サイバーセキュリティ情報共有法（CISA）とは？仕組みと重要性を徹底解説

はじめに：「CISA」が指す3つの異なるもの

サイバーセキュリティの分野で「CISA」という言葉を耳にするとき、文脈によって指すものが異なります。2015年に成立した連邦法「サイバーセキュリティ情報共有法」、米国国土安全保障省傘下の機関「サイバーセキュリティ・インフラストラクチャセキュリティ庁」、そしてISACAが認定する「CISA資格」の3つです。本記事では、これらを含むサイバーセキュリティ情報共有に関する幅広いトピックを体系的に解説します。

政府の技術情報共有における役割

官民間の情報共有の枠組みは、各業界・セクターが抱えるリスク特性を考慮した費用対効果分析に基づいて設計されることが重要です。政府には、国民の安全を守り、国家安全保障と経済の安定を確保する責任があります。

サイバーセキュリティ関連の主な法制

サイバーセキュリティ強化法（Cybersecurity Enhancement Act）

この法律は、サイバーセキュリティの研究開発、教育プログラム、人材育成と即応体制、一般市民への啓発と参画を促進するため、継続的かつ自主的な官民パートナーシップを確立することを目的としています。

2002年サイバーセキュリティ強化法

2002年サイバーセキュリティ強化法タイトルI「コンピュータ犯罪」では、米国量刑委員会に対し、連邦量刑ガイドラインを見直し・調整する権限を与え、コンピュータ不正や保護された情報・コンピュータへの不正アクセスに関わる犯罪への対応を強化しました。

IT法2000（Information Technology Act, 2000）

サイバー空間を規律する法律としては、インドの「2000年情報技術法（IT法）」が主要な存在です。同法はサイバーセキュリティを「情報、機器、デバイス、コンピュータ、計算資源、通信機器およびそれらに含まれる情報を、不正アクセス、不正利用、開示、妨害などから保護すること」と定義しています。

2014年国家サイバーセキュリティ保護法

2014年国家サイバーセキュリティ保護法は、国家サイバーセキュリティ・コミュニケーション統合センターに対し、政府外組織との間でサイバーセキュリティ上のリスク、インシデント、分析、警告を共有する際の、米国の民間側窓口として機能することを義務付けています。

2015年サイバーセキュリティ法とサイバーセキュリティ情報共有法

2015年サイバーセキュリティ法は、長年の議論を経て、連邦政府と民間セクターがサイバー脅威に関する情報を共有できる枠組みを作り、その共有を促進・奨励することを目的とした法律です。両者をつなぐ第一歩となる立法となりました。

その中核をなすのがサイバーセキュリティ情報共有法（CISA、S.754、第114議会）で、連邦政府機関と非政府組織がサイバー攻撃の調査過程で得た情報を共有できるようにする連邦法です。外部組織による共有はあくまで任意であり、強制されるものではありません。

重要インフラの保護と情報共有

重要インフラとは何か

重要インフラとは、その機能停止または破壊が米国の身体的安全、経済、公衆衛生、安全に深刻な悪影響を及ぼしうる物理的ネットワーク、システム群、資産と定義されます。

重要インフラ保護が重要な理由

食料、農業、運輸などは重要インフラ（CIP）の代表例であり、必ず保護されなければなりません。世界各国の政府には、自然災害、テロ攻撃、そして現代においてはサイバー攻撃から、こうした重要インフラ資産を守る義務があります。

インフラセキュリティの5つの領域

インフラセキュリティは、大きく以下の5つの領域で構成されます。

• コンピュータのハードウェア
• コンピュータのソフトウェア
• 電気通信
• データベース・データウェアハウス
• 人的資源および関連する手順・業務プロセス

重要インフラ情報（CII）共有の課題

重要インフラ情報（CII）の共有にはメリットがある一方で、リスクも伴います。共有によって重要インフラシステムが攻撃を受けやすくなったり、共有された情報が不正な第三者にアクセスされる可能性があるためです。

情報共有環境の法的基盤

2004年12月に成立した「情報改革およびテロ予防法」は、国家情報長官（DNI）の設置とともに「国家情報共有環境」の創設を定めました。重要インフラ向けの情報共有センターの設立を求めた文書として知られています。

