サイバーセキュリティ規制

サイバーセキュリティ規制は、企業や組織がウイルス、ワーム、トロイの木馬、フィッシング、サービス拒否（DOS）攻撃、不正アクセス（知的財産や機密情報の盗難）、制御システム攻撃などのサイバー攻撃からシステムや情報を保護することを義務付ける目的で、情報技術やコンピュータシステムを保護する指令で構成されています。^[1]サイバーセキュリティ規制はサイバーリスクを最小限に抑え、保護を強化することを目的としていますが、頻繁な変更や新しい規制から生じる不確実性は、組織の対応戦略に大きな影響を与える可能性があります。^[1]

サイバー攻撃を防ぐための手段は数多くある。サイバーセキュリティ対策には、ファイアウォール、ウイルス対策ソフトウェア、侵入検知・防止システム、暗号化、ログインパスワードなどがある。^{[2]サイバーセキュリティの自主的な改善を促すために、規制や}政府と民間部門の協力を通じてサイバーセキュリティを向上させる試みがなされてきた。 ^{[1] [2] [3]}銀行規制当局を含む業界規制当局はサイバーセキュリティのリスクに注目しており、規制検査の一環としてサイバーセキュリティを含め始めているか、含め始める計画を​​立てている。^[2]

最近の調査によると、船舶と港湾間のデジタル接続を含む海事ビジネスにおけるサイバーセキュリティの規制と施行も不十分であることが示唆されている。^[4]

2011年、米国国防総省はサイバー空間での作戦戦略という指針を発表し、サイバー空間を作戦領域として扱うこと、国防総省のネットワークとシステムを保護するために新しい防御概念を採用すること、他の機関や民間部門と提携して「政府全体のサイバーセキュリティ戦略」を追求すること、集団的なサイバーセキュリティを支援するために国際同盟国と協力すること、急速な技術革新に対応できるサイバー人材の育成を支援することという5つの目標を明示した。^[3] 2011年3月のGAO報告書は、「連邦政府の情報システムと国家のサイバー重要インフラの保護を政府全体の高リスク領域として特定した」と指摘し、連邦政府の情報セキュリティは1997年以来高リスク領域に指定されていたことを指摘した。2003年以降、サイバー重要インフラ保護と呼ばれる重要インフラを保護するシステムもサイバーCIPに含まれていた。^[5]

2013年11月、国防総省は新しいサイバーセキュリティ規則（78 Fed. Reg. 69373）を提出し、請負業者に一定の要件を課しました。それは、特定のNIST IT標準への準拠、サイバーセキュリティインシデントの国防総省への報告義務、および下請業者に同じ要件を適用する「フローダウン」条項です。^[6]

2013年6月の議会報告書によると、サイバーセキュリティコンプライアンスに関連する法律は50以上ある。2002年連邦情報セキュリティ管理法（FISMA）は、連邦サイバーセキュリティ規制を規定する重要な法律の1つである。^[6]

連邦サイバーセキュリティ規制はほとんどなく、存在する規制も特定の業界に焦点を合わせている。3つの主要なサイバーセキュリティ規制は、1996年の医療保険の携行性と責任に関する法律（HIPAA）、1999年のグラム・リーチ・ブライリー法、および連邦情報セキュリティマネジメント法（FISMA）を含む2002年の国土安全保障法である。これら3つの規制は、医療機関、金融機関、および連邦政府機関にシステムと情報を保護することを義務付けている。^{[3]たとえば、すべての政府機関に適用されるFISMAは、「情報セキュリティに関する必須のポリシー、原則、標準、およびガイドラインの開発と実装を義務付けています」。しかし、この規制は、}インターネットサービスプロバイダー（ISP）やソフトウェア会社など、多くのコンピュータ関連業界には対応していません。 ^[4]さらに、この規制では、どのようなサイバーセキュリティ対策を実施する必要があるかは指定されておらず、「合理的な」レベルのセキュリティのみが求められています。これらの規制のあいまいな言葉遣いは、解釈の余地を大きく残しています。 クパチーノのカウンターペイン・インターネット・セキュリティの創設者ブルース・シュナイアー氏は、政府が企業に強制しない限り、企業はサイバーセキュリティに十分な投資をしないと主張している。^[5]また、政府の努力にもかかわらず、政府システムへのサイバー攻撃が成功しているケースが依然としてあると述べている。^[6]

