ホワイトハウスからの新たな警告、緊急行動を呼びかける
この記事は、US Public Sector CTO Office の Cybersecurity Principal である Peter Romness によるブログ「New Warning from the White House Calls for Urgent Action
」（2022/3/22）の抄訳です。
米国バイデン大統領は月曜日、進展する情報に基づいて、米国内の重要インフラに対するサイバー攻撃の可能性が高まっていると警告し、すべての組織がサイバー防御を強化するよう改めて呼びかけました（Statement from President）。
私たちは以前にも同じような警告を目にしたことがあります。一流の軍事大国が関与する武力紛争の武力衝突の発生と同時に予測されたサイバーメルトダウンを経験していないため、疲れ果ててしまったり、油断したりしがちになります。 しかし、ホワイトハウスのサイバー・エマージング・テクノロジー担当国家安全保障副顧問であるアン・ニューバーガーによれば、今回の警告は、「ロシア政府が米国の重要インフラに対するサイバー攻撃の可能性を模索しているという進化した脅威情報に基づいている」そうです。
アドバイスの内容がいささか古めかしく感じられますが、やはり「多要素認証（MFA）を使う、システムのログを取る、ログを見る、暗号化を使う、緊急事態対応計画を立てる、計画をテストする、そしてパッチを当てる」ということです。
しかし、このような言葉や助言が、米国大統領から直接発信されるのを目の当たりにしているのです。これは 2 つのことを示唆しています。
１．紛争の性質がサイバー領域に移行する可能性が高いという危機感をあらためて抱いていること。
２．非常に多くのシステムが、かなり単純な攻撃でさえも食い止めるために必要な基本的なことをまだ行っていないということ。
世界中の人々がこの紛争を見つめ、「自分に何ができるのか」と考えており、大統領の声明はその答えを示しています。勝利の庭を作れとも、軍用ハードウェアのためにトタンのスクラップを集めろとも言っていないのです。この拡大する戦争において、自分のコンピュータやネットワークに接続されたシステムが次の攻撃経路とならないよう、基本的な対策を講じるよう、すべての人に呼びかけているのです。そして、この差し迫った脅威を踏まえ、今こそ行動を起こすべき時なのです。
Cisco Talos Intelligence Group の Matt Olney が 1 月 24 日に投稿した一連のツイートは、この脅威勧告の動機について、いくつかのヒントを与えてくれるでしょう。 マットと彼のチームは、彼がブログで詳しく述べているように、長い間ウクライナに全面的に関与してきました。
2021 年 10 月 18 日、ブルース・ブロディはこのブログ「Left of Boom Cybersecurity: Proactive Cybersecurity in a Time of Increasing Threats and Attacks」を投稿しました。Left of Boom とは、サイバーインシデントが発生する前に組織を守るためにできるアクションを指します。 そこには以下のようなアドバイスが含まれています。
・すべての資産を可視化し、コントロールし、サイバーリスクを測定するための実用的な指標を持つ。
・必要不可欠なビジネスとミッションのオペレーションを理解し、これらの高価値資産（HVA）の優先順位を決定する。
・クラウドに移行する。主要なクラウドプロバイダーは、本質的に社内でできるほとんどすべてのことよりも安全であり、常に安全性を高めている。
・多要素認証（MFA）をできるだけ早く、できるだけ効率的に導入する。
・サプライチェーンの安全性を確保するための管理体制を整え、サプライヤーにソフトウェア部品表（SBOM）を要求する。
・内部脅威から保護するための管理体制を整える。
・攻撃対象領域を縮小し、エンドポイントを管理する。
・非常に優れたアンチマルウェアを継続的に実行し、すべてのシステムにパッチとアップデートを継続的に適用する。
・重要なデータは最低でも毎日バックアップをとる。
・Zero Trust Architecture（ZTA）を構築し、”Zero Trust or Bust “を採用する。
・実践する。
・サイバー保険ではもう解決できない! 保険があってもなくても、適切なコントロールが必要。
・サイバーレジリエンスの構築 – 高度化するサイバー攻撃に直面しても、ミッションとビジネス目標を達成するための最良の機会をご提供。
また、Bruce は、サイバーに関する意思決定をする上で大きな指針となるいくつかのフレームワークを紹介しています。それらは以下の通りです。NIST Cybersecurity Framework (CSF), MITRE ATT@CK and MITRE D3FEND, ISO 27001, Center for Internet Security (CIS) 20 Critical Controls などです。
Bruce は、”Right of Boom “を、災害発生後に復旧するために行うことと定義し、災害復旧計画（DRP）、事業継続計画（BCP）、業務継続計画（COOP）で備えることがいかに重要であるかを説明し、”Right of Boom “のガイダンスを締めくくりました。
この大統領の呼びかけに応えるために、これらの資料がお役に立つことを願っています。
Tags:
