退役軍人省（VA）のサイバーセキュリティミッションとは？使命・eMASS・攻撃事例を徹底解説

退役軍人省（VA）のサイバーセキュリティミッションとは

米国退役軍人省（VA）では、情報技術・運用管理部門（OI&T）の傘下にある情報セキュリティ室（OIS）が、退役軍人の個人情報の安全とプライバシー、そしてVAの情報システムおよびインフラ全体の保護を使命としています。本記事では、VAのサイバーセキュリティに関する基本的な知識から、実際に発生したサイバー攻撃の事例、eMASSなどのセキュリティ管理ツールまでをわかりやすく解説します。

VAの使命と基本方針

VAの使命

VAの使命は、「戦いを担った人々」である退役軍人とその介護者、遺族をケアすることです。中核的価値観に基づき、他者に奉仕するという使命に集中することで、その達成を目指しています。

第4の使命

VAには「第4の使命」と呼ばれる重要な役割があります。それは、戦争、テロ、国家非常事態、自然災害に備えて国を支援するための計画策定と行動です。国家・州・地方レベルの緊急事態管理、公衆衛生、安全、災害救援活動をサポートすることも含まれます。

VAの目標

米国退役軍人サービスの目的は、退役軍人が正当に受け取る権利のある世界水準の手当とサービスを提供することです。その際には、誠実さ、専門性、説明責任、犠牲という最高基準を遵守しなければなりません。

VAが重視するポイント

VAの制度は退役軍人に力を与えるものです。そのため、VAは退役軍人の福祉に焦点を当て、軍務後も有意義で尊厳ある生活を送れるよう、必要な励ましとリソースを提供します。「毎日が初日（EVERY DAY IS DAY ONE）」という姿勢で、退役軍人との距離を縮めることで、これらの優先事項を実現していきます。

VAをめぐるサイバー攻撃の実例

VAはハッキングされたのか？

2010年以降、中国やモスクワ発とされる外部ハッキンググループによる攻撃が、VAのコンピュータに対して複数回行われたことが、6月4日の下院委員会公聴会で明らかにされました。ハッカーは約2,000万人分の退役軍人の暗号化されていないデータにアクセスしたとされています。

また、9月14日には、不明なハッカーがVA財務サービスセンターのサイトに侵入し、退役軍人の医療を担う地域医療機関向けの支払金を不正に流用する事件も発生しました。

さらに2014年には、5,000件以上の退役軍人のeBenefitsアカウントに影響するデータ漏洩が発生し、下院退役軍人事項委員会が詳細な調査を求める事態となりました。

一方で、OrionシステムがVAのITシステムに深く統合されていた時期についても、議会宛ての書簡の中でVAの担当者は「データが漏洩していない確信が持てる」と述べています。

サイバーセキュリティの基礎知識

サイバーセキュリティとは？なぜ重要なのか？

サイバーセキュリティとは、コンピュータ、サーバー、モバイルデバイス、電子システム、ネットワーク、データを悪意ある攻撃から守ることです。あらゆる種類のデータの損失や盗難を防ぐ上で極めて重要な役割を果たし、その対象にはPII（個人識別情報）、PHI（保護医療情報）、知的財産、政府・産業の情報システムなどが含まれます。

サイバーセキュリティの主な目的

サイバーセキュリティの目的は、コンピュータ、ネットワーク、ソフトウェアへの攻撃を未然に防ぐことです。デジタル攻撃の多くは、機密情報の窃取・改ざん・削除、被害者からの金銭恐喝、企業の正常な業務妨害などを狙っています。

基本概念：「CIAトライアド」

サイバーセキュリティの基本原則は「CIAトライアド」と呼ばれる3つの要素から成ります。すなわち、機密性（Confidentiality）、完全性（Integrity）、可用性（Availability）です。このセキュリティモデルは、組織が情報セキュリティポリシーを策定・実施する際の指針となります。

サイバーセキュリティの5つの類型

サイバーセキュリティには主に以下の5つの領域があります。

• クリティカルインフラ（重要インフラ）セキュリティ
• ネットワークセキュリティ
• クラウドセキュリティ
• IoT（モノのインターネット）セキュリティ
• アプリケーションセキュリティ

シンプルに言うと？

簡単に言えば、サイバーセキュリティとは、企業のコンピューティング資産やネットワークに接続されたあらゆるデバイスを、サイバー攻撃のライフサイクル全体にわたって保護する仕組みです。スマートフォン、ノートPC、タブレットなどのデバイス自体の盗難・破損防止だけでなく、そこに格納された情報も守ります。

