Loading article…
米国では、重要インフラ保護（CIP ）は、地域または国の重要インフラに関わる重大なインシデントへの備えと対応に関する概念です。1998年5月の米国大統領指令PDD-63は、「重要インフラ保護」の国家プログラムを確立しました。[ 1 ] 2014年には、さらなる大統領指令を受けてNISTサイバーセキュリティフレームワークが公開されました。
米国の重要インフラ保護プログラム（CIP）は、米国の脆弱で相互接続されたインフラストラクチャのセキュリティを確保するための国家プログラムです。1998年5月、ビル・クリントン大統領は重要インフラ保護に関する大統領指令PDD-63を発令しました。 [ 1 ]この指令は、国家インフラの特定の部分が米国の国家安全保障と経済安全保障、そして国民の福祉にとって重要であることを認識し、それを保護するための措置を講じることを義務付けました。
これは、2003年12月17日にジョージ・W・ブッシュ大統領によって、重要インフラの特定、優先順位付け、および保護に関する国土安全保障大統領指令HSPD-7によって更新されました。[ 2 ]更新された指令では、農業が国内の重要インフラのリストに追加され、1998年の大統領指令から農業が除外されていたことが解消されました。この指令では、米国には「米国にとって非常に重要であり、そのようなシステムや資産の機能不全や破壊は、安全保障、国家経済安全保障、国民の健康または安全に深刻な影響を与える」重要インフラがあると説明されています。[ 2 ]
例えば、ある地域における天然ガスの供給網を混乱させるコンピュータウイルスを考えてみましょう。これは結果として発電量の大幅な減少につながり、ひいてはコンピュータ制御システムや通信システムの強制停止を引き起こす可能性があります。そうなると、道路交通、航空交通、鉄道輸送にも影響が出るかもしれません。緊急サービスも滞る可能性があります。
自然災害によってインフラの重要な要素が機能しなくなると、地域全体が衰弱する可能性があります。ジュネーブ条約に違反する可能性もありますが[ 3 ]、軍隊は、敵の民間および軍事インフラの重要な要素を攻撃することで、敵の抵抗能力を弱体化させることができることも認識しています。
連邦政府は、監視と機能停止事態への備えを容易にするため、重要インフラの標準化された記述を策定した。政府は、各重要経済部門の民間企業に対し、以下のことを求めている。
CIPは、セクターと組織の責任を標準的な方法で定義しています。
2003年には、その権限範囲が拡大され、以下の事項が含まれるようになった。
重要なインフラの多くが民間所有であるため、国防総省（DoD）は通常業務を支えるために民間のインフラに依存している。国務省と中央情報局（CIA）も友好国との情報分析に関与している。
2007年5月、国土安全保障省は、危機的事態の調整と対処のためのセクター別計画（SSP）を完成させた。[ 6 ]壊滅的な事態発生時の政府継続計画（COG）は、大統領が適切と判断した場合、政府を維持するために使用でき、その時点で、政府の福祉は米国民の福祉よりも優先され、米国が安全に地上に戻ることができると判断されたときに、経済と国を再建するために政府が維持されることが保証される。
1999年3月9日、ジョン・ハムレ国防副長官は米国議会に対し、サイバーテロリストによる「電子真珠湾攻撃」の可能性を警告し、「海軍造船所に停泊中の海軍艦艇が標的になるわけではない。商業インフラが標的になるだろう」と述べた。その後、2000年に実際にサイバーテロ攻撃が発生したとの報道を受け、クリントン大統領はこの懸念を次のように修正した。「これは警鐘だったと思う。真珠湾攻撃ではないと思う。我々は真珠湾で太平洋艦隊を失った。今回の攻撃による損失はそれほど大きくなかったと思う。」[ 7 ]
