大統領、サイバーセキュリティ強化に向けた包括的な執行命令を発表

アメリカ合衆国の憲法や、どうも数十年前からあるらしい法律に基づいて、まあ大統領としての権限を行使するという話になるみたい。例えば、経済的な緊急事態に関わるいくつかの条文とか、何十年か前にできた移民関連の決まりごと、それから大統領の権限について書かれている章などが引用されているようだ。ただし、どれくらい昔なのかは正確には覚えていないけど、多分半世紀近く前かな。

それで、この一連の根拠を踏まえて、「エグゼクティブ・オーダー」っていう大統領令――番号まで細かく覚えている人は少ないと思うんだけど、その中でも何番台だったかな、とりあえずその命令に対して変更を加えることになったらしい。全部が新しくなるわけではなくて、一部修正っぽい雰囲気もある。正式な手続きとして「ここに命じる」みたいな表現が出てきたりして、よく見ると法律用語らしきものがちらほら入っていた気がする。全体としては、細かい数字よりも、大まかな流れや背景を意識した内容となっている印象だった。

アメリカの大統領令、番号とか日付が書いてあった気がするけど、その内容がちょっとずつ修正されることになっている。なんだか項目の順番も変わったり、いくつか細かい部分が消えたりしているような印象。例えば、二番目の部分だと最初のほうがごそっと消えて、そのあと残ったものに番号を振りなおす形になっていたと思う。ただ全部一気にじゃなくて、一部だけ文章を削除したり、「なんとか命令で国防総省やら国土安全保障省に情報共有を指示した」みたいな文言も見当たらなくなるみたい。それから「新しい」といった表現も、どこかで意図的に外された様子。

四番目ぐらいの項目でも似たような流れで、小さめの段落や下位の細則っぽいところが消える例もある。さらに五番目だったはずの章全体が取り除かれて、それ以降は番号を繰り上げて整理し直す感じかな。八番あたりでは、「侵入検知」とか「ハードウェアルートによる安全起動」、「セキュリティパッチ開発・展開」みたいな技術分野への言及も消えている。

ちなみに、続きとして追加修正も盛り込まれる予定っぽくて、一番最初のセクション自体を書き換える動きまで含まれていたようだ。細かな数字や時期についてはちょっと曖昧だけど、おおよそこれくらいかな…としか今は言えない。全体的には規模感として七十箇所近く手直しというよりは、数ヶ所～十数ヵ所程度で済んでいる印象。ただし変更点ごとによって重要度もちょっと違うので、そのへん一概には語れない気がする。

まあ結局、この一連の調整作業によってサイバーセキュリティ政策周辺では多少方向転換というか、新しい方針への移行期みたいな雰囲気になる可能性は考えられる。ただ実際どこまで影響するかとなると、関係機関や担当者によって受け止め方にも幅があるんじゃないかなぁ、とそんな気持ちになる。

外国のいろんな国とか、犯罪組織がアメリカを狙ってネット上で活動している話は、時々耳にする人も多いかもしれない。中国については特に、どうやらかなり頻繁で持続的なサイバー攻撃を仕掛けてくる存在だと考えられていて、米国政府だけじゃなくて民間企業やインフラのネットワークにも影響が広がっているっぽい。ただ、中国以外でもロシアやイラン、それから北朝鮮なども無関係とは言い切れず、アメリカのサイバーセキュリティを揺るがす要因になっているみたい。

この手のキャンペーンによって、国内で必要不可欠なサービスの提供が妨げられることもあるし、お金に換算すると莫大な損失につながることもあるようだ。何となくプライバシーや日常生活への安心感まで脅かされてしまう感じも否めない。こういう背景から、「もっとちゃんと対策しないと」と思う人たちが増えてきている印象。

なので追加的な対応策として、デジタルインフラ防御とか重要なサービス保護、それに主要な脅威への備え強化なんかを中心に進める動きが出てきた。全部完璧にはできなくても、一歩ずつという感じだろうか。

そうそう、一部では商務省（経済産業省っぽい役割？）やNIST（これも標準化機関みたいなもの）が協力して、新しいガイドライン作りを目指す話も聞こえてくる。このあたりは一年半くらい先までにコンソーシアム組んで、その中で意見交換しながら安全性重視のソフトウェア開発方法とか運用ノウハウなどまとめていく流れになる予定だった気がする。ただ詳細については議論中だったりするので、ときどき状況変わる可能性もありそうだけど。