データ品質法はすでに行政手続法の規則制定プロセスによって重要なインフラ保護規制を実施する法定権限を行政管理予算局に与えていると示唆されている。この考えは十分に検討されておらず、規則制定を開始する前に追加の法的分析が必要となるだろう。^[7]

各州政府は、セキュリティが脆弱な企業の知名度を高めることでサイバーセキュリティの改善に努めてきた。2003年、カリフォルニア州はセキュリティ侵害通知法を可決した。この法律では、カリフォルニア州民の個人情報を保有し、セキュリティ侵害が発生した企業は、その詳細を開示しなければならないと定められている。個人情報には、氏名、社会保障番号、運転免許証番号、クレジットカード番号、金融情報などが含まれる。^[7]他のいくつかの州もカリフォルニア州の例に倣い、同様のセキュリティ侵害通知規制を可決した。^[8]このようなセキュリティ侵害通知規制は、企業のサイバーセキュリティの失敗を罰する一方で、システムを保護する方法を選択する自由を企業に与えている。また、この規制は、サイバー攻撃が成功した場合に起こり得る評判の低下やそれに伴う経済的損失を回避するために、企業が自発的にサイバーセキュリティに投資するインセンティブを生み出している。^[8]

2004年、カリフォルニア州議会はカリフォルニア州議会法案1950を可決したが、これはカリフォルニア州住民の個人情報を所有または保持する企業にも適用される。この規制は、企業が合理的なレベルのセキュリティを維持すること、また、必要なセキュリティ慣行がビジネスパートナーにも適用されることを規定している。^[9]この規制は、許容可能なサイバーセキュリティ基準を維持することが求められる企業の数を拡大しているため、連邦基準の改善である。しかし、連邦法と同様に、この規制は「合理的な」レベルのサイバーセキュリティを要求しており、判例が確立されるまでは解釈の余地がかなりある。^[10]

米国議会は、サイバーセキュリティ規制を拡大する法案を多数提案している。消費者データセキュリティおよび通知法は、グラム・リーチ・ブライリー法を改正し、金融機関によるセキュリティ侵害の開示を義務付ける。議員らはまた、「グラム・リーチ・ブライリー法を、クレジットカードによる支払いを受け入れる企業を含む、消費者の金融情報にかかわるすべての業界に拡大する」ことを提案している。^[11]議会は、個人情報を保有する企業向けに、カリフォルニア州のセキュリティ侵害通知法に類似したサイバーセキュリティ規制を提案している。情報保護およびセキュリティ法は、データブローカーに対し、「データの正確性と機密性を確保し、ユーザーを認証および追跡し、不正な活動を検出および防止し、個人への潜在的な危害を軽減する」ことを義務付けている。^[12]

企業にサイバーセキュリティの向上を求めることに加え、議会はサイバー攻撃を犯罪とする法案も検討している。この種の法案には、サイバー侵入に対する安全な保護法 (SPY ACT) がある。この法案はフィッシングとスパイウェアに焦点を当てており、2005 年 5 月 23 日に米国下院で可決されたが、米国上院で廃案となった。^[8]この法案は「コンピューターを不正に使用して、それを制御したり、設定を変更したり、個人を特定できる情報を収集または所有者に開示させたり、迷惑ソフトウェアをインストールしたり、セキュリティ、スパイウェア対策、またはウイルス対策ソフトウェアを改ざんしたりすることを違法とする」ものである。^[13]

2011 年 5 月 12 日、バラク・オバマ米国大統領は、米国民、連邦政府、および重要なインフラのセキュリティを向上させるためのサイバーセキュリティ法改正案を提案しました。その後 1 年間の公開討論と議会公聴会を経て、下院は情報共有法案を可決し、上院は国家安全保障、プライバシー、および企業の利益のバランスを取るための妥協案を策定しました。

