CISAサイバーセキュリティとは？米国サイバーセキュリティ庁の役割と重要インフラ保護を徹底解説

CISAサイバーセキュリティとは何か

CISA（Cybersecurity and Infrastructure Security Agency／サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、アメリカ合衆国国土安全保障省（DHS）傘下の連邦機関で、国家のサイバー空間と重要インフラを守る中核的な存在です。民間企業や地方自治体など多様なパートナーと連携しながら、現代のサイバー脅威への対処や、国家インフラの安全性・信頼性の強化に取り組んでいます。

CISAの設立経緯と組織概要

CISAは2018年、国土安全保障省の主導のもと、初代所長クリストファー・クレブス（Christopher Krebs）のリーダーシップによって設立されました。前身はDHS内のNPPD（国家保護プログラム局）であり、その任務を引き継ぐ形で発足しています。

CISAはNSAの一部なのか？

よくある誤解ですが、CISAは国家安全保障局（NSA）の一部ではありません。CISAは国土安全保障省（DHS）傘下の独立した機関であり、NSAは国防総省管轄の諜報機関です。両者はサイバーセキュリティ分野で協力関係にあるものの、組織としてはまったく別の存在です。

CISAの目的とミッション

CISAの目的は、国家レベルでサイバー脅威を予測・優先順位付け・管理する能力を高めることです。そのため政府機関や産業界と協働し、より協力的なアプローチを推進しています。主な活動は以下の通りです。

• 連邦政府と連携し、サイバー攻撃から国家のコンピュータネットワークを防御する能力を構築する
• 政府各省庁に対し、サイバーセキュリティツール、緊急対応サービス、評価機能を提供する
• 重要インフラ分野におけるセキュリティとレジリエンス（回復力）のベストプラクティスを促進する
• 開放性・相互運用性・信頼性・安全性を備えたインターネット利用を推進する

重要インフラ（Critical Infrastructure）とは

「重要インフラ」とは、アメリカの物理的・経済的セキュリティを維持し、国民の健康と安全を確保するうえで不可欠な物理的およびサイバー上のシステムを指します。高速道路、橋梁、トンネル、鉄道、公共事業施設、建物など、日常生活の正常維持に必要な基盤が含まれます。これらが失われたり破壊されたりすれば、国家の経済・物理的セキュリティは深刻な打撃を受けることになります。

なぜ重要インフラ保護（CIP）が重要なのか

重要インフラ保護（Critical Infrastructure Protection：CIP）は、地域の食料、農業、交通などを守るための取り組みです。各国政府には、自然災害、テロ活動、サイバー攻撃といった脅威から、これらの不可欠なインフラを守る責務があります。

PPD-21で指定される重要インフラ部門

大統領政策指令21号（PPD-21）では、重要インフラ部門として以下が挙げられています。

• 化学産業部門
• 商業施設部門
• 通信部門
• 重要製造業部門
• ダム部門
• 防衛産業基盤部門
• 緊急サービス部門
• エネルギー部門

実際には、これらに加えて運輸、水道、金融サービス、医療・公衆衛生なども含めた16部門が指定されています。

NRMC（国家リスク管理センター）の役割

国家リスク管理センター（NRMC：National Risk Management Center）は、計画・分析・協働のための拠点として機能します。主要なステークホルダーを集め、重要インフラに対する最も重大なリスクを特定、分析、優先順位付け、管理することを目的としています。

「CISA資格」との違いに注意

「CISA」という言葉にはもう一つの意味があります。それがISACAが運営する「Certified Information Systems Auditor（認定情報システム監査人）」という世界的な資格です。政府機関のCISAとはまったく別物なので、混同しないよう注意しましょう。

CISA資格とは何か

CISA資格は、IT監査人やビジネスシステムの監査・統制・モニタリング・評価に携わる専門家向けの、世界的に著名な認定資格です。企業環境における脆弱性の評価や統制の実装能力を証明するものであり、IT監査分野のグローバルスタンダードとされています。

CISA試験の勉強期間はどれくらい？

毎日2〜3時間の学習を2ヶ月間続ければ、試験対策として十分な準備ができると言われています。ただし、必要な期間は個人のスキル習得度や実務経験の有無によって異なります。

サイバーセキュリティのキャリアと教育

サイバーセキュリティはストレスの多い仕事？

サイバーセキュリティの仕事、特にインシデント対応では大きなストレスを感じることがあります。重大なインシデント発生後は総出での対応となり、すべての作業が時間的プレッシャーの中で行われます。被害を封じ込めるために長時間労働が必要になるケースもあるでしょう。

サイバーセキュリティにコーディングは必要？

ほとんどのエントリーレベル（初心者向け）のサイバーセキュリティ職では、コーディングスキルは必須ではありません。しかし、経験を積んだ後に応募できるようになるミドルレベル以上のポジションでは、コードを読み書きする能力が求められる場合があります。

サイバーセキュリティ教育とは

サイバーセキュリティ教育の目的は、技術を利用する際にユーザーが直面しうる潜在的リスクについて知識を伝えることです。ソーシャルメディア、チャット、オンラインゲーム、メール、インスタントメッセージなどのインターネット通信手段は、サイバー攻撃の標的になりやすい代表的な例です。そもそもサイバー攻撃とは、インターネットに接続されたハードウェア、ソフトウェア、データを侵害しようとする悪意のある攻撃を指し、こうした攻撃から機密情報やシステムを守ることが教育の核となります。

サイバーセキュリティ意識を高める3つのポイント

• ポイント1：サイバーインシデントがビジネスにもたらす潜在的な影響を、組織全体で明確に理解する
• ポイント2：サイバーセキュリティは全員の責任であるという意識を共有する
• ポイント3：定期的にサイバーセキュリティに関する研修・セッションを実施する

サイバーセキュリティを学べる大学の例

CISAのパートナーと国際的な活動

CISAは連邦政府だけでなく、州・地方・部族（SLTT）政府、民間セクター、国際機関とも協働しています。開放的で相互運用可能かつ安全な相互接続された世界の実現を目指し、ネットワーク防御担当者やリスク管理者が協力して、今日そして未来の重要インフラを守れるようなグローバルな環境づくりを推進しているのです。