Loading article…
.svg/500px-Great_Seal_of_the_United_States_(obverse).svg.png) | |
| 長いタイトル | 強制的な情報セキュリティリスク管理基準の開発の要件などを通じて連邦政府の情報セキュリティを強化する法律。 |
|---|---|
| 頭字語 （口語） | 連邦情報局 |
| ニックネーム | 2002年電子政府法 |
| 制定者 | 第107回米国議会 |
| 効果的 | 2002年12月17日 |
| 引用 | |
| 公法 | 107-347 |
| 法令全般 | 116 ステータス 2899別名116 統計。 2946 |
| 成文化 | |
| タイトルを修正 | |
| USCセクション作成 | 44 USC ch. 35、サブチャンネル。 III § 3541 以降 |
| USCセクションの修正 | |
| 立法の歴史 | |
| |
| 主な改正点 | |
| 2014年の連邦情報セキュリティ近代化法に置き換えられた | |
2002年連邦情報セキュリティ管理法（FISMA、44 USC § 3541、以下参照）は、 2002年に電子政府法（Pub. L. 107–347（テキスト）（PDF）、116 Stat. 2899）の第3編として制定された米国連邦法です。この法律は、米国の経済および国家安全保障上の利益に対する情報セキュリティ の重要性を認識しました。 [1]この法律は、各連邦機関に、他の機関、請負業者、またはその他のソースによって提供または管理されているものも含め、機関の運営および資産をサポートする情報および情報システムに対する情報セキュリティを提供する機関全体のプログラムを開発、文書化、および実装することを義務付けています。[1]
FISMA は連邦政府内でサイバーセキュリティに注目を集め、「費用対効果の高いセキュリティのためのリスクベースのポリシー」を明確に強調しました。[1] FISMA は、機関のプログラム担当者、最高情報責任者、および監察官 (IG) に、機関の情報セキュリティ プログラムの年次レビューを実施し、その結果を行政管理予算局(OMB) に報告することを義務付けています。OMB はこのデータを使用して、監督責任を支援し、機関のこの法律への準拠に関する議会への年次報告書を作成します。[2] 2008 会計年度に、連邦政府機関は、政府の総情報技術投資約 680 億ドル、つまり総情報技術ポートフォリオの約 9.2% を確保するために 62 億ドルを費やしました。[3]この法律は、2014 年連邦情報セキュリティ近代化法( Pub. L. 113–283 (テキスト) (PDF)) によって改正され 、FISMA2014 または FISMA 改革と呼ばれることもあります。 FISMA2014 は、米国法典第 44 編第 35 章のサブチャプター II および III を削除し、新しいサブチャプター II ( 44 USC § 3551) に新しい法律のテキストを盛り込んで改正しました。
法律の目的
FISMAは、情報セキュリティシステムを強化するために、連邦政府機関、国立標準技術研究所（NIST）、行政管理予算局（OMB）に特定の責任を割り当てています。特に、FISMAは、各機関の長に、情報技術セキュリティリスクをコスト効率よく許容レベルまで削減するためのポリシーと手順を実施することを要求しています。[2]
FISMA によれば、情報セキュリティという用語は、整合性、機密性、可用性を確保するために、情報および情報システムを不正アクセス、使用、開示、中断、変更、破壊から保護することを意味します。
FISMAの実施
FISMA に従い、NIST は国家安全保障システムを除くすべての機関の業務と資産に適切な情報セキュリティを提供するための標準、ガイドライン、および関連する方法と技術を開発する責任を負っています。NIST は連邦政府機関と緊密に連携して、情報と情報システムを保護するための FISMA の理解と実装を改善し、機関の強力な情報セキュリティ プログラムの基盤となる標準とガイドラインを公開しています。NIST は情報技術研究所のコンピューター セキュリティ部門を通じて法定責任を果たしています。[4] NIST は情報システムとサービスのセキュリティを促進、測定、検証するための標準、測定基準、テスト、検証プログラムを開発しています。NIST は以下を主催しています。