2012年7月、ジョセフ・リーバーマン上院議員とスーザン・コリンズ上院議員により、2012年サイバーセキュリティ法案が提出された。^[14]この法案は、サイバー攻撃から重要なインフラを保護するための自主的な「ベストプラクティス標準」の作成を義務付け、企業には賠償責任保護などのインセンティブを通じて採用を奨励する内容だった。^[15]この法案は上院で採決されたが、可決されなかった。^{[16]オバマ大統領は}ウォールストリート・ジャーナル紙の論説でこの法案への支持を表明し^[17] 、ホワイトハウスの対テロ対策主任顧問であるジョン・O・ブレナン氏を含む軍や国家安全保障当局者からも支持を得た。 ^{[18] [19]}ワシントン・ポスト紙によると、この法案が可決されなければ、米国は「広範囲にわたるハッキングや深刻なサイバー攻撃に対して脆弱になる」可能性があると専門家は述べている。^{[20]この法案は、}ジョン・マケインのような共和党上院議員から反対され、彼らはこの法案が効果的でない規制を導入し、企業にとって「負担」になるのではないかと懸念した。^[21]上院での投票後、共和党のケイ・ベイリー・ハッチソン上院議員は、法案への反対は党派的な問題ではないが、サイバーセキュリティに対する正しいアプローチを取っていないと述べた。^[22]上院での投票は厳密に党派的なものではなく、民主党員6人が反対票を投じ、共和党員5人が賛成票を投じた。^[23]この法案の批判者には、米国商工会議所、^[24]アメリカ自由人権協会や電子フロンティア財団などの擁護団体、^[25]サイバーセキュリティの専門家ジョディ・ウェストビー、ヘリテージ財団などがあり、どちらも政府はサイバーセキュリティに対処しなければならないが、この法案のアプローチには欠陥があり、「連邦政府の役割が過度に干渉的」であると主張した。^[26]

2013 年 2 月、オバマ大統領は重要インフラのサイバーセキュリティ改善に関する大統領令を提案しました。これは最新の政策ですが、議会でまだ取り上げられていないため、法律とはみなされていません。この大統領令は、国土安全保障省と重要インフラ企業間の情報フローの適時性を高めることで、既存の官民パートナーシップの改善を目指しています。この大統領令は、連邦政府機関に対し、標的と特定された民間企業にサイバー脅威情報の警告を共有するよう指示しています。また、連邦政府が適切な機密レベルでこの情報を共有できるように、該当する公共および民間企業のセキュリティ クリアランス プロセスを迅速化するプロセスの改善を国土安全保障省に課しています。この大統領令は、現在の業界のベスト プラクティスと自主基準を組み込んだ、サイバー リスクを軽減するフレームワークの開発を指示しています。最後に、公正情報慣行原則に沿ってプライバシーと市民の自由の保護を組み込むよう、関係する連邦政府機関に指示しています。^[9]

2015 年 1 月、オバマ大統領は新たなサイバー セキュリティ法案を発表しました。この法案は、サイバー犯罪の増加に備えるための取り組みの一環として作成されました。この法案では、米国のサイバー空間をより安全にするための 3 つの主な取り組みについて概説しています。最初の主な取り組みは、サイバー セキュリティ情報の共有を可能にすることの重要性を強調しています。この法案では、情報共有を可能にすることで、政府と民間部門間の情報共有を促進しています。これにより、政府は民間企業が直面している主なサイバー脅威を把握し、情報を共有した企業に賠償責任保護を提供できるようになります。さらに、米国が何から保護される必要があるかについて、政府はよりよく理解できるようになります。この法案で強調されたもう 1 つの主な取り組みは、法執行機関を近代化し、必要なツールを提供することで、サイバー犯罪に適切に対処する能力を高めることです。また、サイバー犯罪の分類と結果も更新されます。これを行う方法の 1 つは、金融情報の海外販売を犯罪にすることです。この取り組みのもう 1 つの目標は、サイバー犯罪を起訴可能にすることです。法案の最後の大きな取り組みは、個人情報が漏洩した場合には、企業に消費者にデータ漏洩を報告するよう義務付けることでした。企業に義務付けることで、消費者は個人情報盗難の危険にさらされていることに気づくことができます。^[10]