コンピュータシステムがハッキングされたり、恐喝の被害に遭ったりした例は数多くあります。1995年9月には、ロシア国籍の人物がシティコープの電子資金振替システムへの侵入を首謀したとされ、米国で裁判を受けるよう命じられました。[ 8 ]彼の指揮下にあるハッカー集団は、1994年中にシティコープのセキュリティを40回も突破しました。彼らは顧客口座から1200万ドルを送金し、推定40万ドルを引き出すことができました。
従来、インフラ要素のシステムとネットワークは、物理的にも論理的にも独立しており、互いに、あるいはインフラの他のセクターとの相互作用や接続はほとんどありませんでした。しかし、技術の進歩に伴い、各セクター内のシステムは自動化され、コンピュータや通信設備を介して相互接続されるようになりました。その結果、国内の電力、石油、ガス、通信の流れは、間接的ではあるものの、相互に結びついており、こうしたつながりによって従来の安全保障上の境界線が曖昧になっています。
相互に連携した機能への依存度が高まることで、経済や国家の効率性や強さが増す一方で、国家は混乱や攻撃に対してより脆弱になる。相互依存的で相互に関連するこのインフラは、単一障害点を持つ複雑なシステムになっているため、物理的およびサイバー上の混乱に対してより脆弱である。過去には孤立した障害であった事件が、連鎖的な影響により広範囲にわたる混乱を引き起こす可能性がある。[ 9 ]例えば、情報通信分野の機能により、米国は政府やビジネスのプロセスを再構築し、ソフトウェア主導型へと進化してきた。この分野での壊滅的な障害が1つ発生すると、航空管制、緊急サービス、銀行、鉄道、電力、ダム制御など、複数のシステムがダウンする可能性がある。
インフラの要素自体もテロの標的になり得ると考えられています。例えば、2022年にノースカロライナ州カーセージ近郊の変電所が攻撃され、数万人の住民が停電に見舞われました。この事件により、住民は修理が行われるまで数日間、適切な暖房、温水、調理手段を失いました。当局は、この攻撃が銃撃によって意図的に行われたと指摘しました。[ 10 ]従来、重要なインフラ要素は、他国を攻撃したい者にとって魅力的な標的でした。現在、インフラは国家の生命線となっているため、テロリストはインフラ要素を攻撃することで高い経済的および政治的価値を得ることができます。インフラを混乱させたり、機能を停止させたりすることは、国家防衛能力を低下させ、重要なサービスに対する国民の信頼を損ない、経済力を低下させる可能性があります。さらに、インフラ要素の相互依存性により、適切に選択されたテロ攻撃は、従来の戦争よりも容易でコストも少なくなる可能性があります。これらのインフラ要素は、発見される可能性が低い場所では、より容易な標的になり得ます。
インフラを構成する要素は、従来型と非従来型の脅威が複雑に絡み合った危険な状況にますます脆弱になっています。従来型と非従来型の脅威には、機器の故障、人為的ミス、天候や自然災害、物理的な攻撃、サイバー攻撃などが含まれます。これらの脅威のそれぞれにおいて、単一障害点によって引き起こされる連鎖的な影響は、深刻かつ広範囲にわたる結果をもたらす可能性があります。
世界の指導者たちは、今後、重要インフラの事故の頻度と深刻度が増加するのではないかと懸念している。[ 11 ]これらのインフラ障害は、警戒態勢にある国民に大きな影響を与える可能性がある。将来起こりうるこうした障害の一つは、サイバーセキュリティの分野で見られる。アメリカ国民は、自国の技術インフラが危険にさらされているのではないかと懸念している。これは、AIやテクノロジーがアメリカの生活の多くの分野に導入され、世界が技術的に高度化していることに起因している。[ 12 ]
努力は続けられているものの、国のインフラの相互に関連する側面を保護する統一された国家能力は存在しない。その理由の一つは、相互関係についての十分な理解が存在しないことである。また、インフラの要素がどのように組み合わさるか、あるいは各要素がどのように機能し、他の要素にどのような影響を与えるかについても合意がない。国家インフラの安全確保は、その要素間の関係、およびこれらの障害が住民に及ぼす可能性のある即時的および遅延的影響を理解することにかかっている。そのため、あるセクターがパンデミックインフルエンザの影響を模倣する3週間の訓練を計画したとき、参加者の3分の2が事業継続計画を策定していると主張したにもかかわらず、計画が中程度に効果的であると報告したのはわずか半数であった。[ 13 ]これらは、自身を保護するために必要な安全対策を講じていない人々に深刻な影響を与える可能性がある。