- FISMA実装プロジェクト[1]
- 情報セキュリティ自動化プログラム(ISAP)
- 国家脆弱性データベース（NVD） – ISAPおよびセキュリティコンテンツ自動化プロトコル（SCAP）の米国政府コンテンツリポジトリ。NVDは、標準ベースの脆弱性管理データの米国政府リポジトリです。このデータにより、脆弱性管理、セキュリティ測定、コンプライアンス（例：FISMA）の自動化が可能になります[5]
FISMA およびサポート標準によって定義されたコンプライアンス フレームワーク
FISMAは、米国連邦政府機関の行政部門または立法部門、またはそれらの部門の連邦政府機関に代わって請負業者またはその他の組織が使用または運用するすべての情報システムに従う必要がある情報セキュリティ管理のフレームワークを定義します。このフレームワークは、 NISTによって開発された標準とガイドラインによってさらに定義されています。[6]
情報システムのインベントリ
FISMA では、機関が情報システム目録を作成することを義務付けています。FISMA によれば、各機関の長は、その機関が運営または管理する主要な情報システム (主要な国家安全保障システムを含む) の目録を作成し、維持する必要があります[6] このサブセクションに基づく目録の情報システムの識別には、各システムと、機関が運営または管理していないシステムやネットワークを含むその他のすべてのシステムまたはネットワークとの間のインターフェイスの識別が含まれます[6]最初のステップは、問題の「情報システム」を構成するものを決定することです。コンピューターを情報システムに直接マッピングすることはできません。むしろ、情報システムは、共通の目的のために使用され、同じシステム所有者によって管理される個々のコンピューターの集合である可能性があります。NIST SP 800-18、改訂 1、連邦情報システムのセキュリティ計画策定ガイド[7]は、システム境界の決定に関するガイダンスを提供します。
情報と情報システムをリスクレベルに応じて分類する
すべての情報と情報システムは、リスクレベルの範囲に応じて適切なレベルの情報セキュリティを提供するという目的に基づいて分類する必要があります。 [6] FISMA法で要求される最初の必須セキュリティ標準であるFIPS 199「連邦情報および情報システムのセキュリティ分類の標準」[8]は、セキュリティカテゴリの定義を提供します。ガイドラインは、NIST SP 800-60「情報および情報システムのタイプをセキュリティカテゴリにマッピングするためのガイド」[9]によって提供されています。
FIPS 199 システムの全体的な分類は、システム内に存在する情報タイプのいずれかの基準の影響評価の「最高水準」です。たとえば、システム内の 1 つの情報タイプの「機密性」、「整合性」、および「可用性」の評価が「低」で、別のタイプの「機密性」と「可用性」の評価が「低」で、「整合性」の評価が「中」の場合、「整合性」の影響レベルも「中」になります。
セキュリティ管理
連邦情報システムは、最低限のセキュリティ要件を満たす必要があります。[6]これらの要件は、FISMA 法で義務付けられている 2 番目の必須セキュリティ標準である FIPS 200「連邦情報および情報システムに対する最低限のセキュリティ要件」 で定義されています。 [8]組織は、 NIST 特別刊行物 800-53「連邦情報システムに対する推奨セキュリティ管理」に記載されている適切なセキュリティ管理と保証要件を選択して、最低限のセキュリティ要件を満たす必要があります。組織の情報システムが十分なセキュリティを実現できるように、適切なセキュリティ管理と保証要件を選択するプロセスは、組織内の管理者と運用担当者が関与する多面的なリスクベースのアクティビティです。機関は、特別刊行物 800-53 で提供される調整ガイダンスに従って、ベースライン セキュリティ管理を柔軟に適用できます。これにより、機関はセキュリティ管理を調整して、ミッション要件と運用環境により適合させることができます。選択または計画された管理は、システム セキュリティ プランに文書化する必要があります。
リスクアセスメント
