（6）アメリカ

2 サイバーセキュリティ戦略および組織体制

（1）サイバーセキュリティ戦略

米国のサイバーセキュリティは、法令・政策面においては、現在、2021年5月に発出された大統領令第14028号 “Executive Order on Improving the Nation’s Cybersecurity”（「国家のサイバーセキュリティを改善する」）^※1、2023年3月の国家サイバーセキュリティ戦略（National Cybersecurity Strategy：NCS）^※2を中心に推進されているといえます。同大統領令では、サイバーインシデントの防止・検知、ゼロトラスト・クラウド活用の推進（エンドポイント検知・対応、SBOM、イベントログの保全など）、消費者向けIoT製品のラベリング制度の構築が謳われています。その他、近年の動きで、注目すべき戦略等について、以下で紹介します。

2.1.1 ホワイトハウスによるNational Cybersecurity Strategy Implementation Planと米国のサイバーセキュリティ態勢に関する報告書

大統領府は、2023年7月、2023年国家サイバーセキュリティ戦略（NCS）を受けて、同戦略実施計画（National Cybersecurity Strategy Implementation Plan）^※3を公表しました。これは、NCSにおけるpillarおよび戦略的目標を前提に、65以上の高インパクトのイニシアチブを掲げ、国家サイバー長官室（Office of the National Cyber Director：ONCD）を筆頭に、各イニシアチブについて所管官庁、およびそれを実施すべき期限を明示したものであり、1年ごとに更新されます^※4。本実施計画に列挙されたイニシアチブでは、2023年から2024年にかけて実施されたサイバーセキュリティ対策を一覧として見てとることができます。国務省によるInternational Cyberspace and Digital Policy Strategy、重要インフラ向けサイバーインシデント報告法（Cyber Incident Reporting for Critical Infrastructure Act：CIRCIA）最終規則案の公表、IoTサイバーセキュリティ・ラベリング制度の開始などは、本計画に基づいて実施されているものです。図表1はその取り組みの例です。

図表1：2023年公表の国家サイバーセキュリティ戦略実施計画の5つの柱

そして、2024年5月、「米国サイバーセキュリティ態勢報告書（Report on the Cybersecurity Posture of the United States）」^※5および2期目の実施計画として国家サイバーセキュリティ戦略実施計画バージョン2が公表されました。

同報告書は、国家サイバー長官の任務の一環として大統領および議会に対して毎年提出することが義務付けられているものであり（6 U.S.C. §1500 (c)(1)(C)(vi)）、前述の実施計画などの連邦政府機関による国家サイバー政策と戦略の実施状況、米国のサイバーセキュリティ態勢、国家サイバー政策と戦略の有効性などを評価するものです。

同報告書では、2023年の環境として、従前からのサイバーセキュリティの課題に加えて、①重要インフラに対するリスクの増大、②ランサムウェアの脅威、③サプライチェーンの悪用、④商用スパイウェアの拡散、⑤AIによるサイバーセキュリティ・リスクの増大が5大トレンドとして列挙されました。また、2023年実施計画の進捗状況として36の取り組みのうち33が完了したとして、成果として、重要インフラを保護するためのサイバーセキュリティ要件の確立、連邦政府のサイバー防衛能力の連携強化、脅威情報の共有、連邦政府機関全体にわたるゼロトラストの実装、SBOMの推進、AI大統領令、国際的なランサムウェア対策、商用スパイウェアに対する対策、などを挙げています。

2023年の同計画書が65以上の取り組みについて説明していたのに対し、2024年の実施計画書バージョン2は100の取り組みを掲げています。新しく加わった取り組みの例は図表2のとおりです^※6。

図表2：2024年公表の国家サイバーセキュリティ戦略実施計画バージョン2の5つの柱

2.1.2 国務省によるInternational Cyberspace and Digital Policy Strategy

2024年5月、国務省は、「国際サイバースペース・デジタルポリシー戦略～革新的で安全、そして権利を尊重するデジタルの未来に向けて」^※7を公表しました。これは、2022年10月の国家安全保障戦略および2023年国家サイバーセキュリティ戦略を受けたものであり、「デジタル連帯（digital solidarity）」をキーワードに新興国への支援、パートナーとの連携を図ろうとするものであり、4つの行動分野（action area）と23個の取り組み方針（line of efforts：LOE）で構成されます。図表3は取り組み方針の一部を抜き出したものです。

図表3：国際サイバースペース・デジタルポリシー戦略の行動分野

2.1.3 NSCによる重要インフラのセキュリティ・レジリエンスに関する国家安全保障覚書

2024年4月、国家安全保障会議（National Security Council：NSC）は、「重要インフラのセキュリティ・レジリエンスに関する国家安全保障覚書（National Security Memorandum on Critical Infrastructure Security and Resilience）^※8」を公表しました。これは、2013年に公表された「重要インフラのセキュリティとレジリエンスに関する大統領政策指令21 (PPD-21)」^※9に代わるものです。

同文書では、重要インフラのセキュリティ強化のための原則として、①行政・インフラの所有者・運営者間の責任の共有、官民連携、②リスクベースのアプローチ、③リスク管理の最低要件の策定と実施、④説明責任と執行メカニズム、⑤堅牢な環境による情報共有、⑦専門知識と技術リソースの活用、⑧国際的な関与、⑨政策の整合、を掲げ、その上で、「重要インフラのセキュリティ、レジリエンス、およびリスク管理に関する連邦政府の役割と責任を明確にする」、「重要インフラのセキュリティとレジリエンスに関する最低限の要件と説明責任のメカニズムを確立する」など8つの目標を掲げてます。