米国のどの地域にとっても最も重要なインフラのいくつかは、道路、病院、そして住民に食料を提供するインフラです。これらの重要なインフラ拠点の崩壊リスクが高まると、水、食料、医療、電気へのアクセスが大幅に減少する可能性があり、ほとんどの場合、実際に減少しています。自宅や地域に閉じ込められた住民、薬に頼っている住民、最寄りの病院に搬送される必要がある住民、そして栄養失調の影響を強く受けている住民にとって、これは非常に重要なニーズです。これは、2005年のハリケーン・カトリーナの後のニューオーリンズで見られました。数千人が避難し、数百人が死亡し、さらに数千人が負傷しましたが、避難所や支援を受ける明確な方法はありませんでした。[ 14 ]現在、住民のことを念頭に置いて重要なインフラを改善するための動きがあります。
重要インフラの保護には、重要要素を特定して監視し、要素が攻撃を受けているか、破壊的な自然現象の被害を受けているかを判断する国家的な能力の開発が必要です。これらの自然現象は、気候変動により、過去数年間でより脅威になっています。より強い嵐の発生頻度の増加、干ばつの長期化、海面上昇などです。[ 15 ] CIPの重要性は、リスク管理とインフラ保証の間のリンクです。重要インフラの潜在的な脆弱性を排除するために必要な能力を提供します。
CIPの実務者は、脆弱性を特定し、インシデントに備えるための代替案を分析します。彼らは、国家インフラの重要要素に対する差し迫った攻撃やシステム障害を検知し、警告する能力の向上に重点を置いています。しかし、国家インフラの特定の手法は、地方政府や連邦政府が保護を誓ったコミュニティに害を及ぼすと考える懐疑論者もいます。これは、アトランタの「警察都市」に対する反対運動の重要な要素であり、住民は、システム的な悪影響だけでなく、環境的な悪影響もあると述べています。[ 16 ]
アトランタ公共安全訓練センター、通称「コップシティ」は、市民の安全を守るという目的を果たすために作られた重要なインフラの多くの例の1つです。この種の重要なインフラは、プロジェクトが現在および将来の警察官と戦闘部隊の訓練を目的としているため、間接的に機能します。この計画は、アトランタ警察財団が2017年に「ビジョンセーフアトランタ - 公共安全行動計画」として提案したものです。この計画では、警察財団がアトランタ全域の老朽化した警察の建物や必需品のインフラのアップグレードと注目を受けることになります。[ 17 ]財団と警察のポートフォリオへの最大の追加は、最先端の訓練施設を建設するための市内の緑地約85エーカーです。[ 17 ]
アトランタ警察財団は、市の警察組織の改善に取り組む民間団体です。民間団体であるアトランタ警察財団によると、このプロジェクトは地域のCEOや公務員の支援を受けており、彼らは財団だけでなく、約85エーカーの公有林をリースして伐採する9,000万ドルのプロジェクトも支持しています。[ 17 ] …によると、このセンターは他の民間団体によって民間資金で賄われており、資金の3分の2は民間資金、残りの3分の1は納税者の税金から出ています。[ 18 ]新しいセンターは、老朽化した警察学校に取って代わるもので、「公共安全行動計画」によると、警察学校は建て替えが必要です。「公共安全行動計画」では、改修および更新された警察学校の予算は200万ドルを超えています。[ 17 ]これは、市が施設の完成のために拠出する3,000万ドルよりもはるかに安い価格です。これらの施設には、「射撃場、燃焼訓練施設、市街戦シナリオを模倣するように設計された「殺傷訓練施設」」が含まれています。[ 17 ]この施設の全体的な目標は、アトランタの警察官が市内でより良い訓練を受けられるようにすると同時に、新しいスペースを確保することです。警察財団とアトランタ警察署にとっては前向きな見通しですが、この施設は公共用地の破壊や警察の不正行為への懸念に関して、市民からの反発に直面しています。
