サイバーセキュリティ情報共有法（CISA）とは？米国の脅威情報共有の仕組みと関連法律を徹底解説

サイバーセキュリティ情報共有法（CISA）とは

サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act、通称CISA）は、米国で成立した連邦法の一つです。この法律は、サイバー攻撃の脅威に関する情報を政府機関と民間組織の間で共有できるようにし、国家全体のサイバーセキュリティ体制を強化することを目的としています。法案は2014年7月10日に議会で承認され、2015年10月27日に上院を通過しました。

なお、「CISA」という略称は、この法律だけでなく、後述する「サイバーセキュリティ・インフラセキュリティ庁（Cybersecurity and Infrastructure Security Agency）」や、ISACAが運営する「CISA認定資格」も指すため、文脈に応じて区別して理解することが重要です。

CISA（サイバーセキュリティ・インフラセキュリティ庁）の設立と概要

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、米国の重要インフラを守るために設立された連邦政府機関です。管轄は米国全土、本部はバージニア州アーリントンのロスリンに置かれ、2021年時点で約2,500人の職員を擁しています。

CISAの使命は「今日の脅威から国家を守り、パートナーと協力しながら、より安全で回復力のある明日のインフラを構築すること」です。そのために、サイバーセキュリティツールの開発、インシデント対応サービス、評価能力の提供などを行い、政府機関や産業界との連携を促進しています。2020年4月30日には、この使命を象徴する新しいロゴも発表されました。

CISA庁の長と組織体制

CISAの長官（ディレクター）にはジェン・イースタリー（Jen Easterly）氏が就任しており、同氏は着任に際して「CISAのチームに加われることを大変光栄に思う」と述べています。長官は庁の理事会メンバーとして、組織全体の方針を統括する役割を担います。

サイバーセキュリティに関連する主な法律

2015年サイバーセキュリティ法（Cybersecurity Act of 2015）

2015年サイバーセキュリティ法は、連邦政府と民間セクターがサイバー脅威に関する情報を共有するための枠組みを作った法律です。長年の課題であった官民間の情報共有を実現・促進する第一歩となり、両者の世界をつなぐ橋渡し役を果たしています。

2002年サイバーセキュリティ強化法（Cyber Security Enhancement Act of 2002）

2002年のサイバーセキュリティ強化法は、コンピュータ犯罪への対処を強化する法律です。第I部「コンピュータ犯罪」では、米国量刑委員会に対し、連邦量刑ガイドラインを見直し・調整する権限を与え、保護された情報やコンピュータへの不正アクセス、詐欺行為などの犯罪に対応できるようにしました。また、サイバーセキュリティ研究開発、教育プログラム、人材育成、一般市民の啓発と参加を促進する官民パートナーシップの継続的な構築も目指しています。

2014年国家サイバーセキュリティ保護法（National Cybersecurity Protection Act of 2014）

この法律は、国家サイバーセキュリティ保護センター（NCCIC）に対し、米国の非政府組織との間でサイバーセキュリティのリスク、インシデント、分析結果、警告を共有するための「民間窓口」としての役割を果たすことを義務付けています。

2015年国家サイバーセキュリティ保護推進法（National Cybersecurity Protection Advancement Act of 2015）

この法律は、非連邦組織が他の組織のネットワークに対して、スキャン、識別、取得、監視、記録、分析などのネットワーク認識活動を行い、防御措置を講じることに同意ベースで同意できるようにするものです。また、NCCICを連邦および非連邦組織間の双方向の情報共有を調整する民間窓口として位置づけ、その役割を強化しました。

2012年サイバーセキュリティ法（Cybersecurity Act of 2012）

上院指導部との協力のもと策定された2012年サイバーセキュリティ法は、最も重要な資産を安全に保つために必要なツールを提供することを目的とした法案です。連邦政府と民間セクターが重要資産を保護するための法的手段を含んでいました。

重要インフラ保護とは何か

重要インフラの定義

重要インフラ（Critical Infrastructure）とは、その中断や破壊が米国の身体的安全、経済、公衆衛生、国家安全保障に深刻な悪影響を及ぼしうる、物理的ネットワーク、システム群、資産を指します。

重要インフラ保護（CIP）が重要な理由

食料、農業、輸送などは重要インフラの代表例であり、これらは必ず保護されなければなりません。あらゆる国の政府には、自然災害、テロ攻撃、そして現代においてはサイバー攻撃から、こうした重要インフラ資産を守る義務があります。

インフラセキュリティの5つの領域

インフラセキュリティは一般的に次の5つの領域で構成されます。

• コンピュータのハードウェア
• コンピュータ上のソフトウェア
• 通信産業（テレコミュニケーション）
• データベースまたはデータウェアハウス（データの集合体）
• 人的資源およびそれに関連する手順・プロセス

