連邦政府にとって、重要インフラの防衛は最重要課題である。2022年度国防法(NDAA)の導入に伴い、国防総省(DoD)は重要インフラと運用技術(CI/OT )に対する脅威の特定と報告に重点を置くことで、その安全を確保することを第1505条で義務付けている。議会は今後数年間、国防総省のサイバーセキュリティの準備態勢と、ミッション・クリティカルな資産と運用インフラをどのように保護するつもりなのかを把握するための継続的なブリーフィングを行い、重要インフラの安全確保の重要性を訴え続けるだろう。
このブログでは、軍事作戦における脅威の状況の変化、NDAA第1505条の必要性、Nozomi Networks 、NDAA第1505条への準拠をどのように支援できるかについて説明する。
重要インフラに対するサイバー攻撃が増加中
悪意あるサイバー敵対者は、水処理施設、輸送システム、エネルギー・グリッド、病院など、私たちの経済や社会に不可欠なものすべてに対して攻撃を仕掛ける意欲を示している。
2021年、ハッカーがカリフォルニア州の浄水場のコンピューターシステムにアクセスし、水の供給を制御するプログラムを削除した。こうした重要なサービスへのアクセスを不能にし、拒否することで、重大な被害や損害が発生し、人命が失われることさえある。
コロニアル・パイプラインの攻撃は、我々の生活様式がいかに脆弱であるかを痛感させるものだ。ハッカーはコロニアル・パイプラインのネットワークを停止させ、東海岸のガソリンスタンドに長蛇の列と品不足をもたらした。
軍事作戦には民間企業と同様の脆弱性がある
軍事作戦には、コントローラー、センサー、発電、HVACシステム、生命・安全システム、その他重要なプロセスを監視・駆動するコンピューター制御のインフラなど、同じように脆弱なシステムやアプリケーションがあります。国防総省は、海外でも国内でも国家安全保障の確保に責任を負っており、そのインフラを理解することは極めて重要です。民間部門と同様、国防総省は、数万から数十万のシステムやデバイスを管理するために、サイバーセキュリティツールがほとんどなく、訓練もほとんど受けていない運用エンジニアや技術者に依存してきた。
過去20年間、セキュリティ対策は従来のITに集中しており、CI/OT 環境の保護に関するプログラム方針はなかった。OT 防御はITサイバー技術ほど運用上成熟していない。第1505条により、国防総省はこれらの重要インフラ・システムの安全確保とサイバーセキュリティの準備状況について報告することが義務づけられた。この指令は、物理的な制御システムに対する国家支援者によるよく文書化された攻撃に対応して、重要インフラに対する基本的な可視化および監視能力を展開するための緊急行動の呼びかけの概要を示している。
Nozomi Networks 、NDAA第1505条へのコンプライアンスにどのように役立つか。
Nozomi プラットフォームは、第1505項「サイバースペースにおける運用技術と任務関連地形」の特定の指令を満たすのに役立つ。
- NDAA 第1505条は、国防重要資産と任務重要資産のサイバースペースにおける任務関連地形のマッピングを十分な粒度で完成させるよう国防総省に指示している。
Nozomi Networks は、すべての運用資産と機器の完全な資産目録、脆弱性分析、通信マップを自動的に提供し、常に最新の状態に保つことができる。
- NDAA第1505条は、戦闘司令部に対し、効果的な任務脅威分析を可能にするために、その内部プロセス、責任、機能を開発、制定、修正するよう指示している。
Nozomi プラットフォームは、リスクに優先順位をつけ、どの脆弱性に対処すれば最も大きな影響を与えることができるかを示すのに役立つ。
- NDAA第1505条は、DOD最高情報責任者(CIO)に対し、ポリシー、制御システム標準、リスク管理フレームワーク、運用権限ポリシー、サイバーセキュリティ基準アーキテクチャを確立または変更し、サイバーセキュリティの基本要件を提供するよう指示している。
Nozomi プラットフォームは、運用ネットワークをすべての既知の脆弱性に照らし合わせて検証し、迅速なリスク評価を実行する能力を備えた、あらゆるリスク管理フレームワークの重要な構成要素である。
- NDAA Section 1505 は、統合軍司令部国防総省情報ネットワーク(JFHQ-DODIN)の任務、範囲、態勢を更新し、運用技術と兵器システムの適切な可視性を確保し、米国サイバー司令部(USCYBERCOM)がそのような運用技術を効果的に防御できるようにすることを USCYBERCOM に指示している。
Nozomi プラットフォームの主な機能は、確立されたインシデントレスポンス手順の定義、カスタマイズ、追跡を可能にする。既存の手順は、Nozomi プラットフォームに簡単にインポートできる。
NDAAによる議会への報告義務は、2023年11月に迫っている。準備が十分でない組織は、運用準備の最初の段階として、資産の可視化と脆弱性の認識プロジェクトに直ちに着手する必要がある。
Nozomi Networks がNDAA Section 1505のコンプライアンスにどのように対応できるかについては、こちらからデモをご予約ください。