エンタープライズサイバーセキュリティとeMASS

エンタープライズサイバーセキュリティとは

エンタープライズサイバーセキュリティは、企業データの保護を目的とします。オンプレミス環境とクラウドインフラの両方を守り、サードパーティベンダーの審査を行い、ネットワークに接続された数百万台規模のIoTデバイスの安全確保まで担います。

エンタープライズセキュリティプログラムの目的

エンタープライズサイバーセキュリティプログラムは、組織の人材、予算、技術、プロセスを統合し、大規模なサイバー攻撃に対応できるようにするものです。侵害発生時の被害を封じ込め、再発を防止します。また、企業の業務プロセス、IT資産、従業員情報を保護し、それらの安全性や機密性に影響を与えうる人物や技術的リソースを特定することにも役立ちます。

eMASSとは

eMASS（Enterprise Mission Assurance Support Service：エンタープライズ・ミッション・アシュアランス・サポート・サービス）は、政府開発のGOTS（Government Off-The-Shelf）ソリューションで、包括的かつ統合的なサイバーセキュリティ管理のための幅広い機能を自動化します。主な機能は以下の通りです。

• コントロールスコアカードによる測定
• ダッシュボードレポート
• リスクマネジメントフレームワーク（RMF）に基づくセキュリティ認証パッケージの生成

厳密に管理されたプロセス制御メカニズムにより、承認判断を効率的・効果的・正確に取得できます。また、情報保証（IA）プログラム管理を支援し、RMFプロセスを自動化するサービス指向型アプリケーションでもあり、事業継続性の確保にも貢献します。

VAにおけるeMASSの活用

米国退役軍人省（VA）は、WebベースのSaaS型ソリューションであるeMASSを導入し、包括的で統合的なサイバーセキュリティ管理に関わる多様な活動を自動化しています。国防総省（DoD）でも同様にeMASSが活用されています。

GI Bill（退役軍人教育支援制度）とITキャリア

GI Billでカバーされるプログラム

ポスト9/11 GI Billでは、学費・諸費用に加え、月額住宅手当と教科書手当が支給されます。公立大学に進学する場合は州内学生料金で学費がカバーされますが、私立や営利大学の場合は給付額が少なくなることがあります。

学位取得について

例えば、ビジネスの学位を持っている場合、GI Billを利用してコンピュータサイエンスの学位を新たに取得したり、同じ分野でAA（準学士）、BA（学士）、MA（修士）の学位を取得することが可能です。学士号取得後もGI Billの受給資格が残っていれば、別の学位を取得することもできます。

資格取得の支援

GI Billの給付は幅広いライセンス・認定プログラムに利用できます。例えば、プロジェクトマネジメント認定、薬局技術者認定、不動産業者ライセンスなどです。

IT分野では、CompTIA認定などの資格取得費用もカバーされます。退役軍人はこれらの教育給付（奨学金、職業訓練、IT認定資格など）を活用することで、新しいキャリアへのスムーズな移行が可能になります。

その他の関連情報

VA指令6500とは

VA指令6500（2019年1月23日付）では、VA職員がすべての資産（建物、航空機、船舶など）を特定・管理することが求められています。VAのデータ、人員、デバイス、システム、施設の重要度は、VAの事業目標やリスク戦略に対する相対的な重要性に応じて評価されます。

VA指令（Directive）とは

VA指令に定められた方針は、省内全体で義務付けられるものです。一方、VAハンドブックには、指令の方針を確実に実施するための具体的な手順が規定されています。

VA様式（フォーム）の入手方法

VAの各種様式やサポート資料が必要な場合は、800-698-2411までお問い合わせください。病院や地域事務所など、最寄りのVA拠点でも入手できます。

TMSへの在宅アクセス方法

TMS 2.0のウェブサイトにアクセスし、登録済みのメールアドレスを入力して送信します。すると、ワンタイムパスワードがメールで届くので、画面の指示に従ってパスコードを入力してください。

UPSへのサイバー攻撃

UPSストアでも、POSマルウェアによる攻撃の影響を受け、7か月間にわたる多数のカード取引情報が危険にさらされました。小売業界にとっても、サイバーセキュリティ対策は喫緊の課題となっています。

まとめ

VAのサイバーセキュリティミッションは、退役軍人の情報を守り、VAの情報システムとインフラの安全を確保することにあります。CIAトライアドに基づく基本原則、eMASSによる統合的なセキュリティ管理、そして継続的な改善によって、VAは増加し続けるサイバー脅威に対応しています。退役軍人自身も、GI Billを活用したIT資格取得などを通じて、サイバーセキュリティ分野での新たなキャリアを築くことができます。