情報インフラ保護研究所

情報インフラ保護研究所（I3P）は、学術研究センター、米国連邦政府研究所、非営利団体など、サイバーセキュリティの研究開発（R&D）において長年にわたり広く認められた専門知識を持つ国家サイバーセキュリティ機関のコンソーシアムです。I3Pはジョージ・ワシントン大学によって管理されており、同大学にはコンソーシアムの活動を監督し、指導する少数の管理スタッフがいます。^[1]

I3Pは、重要なインフラ保護に関連するサイバーセキュリティ研究の調整と資金提供を行い、公共部門と民間部門の両方のリーダーを集めた影響力の大きいワークショップを主催しています。^{[2] [3]} I3Pは、複雑で困難な問題に多分野かつ多機関の視点をもたらし、関係者と協力して解決策を模索しています。2002年の設立以来、^[4]さまざまな分野と背景を持つ100人以上の研究者が協力して、サイバーセキュリティの分野における重要なリスクをより深く理解し、軽減するために取り組んできました。

I3P は、米国の情報インフラが壊滅的な障害に見舞われやすいという政府の評価が何度か行われた後に誕生しました。1998 年に米国大統領科学技術諮問委員会(PCAST​​) が発表した最初の調査では、国家のサイバー セキュリティ問題に対処するために非政府組織の設立を勧告しました。その後の国防分析研究所による調査や、国家安全保障会議と科学技術政策局が共同で作成した白書では、PCAST​​ の評価に同意し、国家の重要なインフラを保護するための組織の必要性を確認しました。^[4]

2002年、I3Pは連邦政府からの助成金によりダートマス大学に設立されました。 ^[2]マーティン・ワイボーンは2003年から2015年までI3Pの議長を務めました。設立以来、I3Pは以下の実績を残してきました。

• 国家サイバーセキュリティ研究開発プログラムを調整した
• 学術界、産業界、政府関係者間の情報と研究の架け橋を構築した
• さまざまな脆弱性に対処するための技術を開発し提供した

I3Pへの資金は、国土安全保障省（DHS）、国立標準技術研究所（NIST）、国立科学財団（NSF）など、さまざまな機関から提供されています。^[5]

I3Pコンソーシアムは、18の学術研究センター、5つの国立研究所、3つの非営利研究機関で構成されています。^[6]

• ビンガムトン大学
• カーネギーメロン大学、H.ジョンハインツIII公共政策・経営学部
• カーネギーメロン大学ソフトウェアエンジニアリング研究所
• ダートマス大学
• ジョージメイソン大学
• ジョージ・ワシントン大学
• ジョージア工科大学
• アイダホ国立研究所
• インディアナ大学
• ジョンズ・ホプキンス大学
• ローレンス・バークレー国立研究所
• マイターコーポレーション
• ニューヨーク大学
• オークリッジ国立研究所
• パシフィック・ノースウェスト国立研究所
• パーデュー大学
• ランド研究所
• サンディア国立研究所
• SRIインターナショナル
• カリフォルニア大学バークレー校
• カリフォルニア大学デービス校
• アイダホ大学
• イリノイ大学
• マサチューセッツ大学アマースト校
• タルサ大学
• バージニア大学

各加盟機関は、定期的なコンソーシアム会議に出席する主代表者と副代表者を任命する。^[7]

I3P は、ニューハンプシャー州コミュニティ カレッジ システム(CCSNH) と提携して、教育プロジェクト「医療業界におけるサイバー セキュリティ: カリキュラムの適応と実装」に取り組んでいます。国立科学財団(NSF) の高度技術教育 (ATE) プログラムから資金提供を受けたこのプロジェクトの目標は、ニューイングランド北部の農村部の医療情報技術のニーズに応える優秀な技術者を育成することです。

I3P は、「CSIRT のスキル、ダイナミクス、有効性の向上」というプロジェクトを立ち上げました。米国国土安全保障省の科学技術局が資金提供しているこの取り組みは、優れた CSIRT を作り、維持するためには何が必要かを探ることを目的としています。その結果は、組織が CSIRT の潜在能力を最大限に発揮し、サイバー インフラストラクチャのセキュリティを確保するための貴重なツールとなることを確実にするのに役立つはずです。この新しいプロジェクトに取り組む学際的なチームには、ダートマス大学のサイバー セキュリティとビジネスの研究者、ジョージ メイソン大学の組織心理学者、ヒューレット パッカードの研究者と実務家が含まれます。

2011 年 4 月、I3P は NIST 主催のワークショップを開催し、ソフトウェアの設計と開発にセキュリティとユーザビリティを統合する課題を検討しました。ワークショップで提案されたいくつかの項目の 1 つは、ソフトウェア開発者に組織のソフトウェア開発プロセスにユーザブル セキュリティがどのように統合されているかを示すケース スタディを作成することでした。その結果、I3P は、ユーザブル セキュリティ プロジェクトを開始しました。このプロジェクトでは、統一された研究方法を使用して、3 つの異なる組織におけるユーザブル セキュリティを文書化します。その結果は、主要なユーザブル セキュリティの問題がどのように対処されたかを理解し、開発者に解決策を教え、他の研究者が比較研究を実施できるようにするために使用されます。