2016 年 2 月、オバマ大統領はサイバーセキュリティ国家安全保障行動計画 (CNAP) を策定しました。この計画は、米国をサイバー脅威から守るための長期的な行動と戦略を作成するために作成されました。計画の焦点は、サイバー犯罪の脅威の高まりについて国民に知らせ、サイバーセキュリティ保護を改善し、米国人の個人情報を保護し、米国人にデジタル セキュリティを管理する方法を知らせることです。この計画のハイライトの 1 つに、「国家サイバーセキュリティ強化委員会」の創設があります。その目標は、公共部門と民間部門のサイバーセキュリティを強化する方法に関する勧告の作成に貢献できる視点を持つ多様な思想家で構成される委員会を創設することです。計画の 2 番目のハイライトは、政府の IT を変更することです。新しい政府の IT により、より安全な IT を導入できるようになります。計画の 3 番目のハイライトは、多要素認証を通じてオンライン アカウントを保護し、個人情報の盗難を回避する方法について米国人に知識を与えることです。この計画の4番目のハイライトは、2016年に投資された資金の35％増をサイバーセキュリティに投資することです。^[11]

規制に加え、連邦政府は研究により多くのリソースを割り当て、民間部門と協力して標準を作成することで、サイバーセキュリティの改善に努めてきました。2003年、大統領のサイバースペースの安全を確保するための国家戦略により、国土安全保障省 (DHS) がセキュリティに関する推奨事項と国家ソリューションの研究を担当することになりました。この計画では、政府と業界が協力して「サイバー攻撃に対する緊急対応システムを作成し、そのような脅威に対する国の脆弱性を軽減する」ことを求めています。^[27] 2004年、米国議会はサイバーセキュリティと、大統領のサイバースペースの安全を確保するための国家戦略で述べられている多くの目標の達成に47億ドルを割り当てました。^[28]一部の業界セキュリティ専門家は、大統領のサイバースペースの安全を確保するための国家戦略は良い第一歩ではあるが不十分であると述べています。^[29]ブルース・シュナイアーは、「サイバースペースの安全を確保するための国家戦略はまだ何も確保していない」と述べました。^[30]しかし、大統領の国家戦略では、その目的は政府が引き継いで問題を解決することではなく、コンピュータシステムの所有者がセキュリティを向上させるための枠組みを提供することであると明確に述べられています。^[31]しかし、戦略で概説されている共同の取り組みに参加する企業は、発見されたセキュリティソリューションを採用する必要はありません。

米国では、重要なインフラを保護するための自主基準を策定するはずだった2012年のサイバーセキュリティ法が上院で可決されなかったことを受けて、米国議会は情報の透明性を高めようとしている。 ^[12] 2013年2月、ホワイトハウスは「重要なインフラのサイバーセキュリティの向上」と題する大統領令を発令し、これにより行政機関はより多くの企業や個人と脅威に関する情報を共有できるようになった。^{[12] [13]} 2013年4月、下院はサイバーインテリジェンス共有および保護法（CISPA）を可決した。これは、侵害情報を開示した企業に対する訴訟からの保護を求めるものである。^[12]オバマ政権は、この法案を拒否する可能性があると述べた。^[12]

2015年にインド宇宙庁の商業部門であるアントリックス社と政府のデジタル・インディア・プログラムのウェブサイトがハッキングされたことを受けて、サイバー法の専門家でインド最高裁判所の弁護士であるパヴァン・ドゥガル氏は、「インドにとって重要な要件はサイバーセキュリティに関する法律を制定することだ。サイバーセキュリティをIT法の一部にするだけでは不十分だ。サイバーセキュリティを分野別視点だけでなく国家的視点からも見る必要がある」と述べた。^[14]

