ホワイトハウスは水曜日、米国社会に不可欠な主要なプライベートネットワークを保護することを目的とした自主的なサイバー基準を発行したが、そのメリットが顕著になるまでには何年もかかる可能性がある。
業界にとっては任意だが、データ侵害を政府に報告することを奨励するこのガイドラインは、連邦請負業者には義務付けられることが予想されている。
政府供給業者らは、基準の策定に関与していると感じており、その柔軟性が負担にならないことに満足していると述べている。しかし、その柔軟性により、日常生活を支えるエネルギーや医療分野などの「重要インフラ」産業が脆弱なままになるのではないかとの懸念から、一部の安全保障監視員らは立ち止まっている。
商務省は水曜日の釈放により、オバマ大統領が2013年2月12日に設定した1年間の期限を守った。大統領令技術者から企業の役員に至るまで、誰にとっても理解できる厳選した管理メニューを開発し、最終的には業界におけるルーブリックの存続可能性を決定します。民間部門は最も重要なインフラを運営しています。
オバマ大統領は声明で「今日、数百の企業、複数の連邦機関、世界中の貢献者の功績を反映したサイバーセキュリティの枠組みを受け取ってうれしく思う」と述べた。 「この自主的な枠組みは、民間部門と政府がこの共通の課題に対処するためにどのように協力できるか、またそうすべきかを示す好例です。」
この普及を促すため、連邦当局は先月、多くの基準への準拠を条件として契約を締結する計画を発表した。
オバマ政権当局者から説明を受けた業界団体によると、データ漏洩の当局への報告は基本的に政府全体の請負業者に義務付けられることになる。現在、報告は通常、機密情報、または国防総省の技術データ、コンピュータ ソフトウェア、およびその他のいわゆる非機密管理技術情報の侵害に対してのみ義務付けられています。
オバマ政権高官らは水曜日の記者団との電話会談で、ほとんどのベンダーは事件が起きた際に連邦組織図内の誰に連絡すればよいのか分からないと述べた。当局者らは、請負業者と協力して、事件の各段階で適切な機関へのルートを支援すると述べた。たとえば、国土安全保障省と協力して感染症を封じ込めたり、FBI やシークレットサービスと連携して犯罪捜査を行ったりする場合があります。
政府を代表する業界団体であるプロフェッショナル・サービス評議会の執行副社長、アラン・チョヴォトキン氏は、今後2～3年以内に、多くの場合、違反行為があったことにすら気づいていないサプライヤーは契約上、政府に報告する義務を負うだろう、と述べた。ベンダー。
「住宅都市開発省を支援する請負業者に関する機密情報は存在せず、管理された技術情報もそれに比べて非常に少ない」と同氏は述べた。 「今日ではすべての政府請負業者の一部にしか課せられていない要件を、政府全体に課そうとしているのです。」
サプライヤーにとってはコンプライアンス上の問題や追加コストが発生する可能性があるとChvotkin氏は述べた。
複雑になるのは、「被害の程度、政府が法医学的調査を行っている間に侵入して機器やネットワークを押収できるかどうかを評価することだ」と同氏は述べた。
「その違反によって他社に対して会社はどのような責任を負うのか？それらは単なる報告ではなく、より大きな障壁となる」と同氏は述べた。 「報告書を作成した場合、二次的、三次的な影響が生じるため、企業は報告書を作成する前に時間をかけて評価します。」
一般に、請負業界は標準制度に満足しているようです。
この形式により、各組織は、潜在的な脆弱性の特定から侵入成功からの回復まで、ハッカーに対処するためのベスト プラクティスの計画を選択できます。ベスト プラクティスは、連邦規格および業界標準の概要から引用されています。
「それは幅広い選択肢について述べている。それは単一の項目ではない。常にA、B、C、Dを実行せよとは言っていない」とチョボトキン氏は語った。
同氏は、「企業の規模、リスクの性質、企業が属する市場に応じて調整できる規制を好む」と述べた。 「重要なのは、あなたがどの業界に属しているかではありません。あなたが政府の請負業者であるかどうかではありません。重要なのは、あなたが携わっているビジネスの性質、サイバーセキュリティの脅威についてのリスク評価です。」
2013年2月の大統領令では、「重要インフラ」を「米国にとって非常に重要であり、そのようなシステムや資産の無力化や破壊が安全保障、国家経済安全保障、国家公衆衛生や安全に衰弱させる影響を与える」資産と定義している。
重要インフラ企業を代表する団体であるインターネット・セキュリティー・アライアンスの関係者らは今週初めの声明で、新しいルーブリックによりこれらの業界は脆弱なままになると述べた。当局者らは、「国民国家や国民国家関連の情報源、そして増加する犯罪組織を含む高度な攻撃者は、基本的な基準や慣行によっては実質的に阻止できないだろう」と述べた。彼らは 2012 年の Ponemon Institute-Bloomberg を引用しました。勉強その結果、真珠湾規模の壊滅的なサイバー攻撃を防ぐには、企業はネットワーク防御にほぼ9倍の費用を費やす必要があることが判明しました。