サイバーセキュリティ・インフラストラクチャ安全保障局(CISA)は,サイバーセキュリティ・インシデントの予防と対応を改善するために,米国連邦政府機関のネットワークの脆弱性を発見する能力を向上させることを目的とした拘束力のある運用指令(BOD 23-01)を発表した.
CISAによれば,BOD23-01は「機関の資産と関連する脆弱性の可視性を強化するために,測定可能な進歩を遂げる」ことを目的としている.そして,その進展はすぐに起こるだろう.2023年4月3日までに,連邦政府機関は7日ごとに資産の自動検出を開始し,14日ごとにそれらの資産で疑われる脆弱性を特定して報告しなければならない.機関はまた,潜在的な悪用を発見してから72時間以内に,検出された脆弱性の継続的診断と緩和(CDM)ダッシュボードへの報告を自動化しなければならない.このブログでは,BOD 23-01の詳細と,Nozomi Networks ソリューションが,米国連邦政府機関がこの指令の要件を満たすためにどのように役立つかを概説します.
拘束力のある業務指令とは何か？
拘束力のある運用指令(BOD)とは,連邦政府,行政府,省庁に対して,連邦政府の情報と情報システムを保護するよう強制的に指示するものである.この場合,指令は資産の発見と 脆弱性の列挙に重点を置いており,いずれもサイバーセキュリティプログラムを成功させるために運用の可視性を向上させるために不可欠なものである.
BOD 23-01の適用範囲
BOD 23-01は,司法省,教育省,保健福祉省など,FCEB(Federal Civilian Executive Branch)機関として活動するすべての機関に適用されます.また,FCEB機関の代理として活動し,「機関情報を収集,処理,保存,送信,普及,またはその他の方法で維持」するすべての機関にも適用されます.
BOD 23-01は,IPv4およびIPv6プロトコルで到達可能な,すべてのIPアドレス指定可能なネットワーク資産に適用されます.この指令の目的上,IPアドレス指定可能なネットワーク資産とは,IPv4またはIPv6アドレスが割り当てられ,IPv4またはIPv6ネットワーク上でアクセス可能な,報告可能な(すなわち,非継続的な)情報技術または運用技術資産と定義される.
2023年4月3日までに,すべてのFCEB機関は,この指令の適用範囲にあるすべての連邦情報システムに対して,以下の措置を講じる必要がある：
- 7日ごとに自動アセットディスカバリーを実行する.
- 発見されたすべての資産(発見されたすべてのノマド／ローミング・デバイス(ラップトップなど)を含む)に対して,14日ごとに脆弱性の列挙を開始する.
- 発見が完了してから 72 時間以内に,脆弱性の列挙結果(すなわち,検出された脆弱性)の CDM 機関ダッシュボードへの自動取り込みを開始する.
- CISAからの要請を受けてから72時間以内に,特定の資産または脆弱性のサブセットを特定するためのオンデマンドの資産発見と脆弱性列挙を開始し,利用可能な結果を要請から7日以内にCISAに提供する運用能力を開発し維持する.
Nozomi Networks ソリューション
ほとんどの機関は,IT資産と脆弱性を理解するために何年も取り組んできたが,OT とIoT 資産と脆弱性の発見に焦点を当てた機関はほとんどなかった.BOD 23-は,2023年4月までにFCEB機関のすべてのOT ,IoT IPアドレス可能な資産を理解することを義務付けており,Nozomi Networks ,それを支援する実証済みのソリューションがある.
始めよう
Nozomi Networks は,比類のないOT & IT ネットワークの可視性を提供します. 当社は,OT ,ITおよびIoT のすべてのデバイスにわたって脆弱性を追跡します.当社の可視性とセキュリティソリューションは,ネットワーク上のすべての資産とプロトコルを識別し,同種のソリューションよりも誤報が少なく,すぐに価値を提供します.デバイス,プロトコル,プロセスに関する固有の知識により,より深い洞察を提供し,ピンポイントの精度を実現します.当社のソリューションは,コンバージドOT ,IT環境向けに構築されているため,FCEB機関にとって非常に適切な洞察と実用的なインテリジェンスを提供することができます.また,サイトやデバイスの追加が容易なため,復旧までの時間が短縮され,大規模な組織でも真にスケーラブルなソリューションを提供することができます.
デモをリクエストして,Nozomi Networks ,ネットワーク上の資産と脆弱性を正確かつリアルタイムに迅速に把握する方法をご確認ください.サイバー脅威が機関の業務に影響を及ぼす前に,サイバー脅威を予測,診断,対応することができます.