16の重要インフラセクター

米国では、化学、通信、製造、ダム、防衛産業基業基盤、緊急サービス、医療・公衆衛生、エネルギーなど、多数のセクターが重要インフラとして指定されています。各セクターの施設やシステムは、国家の機能を支える基盤であり、個別の保護策が求められます。

NIST／CISAサイバーセキュリティフレームワークの5つの機能

CISAフレームワークでは、組織が公私のリソースと連携できるよう、次の5つの機能領域が定められています。

1. Identify（識別）：自組織の資産、リスク、脆弱性を把握する
2. Protect（防御）：適切な保護対策を講じてサイバー攻撃を防ぐ
3. Detect（検知）：サイバーイベントを迅速に発見する
4. Respond（対応）：検知されたインシデントに適切に対処する
5. Recover（復旧）：被害を受けた機能やサービスを復元する

AIS（自動指標共有）とは

AIS（Automated Indicator Sharing）は、CISA庁が提供する自動化された脅威情報共有の仕組みです。機械可読形式のサイバー脅威指標と防御措置を自動的に共有することで、AISコミュニティの参加者を保護し、サイバー攻撃の可能性を低減します。

脅威情報共有の意義とCISCP

脅威情報の共有とは、組織間でサイバー脅威に関する情報をやり取りし、通常では入手できない情報へアクセスできるようにする取り組みです。パートナー組織の知識、経験、能力を活用することで、自組織のセキュリティ態勢を大幅に強化できます。

また、サイバー情報共有協力プログラム（CISCP：Cyber Information Sharing and Collaboration Program）を通じて、連邦政府は重要インフラの所有者・運営者との間で情報を共有し、相互の信頼関係を構築することができます。官民の協力と知識交換こそが、サイバー犯罪防止の鍵となるのです。

NRMC（国家リスク管理センター）の役割

国家リスク管理センター（NRMC：National Risk Management Center）は、連邦緊急事態管理庁（FEMA）、政府機関、民間企業と連携しながら、重要インフラの脆弱性分析およびリスク分析を調整する組織です。国家規模でのリスク管理の中核を担っています。

国家重要機能（NCF）とは

国家重要機能（NCF：National Critical Function）とは、米国の安全保障、国家経済安全保障、公衆衛生または公共の安全にとって不可欠な、政府または民間セクターの機能、あるいは複数機能の組み合わせを指します。

サイバーセキュリティの基本的な目的

サイバーセキュリティ（情報セキュリティ、ITセキュリティとも呼ばれます）とは、電子機器、ビジネスデータ、コンピュータネットワークを盗難、紛失、破損、妨害から守るとともに、業務の誤作動や混乱を防ぐ一連のプロセスです。個人や組織は、スマートフォン、ノートパソコン、タブレット、デスクトップPCなどのデバイスを窃取や損傷から保護し、そこに含まれる情報の安全性を確保することで、サイバー攻撃のリスクを低減できます。

CISA認定資格の魅力と難易度

CISA資格は取得する価値があるか

ジュニア〜ミドルレベルのIT監査人であれば、CISA資格を取得する価値は間違いなくあります。内部監査、ITコンサルタント、プロジェクトマネージャー、その他サイバーセキュリティ関連の職務に従事する方にとって、キャリアアップにつながる有力な資格です。

合格ラインと難易度

ISACAの認定ワーキンググループによれば、450点以上が合格の最低基準とされており、800点満点がすべての問題に正解した状態を示します。ただし、CISA試験は難易度が高く、受験者の約50%しか合格できず、初回受験者に限れば合格率は30%程度まで下がることもあります。そのため、計画的な学習と十分な準備が不可欠です。

CISA保有者の年収水準

CISA資格を持つIT監査人の年収は、おおむね52,459ドルから122,326ドルの範囲に分布しています。Payscaleの給与推計では、平均年収は約102,856ドルとされており、資格取得が収入面でも有利に働くことが分かります。

まとめ

サイバーセキュリティ情報共有法（CISA）をはじめとする一連の米国の法律と制度は、政府と民間が一体となってサイバー脅威に対処するための重要な基盤です。CISA庁によるAISやCISCPといった情報共有の仕組み、NISTフレームワークの5つの機能、そして重要インフラ保護の取り組みは、今日の高度化するサイバー攻撃に対抗するうえで欠かせない要素となっています。日本国内でも官民連携による脅威情報共有の重要性が高まっており、米国の事例は多くの示唆を与えてくれるでしょう。