規制に乗り出したのは米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）だ。2024年12月17日に拘束力を伴う運用命令を発表し、民間企業に対して、「Microsoft 365」の環境に関する設定基準を満たすよう命じた。SaaSアプリケーション環境に対する命令のため、日本企業も影響を受ける。

　CISAでサイバーセキュリティを担当するマット・ハートマン氏（副エグゼクティブアシスタントディレクター）は、2024年12月17日に開催された記者会見で「昨今の幾つかのサイバーセキュリティインシデントでは、クラウド環境のセキュリティコントロールが不適切だったことが原因だ」と述べた。

　CISAの命令は民間企業に対し、2025年2月21日までにMicrosoft 365の環境で稼働する全てのクラウドテナントを特定し、同年6月20日までにCISAの基準「Secure Cloud Business Applications」（SCuBA）に準拠した設定を実装するよう求めた。

　CISAによると、クラウド環境におけるセキュリティ強化を求める命令は、昨今のサイバーセキュリティインシデントに対応したものであり、特定の脅威に基づくものではないという。CISAの関係者は拘束力を伴う運用命令の発令につながった昨今の悪質な活動の詳細を明らかにしていない。

　今回の取り組みは連邦のクラウド環境を保護するために一貫したアプローチを構築するというCISAの取り組みに基づくものだ。この取り組みは、2019年にSolarWindsを標的とした連続的なサプライチェーン攻撃を受けて始まった。

　「推奨されたセキュリティ設計や義務付けられたセキュリティ設計を適用するだけでリスクを容易に軽減できる。だが、設計が古いままだとシステムを攻撃にさらすことになる」（ハートマン氏）

企業はどうすればよいのか

　今回の措置は米国の民間企業に対し、Microsoft 365の環境で稼働する全てのクラウドテナントの名称と、システムを所有する組織をCISAに通知し、情報を毎年の報告書で更新するよう求めている。

　CISAの長官ジェン・イースターリー氏は次のように述べた。

　「この命令は米国の民間企業のみに適用されるものだ。クラウド環境に対する脅威は全ての業界に広がっている。そのため、全ての組織が今回の指針を採用するよう強く求めた。サイバーリスクを軽減し、レジリエンスを確保するには、私たち全員が役割を果たす必要がある」

　今回の命令はMicrosoft 365環境のみに適用されるが、CISAによると、他のクラウドサービスについてもSCuBAの安全な設定基準を発表する可能性があるという。

　Microsoftの広報担当者は、2024年12月18日に次のように述べた。

　「CISAによるSCuBAの構築と民間企業全体での一貫した基準の採用を支援するために、当社は積極的に連携し、取り組みに参加してきた。2024年12月17日に発表された命令を通じて、実用性と拡張性に優れたセキュリティ指針を共同で開発するCISAの迅速な取り組みを支援し、強固なパートナーシップを維持したい」