2015年サイバーセキュリティ法の要点とは？目的・主な内容をわかりやすく解説

はじめに

サイバー攻撃の手口は年々巧妙化しており、各国ではサイバーセキュリティに関する法制の整備が急速に進んでいます。この記事では、2015年前後に米国で成立・議論された主なサイバーセキュリティ関連法の目的や内容を中心に、サイバーセキュリティの基本的な考え方や実践的な対策まで、わかりやすく整理して解説します。

サイバーセキュリティ法の目的

サイバーセキュリティ法では、サイバー脅威の予防・管理・対応のために必要または認可された措置や制度改正が定められています。あわせて、重要情報インフラの所有者やサービス提供者への規制など、関連する事項も幅広くカバーしています。

2014年国家サイバーセキュリティ保護法（NCPPA）とは

2014年に制定された国家サイバーセキュリティ保護法では、第28条において、NCCIC（国家サイバーセキュリティ・通信統合センター）が、連邦機関と非連邦組織との間でサイバーセキュリティ上のリスク、インシデント、分析結果、警告を共有するための「窓口（ハブ）」として機能することが規定されました。

同法案は2014年6月24日に上院法案S.2519として提出され、トーマス・カーパー上院議員（民主党・デラウェア州）により上院国土安全保障・政府問題委員会に付託されています。

2015年サイバーセキュリティ法（CISA）の主なポイント

正式名称を「サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act：CISA）」というこの法律は、サイバー脅威に関する情報共有を強化することで、米国全体のサイバーセキュリティを向上させることを目的とした連邦法です。2015年10月27日に上院で可決されました。

NCCICの役割強化

2015年の国家サイバーセキュリティ保護推進法の下で、NCCICの役割は強化され、「連邦機関および非政府組織と、サイバーセキュリティ上のリスク・インシデント・分析・警告に関する情報を共有するための連邦民間窓口」と明確に位置づけられました。

民間事業者への責任保護

2015年サイバーセキュリティ法の重要な目的の一つが、民間事業者に対する法的責任の保護です。第106条では、サイバー脅威情報の共有・受領、得られた情報に基づくセキュリティ強化、ネットワークの監視といった活動が、他者に危害を及ぼさない限りにおいて保護される枠組みが設けられています。

2014年サイバーセキュリティ強化法とは

サイバーセキュリティ強化法（2014年）は、サイバーセキュリティの実装に向けた自発的かつ継続的な官民パートナーシップを促進するとともに、研究開発、教育、一般の啓発活動の向上を図ることを目的とした法律です。

国家サイバーセキュリティ保護システム（NCPS）の機能

国家サイバーセキュリティ保護システムは、複数のシステムを統合した「システム・オブ・システムズ」として構築されており、侵入検知、情報共有、侵入防止といった多彩な機能を提供します。

技術情報共有における政府の役割

政府と民間企業は、それぞれの業界に関わるリスクを踏まえ、情報共有のコストと便益を分析することが求められます。国民の保護者であり、経済の安定を支え、安全と健康を守る存在として、政府には極めて重要な役割があります。

サイバーセキュリティの5つの法則

サイバーセキュリティの世界では、次の5つの「法則」がよく引用されます。

1. 脆弱性があれば、必ず悪用される
2. すべてのものは何らかの形で脆弱である
3. 人間は、信じるべきでない場面でも信じてしまう
4. イノベーションは、新たな悪用の機会を生み出す
5. 疑わしいときは、第1の法則に立ち返る

サイバーセキュリティの基本ルール：パスワード管理

• 氏名・生年月日・書類番号など、推測されやすい情報をパスワードに使わない
• パスワードを他人に教えない、メモして放置しない
• 複数のサービスで同じパスワードを使い回さない（1つ漏洩すると全アカウントが危険にさらされる）

サイバーセキュリティの主な目的

適切なサイバーセキュリティ対策を実施することで、個人や企業はサイバー攻撃による被害のリスクを大幅に低減できます。その中核となるのは、スマートフォン、ノートパソコン、タブレットなどのデバイスと、オンラインや職場で利用するサービスを、盗難・破損・破壊から守ることです。

一般的な定義によれば、コンピュータシステムやネットワークが「安全」であるとは、情報への不正アクセス、ハードウェア・ソフトウェア・データの窃取、サービスの妨害や誤った方向への転用から保護されている状態を指します。これがコンピュータセキュリティ、サイバーセキュリティ、ITセキュリティと呼ばれる分野です。

国家サイバーセキュリティ政策2013の目標

国家サイバーセキュリティ政策2013では、以下のような目標が掲げられています。

• 標準的なセキュリティ慣行を採用する企業への税制上の優遇措置の提供
• 市民データの処理・取り扱い・保存・伝送の全段階における安全性とプライバシーの確保
• サイバー犯罪による経済的損失の削減

また、サイバースペースにおける情報および情報インフラの保護、サイバー攻撃の予防・対応能力の構築、脆弱性の低減、そして攻撃による損失の最小化を、制度・人材・プロセス・自動化・技術の側面から総合的に推進することも掲げられています。

セキュリティ防護システムとは

セキュリティ防護システムとは、破壊工作、火災、スパイ行為、事故などの潜在的な脅威から、人や財産を隔離・保護するための装置や仕組みの総称です。

まとめ

2015年のサイバーセキュリティ法（CISA）をはじめとする一連の法制は、脅威情報の共有促進と民間事業者の保護を軸に、国家全体のサイバー防御体制を強化することを目指しています。法制の動向を理解するとともに、強固なパスワード管理など基本的な対策を日常的に実践することが、個人・組織を問わずサイバー脅威から身を守る第一歩となります。