2015年サイバーセキュリティ情報共有法（CISA）とは？仕組みと目的を徹底解説

2015年サイバーセキュリティ情報共有法（CISA）の基本

2015年のサイバーセキュリティ法で知っておくべきことは？

2015年の国家サイバーセキュリティ保護推進法（National Cybersecurity Protection Advancement Act）により、NCCIC（国家サイバーセキュリティ・通信統合センター）の役割が大幅に強化されました。同機関は現在、「連邦政府機関および非政府組織との間で、サイバーセキュリティ上のリスク、インシデント、分析結果、警告に関する情報を共有するための連邦民間窓口」として明確に位置づけられています。

AIS（Automated Indicator Sharing）とは？

自動インジケータ共有（AIS：Automated Indicator Sharing）は、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が主導する官民連携の取り組みです。機械可読な脅威インジケータと防御策をリアルタイムで交換できる環境を整備することで、AISコミュニティの参加者を保護し、サイバー攻撃の発生率そのものを低減させることを目的としています。

CISA（米国サイバーセキュリティ・インフラセキュリティ庁）の設立経緯

CISAは2018年に設立された比較的新しい連邦機関です。管轄区域はアメリカ合衆国全域で、本部はバージニア州アーリントンのロスリンに置かれており、2021年時点で約2,500人の職員を擁しています。

CISAの役割とは？

サイバーセキュリティ・インフラセキュリティ庁（CISA）は、国土安全保障長官に代わって、米国の重要インフラを保護する責任を担う専門機関です。

サイバーセキュリティ情報共有法（CISA法）とは？

2015年サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act：CISA）は、サイバーセキュリティ情報の交換を規定する米国の連邦法です。この法律は「サイバー脅威に関する情報共有を強化することにより、米国のサイバーセキュリティを向上させる」ことを明確な目的として制定されました。

CISAは効果的かつ堅牢な情報共有を支援するのか？

サイバー脅威に関する情報の収集と活用こそがCISAの中核です。公的機関と民間組織が協力し、継続的に知識を共有することで、サイバー犯罪者を寄せ付けない強固な防御体制を構築できます。政府と民間セクターのさらなる連携を促進する大きな可能性を秘めた制度だといえるでしょう。

CISAはDHS（国土安全保障省）に含まれるのか？

はい。サイバーセキュリティ・インフラセキュリティ庁（CISA）は、米国国土安全保障省（DHS）の傘下にある部局であり、米国全体に対してサイバーセキュリティとインフラ保護を提供しています。

2015年サイバーセキュリティ法とは？

2015年サイバーセキュリティ法の成立により、長年にわたる議論を経て、ついに連邦政府と民間企業がサイバー脅威に関する機密情報を法的に共有できるようになりました。

重要インフラ保護の基礎知識

サイバーセキュリティにおける重要インフラとは？

「重要インフラ」とは、米国の物理的・経済的な安全保障を維持し、国民の健康と安全を確保するうえで不可欠な、物理的システムおよびサイバーシステムの総称です。

重要インフラ保護が重要である理由は？

重要インフラ保護（CIP：Critical Infrastructure Protection）は、地域の食料、農業、交通などの生命線を守るために不可欠です。これらの重要インフラを自然災害、テロ活動、サイバー攻撃から守ることは、各国政府にとって最重要の責務の一つとされています。

インフラセキュリティの主要な領域とは？

インフラセキュリティは大きく以下の領域で構成されます。
・コンピュータのハードウェア
・ソフトウェア
・通信（テレコミュニケーション）
・データベースやデータウェアハウスなどのデータ管理基盤
・人的資源および運用手順

重要インフラの16部門とは？

米国では、化学産業、商業施設、通信、重要製造業、ダム、防衛産業基盤、緊急サービス、エネルギーなど、多数の部門が重要インフラとして指定され、それぞれ保護措置の対象となっています。

関連法令と制度の詳細

サイバーセキュリティ法の目的は？

同法では、サイバーセキュリティ脅威の予防、管理、対応に関して必要または認可された措置や制度改正を行うこと、さらに重要情報インフラの所有者やサービス提供者を規制することが定められています。

