています。

州政府と地方政府の関心がゼロトラストに移るなか、その成功を左右するポイントは以下の 3 つです。

• 投資資金のスマートな活用

• 導入を成功に導き、成果を上げられる確実な戦略

• 迅速な実装とアジャイルな統合

幸い、各ポイントにそれぞれ活用できる支援策があります。

直ちに投資可能: 連邦政府のプログラムがゼロトラストの取り組みを支援

連邦政府は複数のプログラムを通じて、州政府と地方政府が現在直面しているサイバーセキュリティの脆弱性に対処するとともに、将来の脅威に備えて戦略的に投資できるよう支援しています。具体的には、インフラ投資雇用法（IIJA）と、米国救済計画法（ARPA）の余剰予算から 10 億ドルが、サイバーセキュリティ対策用にまもなく提供されることになっています。たとえば、州、地方、部族などあらゆるレベルの政府が IIJA による資金を得て、物理インフラストラクチャとデジタル インフラストラクチャの両方に投資できます。各政府機関は、こうして得た資金をクラウドベースのオペレーショナル テクノロジー（OT）と IT セキュリティ ソリューションに使えます。

3 段階でゼロトラストにアプローチ

ゼロトラスト成熟度には、短期、中間点、長期のマイルストーンがあります。これらの目標を達成することで、新しいテクノロジーを活用し、変化し続ける脅威ベクトルから保護できるよう有機的に進化する、より安全なインフラストラクチャを実現できます。Google Cloud では、各段階の達成に向けて以下の 3 つに取り組むことを推奨しています。

1. ID 管理に重点的に取り組む。短期のマイルストーンでは、最大の懸念事項となる可能性の高いフィッシングに対抗するために、ID 管理に集中的に取り組むことが有益でしょう。具体的には、強力な多要素認証で最前線を防御し、従来の Identity and Access Management システムを置き換えます。また、ID 対策に加えて、最小権限ポリシーを導入し、アクセス モニタリングの大部分を自動化できる AI を活用したプラットフォームの導入も検討できます。たとえば、AI と分析機能を活用したリアルタイム モニタリングを使用することで、脅威をいち早く検出し、インフラストラクチャのセキュリティを強化して、メンテナンスの質を高めることができます。安全性を重視した設計により、変更作業を最小限にとどめつつ、ユーザーを保護できます。

2. セキュリティ データを集計、分析する。中間点のマイルストーンでは、セキュリティ ログ情報の正確性とタイムリーな情報へのアクセスについて、有効性を評価できます。攻撃がどこからやってくるか、直ちに対策が必要なのはどこかを全体的に把握するためには、こうした大量のデータの集計と精査が不可欠になります。真の問題を見極め、対処するためには、さまざまな検出機能に幅広く投資を行っていくことが必要不可欠です。

3. 技術への投資を評価する。長期のマイルストーンでは、迅速な実装とアジャイルな統合を行い、ゼロトラスト成熟度曲線に沿って成熟度を高めるために、モダナイゼーションのスケールを広げることが鍵となります。そのためには、オンプレミス テクノロジーからの脱却と、セキュリティ上のメリットが大きい、安全性を重視して設計されたクラウドベースのソリューションの導入が必要になる場合があります。さらに、データのバックアップ機能と復旧機能の強化も必要です。