この10項目を確認し、ベストプラクティスとして活用することが望ましい。CISAによると、サイバーセキュリティの体制が成熟している企業にもこれらの弱点が残っていることがあるという。

　CISAによると、連邦政府のサイバー当局はネットワークの専門家とソフトウェアメーカーに対して「一般的な問題の修正」を要請しており、「セキュアバイデザイン」の原則の重要性を強調した形だ。

　サイバーセキュリティの専門家にとっては、今回の10項目は珍しいものではない。Gartnerのカテル・ティエルマン氏（バイスプレジデント・アナリスト）によると、このリストは10年前に発表されたものからほとんど変わっていないという。

　「大企業がこれらの問題に対処できないのであれば、中小企業はさらに悲惨な状況だろう。これらの設定ミスは、基本的なサイバーハイジーンができていないことを意味するシステム的な弱点だ。今や誰もが知っているベストプラクティスであっても、現実の世界で実施することは決して容易ではない」（ティエルマン氏）

　サイバーセキュリティの基本は（注2）、基本だからといって簡単なものではない。

　「このリストと連邦政府機関からの通達の最大の違いは、ソフトウェアメーカーの行動を促しているかどうかという点だ」（ティエルマン氏）

セキュアバイデザインとセキュアバイデフォルトを推進

　CISAと他の機関は、2023年4月に発表された一連の原則と戦術を推進しており、製品を製造する企業が製品のセキュリティに関する責任を追うべきだと強調し（注3）、製品を使用するユーザーに責任を負わせないように努めている。

　CISAと他の機関は、勧告において次のように述べた。

　「NSAとCISAはセキュアバイデザインとセキュアバイデフォルトの原則を採用して、顧客のセキュリティ向上についてソフトウェアメーカーが主導権を持つように奨励している」

　これらの対策には、最初から製品アーキテクチャにセキュリティコントロールを組み込むこと、パスワードの廃止、多要素認証の義務付け、追加費用を求めることなく高品質な監査ログを取得できることなどが含まれる。

　NSAとCISAは、これらの最も一般的な弱点に対する詳細な対策を共有しており、ネットワーク管理者に対してはデフォルトの認証情報の削除や未使用のサービスの無効化、パッチ適用の自動化、管理アカウントと特権の制限と監視をするよう助言した。

　調査事業を営むForrester Researchのヒース・マリンズ氏（シニアアナリスト）は次のように述べた。

　「これらの対策はプロジェクトの初日から取り組むべきであり、プロジェクトが終わってから対処するのでは遅過ぎる。ハードコーディングされたパスワードはもちろん、ID設定の逸脱や資産保護、ネットワークアクセスは、いずれも日常業務の一部であり、別々に取り組むことではない。経営陣は今回の報告書を警鐘と認識すべきだ。なぜならば、これらの問題は非常に一般的で、まん延しており、セキュリティについて深く理解していない者にはイメージしにくいからだ」