CISA主導の官民連携セキュリティプログラム 主要人材流出で崩壊の危機：Cybersecurity Dive

CISA主導のもと、官民が連携してサイバー脅威に対処する取り組み「共同サイバー防衛連携」（JCDC）は契約社員の大幅な喪失によって崩壊の危機に陥っている。中国の後ろ盾を得た攻撃者が米国への攻撃を激化させる中、先行きは不透明だ。

[Eric Geller，Cybersecurity Dive]

　米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が民間企業と連携してハッカーを阻止するための主要プログラムは、主要な契約の突然の終了により深刻な打撃を受けた。

官民連携セキュリティプログラム　主要人材流出で崩壊の危機

　事情に詳しい3人の関係者によると、CISAとテクノロジー企業であるICFとの契約が2025年7月25日（現地時間、以下同）に終了したことを受け、共同サイバー防衛連携（JCDC：Joint Cyber Defense Collaborative）は2025年7月28日に多くの支援人材を失ったという（注1）。

　JCDCは企業や他の政府機関、海外の政府と協力し、将来の脅威への備えや、進行中の攻撃活動の分析、防御策に関するガイドラインを発表した。2021年の設立以来、重大インシデントへの政府のリアルタイムな対応を調整し（注2）、新興産業と机上演習を実施（注3）。（電力やガス、鉄道、空港などの）重要インフラ業界の詳細なリスク評価を主導してきた他（注4）、幅広いテーマに関する勧告の作成を先導してきた（注5）（注6）。

　内部事情について語るため、3人はいずれも匿名を希望した。そのうちの1人は「米国国土安全保障省（DHS）が契約を期限内に更新しなかったため、JCDCで業務に当たっていたICFの契約社員が100人以上から10人に減った」と述べた。

　別の関係者も同ユニットが100人を超える契約社員を失ったことを確認したという。

　契約社員の喪失は、JCDCの共同作業に大きな支障を来す可能性がある。これには大規模なサイバー攻撃に対して民間企業の統一的な対応を取りまとめる能力の低下や、脅威情報を収集し共有する能力の低下などが含まれる。

　JCDCは大きな使命を掲げているものの連邦政府職員は少数しかおらず、日々の業務の多くを契約社員に依存している。業務には、目立たないが重要なメモ作成や会議の手配といった作業も含まれる。事情に詳しい関係者は「特に契約社員はCISAと他の連邦機関との関係を円滑にする役割を担っている」と述べた。関係者によると、100以上の関係機関との関係を管理する連邦政府職員は、JCDCのパートナーシップチームにはわずかしかいないという。

　米国の重要インフラ組織に対する中国政府から支援を受けた攻撃がますます激化し、CISAが攻撃に先んじた対処をしようとしている最中にJCDCの活動に対する混乱が発生した。中国による攻撃活動の全容把握を目的としたCISAの取り組みにおいて、JCDCは先陣としての役割を果たしてきた。

　事情に詳しい関係者の一人によると、現時点でCISAは緊急資金を使って、JCDCに残っているICFの契約社員10人を2週間雇い続けることができるという。そして、2週間ごとの契約延長を会計年度末の2025年9月30日まで繰り返すことは可能だ。しかし、それ以降は残っているICFの契約社員も退職しなければならない。

　CISAで広報を担当しているマーシー・マッカーシー氏（ディレクター）は、声明の中で「当局は本来の権限を回復させることに全力を尽くし、無駄を排し納税者の資金の節約に取り組んでいる」と述べた。また、マッカーシー氏は「CISAが契約を見直して投入する全ての資源が、法的に定められた当局の中核的使命および政権の優先事項に沿っていることを確保する方針である」とも述べている。CISAは、任務に対する業務上の影響を避けるための措置を講じていると付け加えたが、具体的な措置については明らかにしなかった。

　JCDCと契約していたICFは、複数回のコメントの要請に応じなかった。

CISAの他のサイバープログラムもリスクにさらされている

　CISAが締結している契約のうち、ICFとの提携は最近期限が切れたか、または近いうちに期限切れとなる可能性のあるものの一つだ。これは、国土安全保障長官のクリスティ・ノーム氏が、650億ドル規模の省庁におけるほぼ全ての契約を、自らのオフィスが直接承認する形に変更したことが背景にある（注7）。CISAがローンス・リバモア国立研究所と結んでいた、サイバー脅威監視センサーのデータを分析する契約は2025年7月20日に失効し（注8）、同研究所との別の契約も同年3月に期限切れとなった。

　事情に詳しい関係者によると、近く期限切れとなる可能性があるCISAの契約には、国家安全保障事業を展開するPeratonによるサイバー脅威に関する検知および分析の業務、サイバーセキュリティ事業を営むNightwingによるエンゲージメント支援サービス業務、サンディア国立研究所との防御ツールやリスク評価資料の作成に関する業務などが含まれる（注9）（注10）。CISAとこれら3つの組織は、契約についての詳細や期限切れとなる日の確認を拒否した。関係者によると、NightwingとPeratonの契約は更新されなければ2025年8月末で期限切れになるようだ。

　事情に詳しい別の関係者によると、契約の失効がさらに続けば、CISAは深刻な危機に陥る可能性があるという。関係者は「最終的には、実際に業務に当たる人員がいなくなってしまうだろう。人材と専門知識を失っているのに補充されていない」と指摘した。

　事情に詳しい3人目の関係者によると、CISAはICFとの契約の1年間の延長に関するノーム長官の事務所の承認を待っているが、同様の承認待ちの文書が1000件以上あるようだ。

（注1）Joint Cyber Defense Collaborative（CISA ）
（注2）JCDC Success Stories（CISA）
（注3）Joint Cyber Defense Collaborative (JCDC) Artificial Intelligence Cyber Tabletop Exercise Series（CISA）
（注4）JCDC Builds Foundation for Pipelines Cyber Defense Planning Effort（CISA）
（注5）CISA Publishes High-Risk Communities Webpage（CISA）
（注6）JCDC Remote Monitoring and Management Cyber Defense Plan（CISA）
（注7）‘Absolutely nuts’: DHS secretary to review all contract, grant awards over $100k（Federal News Network）
（注8）Lapsed CISA contract impedes national lab’s threat-hunting operations（Cybersecurity Dive）
（注9）Untitled Goose Tool Fact Sheet（CISA）
（注10）Systems Analysis at Sandia National Labs（OSTI）

原文へのリンク