政府コンプライアンスに関する製造業者のサイバーセキュリティTop 5質問

本記事は元々Industry Todayに掲載されました。ゲストブログ投稿：ジェニファー・カーツ、コロラド州のNIST MEPセンターであるマニュファクチャラーズ・エッジのサイバープログラムディレクター、MEPナショナルネットワーク™の代表。

米国国土安全保障省によると、報告されたサイバー攻撃件数ベースで製造業は第2位の標的とされています。さらに、サイバー犯罪者は中小規模製造業者（SMM）を格好の標的と見なします。なぜなら、これらの企業の多くが十分な予防措置を講じていないからです。

国防総省（DoD）の契約者・下請け業者にとって、これまで通りのビジネスは通用しません。外部サービスプロバイダーへの依存度を高める連邦政府は、非連邦情報システムおよび組織における管理対象非機密情報（CUI）の保護において、ハードルを引き上げました。2017年12月31日をもって、すべての連邦政府契約者は国防調達規則補足（DFARS）の最低サイバーセキュリティ要件を満たす義務があり、違反すれば契約を失うリスクがあります。この期限が過ぎても、多くのSMMはシステムアップグレードの知識とリソースを欠き、これら110の新しいセキュリティ要件をどう満たせばよいか途方に暮れています。重要な点として、一般調達規則（FAR）も、一般調達局（GSA）と航空宇宙局（NASA）のために働く政府契約者に、同様のサイバーセキュリティ要件を近く盛り込む予定です。

MEPナショナルネットワークは、米国製造業者に包括的で実証済みのソリューションを提供する官民パートナーシップとして、米国製造業者が情報資産をサイバー攻撃リスクから守れるよう、積極的に啓発と支援を行ってきました。同組織とそのパートナーは、保存・処理・送信される管理対象非機密情報を保護するための適切なセキュリティ実装を目指す米国製造業者の全国的リソースとしても機能します。

以下は、SMMからDFARSセキュリティガイドラインについてよく受ける5つの質問です。

Q: 管理対象非機密情報（CUI）とは？ 自分の契約でこの種の情報を扱っているかどうかわかりますか？

A: 管理対象非機密情報（CUI）は政府所有の独自情報です。政府が安全に保管を求める情報ですが、国家安全保障に不可欠なものではありません。契約にDFARS条項252.204.7012が含まれている場合がありますが、これはCUIを処理、保存、送信する場合にのみ発動します。CUIには、研究・工学データ、工学図面、仕様書、マニュアル、技術報告書、研究・分析、コンピュータソフトウェア実行コードとソースコードなどが含まれます。CUIにはFOUO（公務上のみ使用）などの特別なマーキングと取り扱い指示があります。詳細についてはCUIレジストリを参照してください。

Q: DFARS準拠は法的に義務付けられていますか？

A: 契約にDFARS条項がある契約者・下請け業者は、法的に準拠が義務付けられます。虚偽の準拠主張をすれば、政府契約と関連収益を失い、将来の政府契約からも排除される可能性が高いです。

Q: 私は小規模企業で、政府契約も小規模です。DFARS準拠は私にも適用されますか？

A: 企業規模や契約規模に関わらず、連邦政府契約者または下請け業者としてCUIを処理、保存、送信するなら準拠必須です。サイバー犯罪者はセキュリティ対策が少ない中小企業を狙います。サプライチェーンの下位ティア企業は、主要ターゲットのネットワークに侵入するより容易に侵害される可能性があります。サプライチェーン攻撃は、政府ネットワークに直接侵入するより、管理対象非機密政府情報へのより容易なルートとなり得ます。

Q: 自社が現在DFARS準拠しているかどうか、どう判断すればよいですか？

A: NISTハンドブック162を参照してください。このハンドブックは、製造業者の情報システムをDFARSセキュリティ要件に照らし合わせて評価するステップバイステップガイドを提供します。

Q: 最低DFARSガイドラインを満たしていませんが、コンプライアンスプロセスをどこから始めればわかりません。

A: 政府承認のサイバーセキュリティ計画実装は困難な作業です。まずNIST SP 800-171出版物を見て、DFARS要件を概観できます。また、MEPナショナルネットワークに連絡し、最寄りのMEPセンターに繋いでもらうこともできます。地域のMEPセンターは、コンプライアンスプロセスをガイドする幅広い無料または手頃なサービスとイニシアチブを提供しています。これらには、プロトコルと手順の詳細なギャップ分析を行い、脆弱性とその他のコンプライアンス問題に対処するアクションプランを作成できるサイバーセキュリティ専門家への紹介が含まれます。

Q: 当社は政府契約者ではありませんが、サイバーセキュリティプロトコルを強化したいです。DFARSガイドラインを利用できますか？

A: もちろんです。商用サプライチェーンで事業を行う製造業者は、組織リスク管理の不可欠な側面としてDFARSセキュリティ要件の実装を真剣に検討すべきです。

製造セクターがますますデジタル化する中、ますます複雑化するサイバー脅威を理解、軽減、対応することは、ビジネスを営む上でのコストとなっています。