サイバーセキュリティ基準は、今日のテクノロジー主導のビジネスにおいて非常に重要になっています。企業は利益を最大化するために、業務のほとんどをインターネットで実行することでテクノロジーを活用しています。インターネットワークの運用には多数のリスクが伴うため、そのような運用は包括的かつ広範な規制によって保護する必要があります。既存のサイバーセキュリティ規制はすべて、ビジネス運用のさまざまな側面をカバーしており、企業が運営されている地域や国によって異なることがよくあります。国の社会、インフラストラクチャ、価値観の違いにより、1つの包括的なサイバーセキュリティ基準ではリスクを軽減するのに最適ではありません。米国の基準は運用の基礎を提供しますが、欧州連合はEU内で特に運営されている企業向けに、よりカスタマイズされた規制を作成しました。また、 Brexitを考慮して、英国がそのようなセキュリティ規制をどのように遵守することを選択したかを検討することが重要です。

EU 内の 3 つの主要な規制には、ENISA、NIS 指令、EU GDPR があります。これらはデジタル単一市場戦略の一部です。

標準に関しては、サイバーセキュリティ法/ENISA規則は標準に直接言及していません。しかし、ENISAはウェブサイトで「EUのサイバーセキュリティ戦略は、欧州標準化団体（CEN、CENELEC、ETSI）およびISOを通じたさらなる標準化への支援を強調している」と認識しています。^[15 ]

ISO/IEC規格、およびCEN、CENELEC、ETSIの欧州規格は、EU法の要件をサポートするために自主的に使用することができます。サイバーセキュリティに関するISO/IECおよびCEN/CENELEC規格の最新リストは、無料で公開されている情報ウェブサイトGenorma.comで確認できます。^[16]

欧州連合サイバーセキュリティ機関(ENISA) は、EU 内のすべてのインターネットワーク運用のネットワークおよび情報セキュリティ (NIS) の向上を目的とした、2004 年 3 月 10 日の欧州議会および理事会の規則 (EC) No 460/2004 に基づいて設立された管理機関です。ENISA は現在、規則 (EU) No 526/2013 ^[17]に基づいて運営されており、この規則は 2013 年に元の規則に取って代わりました。ENISA は、EU のすべての加盟国と積極的に協力して、さまざまなサービスを提供しています。その活動の焦点は、次の 3 つの要素にあります。

• セキュリティ侵害に対する行動方針に関する加盟国への勧告
• EU加盟国全体に対する政策立案と実施支援
• ENISAによる直接的なサポートは、EUの運用チームと協力するための実践的なアプローチを採用しています^[18]

ENISAは事務局長と常任利害関係者グループの支援を受ける管理委員会で構成されています。しかし、ほとんどの業務は各部門の責任者によって運営されています。^[19]

ENISAは、サイバーセキュリティに関するすべての主要な問題を網羅したさまざまな出版物を発表しています。ENISAの過去および現在の取り組みには、EUクラウド戦略、情報通信技術のオープンスタンダード、EUのサイバーセキュリティ戦略、サイバーセキュリティ調整グループなどがあります。ENISAは、ISOやITUなどの既存の国際標準化機構とも連携しています。^[20]

2016年7月6日、欧州議会はネットワークおよび情報システムのセキュリティに関する指令（NIS指令）を制定した。^[21]

この指令は2016年8月に発効し、欧州連合加盟国は21カ月以内に指令の規制を自国の国内法に組み込むことが義務付けられた。^[22] NIS指令の目的は、EU全体のサイバーセキュリティレベルを高めることである。この指令は、デジタルサービスプロバイダー（DSP）と必須サービス事業者（OES）に重大な影響を及ぼす。必須サービス事業者には、重要な社会活動や経済活動に従事している場合、セキュリティ侵害が発生した場合に業務に大きな影響が出る組織が含まれる。DSPとOESはともに、重大なセキュリティインシデントをコンピュータセキュリティインシデント対応チーム（CSIRT）に報告する責任を負っている。^[23] DSPは必須サービス事業者ほど厳しい規制の対象ではないが、EUに拠点を置いていないがEU内で事業を展開しているDSPは依然として規制の対象となっている。DSPとOESが情報システムの保守を第三者に委託している場合でも、NIS指令によりセキュリティインシデントに対する責任は依然としてDSPとOESに課せられる。^[24]