同文書では、上の原則および目標を達成するために、各省庁（特に国土安全保障省＜DHS＞およびセクターリスク管理省庁＜SRMA。定義は後述＞）の役割・責任を明記し、アセットレベルのリスク、国家にとって重大なリスク（nationally significant risk）、セクター固有のリスク、システミックかつセクター横断のリスクに分けて、セキュリティ・レジリエンスの最低要件を定めてリスク管理を行うこと、DHS長官が2年ごとに国家インフラリスク管理計画（National Infrastructure Risk Management Plan）を大統領に提出すること、重要インフラセキュリティ・レジリエンス国家コーディネータ（National Coordinator for the Security and Resilience of Critical Infrastructure）を担うこととなるCISA長官がセクター横断のリスク評価を実施すること、国家コーディネータが国家安全保障等への重要度に照らして「システム上重要なエンティティ（Systemically Important Entities：SIE）」のリストを作成すること（非公開）、重要インフラセクターにおけるインテリジェンス・情報共有のためのメカニズムを構築すること、それらの実施期限等を定めています。

なお、「セクターリスク管理省庁（Sector Risk Management Agency：SRMA）」とは、法律または大統領指令によって指定され、あらゆる危険環境において DHS と連携して指定された重要インフラセクターのプログラムおよび関連活動を主導、促進、サポートするとともに、各セクターの組織的知識と専門知識を提供する責任を負う連邦省庁または機関を指しています（公法 117–263 (6 U.S.C. 650)）。

同文書で定められた重要インフラセクターとSRMAは図表4のとおりです。

図表4：重要インフラセクターとSRMAのマッピング

2.1.4 サプライチェーンに関する大統領令第14123号

2024年6月、大統領令第14123号「サプライチェーン・レジリエンスに関するホワイトハウス評議会（White House Council on Supply Chain Resilience）」^※10が発表されました。これは、2021年2月に公表された大統領令第14017号「アメリカのサプライチェーン（America’s Supply Chains）」^※11を踏襲するもので、2023年11月に設立された同評議会について以下のとおり定めるものです。

• 同評議会の共同議長は、国家安全保障問題担当大統領補佐官（APNSA）および経済政策担当大統領補佐官（APEP）が務める。
• 同評議会は、長期的なサプライチェーンのレジリエンスと米国の産業競争力を強化するための連邦政府の取り組みを調整および促進し、過度の地理的集中やサプライヤー集中を含むサプライチェーンの不安定性、脅威、脆弱性に対処するための協調的な対応を特定して提供し、同盟国やパートナーと機関の連携を促進して、世界的なサプライチェーンのレジリエンスを高めることを目指し、そのために、データ収集と分析に関する各機関の協力と調整のための手順とベストプラクティスを勧告する、サプライチェーンのレジリエンスをサポートするために必要な予算およびその他のリソースを特定する、省庁間組織と調整する、などを実行する。
• 同評議会は、4年ごとに国家または経済の安全保障に重要な産業のサプライチェーンをレビューし、その報告書を大統領に提出する。初回の期限は2024年12月31日である。

2.1.5 サイバーセキュリティにかかる2026年度予算配分に関するOMB覚書

行政管理予算局（OMB）は、2024年7月、覚書M24-14「2026年度予算におけるサイバーセキュリティの優先事項（Administration Cybersecurity Priorities for the FY 2026 Budget）」^※12を発行しました。本文書は、国家サイバーセキュリティ戦略の項目に基づいて、各省庁においてサイバーセキュリティに関して重点的に予算配分をすべき点を示したものです。例えば、関係省庁は、大統領令第14028号に基づき完全に成熟したゼロトラスト・アーキテクチャへの移行を実行する必要があること、移行が遅れている場合は政府管理のサイバーセキュリティ共有サービスを活用すべきこと、更新されたゼロトラスト実装計画を提出すべきこと、前述の国家安全保障覚書に基づきSRMAが責任と要件を満たすのに十分なリソースを確保し、セキュリティとレジリエンスに関する最低要件を策定すべきこと、政府が指定した最低限の安全なソフトウェア開発慣行に準拠していることを証明できるソフトウェア製造者によって提供されるソフトウェアのみを使用すべきこと、などとされています。

2.1.6 CISAによる各種戦略

CISAは、2024年において、例として、以下のような戦略・計画を公表しています。

• 連邦文民行政機関（FCEB）運用サイバーセキュリティ調整（Federal Civilian Executive Branch Operational Cybersecurity Alignment; FOCAL）計画^※13（2024年9月）
• 2025-2026年度CISA国際戦略計画^※14（2024年10月）
• 2024-2026年度CISAサイバーセキュリティ戦略計画^※15（2024年11月）

このうち「2024-2026年度CISAサイバーセキュリティ戦略計画」の内容を紹介します。同計画は、2023年国家サイバーセキュリティ戦略（NCS）および2022年に公表された2023- 2025年度CISA戦略計画に沿って、図表5のように、ビジョンとミッションのもと、3つのゴールと各目標を推進していくものです。

図表5：CISA戦略計画のゴールと目標

2.2 サイバーセキュリティ関係の組織体制

サイバーセキュリティの政策決定、運用に重要な役割を担っている機関は図表6のとおりです。このうち、OMBとONCDは政策を、CISAは連邦文民行政機関（FCEB）におけるサイバーセキュリティの運用を担うというのが基本的な構図です。

ONCDは、大統領府内に設置され、サイバーセキュリティ政策と戦略に関する大統領の主任顧問として、国家サイバーセキュリティ戦略を含む国家サイバー政策・戦略の実施の調整を主導し、その進捗および国家サイバーセキュリティ態勢の現状について年に1回大統領および議会に対して報告をする役割を担います（6 U.S.C. §1500）。

図表6：サイバーセキュリティ政策に関わる主な機関