なんだかもう七十多日くらい先の話らしいけど、商務省の長官がNISTの所長を通じて、あの有名なNIST SP 800-53っていうセキュリティやプライバシーに関するガイドラインみたいなものを、パッチやアップデートを安全かつ信頼できる方法で導入するにはどうすればいいか、その辺りについて新しく指針を加えるって決まったみたい。たしか将来のどこか時点までに出す予定だけど、正確な日付はあまり覚えてない。
それと、年末より少し前になると、同じくNIST所長（この人も結構権限あるみたい）と何人か他機関の責任者にも相談しながらSSDFというフレームワークっぽいものにも仮バージョンで変更案を出すとか。内容はソフトウェア開発や配布時のセキュリティ手順とか例とかが含まれるそうで…まあ全部が全部じゃなくて重要そうな部分中心かな？その後また四ヶ月ぐらい経ったあたりで最終的なバージョンも出す流れになってるようだよ。
さて話はちょっと変わって、昔からインターネット上のトラフィックが安全に流れるにはルーティング情報がちゃんとしていることが大事、と言われてきた。でも最近は「BGP」なんて専門用語使う必要もなく、「一部の関連機関はこうした課題への対応策を実施してください」みたいな表現に置き換えられた感じかな。具体性よりもざっくりした指示になった印象もあるね。
最後に量子コンピュータについて触れていた気がするんだけど、その話はかなり不安定というか…将来的に十分複雑で大きな量子マシン（CRQCとか呼ばれてる）が現れた場合、それによって今現在よく使われている公開鍵暗号技術などがほぼ無力化されてしまう恐れがある――とはいえ、それも本当に起こるかどうかわからない部分も多いので、多くの専門家が注意深く見守っている段階なんだと思う。

あの日付はちょっと曖昧だけど、2022年の春頃だったかな、アメリカ政府が量子コンピュータに関する何か大きな動きを見せていたらしい。要するに、近い将来の量子計算機によって既存の暗号方式が危うくなるかもしれないという話で、それに備えるための準備を始めようとしていた感じだった。まるで「数年後には…」みたいな空気感。

その中で、国土安全保障省（名前が長いので省略しちゃうけど）が中心になり、サイバーセキュリティ庁や国家安全保障局とも相談しながら、「最近出回っているポスト量子暗号対応の商品ジャンル」をときどきまとめて公表することになっていたみたい。ただ、そのリスト自体も定期的にアップデートされるっぽい。これも確か二〇二五年の終わりごろまでに最初のものを出すとかいう話だったと思う。でも正直、「何月何日まで」と明確な締切よりは、ざっくりした予定だった気がする。

あともうひとつ面白かったのは、安全保障系システムとそれ以外で分担して、それぞれ担当する機関（たしか前者はNSA、後者は行政管理予算局だったかな？）が、「遅くとも今から五年後くらいまでにはTLS1.3を使えるよう準備しておいて」と各官庁に求めるという流れ。その時点で全部移行完了じゃなくて、とりあえず「できるだけ早く進めてね」くらいのニュアンスだったような…。全部厳密じゃなくて、ごく一部先行事例とか例外もありそうだし。まあ実際、こういう大規模な移行作業って予定通り進むことって少ないんだよね。

まとめれば、「量子時代への移行」に対して段取り組み始めたけど、本当にみんな足並み揃えて動けるかどうか、不透明さもちょっと残ったまま…そんな状況かな、と誰か言ってた気がする。

AIって、何かと話題になるけど、最近のサイバー防御にも大きく関わっているみたい。具体的には、弱点を見つけ出したり、脅威に気づいたりする速度がこれまでよりもずっと上がった、と言われている。ただし全部が自動化できるわけじゃなくて、人の手もやっぱり要るんだろうな。

さて、どうやら商務省（経済産業省に近い感じかな？）やエネルギー関係、それから国土安全保障など、複数の部門が協力して進めているらしい。でもデータセットの公開範囲については、「最大限可能な範囲で」って表現が使われていて、本当にどこまで開放されるかはまだはっきりしない。しかも大学とか研究者向けに公開される話だけど、企業秘密や国家安全保障みたいな配慮も必要だそう。タイミングとしては、一年以上先の秋ごろだったかな、それくらいまでには進展を目指している模様。

あと、防衛省とか情報機関なんかも絡んでいて、AI関連ソフトウェアの脆弱性管理――つまり問題発生時の追跡や報告体制を既存の仕組みに組み込むことになっている、と説明されていた。でも「必ずしもうまく行く」とは断言できなくて、「現場ごとに調整しながら」みたいな言葉もちょこちょこ出てた気がする。インシデント対応では他部門とも連携して情報交換する場面が増える…という読み方もできそうだ。

結局、この取り組みによって今後何割かのサイバー攻撃への備え方や反応パターンが変わる可能性はあるけど、「すべて解決」という雰囲気では書かれていなかったような印象だった。全体としては、大勢で少しずつ歩み寄るような感じかなぁ、と個人的には思ったりする。

