米国国防総省はこのほど、同省CIO（Chief Information Officer）のWebサイトで、防衛産業基盤パートナーを主な対象とした「Brilliant at the Basics」を公開しました。これは、特に中小・振興企業が複雑な管理・コンプライアンスの負担を減らしつつ、自社のネットワークや情報資産を守れるようにすることを目的とした実用ガイドです。
公開された「10のベストプラクティス」は以下の通りです。
- フィッシング耐性のある多要素認証（MFA）の導入
- 包括的な資産インベントリ管理
- 戦略的な技術的負債の削減
- 柔軟な技術スタックの構築
- ラテラルムーブメントを抑制する論理セグメンテーション
- リスクベースの脆弱性管理
- 開発ライフサイクル初期からのセキュリティ統合（シフトレフト）
- 安全なAI導入とデータ保護
- レジリエントなバックアップと災害復旧体制
- 技術人材の継続的な準備・教育
例えば1については、SMSやプッシュ通知といった従来の方式を廃止し、より強固なフィッシング体制のある認証方式へ移行することで、機密システムへの不正アクセスのリスクを大幅に低減すると述べています。
また8については、AIや自動化ツールの利用に関して明確なポリシーを制定し、公的・商用AIへの機密データ入力禁止、コンテンツフィルタ、エンドポイント制御などを用いて適切なAI環境を構築することで、先端技術を安全に導入できるとしました。
