米国のCISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）は、サイバーセキュリティの水準を引き上げるため（注1、注2）、2022年10月27日、37項目から成る「クロスセクターサイバーセキュリティのパフォーマンス目標」を発表した（注3）。難解なものではない。運用上のセキュリティを最低限確保するロードマップとして、広く活用できる内容だ。

　技術的なものから戦術的なものまで、37個の目標はセキュリティ対策の「コスト」「複雑さ」「影響力」を考慮したものだ。これらの目標は企業が取り得る対策を網羅していない。それでは何の役に立つのか。

　CISAは今回の目標について、「リスク低減の効果が知られている対策のうち、中核となるものを業界を越えて広く適用すること」が目的だと述べている。つまり一般企業が守っていなければならない最低限の目標という位置付けだ。

　37個の目標のうち、CISAは低コストで影響力のある対策を重視する。記事末尾に掲げた表のうち、コストが「\」、影響が「高」となっている16個の目標だ（表の1番目や2番目など）。

　例えば、最低限必要なパスワードの強度を設定することで、パスワードスプレー攻撃やクレデンシャルスタッフィング攻撃に対抗できるようになる（表の4番目）。多要素認証（MFA）を取り入れたり、ブルートフォース攻撃を防御する能力を持たない企業にとって、特に重要な目標だろう。

パスワード強度の次はリーダーシップが重要

　パスワード関連のポリシーも大きな影響を与えるとはいえ、対策としては初歩的だ。CISAはサイバーセキュリティリーダーを任命して、リーダーシップのギャップを埋める必要性を強調する（表の17番目と18番目）。他の項目を実施するためには、リーダーシップが必要だからだ。

　影響力が大きいものの、コスト高で複雑なため、実行が難しい項目も3つある。「未承認デバイスの接続の禁止」（11番目）や「セキュリティ制御の有効性を第三者が検証」（27番目）、「ネットワークのセグメンテーション」（35番目）だ。

　同庁は業界の意見を参考にして、今後1年間、目標を再評価しながら項目の内容を改善していく予定だ。