国の重要インフラは、今日、かつてないほどサイバー攻撃の脅威にさらされています。国が直面しているサイバー脅威への主な対応策は、情報共有の強化です。従来、政府機関はデータベースにデータを保存しており、その情報は、その情報から利益を得る可能性のある他の人にはすぐには提供されていません。オバマ政権は、この戦略はうまくいかないと明言しました。データはすぐに共有できるようにする必要があります。これを実現するには、クラウドを使用するのが望ましいでしょう。クラウドでは、多数の政府機関がすべて情報を保存し、適切な資格情報を持つすべての人がその情報にアクセスできます。このモデルには、多大な追加の利点がありますが、それに伴うリスクは何でしょうか。RAND とバージニア大学の研究者は、情報共有プロジェクトでその疑問に答えるという課題に取り組みました。

I3Pの5つの学術機関の研究者は、デジタル時代のプライバシーを理解するための広範な取り組みに取り組んでいます。この研究プロジェクトでは、18か月にわたってプライバシーを多角的に検討し、人間の行動、データの露出、ポリシーの表現が人々のプライバシーの理解と保護にどのように影響するかを調査します。 ^[8]

このプロジェクトは、セキュリティに行動科学の視点を取り入れ、一連の厳密な実証研究を通じて人間とコンピュータのインターフェースを研究します。この学際的なプロジェクトでは、社会科学者と情報セキュリティの専門家が協力し、人間の知覚、認知、偏見の複雑さと、それがコンピュータセキュリティに及ぼす影響を明らかにします。このプロジェクトの目標は、これらの新しい洞察を活用して、より安全なシステムとプロセスを生み出すことです。^[9]

このプロジェクトのI3P研究者は、保険業界のリスクスコアリングに類似した多要素スコアリングシステムの可能性を探り、サイバーリスクを定量化する方法を研究してきました。全体として、この研究では、サイバーリスクの2つの主要な決定要因、つまり攻撃の可能性を減らす技術と、成功した攻撃または潜在的な攻撃に対応する内部能力が考慮されています。^[10]

このプロジェクトは、制御システムのセキュリティに関する以前のI3Pプロジェクトを基に、制御システムの回復力を強化し、サイバー攻撃が成功した場合に迅速な回復を可能にする戦略を開発するものです。^[11]

このプロジェクトは、セキュリティの経済学に関する以前の研究から派生したもので、サイバーセキュリティへの投資に関する企業の意思決定の課題に取り組んでいます。このプロジェクトは、「どれくらい必要なのか」「どれくらいで十分なのか」「投資収益率をどのように測定するのか」などの質問に答えようとしました。この研究には、リスクと脆弱性、サプライチェーンの相互依存性、技術的な解決策など、投資戦略の調査が含まれています。^[12]

このプロジェクトは、多分野にわたる範囲でデジタルアイデンティティのセキュリティに取り組んでおり、政治的、社会的、法的ニーズも満たすデジタルアイデンティティを管理するための技術的アプローチの開発に重点を置いています。この作業は、プライバシーとアイデンティティの保護が最も重要である2つの分野、金融サービスとヘルスケアに主に焦点を当てています。^[13]

このプロジェクトは、組織に深刻な損害を与える可能性のある内部者による攻撃を検出、監視、防止する必要性に取り組んでいます。研究者は、技術的な課題に対処するだけでなく、倫理的、法的、経済的側面も考慮した内部者による脅威の体系的な分析を行っています。^[14]

I3Pは、2009年2月18日にジョセフ・リーバーマン上院議員とスーザン・コリンズ上院議員に「国家サイバーセキュリティ研究開発の課題：業界、学術界、政府の視点」^[15]と題する報告書を提出した。この報告書は、2008年にI3Pが主催した3つのフォーラム^{[16] [17]}の結果を反映しており、業界、政府、学術界のハイレベルの専門家を集め、今後5年から10年でサイバーセキュリティ研究を前進させる研究開発の機会を特定した。この報告書には、参加者の意見や公共部門と民間部門の両方の懸念を反映した技術研究と政策研究に関する具体的な推奨事項が含まれている。

I3Pは、他の組織と共同で開催されるワークショップやその他のアウトリーチ活動を通じて、利害関係者とつながり、関わりを持ちます。ワークショップにはさまざまなトピックが含まれており、その中にはI3Pの研究プロジェクトに直接関連するものもあれば、セキュリティシステムエンジニアリングや人材開発など、特に困難な基礎的な課題を調査するために適切な人々を集めることを目的としたものもあります。^[18]

I3P は、2004 年から 2011 年にかけて、I3P 加盟機関で 1 年間研究するための資金を提供するポスドク研究フェローシップ プログラムを後援しました。これらの競争的な賞は、提案された研究の価値、提案された研究が創造的で独創的な概念を探求した程度、およびトピックが米国の情報インフラストラクチャに及ぼす潜在的な影響に応じて授与されました。応募者は、信頼できるコンピューティング、エンタープライズ セキュリティ管理、安全なシステム エンジニアリング、ネットワーク応答と回復、アイデンティティ管理とフォレンジック、ワイヤレス コンピューティングとメトリック、およびセキュリティの法的、ポリシー、経済的側面を含む、サイバー セキュリティ研究のコア領域に取り組むことが求められました。^[3]

• 公式サイト