サイバー脅威情報共有の仕組み

ISAC（情報共有分析センター）の役割

情報共有分析センター（ISAC）は、民間セクター（特に重要インフラ事業者）に対し、サイバー脅威に関する情報を収集する場を提供するとともに、攻撃の根本原因、インシデント、防止策などの情報を公的部門と共有できる仕組みです。

CISCP（サイバー情報共有協力プログラム）

サイバー情報共有協力プログラム（CISCP）を通じて、連邦政府は重要インフラの事業者・所有者と情報を共有し、相互の信頼関係を構築することができます。

AIS（自動インジケータ共有）とは

AIS（Automated Indicator Sharing）は、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が提供する機能で、機械可読形式のサイバー脅威インジケータおよび防御策を自動的に共有します。これによりAISコミュニティの参加者を保護し、サイバー攻撃の可能性を低減します。

脅威情報共有とは

脅威情報の共有により、組織は単独では入手できない情報にアクセスできるようになります。パートナー組織の知識、経験、能力を活用することで、自組織のセキュリティ態勢を強化できます。

サイバーセキュリティで情報共有が重要な理由

サイバー犯罪者は毎日、数千もの新しいソフトウェア脆弱性や攻撃手法を発見しています。脅威の状況が絶えず変化する中、セキュリティ専門家が最新情報を維持することは容易ではありません。仲間同士のオープンなコミュニケーションは、集団としての回復力（レジリエンス）を高め、脅威により効果的に対応することを可能にします。このプロセスは「インテリジェンス共有」とも呼ばれます。

政府機関間の情報共有

近年、法執行機関は政府のすべての部門間で大量の情報を共有するようになり、テロ攻撃の検出、防止、対応が改善されました。ただし、法執行機関が情報を交換できるのは、単一の統合されたプロセスによるものではありません。

CISA資格の価値と難易度

CISA資格は取得する価値があるか

結論から言えば、ジュニア〜ミドルレベルのIT監査人、内部監査担当者、ITコンサルタント、プロジェクトマネージャー、その他サイバーセキュリティ関連の職務に就いている方にとって、CISA資格は間違いなく取得する価値があります。

また、CISA資格はキャリアのプロフィールを大きく向上させ、職務上の展望を広げます。CISA資格保持者はどの組織でも高く評価され、未資格者と比べて給与水準や報酬が大幅に高い傾向にあります。

CISA試験の合格点

ISACAの認証ワーキンググループによれば、450点以上が合格ライン（最低限の知識基準）とされています。満点は800点です。

CISA試験の難易度

CISA試験の合格率は全受験者のおよそ50%程度であり、初回受験者に限ると30%まで下がることもあります。そのため、計画的な学習と十分な準備が不可欠です。

CISA資格者の年収

CISA資格を持つIT監査人の年収は、おおむね52,459ドルから122,326ドルの範囲です。Payscaleの推計では、平均年収は約102,856ドルとされています。

CISA資格のメリット

• 就職市場での優位性と雇用機会の拡大
• 組織内での高い評価
• 職場における信頼性・信用力の向上
• ISACAが定める高い専門基準の達成と、継続的な専門教育（CPE）要件の履行支援

CISA（機関）と情報共有の今後

サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の使命は、今日の脅威から国家を守り、パートナーと協力して、より安全で回復力のある明日のインフラを築くことです。同庁はさまざまなセクターを横断して活動しています。

CISAの枠組みではサイバー脅威インテリジェンスが共有されており、公私の協力と知識交換はサイバー犯罪の防止に不可欠です。政府と産業界がCISAを通じて協働できる道は、今後さらに広がっていくでしょう。

まとめ

サイバーセキュリティ情報共有法（CISA）をはじめとする一連の法制や仕組みは、政府と民間が手を携えてサイバー脅威に対処するための重要な基盤です。重要インフラの保護、ISACやAISといった情報共有の枠組み、そしてCISA資格による人材育成は、いずれも国全体のサイバーレジリエンスを高めるために欠かせない要素といえます。脅威が日々進化する今こそ、情報共有の重要性はますます高まっています。