EU加盟国は、国家管轄当局（NCA）と単一連絡窓口（SPOC）に加えて、CSIRTを含むNIS指令戦略を作成することが求められています。これらのリソースには、影響を最小限に抑える方法でサイバーセキュリティ侵害を処理する責任が与えられています。さらに、EUのすべての加盟国はサイバーセキュリティ情報を共有することが奨励されています。^[25]

セキュリティ要件には、サイバーセキュリティ侵害のリスクを予防的に管理する技術的対策が含まれます。DSPとOESはどちらも、情報システムとセキュリティポリシーの詳細な評価を可能にする情報を提供する必要があります。^[26]すべての重大なインシデントはCSIRTに通知する必要があります。重大なサイバーセキュリティインシデントは、セキュリティ侵害の影響を受けたユーザーの数、インシデントの継続期間、インシデントの地理的範囲によって決定されます。^[26] NIS 2が作成中です。^[27]

NIS指令に含まれる措置を完全に実施しているのは加盟国23カ国のみである。指令を施行するための違反訴訟はこれらの国に対して行われておらず、近い将来に行われることもないと予想されている。^[28]この実施の失敗により、EU全体でサイバーセキュリティ能力が断片化され、加盟国ごとに異なる基準、インシデント報告要件、施行要件が実施されている。

EUサイバーセキュリティ法は、デジタル製品、サービス、プロセスに対するEU全体のサイバーセキュリティ認証フレームワークを確立するものであり、NIS指令を補完するものである。ENISAは、欧州サイバーセキュリティ認証フレームワークの構築と維持において重要な役割を果たすことになる。^[29]

EU一般データ保護規則（GDPR）は2016年4月14日に施行されましたが、現在の施行日は2018年5月25日となっています。^[30] GDPRは、EU加盟国全体でデータ保護の単一基準を確立することを目指しています。変更点には、地理的境界の再定義が含まれます。これは、EU内で事業を展開する、またはEU居住者のデータを扱う事業体に適用されます。データが処理される場所に関係なく、EU市民のデータが処理されている場合、その事業体はGDPRの対象となります。^[31]

GDPRでは罰金もはるかに厳しく、総額2,000万ユーロまたは企業の年間売上高の4％のいずれか高い方の金額が課せられる。^[31]さらに、以前の規制と同様に、EUに居住する個人の権利と自由に影響を及ぼすすべてのデータ侵害は、72時間以内に開示されなければならない。

包括的な委員会である EU データ保護委員会 (EDP) が、GDPR によって設定されたすべての監督を担当します。

GDPRでは同意が重要な役割を果たします。EU市民に関するデータを保有する企業は、データ共有に同意したときと同じくらい簡単に、データ共有を撤回する権利をEU市民に提供する必要があります。^[32]

さらに、国民は自分に関するデータの処理を制限することもでき、企業が自分のデータを保管することは許可するが処理は許可しないことを選択できるため、明確な差別化が図れます。これまでの規制とは異なり、GDPRでは、国民の事前の同意なしに、国民のデータをEU外または第三者に転送することも制限されています。^[32]

2023年1月16日、EU議会と理事会は、EU全体でサイバーセキュリティの高水準の共通化に向けた措置に関する2022年12月14日の欧州議会および理事会の指令2022/2555を採択し、規則(EU)第910/2014号および指令(EU)2018/1972を改正し、指令(EU)2016/1148(NIS指令)を廃止した。この新しい指令は、サイバーセキュリティ能力を高めるための措置を講じることが求められる組織に対する義務の範囲を拡大することを目的としている。この指令はまた、インシデント通知、セキュリティ要件、監督措置、情報共有に対するEUのアプローチを調和させることも目的としている。^[33]