アトランタは、広大で緑豊かな木々に囲まれた都市であり、住民や観光客からは「森の中の都市」と呼ばれています。住民によると、この都市の森林の重要性は過小評価できません。木々や緑地がこれほど多く存在するため、住民はこれらの空間を都市の自然生態系の重要な一部と見ています。住民は、85エーカーの森林伐採によって大気汚染が悪化し、地域の自然生息地が減少し、主に黒人が住む脆弱なコミュニティで洪水が増加するのではないかと懸念しています。[ 18 ]住民は、潜在的な生態系への被害は、一部の住民にとって傍観するにはリスクが大きすぎると考えており、警察の暴力が増加する可能性も懸念しています。[ 16 ]
「コップシティ」を阻止する運動は、全米の警察署の予算削減を求める声に続いて、アトランタ警察署の予算削減を求める声が高まったことから始まった。[ 18 ] [ 16 ]森林に侵入したり、設備を破壊したり、施設の建設に必要な設備を供給している市や民間企業に対して法的措置を取ったりするなどして、建設開始を阻止しようと活動している組織が数多く存在する。[ 18 ]地域社会以外の多くの人々も「コップシティ」を阻止するために活動した。警察財団が施設を建設しようとしている森林は、ネイティブ・マスコギー族の土地の一部である。部族のメンバーは市に赴き、市が工事を中止し、マスコギー族の土地から撤退するよう要求した。「コップシティ」を阻止する運動は、アトランタの司法制度の変革を望む人々や、アトランタの森林に生息する非人間種の正義を求めながら自然生息地を保護したい人々による共同の取り組みとなった。[ 18 ]運動は拡大しているものの、いわゆる「警察都市」の実現を望み、そのためなら何でもする市や警察財団からの反発がある。森林を守り、市や州政府に自分たちの声を聞いてもらい、認めてもらおうとした抗議者たちは、法的にも肉体的にも厳しい罰を受けた。抗議活動中、マヌエル・エステバン・パエス・テラン、通称トルトゥギータという名のノンバイナリーの環境活動家が1月18日にジョージア州警察によって殺害され、抗議者に対する警察のパトロールと監視の暴力的な影響が明らかになった。[ 18 ] [ 19 ]
抗議者たちが環境破壊やインフラの悪影響について声を上げている一方で、言論の自由を行使することをより困難にする法律や政策が数多く導入されつつあります。重要インフラ（CI）不法侵入法案が全国各地で提出されており、インフラ建設の妨げとなる抗議者を拘束し、訴追することを可能にしています。[ 19 ]ジャルバートらによると、これらの法案が成立すれば、ドローン、過剰な武力行使、顔認識、コミュニティ監視戦術の使用が可能になるとのことです。[ 19 ] [ 20 ]さらに、アクバル、ラブ、ドノグホーは、これらの法案は有色人種の抗議者に不均衡な影響を与えるだろうと主張しています。[ 16 ] [ 18 ]これは、トルトゥギータの死や先住民、黒人、褐色人種の抗議者の大量逮捕によって明らかになっています。法執行機関による逮捕や暴力的な対応があるだけでなく、当局は重要インフラへの不法侵入を重罪とする措置も講じており、多くの人が重要インフラへの抗議をテロ行為とみなしている。[ 19 ]
これらの法律は、新たな重要インフラの建設を阻止する抗議者を犯罪者扱いしようとする組織的な動きの高まりから生まれたものであり、パイプライン建設に対する全国的な抗議活動への対応として制定されたものである。これらの抗議活動は、気候を守り、先住民の土地を守りたいという願望から生まれたものである。[ 21 ]抗議活動は、新たなパイプラインの建設を阻止または遅らせることを目的としており、石油・ガスパイプラインの増設を支持し、多くの場合資金提供している地方、州、連邦政府に対して声を上げることを目的としている。[ 21 ]先住民は、パイプライン建設は部族条約に違反するだけでなく、汚染によって土地を危険にさらす可能性があると主張している。[ 22 ]環境と制度的抑圧の疑惑が絡み合っていることから、パイプライン建設予定地の住民は声を上げ、プロジェクトに反対している。