FIPS 200 と NIST Special Publication 800-53 の組み合わせでは、すべての連邦情報と情報システムに対して基礎レベルのセキュリティが求められます。機関のリスク評価では、セキュリティ制御セットを検証し、機関の業務 (ミッション、機能、イメージ、評判を含む)、機関の資産、個人、他の組織、または国家を保護するために追加の制御が必要かどうかを決定します。結果として得られるセキュリティ制御セットは、連邦機関とその請負業者に対する「セキュリティデューデリジェンス」のレベルを確立します。[10] リスク評価は、潜在的な脅威と脆弱性を特定し、実装された制御を個々の脆弱性にマッピングすることから始まります。次に、既存の制御を考慮して、特定の脆弱性が悪用される可能性と影響を計算してリスクを決定します。リスク評価の集大成には、すべての脆弱性の計算されたリスクが示され、リスクを受け入れるか軽減するかが説明されます。制御の実装によってリスクが軽減される場合は、システムにどのような追加のセキュリティ制御を追加するかを説明する必要があります。
NIST はまた、一貫性がありコスト効率の高いセキュリティ制御評価を実現するためのアプローチをサポートし補完する 情報セキュリティ自動化プログラム (ISAP) とセキュリティ コンテンツ自動化プロトコル(SCAP) を開始しました。
システムセキュリティ計画
政府機関は、システムセキュリティ計画プロセスに関するポリシーを策定する必要があります。[6] NIST SP-800-18 では、システムセキュリティ計画の概念が導入されています。[7]システムセキュリティ計画は、セキュリティ管理を実施するための定期的なレビュー、変更、行動計画、マイルストーンを必要とする、常に更新される文書です。計画をレビューし、計画を最新の状態に保ち、計画されたセキュリティ管理をフォローアップする担当者を規定する手順を整備する必要があります。[7]
システムセキュリティ計画は、システムのセキュリティ認証および認定プロセスへの主要な入力です。セキュリティ認証および認定プロセスでは、システムセキュリティ計画が分析、更新、承認されます。認証機関は、システムセキュリティ計画に記載されているセキュリティ制御が情報システムに対して決定された FIPS 199 セキュリティカテゴリと一致していること、および脅威と脆弱性の特定と初期リスクの決定がシステムセキュリティ計画、リスク評価、または同等の文書で特定され、文書化されていることを確認します。[7]
認証と認定
システムの文書化とリスク評価が完了したら、システムの制御を見直し、適切に機能しているかどうかを認定する必要があります。このレビューの結果に基づいて、情報システムが認定されます。この認定および認証プロセスは、NIST SP 800-37「連邦情報システムのセキュリティ認定および認証ガイド」で定義されています。[11] セキュリティ認定は、情報システムの運用を認可し、合意された一連のセキュリティ制御の実装に基づいて、機関の運用、機関の資産、または個人に対するリスクを明示的に受け入れるために、上級機関職員によって行われる公式の管理決定です。OMB Circular A-130の付録 III で義務付けられているセキュリティ認定は、品質管理の一形態を提供し、ミッション要件、技術的制約、運用上の制約、およびコスト/スケジュール制約を考慮して、情報システムで可能な限り最も効果的なセキュリティ制御を実装するように、すべてのレベルの管理者と技術スタッフに要求します。情報システムを認定することにより、機関の職員はシステムのセキュリティに対する責任を受け入れ、セキュリティ違反が発生した場合に機関に及ぼす悪影響について完全に責任を負うことになります。したがって、責任と説明責任はセキュリティ認定を特徴付ける中核原則です。情報システムの運用を許可するかどうかについて、タイムリーで信頼できるリスクベースの決定を下すには、機関の職員が情報システムのセキュリティ状態に関する可能な限り完全で正確で信頼できる情報を持っていることが不可欠です。[11]
セキュリティ認定に必要な情報と裏付けとなる証拠は、情報システムの詳細なセキュリティレビュー（通常はセキュリティ認証と呼ばれる）中に作成されます。セキュリティ認証は、情報システムの管理、運用、技術セキュリティ制御の包括的な評価であり、セキュリティ認定をサポートするために行われ、制御が正しく実装され、意図したとおりに動作し、システムのセキュリティ要件を満たすという点で望ましい結果を生み出している程度を判断します。セキュリティ認証の結果は、リスクを再評価し、システムセキュリティ計画を更新するために使用され、承認担当者がセキュリティ認定の決定を下すための事実上の根拠を提供します。[11]
