NIST、国家支援ハッカー対策の新サイバーセキュリティツールを公開

特別出版物800-172は、多様な電子システムにおける機密情報保護のために設計されています。

世界中の国々がサイバー戦争を兵器庫に加え、高度なスキルを持つチームを用いて他国への攻撃を仕掛けています。これらの敵対者は「高度な持続的脅威（APT）」とも呼ばれ、目的を長期間にわたり繰り返し追求し、防御側の抵抗に適応するツールとリソースを持っています。

脆弱なデータには、政府、産業界、学術界がさまざまな連邦プログラムの支援のために管理する、機密だが非機密の情報が含まれます。今回、国立標準技術研究所（NIST）から最終版が公開された出版物は、このような「管理対象非機密情報（CUI）」をAPTから保護するためのガイダンスを提供します。NIST特別出版物（SP）800-172、『管理対象非機密情報の保護のための強化セキュリティ要件：NIST SP 800-171の補足』は、国家支援ハッカーの努力を阻止するための一連のツールを提供し、CUIの保護を目的とした別のNIST出版物を補完します。

「サイバー攻撃は静かな武器で行われ、状況によってはそれらの武器は検出不可能です」と、コンピュータサイエンティストでNISTフェローのRon Ross氏は述べています。「次のハッキングの直接的な影響を『感じ』ないかもしれないので、まだ先のことだと思ってしまいがちですが、現実には今まさに起きています。」

連邦政府は、情報システムを用いて幅広いミッションを遂行するため、非連邦サービスプロバイダーに大きく依存しています——情報システムという用語にはコンピュータだけでなく、産業制御システムやモノのインターネットなどの多様な専門技術も含まれます。非連邦システム（州・地方政府、大学、独立研究機関などが使用するもの）に存在する機密連邦情報の保護は極めて重要です。これは連邦政府の業務遂行能力に直接影響するためです。2018年の機密情報漏洩ハッキングが、NISTチームのSP 800-172作業の直接のきっかけとなりました。

ドラフト段階ではSP 800-171Bと番号付けられていたSP 800-172は、その情報が通常より高い暴露リスクにさらされる状況でのCUI取り扱いに関する追加推奨事項を提供します。CUIには、個人の氏名や社会保障番号から重要な防衛情報まで、幅広い情報タイプが含まれます。

「SP 800-171は米国の重要インフラへの大規模サイバー攻撃への対応として開発され、そのコンパニオン文書であるSP 800-172は、APTのような高度なサイバー脅威からの攻撃を緩和するよう設計されています」とRoss氏。「SP 800-172のサイバー防護策を実装することで、システムオーナーは、国家レベルのハッカーが特に高価値な標的と見なしてきたもの——人々、技術、イノベーション、知的財産に関する機密情報——を保護できます。これらが暴露されれば、経済と国家安全保障を損なう恐れがあります。」

強化セキュリティ要件は、SP 800-171の要件に加えて実装されるものです。SP 800-171はAPTに対応するよう設計されていないためです。SP 800-172の要件は、CUIを処理・保存・送信する非連邦システムのコンポーネント、またはそれらのコンポーネントを保護するコンポーネントに適用されます。さらに範囲を絞り込むと、指定されたCUIが重要プログラムまたは高価値資産——最高優先度で保護すべきもの——に関連付けられている場合にのみ要件が適用されます。

主にプログラムマネージャー、CIO、システム監査人などの管理者向けに開発されたこの出版物は、浸透耐性アーキテクチャ、損害制限運用、サイバーレジリエンスと生存性を実現する設計を促進することで、システムコンポーネントのCUI保護を扱います。そのツールは14のファミリーに分類され、一括導入を意図したものではなく、組織のニーズに応じて選択されます。

「このガイダンスを実装する組織の大半は、ここで提供されるすべての強化セキュリティ要件を使いたくはないでしょう」とRoss氏。「特定の強化セキュリティ要件セットを選択する決定は、あなたのミッションとビジネスニーズに基づき、継続的なリスクアセスメントによって導かれ、情報に基づいて行われます。」

パブリックコメント期間中に寄せられたフィードバックへの対応として、最終ドラフトには更新されたスコーピングと適用ガイダンス、組織がセキュリティソリューションをカスタマイズできるより柔軟な要件選択アプローチが含まれています。

Ross氏は、この新出版物のツールが、APTのような脅威に対しても防御を求めるすべての人に希望を与えるべきだと述べています。

「敵対者はサイバー攻撃で『本気』を出し続けています。週7日、24時間体制で」と氏。「SP 800-172のサイバー防護策を使えば、ダメージを最小限に抑え始めることができます。」

原典：https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers