「クリティカルソフトウェア」の定義：バイデン大統領のサイバーセキュリティ大統領令を解説

バイデン大統領の指示により、米国立標準技術研究所（NIST）が最近、サプライチェーンで一般的に見られる「クリティカル（重要）」なソフトウェアコンポーネントの定義を更新しました。しかし、あるサイバーセキュリティ専門家によれば、その言葉には奇妙な除外事項が含まれています。

国家のクリティカルなサプライチェーンを見直し、保護するための政権の大統領令の初期実装フェーズにおいて、サイバーセキュリティ技術のどの側面を含めるべきかを提案する中で、NISTは組み込みソフトウェアとファームウェアコンポーネントを除外しています。と、コネクテッドデバイスセキュリティシステムプロバイダーFinite Stateのジェネラルカウンセル、Eric Greenwald氏は指摘します。

このようなコンポーネントがITシステムの保護に「クリティカル」であることを認めつつ、NISTはそれらが初期実装フェーズに含めるには複雑すぎる性質を持つと示唆しています。

NISTは、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、管理予算局、国家情報長官室、国家安全保障局（NSA）を含む多数の他機関からのインプットを得て定義を調整したとしています。国土安全保障省の一部門であるCISAは、NISTの調査結果を基に、レビューの第一フェーズのスコープに該当するソフトウェアカテゴリの独自リストを作成します。

組み込みソフトウェアとファームウェア（デバイスハードウェアの基本的な低レベル制御）が「即座に取り組むには複雑すぎる」とするNISTの主張は、「よくある質問」への回答に含まれています。しかしGreenwald氏は、この簡潔な声明に困惑しています。

「彼らが何を意味しているのかわからない」と氏は言い、NISTの定義が、「クラウドベースではなくデバイス上にあるという理由だけで」、ファイアウォールのような真にクリティカルな要素を除外する効果を持つ可能性があると主張します。

Greenwald氏は、NISTがチップセット上に組み込まれたソフトウェアを初期段階で含めたくないと考えていることは理解できます。「しかし、オペレーティングシステムやアプリケーションレイヤーソフトウェアについて話すとき、それをカテゴリとして除外することは私には理解できません。デバイスソフトウェアとファームウェアの間に、意味のある区別をどのように引けるのかわかりません。」

「複雑さ」はその区別の正当化にはならないと氏は言います。「より複雑であればあるほど、より高度なセキュリティ基準を適用することが重要だと主張します。」

NISTが組み込みソフトウェアとファームウェアで線を引いた動機として、「大統領令の初期実装フェーズで、噛み砕けないほど大きくかみ合わない（手に負えない範囲まで踏み込まない）ようにしたい」という意図がある可能性をGreenwald氏は認めます。クリティカルソフトウェアの定義を過度に拡大すれば、民間テック企業を連邦政府調達から遠ざけるリスクがあるからです。それでも氏は、それが初期アクションからそのクラスのソフトウェアを除外する正当な理由にはならないと言います。

この区別は一部には学術的に見えるかもしれませんが、どのテクノロジープロバイダーが政府と民間の両方に主要なセキュリティシステムを供給する信頼できる存在かという核心に関わります。国防総省は最近、独自の調達基準を強化し、サイバーセキュリティ成熟度モデル認証（CMMC）を発行しました。CMMCは、適格な契約業者がサードパーティ認証を取得し、ソフトウェアを国防総省に販売することを義務付けています。

Greenwald氏は、数十万の契約業者を厳格なコンプライアンスイニシアチブで一気に巻き込む体制が瞬時に確立される可能性を見ています。「誰が正確にこれらの対象となるのかという疑問があります。『明確さの欠如』こそが悪魔なのです。」

しかし、明確さの欠如は、バイデン新政権のサプライチェーン混乱タスクフォースによる即時の注意を要するクリティカルな要素として、組み込みソフトウェアとファームウェアを一見排除しているNISTの姿勢に対しても、Greenwald氏の懸念事項です。氏は、NISTが近く意図を明確にするか、CISAが独自の適用ソフトウェア決定リストで議論のカテゴリを含めることを期待しています。

それでも、両機関が大統領令のフェーズ1でこれらのコンポーネントをパスし続けるなら、「フェーズ2では確実に含まれるだろう」とGreenwald氏は言います。「それらを完全に除外すれば、あらゆる種類のサイバー脅威からシステムを保護する努力を深刻に危険にさらすことになります。」