連邦情報技術・サイバーセキュリティ基準を公布する連邦機関は？NISTの役割と関連知識を徹底解説

連邦のIT・サイバーセキュリティ基準を公布するのはNIST

連邦の情報技術およびサイバーセキュリティ基準を公布しているのは、アメリカ商務省傘下の国立標準技術研究所（NIST）です。各業界でサイバーセキュリティへの関心が高まるにつれ、NISTの影響力と活動範囲は拡大し続けています。NISTは基準やガイドラインの公布にとどまらず、政府情報のセキュリティ確保も担っており、これらの基準は常に更新・進化されています。

サイバースペースを「領域（ドメイン）」と位置付ける機関

アメリカ国防総省（DOD）は、サイバースペースを空・宇宙・陸・海と並ぶ戦争の「領域（ドメイン）」として扱っています。サイバースペースは戦争が確立した第5の領域とされ、米国防総省は2011年にこの領域を正式に計画・教義に組み込みました。NATOも同様に、サイバースペースを計画・リソース配分・運用の対象となる領域として認めています。

サイバースペース領域の定義

国防総省は「領域」そのものを定義してはいませんが、サイバースペースを「インターネット、通信網、コンピュータシステム、組み込みプロセッサなど、高度な情報技術インフラとそこに存在するデータが相互接続されたネットワークから構成される世界的な領域」と定義しています。

サイバースペースを戦略的に位置付けた米国の取り組み

米国政府は、国土安全保障に関する国家戦略の一環として「サイバースペース確保のための国家戦略（National Strategy to Secure Cyberspace）」を策定しました。これは2001年9月11日の同時多発テロを受けた対応として、国土安全保障省が開発したものです。

サイバースペース確保における政府の役割

サイバースペースを通じて国家の安全を守ることは、政府と国民にとって極めて重要な課題です。政府には、高度なセキュリティシステムの構築、IT政策やサイバーセキュリティ政策の策定、ベストプラクティスの基準設定といった責務があります。

国土安全保障省（DHS）の役割と取り組み

国土安全保障省（DHS）は、サイバーテロリストや敵対的な国家がもたらす新たな脅威への適応を進めています。今後、DHSが利用できるツールがより高度になるにつれ、喫緊の国家安全保障上の課題にこれまで以上に対応できるようになるでしょう。

PS-Prepによる民間部門の備えの優先

DHSは、「自主的民間部門備え認定・認証プログラム（PS-PrepTM）」や「Ready Business」などの優先指定に加え、新技術の展開を通じて、すべての備えに関するイニシアチブに民間部門のパートナーを当初から参加させています。

国土安全保障サイクルを支援する責任機関

重大なインシデント発生時に各機関を支援する防衛・対応チームは国土安全保障省の管轄です。DHSの責務は、連邦文官行政部門のシステムをサイバー脅威から保護し、各機関のセキュリティ強化を支援し、機関を守るための対応チームを提供することにあります。

DHSに所属・調整される機関

米国移民税関捜査局（ICE）は2003年3月1日にDHSの一部となりました。任務を引き継ぐにあたり、同局は税関庁と移民帰化局（INS）を統合し、その後、市民権・移民サービス局（USCIS）と移民税関捜査局（ICE）という、サービス提供と執行を担う2つの別個の機関を設立しました。

DHSには22の機関が協働していますが、機関の代表者が指摘したように、情報共有が適切に行われていないという課題があります。また、自然災害への対応方法にもいくつかの弱点が存在します。

さらに、パイプラインのサイバーセキュリティに対応するため、DHSは運輸保安庁（TSA）とサイバーセキュリティ・インフラセキュリティ庁（CISA）を設置しました。DHSと司法省は、要請に応じて、法律に基づく保護を確保しながら政府と情報を共有するためのプロセスに関する情報も公開しています。

情報セキュリティの主要認定資格

CISSP：ANSI/ISO/IEC 17024に適合した最初の認定

CISSP（Certified Information Systems Security Professional）は、ANSI/ISO/IEC規格17024の要件を満たした最初の資格として、情報セキュリティ分野のリーダー的存在です。(ISC)²（国際情報システムセキュリティ認証コンソーシアム）は、CISSPが会員にとって常に価値あるものであり続けるよう役割を果たしています。

CISSPは1994年に誕生した最初の認定資格です。同認定試験は100〜150問のマラソン形式で、完了まで最大3時間かかることもある難関です。新しいCAT形式では、受験者の過去の回答に基づいて経験レベルを判定する仕組みが採用されています。

CompTIA Security+：最初に取得すべきセキュリティ認定

CompTIA Security+は、ITプロフェッショナルが最初に取得すべき最も重要なセキュリティ認定とされています。このコースは、あらゆるサイバーセキュリティ職に必要な知識を確立し、中級レベルのポジションに備えるために設計されています。

情報セキュリティ分野で評価の高い認定資格一覧

• CompTIA Security+
• CompTIA PenTest+
• CompTIA Cybersecurity Analyst（CySA+）
• CompTIA Advanced Security Practitioner（CASP+）
• 認定情報セキュリティマネージャー（CISM）
• CISSP（認定情報システムセキュリティプロフェッショナル）
• SANSのGIAC Security Essentials（GSEC）

その他の関連Q&A

IASDとは？

IASDは「Integrated Approach to Systems Design（システム設計の統合的アプローチ）」の略で、ITインフラの分析と戦略立案を担当する部門を指します。犯罪の防止・検出やハイテク犯罪・経済犯罪の調査などの分野では、多くの民間セキュリティ企業が公共部門よりも優れた技術を活用しています。

イスラエルでサイバーセキュリティを学ぶには？

ITCの「Security and Cyber Analyst」プログラムは、世界有数のエリートプログラムのひとつです。5か月間のトレーニングプログラムに加え、オプションで2か月間のプロジェクトが用意されており、サイバーセキュリティでのキャリア開始を目指す受講者がトップ企業から訓練を受けることができます。

イスラエルの政府機関にガイドラインを提供する機関

イスラエルでは、首相の管轄下にあるイスラエル保安庁（シン・ベート／Sherut haBitachon haKlali）が国家機関として、政府機関・当局に対してセキュリティおよびインフラ保護のガイドラインを提供しています。

法執行分野で使われる略語集

• NCI：National Criminal Intelligence Service（国家犯罪情報サービス）
• CPD：Central Police District（中央警察区）、California Police Department（カリフォルニア警察庁）など、文脈により意味が異なります。
• ASAC：Assistant Special Agent in Charge（副特別捜査官責任者）。FBIでは通常、第二線の監督者を指します。ワシントンDC、ニューヨーク、ロサンゼルスなどの大規模なFBI支局では、ADIC（Assistant Director in Charge）が統括します。
• VP：Vice President（副大統領・副社長）。政府や企業でトップに次ぐ役職を意味します。

まとめ

連邦の情報技術およびサイバーセキュリティ基準を公布するのは、商務省傘下のNISTです。サイバースペースは2011年に国防総省によって第5の戦争領域として正式に認められ、DHSやCISAなどの機関が国家のサイバーセキュリティを担っています。また、CISSPやCompTIA Security+などの資格は、サイバーセキュリティ分野でキャリアを築く上で重要な指標となります。