サイバーセキュリティ関連の法律にはどのようなものがある？

サイバー空間における主要な法制の一つが、2000年の情報技術法（IT法）です。同法では、サイバーセキュリティを「情報、機器、デバイス、コンピュータ、計算資源、通信デバイス、およびそれらに格納されたデータを、不正なアクセス、使用、開示、妨害から保護すること」と定義しています。

サイバーセキュリティ法案はいつ成立した？

2012年サイバーセキュリティ法は、上院の商務委員会と国土安全保障・政府問題委員会の共同作業として策定されました。サイバーセキュリティの主要課題に対処するため、連邦政府と民間セクター双方に、セキュリティ脅威へ対処するための実効的な手段を与えることを目指した法案です。

技術情報共有において政府に求められる役割は？

政府と民間企業は、それぞれの業界に関連するリスクを踏まえ、情報共有のコストとメリットを冷静に分析すべきです。国家の守護者、経済の安定装置、そして国民の安全と健康の保障者として、政府は情報共有の枠組みづくりにおいて極めて重要な役割を果たします。

2014年サイバーセキュリティ強化法とは？

2014年サイバーセキュリティ強化法（Cybersecurity Enhancement Act of 2014）は、サイバーセキュリティの実施に向けた自主的かつ継続的な官民パートナーシップを促進するとともに、サイバーセキュリティ分野の研究、教育、一般の啓発活動の向上を目的としています。

2015年サイバーセキュリティ法の目的は？

この法律により、インターネットトラフィックに関する脅威情報を、技術企業・製造業者・政府機関の間で共有できるようになりました。関連法案は上院に提出され、2015年10月27日に上院本会議で可決されています。

CISA（DHS傘下の機関）とは？

CISAは、サイバーセキュリティとインフラセキュリティの機能を一元化し、重要インフラを保護するために設立された連邦機関です。その最大の責務は、重要インフラに対するあらゆる脅威からの保護態勢を維持することにあります。

国家リスク管理センター（NRMC）とは？その役割は？

国家リスク管理センター（NRMC：National Risk Management Center）は、計画・分析・協働のための拠点であり、政府・民間を問わず主要なステークホルダーを集約します。重要インフラに対する最も重大なリスクを特定、分析、優先順位付けし、適切に管理していくことがその使命です。

最新技術とサイバーセキュリティの将来

TAXIIとSTIXとは？

STIXとTAXIIという国際標準を実装することで、サイバー攻撃の防止と被害の軽減が可能になります。STIX（Structured Threat Information eXpression）は「何を」脅威インテリジェンスとして記述するかを規定し、TAXII（Trusted Automated eXchange of Intelligence Information）は「どのように」その情報を受け渡すかを規定します。両者は機械可読であるため、共有プロセスを自動化でき、従来の手動による共有方法よりもはるかに高度で効率的です。

AIはサイバーセキュリティを代替するのか？

人工知能が人間の知性を完全に置き換えることはできません。特に脅威の特定と軽減においては、人間の判断力が依然として不可欠です。しかしながら、AIはサイバーセキュリティに多大な影響をもたらします。機械学習によって未知の脅威を発見したり、インシデント対応のプロセスを大幅に改善したりすることが可能になっています。

AIがサイバーセキュリティの未来である理由は？

サイバーセキュリティへのAI導入は、既知の脅威パターンを理解し再利用することで、組織が新種の脅威を迅速に特定する助けとなります。その結果、脅威の検出、インシデントの調査、復旧作業がより容易になり、対応にかかる時間も大幅に短縮されるのです。

まとめ：2015年サイバーセキュリティ情報共有法（CISA）の要点

サイバーセキュリティ情報共有法（CISA）は、調査の過程において、連邦機関と非政府組織がサイバー攻撃に関するデータを相互に共有することを認める画期的な法律です。ただし、政府外の組織の参加はあくまで任意であり、共有したいと望む場合に限られます。官民が脅威情報をリアルタイムでやり取りできる体制は、今後のサイバーセキュリティ対策の要となるでしょう。

関連動画：2015年サイバーセキュリティ情報共有法（CISA）とは？