攻撃者に狙われるクラウド設定ミス、行政機関の対策を義務化 - 米政府

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は現地時間12月17日、クラウドサービスにおけるセキュリティ強化を求め、法的な拘束力を持つ運用指令を発行した。

連邦の民間行政機関（FCEB）におけるクラウド環境のセキュリティ強化を義務付ける運用指令「BOD 25-01」を発行したもの。

同指令は、「Microsoft 365」をはじめとする特定のクラウドサービスに対し、CISAが策定した「SCuBAセキュア構成ベースライン」の導入を求めるもの。ただし、国家安全保障システムや国防総省、情報機関が運用する一部システムについては対象外となる。

サイバー攻撃への耐性を高めるため、不適切な設定によるリスクを軽減し、設定評価ツールを利用した定期的な監視などを要求。

具体的には、レガシーな認証方式のブロック、すべてのユーザーに対する多要素認証の強制など、ID管理をはじめ、「SCuBAセキュア構成ベースライン」の準拠が求められる。

（Security NEXT - 2024/12/18 ）ツイート