ホワイトハウスのサイバーセキュリティに関する大統領令の最近の改訂は、多くの論評を呼び起こしました—慎重なものもあれば、センセーショナルなものもあります。多くの見出しは、ソフトウェア認証や検証要件といった、これまでに確立された施策の後退に注目しています。

しかし、この命令を精読し、ホワイトハウスの公式ファクトシートと照らし合わせると、より微妙な実態が見えてきます。最新の大統領令はサイバーセキュリティの進展を完全に覆すものではなく、むしろ優先順位の再定義とトーンの進化なのです。

義務は役立つ—しかしそれが全ての戦略ではない

義務化は進化を推し進めて行きます。それは業界全体の慣行の必要最低基準を明確にし、説明責任を促し、各機関間の整合性を進めます。過去の大統領令や OMB メモランダムは、米国連邦政府内での行動を促し、自身と民間部門を保護してきました。 

しかし、このような義務が存在しない、または修正されたからといって、組織の責任がなくなるわけではありません。サイバーセキュリティは本来政治的であるべきではなく、ビジネス上の必須要件であり、受託者責任とリスク軽減に基づくものです。

量子コンピュータがもたらす脅威、ソフトウェアサプライチェーンの脆弱性、ますます高度化する攻撃者は、政権を超えて存在します。先進的な企業はこれを理解しており、暗号アジリティに投資し、インフラを近代化し、量子コンピュータ時代に備えています。リスクがあまりにも大きすぎて、行動しないわけにはいきません。

セキュアなソフトウェア実践は依然として重要

改訂された大統領令で最も誤解されている要素の一つは、セキュアなソフトウェア開発実践の放棄と見なされている点です。確かに 大統領令は、連邦ベンダー向けの一部コンプライアンスや認証要件を後退させていますが、依然として NIST の Secure Software Development Framework（SSDF）をセキュアコーディングの基盤として強化しています。SSDF は、コード署名を通じたソフトウェアの由来の明確化や、ソフトウェア部品表（SBOM）によるリスク透明性の重要性を明確に強調しています。これらの実践は単なる官僚的なチェック項目ではなく、今日の脅威環境におけるソフトウェアの完全性の基盤です。 

SBOM は世界的に普及が進んでおり、英国、ドイツ、日本などが国家サイバーセキュリティ戦略に組み込んでいます。同様に、耐量子コンピュータ暗号（PQC）は世界的な優先事項です。EU、カナダ、オーストラリアも、公的および民間部門が避けられない複雑な暗号移行に備えるため、ガイダンスを発表したり、施策を開始しています。

これらの施策が改訂された大統領令に引き続き盛り込まれていることは心強いことです。組織は更新をコンプライアンスの負担と捉えるのではなく、トラストを強化し、説明責任を高め、リスクへの曝露についてデータに基づいた意思決定を可能にするツールと見るべきです。

インターネットインフラセキュリティにおける実質的な進展

改訂された 大統領令は、インターネットの基盤である Border Gateway Protocol（BGP）のセキュリティに関する意味のある現実的なトーンの変化を反映しています。今日の BGP のベストプラクティスには、ルートを署名してネットワークトラフィックが正しい宛先に到達することを保証するための Routing Public Key Infrastructure（RPKI）の利用が含まれています。 

従来のガイダンスは「採用すべき」といった 希望的な表現に依存していました。新しい命令では提案を超えて、明確で実行可能なステップが示されています。この変化は後退ではなく進展を示し、グローバルなインターネットインフラを保護するために必要な技術的現実をより深く理解していることを反映しています。

暗号アジリティによる将来への備え

一部の要件が後退したことに関する懸念は依然として妥当です。コンプライアンスや監査義務が緩和されることで、一部の組織が重要なサイバーセキュリティ施策の優先度を下げてしまうリスクがあります。しかし、先見性のあるサイバーセキュリティマネージャーは、強制されるからではなく、リスクや脅威環境が進化する中で将来に備える価値を理解しているからこそ、自社のテクノロジースタックをアップグレードし続けます。

例えば量子コンピュータの脅威は遠い未来の理論的な問題ではありません。今日すでに行動が必要な現実的課題です。暗号資産の棚卸し、証明書管理計画の策定、暗号アジリティのためのインフラ構築が求められます。 

暗号アジリティは特に今この瞬間に重要です。NIST が PQC 標準を最終化し、ブラウザベンダーが証明書の有効期間短縮を強制し始める中で、暗号システムを迅速に適応させる能力はもはや任意ではなく、デジタルトラストを維持し、進化する標準に対応するための必須要件です。このアジリティを欠く企業は、量子コンピュータの脅威だけではなく、運用の混乱やブランドの失墜に対しても脆弱になります。 

主なポイント：政策を待たない

この大統領令は、組織が自らのサイバーセキュリティ戦略により大きな責任を持つよう促すものです。政府の役割は、指針を示し、優先事項を明確化し、イノベーションを支援することです。 

改訂された大統領令を「速度を落としてよい」という許可と誤解してはいけません。サイバーセキュリティの卓越性は、これまで政府の政策だけに依存したことはなく、これからもそうであるべきではありません。

デジタルトラストの最新動向

証明書管理、コンプライアンス、PQC などのトピックについてもっと知りたいですか？デジサートのブログを購読して、最新情報を逃さないようにしましょう。