Atlas Tool Works：サイバーセキュリティ強化でDoD基準適合、6ヶ月で40%→100%達成

この記事は元々『Industry Week』に掲載されました。ゲストブログ投稿：David Boulay、IMEC社長。MEPナショナルネットワーク^TMの一員である、企業卓越性を通じた成長推進にコミットした官民パートナーシップ。

イリノイ州の製造業延伸パートナーシップが、Atlas Tool Worksの国防総省ガイドライン適合をどう支援したか。

Atlas Tool Worksは、小さな家族経営企業で、厳しい公差の部品の専門機械加工・旋盤加工、精密板金加工、金属プレス、複雑なエンジニアードアセンブリを提供しています。従業員72名で、品質と継続的改善への長年のコミットメントがあります。

Atlas経営陣はサイバーセキュリティ強化の必要性を認識していました。米国防総省サプライチェーンの一員として、国防連邦調達規則追補（DFARS）最低セキュリティ基準への準拠が必須で、違反すればDoD契約を失うリスクがありました。また、全社的なサイバーセキュリティ向上が、情報の機密性、完全性、可用性を守ることにもなると理解していました。

要件の理解

専任ITスタッフがいないAtlas Tool Worksは、ガイドライン解読、評価実施、ギャップ特定、2017年12月31日コンプライアンス期限前の改善実行のための支援を必要としていました。

Atlasは、MEPナショナルネットワークのローカル代表であるイリノイ製造卓越センター（IMEC）に支援を要請しました。

NISTサイバーセキュリティ自己評価ハンドブックをガイドとして、IMECチームメンバーがAtlasと協力し、セキュリティ要件を理解しやすいステップに分解・整理しました。

「セキュリティ要件は、私たちにどう適用されるかという点で曖昧でした」とAtlasのチーフアライメントオフィサーZach Mottl氏。「オープンエンドに感じられ、どこから手をつければよいか分かりませんでした。」

Atlasと契約ITプロバイダーと共に、IMECはAtlasがサイバーセキュリティガイドラインに40%しか準拠していないと判定。ネットワーク設定、ポリシー・手順、ITシステム要件、労働力ルール・トレーニングについて改善計画と実装タイムラインを策定し、期限前の完全準拠を目指しました。

「このプロセスを経ることは組織にとって素晴らしかった」とMottl氏。「良い習慣を身につけることがすべてです。製造業にはISOのような製造オペレーション手順がたくさんありますが、情報システム関連プロセスは忘れがちです。

「サイバーセキュリティ要件はすべて、リスク管理、データ保護、侵入防止、適切な関係者への通知に関するものです。中小企業として、特に管理慣行では作業簡素化のためワークアラウンドを作りがちです。しかしDFARS準拠ではそれは許されず、自社セキュリティにとっていかに不可欠かを今理解しています。」

Atlasは実装計画を実行し、現在要件を満たしています。評価結果としての主な変更には、パスコード保護付きサーバールームロック、サーバー・ルーター設定変更によるファイルアクセス追跡、フォレンジック記録用サーバーログ作成が含まれます。ハードウェア・ソフトウェア更新、より厳格なメール暗号化、新しい用語とセキュリティ予防措置理解のための従業員トレーニングも実施しました。

Mottl氏は付け加えます。「DFARS準拠要件対応は、より強靭で安全な組織になるために重要でした。評価は防衛請負業者だけでなく、すべてのビジネスに利益をもたらすと確信しています。」

成果

• 初期評価40%から6ヶ月で100%準拠へ向上
• DFARSサイバーセキュリティ要件への完全準拠
• 情報セキュリティプログラムと報告へのスタッフ意識向上と参加増加

David Boulayは、企業卓越性を通じた成長推進にコミットした官民パートナーシップIMECの社長です。

IMECはイリノイ州におけるMEPナショナルネットワークの公式代表です。MEPナショナルネットワークは、中小製造業者がビジネス成果を生み出し、今日の技術主導経済で成功するのを支援するユニークな官民パートナーシップです。MEPナショナルネットワークは、国立標準技術研究所の製造業延伸パートナーシップ（NIST MEP）、全50州とプエルトリコにある51のMEPセンターで構成されています。