なんだか、政策と現場のズレを埋めていく話が最近増えてきた気がする。各省庁は、どうやらリスクを抑え込むためにネットワークの見える化とかセキュリティ強化みたいな方針を少しずつ固めているっぽい。だけど、実際には投資や優先度も揃っているわけじゃないって声もちらほら。

国家サイバー局長と相談しながら色々決めていくらしいけど、例えばこの取り組み――三年以内くらいかな、正確には覚えてないけど、その辺りでOMB（行政管理予算局）のトップが何か新しい指針というかガイドライン？　そんなものを出す予定になってるとか。それに合わせて既存のA-130とかいう通達も見直す可能性があるらしい。だけど、全部が一気に変わるわけでもないから、「現代的なシステムや仕組みに段階的に適応していく」感じなのかもしれない。

それから、一年ほどのうちに商務省（あれNISTだったかな？）と国土安全保障省、それにOMBあたりでサイバー関係のルール作り――しかも機械判読できる形で進めるパイロットプログラムみたいなのを始める計画があるそうだ。でもこれはまだ試験的な話だから、本格導入までは様子見になるかもしれない。

FAR（連邦調達規則）についても動きはあるようだ。連邦政府向けIoT製品を扱う業者への要件――これも具体的には七十多企業とかじゃなく「かなり多くの供給者」に影響しそうな変更になる模様。ただし、この改定自体は今すぐじゃなくて三年ちょっと先…いや四年弱後だったか、その辺まで猶予期間が設けられるっぽい。細かい日付まで記憶している人は少ないと思う。

全体としては、「徐々に」「大まかな方向性として」セキュリティ対策や透明性強化へ舵を切ろうという流れなんだろう、としか言えない。ただ、それぞれの省庁ごとに事情やスピード感が違うので、一律でこうなるとは限らない……そんな雰囲気だった気もする。

なんだか最近、アメリカのサイバー関連製品には「Cyber Trust Mark」とやらのラベルを付けることが求められているみたいで、七十以上の項目があったかどうかは曖昧だけど、細かな決まりごとが増えているって話だ。ちょっと前までの規則だと、「連邦情報システム」って呼ばれていたものについては例外もあったりして、防衛省とかインテリジェンス関係では、「甚大な影響」があると認定された場合、この新しいルールに全部従うわけじゃない…たぶんそんな感じ。

それから、数年前に出たサイバー攻撃に関する大統領令も何度か手直しされてきていて、その中では結構ややこしい表現が使われていた気がする。たぶん「特定の行為をした人物」という部分、本当は「外国人」に限定しようとして表現を変えたりしてるっぽい。ざっくり言うと、今までは誰でも対象だったところを、「外国に属する個人」に焦点が移ってきてるような？この辺り正確には専門家じゃないと細部把握難しいと思うけど。

そういえば似たような修正は他にも何度か繰り返されていて、一部だけ注釈っぽく書き換えたりしてる。「この命令の一～七節」の適用除外とかもあって、それぞれ例外事項に触れたり、新しく追加された条文との兼ね合いで調整されてることも多い印象。ただし全体像となると記憶が曖昧で断言はできないかな。なので詳細な運用については状況次第で違う場合もありそう、そんな印象だった気がする。

そういえば、この命令に書かれている内容だけど、どうも各省庁のトップとか組織自体が元々持っている権限にはあまり手を出さないみたいな話だった気がする。予算とか議会関係の提案については、なんかOMB（予算管理局？）の役割に触れないようになってるっぽい。その辺は大きく変わらない印象。

あと、多分この命令自体も法律とか、国会で決まったお金がある場合じゃなきゃ進められない感じかな。全部必ず守らなきゃならないというより、その時々の状況によるところが多そう。

それから、よくある話だけど、この命令そのものに何かしら具体的な権利とか利益を生み出す効力まではなさそうだね。たとえば一般市民や職員たちが「この命令のおかげでこうなるはず」と主張して訴えたりできるわけじゃない……とされているっぽい。曖昧だけど、そんなイメージだったんじゃないかな。

この命令の公表にかかる費用については、どうやら国土安全保障省が負担することになるみたいですね。詳細はちょっと曖昧なところもあるようですが、たぶん役所側で処理されるのでしょうか。あと日付なんですけど、ホワイトハウスで発出されたのは初夏も過ぎた頃―六月上旬あたりだったようです。署名にはドナルド・トランプという名前が残っていました。ただ、これがいつまで続く方針なのかとか、その辺りまではよく分からない部分もありそうですね。