DORAは、デジタル運用のレジリエンスに関する規制枠組みを作成し、すべての企業があらゆる種類のICT関連の混乱や脅威に耐え、対応し、回復できることを保証する必要があります。これらの要件は、すべてのEU加盟国で統一されています。この規制は、2025年1月17日から、関連する金融機関とICTサードパーティサービスプロバイダーに適用されます。^[34]

サイバーレジリエンス法（CRA）は、 2022年9月15日に欧州委員会によって提案された規制であり、EUにおけるハードウェアおよびソフトウェア製品に対する共通のサイバーセキュリティ基準を概説しています。^{[35] [36] [37]}

2017年5月、コンピュータ犯罪に関する法律を統合するために、刑事司法（情報システムに関連する犯罪）法2017が導入されました。^{[38] [39]}

専門家はサイバーセキュリティの改善が必要であることに同意しているが、解決策が政府の規制強化なのか、民間部門のイノベーション強化なのかについては意見が分かれている。

多くの政府関係者やサイバーセキュリティの専門家は、民間部門はサイバーセキュリティの問題を解決できず、規制が必要だと考えている。リチャード・クラークは「業界は規制を脅かしたときにのみ反応する。業界が（脅しに）反応しないなら、やり遂げなければならない」と述べている^。[32]彼は、ソフトウェア企業はより安全なプログラムを作成するよう強制されなければならないと考えている。^[33] ブルース・シュナイアーも、経済的インセンティブを通じてソフトウェア企業がより安全なコードを書くよう奨励する規制を支持している。^[34]リック・ブーシェ 下院議員（民主党、バージニア州）は、ソフトウェア企業にコードのセキュリティ上の欠陥に対する責任を負わせることでサイバーセキュリティを改善することを提案している。^[35]さらに、クラークはソフトウェアセキュリティを改善するだけでなく、公益事業やISPなどの特定の業界には規制が必要だと考えている。^[36]

一方、民間企業の幹部やロビイストの多くは、規制が強まるとサイバーセキュリティを向上させる能力が制限されると考えている。ロビイストで米国情報技術協会会長のハリス・ミラー氏は、規制がイノベーションを阻害すると考えている。^[37]元企業弁護士でロビー団体テックネットの会長兼CEOのリック・ホワイト氏も規制強化に反対している。同氏は「民間企業はサイバー空間における新たな攻撃方法に対応してイノベーションを起こし、適応し続けることができなければならない。そのために、ブッシュ大統領と議会が規制を抑制していることを称賛する」と述べている。^[38]

多くの民間企業の幹部が規制に反対するもう 1 つの理由は、規制にはコストがかかり、民間企業に対する政府の監督が必要になることです。企業は、規制によって利益が減少することだけでなく、規制によってサイバーセキュリティの問題を効率的に解決する柔軟性が制限されることについても懸念しています。

特にCRAに関しては、Eclipse Foundation、Internet Society、Python Software Foundationといった著名なフリーソフトウェアおよびオープンソースソフトウェア団体が、その影響の広範さについて懸念を表明している。これらの団体は、規制では明言されていないいくつかの結果を提起し、オープンソース運動に根本的な損害を与えると結論付けている。彼らは、商用ソフトウェア開発者に対するのと同じ規制を受けることなく、EUでオープンソースを使用できるようにする変更を提案している。 ^{[40] [41] [42] [43]}

• CERTコーディネーションセンター
• サイバーセキュリティ基準
• サイバーセキュリティ情報共有法
• サイバーセキュリティとレジリエンス法案- 英国で提案されている規制。
• デフォルトのパスワード
• 情報保証
• データ侵害のリスト
• 医療機器のハイジャック
• 国家サイバーセキュリティ部門
• サイバー空間の安全確保に向けた国家戦略
• 大統領指令
• 積極的なサイバー防御
• 米国コンピュータ緊急対応チーム
• 米国国土安全保障省