継続的な監視
すべての認定システムは、選択された一連のセキュリティ制御を監視する必要があり、システムの変更と修正を反映するためにシステム ドキュメントが更新されます。システムのセキュリティ プロファイルに大きな変更があった場合は、リスク評価の更新が必要になり、大幅に変更された制御は再認定が必要になる場合があります。
継続的な監視活動には、情報システム コンポーネントの構成管理と制御、システム変更のセキュリティ影響分析、セキュリティ制御の継続的な評価、およびステータス レポートが含まれます。組織は選択基準を確立し、その後、評価のために情報システム内で使用されるセキュリティ制御のサブセットを選択します。また、組織は、適切なカバレッジが達成されるように制御監視のスケジュールを確立します。
批評
元連邦政府最高情報セキュリティ責任者のセキュリティ専門家ブルース・ブロディ氏とSANS研究所の研究ディレクターのアラン・パラー氏は、FISMAを「善意に基づくが根本的に欠陥のあるツール」と評し、FISMAで義務付けられているコンプライアンスと報告の方法論は、情報セキュリティを測定するのではなく、セキュリティ計画を測定するものだと主張している。[12]元GAO最高技術責任者のキース・ローズ氏は、FISMAは政府システムのセキュリティに役立つし、実際に役立っているが、実装がすべてであり、セキュリティ担当者がFISMAを単なるチェックリストと見なすと、何も達成できないと述べた。[13]
参照
- 攻撃（コンピューティング）
- 国家安全保障システム委員会
- コンピュータセキュリティ
- サイバーセキュリティ
- サイバー戦争
- 国防総省の情報保証認証および認定プロセス
- 連邦デスクトップ コア構成– Windows ワークステーションのNISTセキュリティ標準
- 情報保証
- 情報セキュリティ
- 情報セキュリティ管理システム
- ITリスク
- OMB 回覧 A-130
- セキュリティコンテンツ自動化プロトコル– セキュリティコンプライアンスの自動テスト
- 脅威（コンピュータ）
- 脆弱性（コンピューティング）
参考文献
- ^ abcd 「NIST: FISMA 概要」 Csrc.nist.gov 。 2012 年4 月 27 日閲覧。
- ^ ab 2002年連邦情報セキュリティ管理法の実施に関する2005年度議会報告書
- ^ 2008年度連邦情報公開法の施行に関する議会への報告書
- ^ 「NIST コンピュータセキュリティ部門 2008 レポート」。Csrc.nist.gov。2012年4 月 27 日閲覧。
- ^ 「National Vulnerability Database」Nvd.nist.gov 。 2012年4月27日閲覧。
- ^ abcdef 2002年連邦情報セキュリティマネジメント法（FISMA）
- ^ abcd NIST SP 800-18、改訂版 1、「連邦情報システムのセキュリティ計画策定ガイド」
- ^ ab 「FIPS 出版物のカタログ」。Csrc.nist.gov。2012年4 月 27 日閲覧。
- ^ 「NIST SP-800 出版物のカタログ」 Csrc.nist.gov 。 2012 年4 月 27 日閲覧。
- ^ NIST SP 800-53A「連邦情報システムにおけるセキュリティ管理の評価ガイド」
- ^ abc NIST SP 800-37「連邦情報システムへのリスク管理フレームワークの適用ガイド」
- ^ 「Government Computer News、FISMA の効率性が疑問視される、2007 年」。Gcn.com。2007 年 3 月 18 日。2012年4 月 27 日閲覧。
- ^ 「Government Computer News、効果的な IT セキュリティはリスク分析から始まる、と元 GAO CTO が語る」Gcn.com。2009 年 6 月 10 日。2012年4 月 27 日閲覧。
外部リンク
- NIST 特別出版ライブラリ
- NIST FISMA 実装プロジェクト ホームページ
- FISMAの全文
- OMB 覚書
- 2004 年 FISMA スコアに関するレポート
- FISMApedia プロジェクト
- FISMA リソース
- Rsam: FISMA コンプライアンスと継続的な監視のための自動化プラットフォーム