1. ^ 「ChoicePoint 事件以降に報告されたデータ侵害の年表」(2005 年)。2005 年 10 月 13 日閲覧。
2. ^ 「電子プライバシー情報センター法案追跡: 第 109 回議会におけるプライバシー、言論、公民権の追跡」(2005 年)。2005 年 10 月 23 日閲覧。
3. ^ 「コンピュータウイルスの仕組み」(2005年)。2005年10月10日閲覧。
4. ^ 「サイバースペースの安全を確保するための国家戦略」 Wayback Machineに 2012-02-27 にアーカイブ。 (2003 年)。2005 年 12 月 14 日閲覧。
5. ^ 「セキュリティ違反の通知 - 民法第 1798.29 条および第 1798.82 条 - 1798.84 条」 2003 年）。2005 年 10 月 23 日閲覧。
6. ^ 「リチャード・クラークのインタビュー」(2003年)。2005年12月4日閲覧。
7. ^ Gordon, LA, Loeb, MP, Lucyshyn, W. & Richardson, R. (2005). 「2005 CSI/FBI コンピュータ犯罪とセキュリティ調査」 2005 年 10 月 10 日閲覧。
8. ^ Heiman, BJ (2003). サイバーセキュリティ規制はここにある。RSAセキュリティ カンファレンス、ワシントン DC 2005 年 10 月 17 日閲覧。
9. ^ Kirby, C. (2003 年 12 月 4 日)。「フォーラムはサイバーセキュリティに焦点を当てる」サンフランシスコ クロニクル。
10. ^ Lemos, R. (2003). 「ブッシュ大統領、サイバーセキュリティ最終計画を発表」 2005年12月4日閲覧。
11. ^ Menn, J. (2002 年 1 月 14 日) 「セキュリティ上の欠陥が Microsoft にとっての落とし穴となる可能性」 Los Angeles Times、pp. C1。
12. ^ Rasmussen, M., & Brown, A. (2004). 「カリフォルニア州法が情報セキュリティに対する注意義務を規定」 2005 年 10 月 31 日閲覧。
13. ^ Schmitt, E., Charron, C., Anderson, E., & Joseph, J. (2004). 「提案されているデータ法がマーケターにとって何を意味するか」 2005 年 10 月 31 日閲覧。
14. ^ ジェニファー・リッツォ (2012 年 8 月 2 日)「サイバーセキュリティ法案、上院で否決」2012 年 8 月 29 日にアクセス。
15. ^ Paul Rosenzweig. (2012 年 7 月 23 日) 「2012 年サイバーセキュリティ法: 改訂サイバー法案にはまだ問題がある」The Heritage Foundation。2012 年 8 月 20 日にアクセス。
16. ^ Ed O'Keefe & Ellen Nakashima。(2012 年 8 月 2 日)「サイバーセキュリティ法案、上院で否決」ワシントン ポスト。2012 年 8 月 20 日にアクセス。
17. ^ Alex Fitzpatrick。(2012 年 7 月 20 日)「オバマ大統領、新たなサイバーセキュリティ法案を承認」Mashable。2012 年 8 月 29 日にアクセス。
18. ^ Brendan Sasso. (2012 年 8 月 4 日) 「上院のサイバーセキュリティ法案が否決された後、オバマ大統領は大統領令の選択肢を検討」The Hill。2012 年 8 月 20 日にアクセス。
19. ^ Jaikumar Vijayan. (2012 年 8 月 16 日) 「サイバーセキュリティ法案をめぐる党派間の争いはない、と共和党上院議員が語る」。Computerworld。2012 年 8 月 29 日にアクセス。
20. ^ Carl Franzen. (2012 年 8 月 2 日) 「サイバーセキュリティ法案が上院で否決され、プライバシー擁護派は歓喜」TPM. 2012 年 8 月 29 日。
21. ^ Alex Fitzpatrick. (2012 年 8 月 2 日) 「サイバーセキュリティ法案、上院で停滞」。Mashable。2012 年 8 月 29 日にアクセス。
22. ^ Jody Westby (2012 年 8 月 13 日)「議会はサイバー法案についてもう一度考え直す必要がある」Forbes。2012 年 8 月 20 日にアクセス。