石油・ガスパイプラインはエネルギー分野に属するため、重要インフラとみなされています。そのため、米国政府はパイプラインの維持と保護を目指しています。その結果、複数の州がパイプライン建設の妨害や、国の発展に不可欠な重要インフラとみなされるプロジェクトの開発を阻止するために「抗議活動禁止法」を導入しました。[ 23 ] [ 21 ]これらの法律では、これらの様々な「抗議活動禁止法」を施行している州内で、重要インフラプロジェクトの建設や開発を遅らせたり阻止したりすることは重罪とされています。[ 23 ] [ 24 ]
抗議者がインフラプロジェクトに干渉するのを阻止しようとする政治的圧力が高まっているため、ジョージア州は「反抗議」法や措置を徐々に利用して、州内の「警察都市」やその他の重要なインフラプロジェクトに対する抗議活動を阻止する州となっている。[ 20 ]活動家たちは「警察都市」に抗議した際に拘束され、重罪で起訴されている。[ 20 ]
米国の重要インフラプロジェクトには支持者と反対者がおり、これらのプロジェクトに対する反応はあらゆる方面から明確に示されている。
PDD-63は、重要インフラ保護のための国家的な組織の構築を義務付けた。これを実現するための主要な施策の一つが、国家インフラ保証計画（NIAP）の策定であり、後に国家インフラ保護計画（NIPP）と改称された。
国家CIP構造のさまざまな組織は、政府と公共部門のパートナーシップとして連携して活動しています。連邦政府の各省庁および機関は、政府の重要インフラのうち、それぞれの担当部分を保護する責任を負っています。さらに、国土安全保障省を通じて、地方自治体や民間団体がCIPおよびセキュリティ目的で使用できる助成金が提供されています。これには、緊急事態管理、水セキュリティ訓練、鉄道、公共交通機関、港湾のセキュリティ、都市部の医療対応、法執行機関のテロ対策プログラム、都市部セキュリティイニシアチブに対する助成金が含まれます。[ 25 ]
PDD-63は、連邦政府が主に遂行しなければならない重要インフラ保護に関連する特定の機能を特定しました。これらは、国防、外交、情報、および法執行です。これらの特別な機能を担当する各主たる機関は、連邦政府の機能調整役として上級職員を任命します。2008年には、PDD-63の遵守要件を満たすために、法執行機関による重要インフラの物理的セキュリティ評価を迅速化するために、モバイルPDAベースの脆弱性評価セキュリティ調査ツール（VASST）が導入されました。[ 26 ]
国家インフラ保護計画（NIPP）は、国土安全保障大統領指令7号で求められている文書であり、全国で重要インフラおよび重要資源（CIKR）の保護活動を統一することを目的としています。この計画の最新版は2013年に作成されました[ 27 ]。NIPPの目標は、重要インフラと重要資源を 保護し、回復力を確保することです。一般的に扱いにくく、緊急事態に実際に実行される計画ではないと考えられていますが、政府と民間部門間の調整を開発するためのメカニズムとして役立ちます。NIPPは、1998年の大統領決定指令63号で示されたモデルに基づいており、経済の重要部門を特定し、関連する政府機関に情報共有と攻撃への対応強化について協力するよう指示しました。
NIPPは、DHSが重要と特定した18のセクターについて、公共部門の政府調整評議会（GCC）と民間部門のセクター調整評議会（SCC）との間でパートナーシップを構築するように構成されている。
特定された重要インフラの主要セクターごとに、連邦政府は指定された主導機関からセクター連絡担当官を任命した。民間セクターの担当者であるセクターコーディネーターも特定された。連邦政府と企業からそれぞれ1名ずつ、計2名のセクター代表者が協力して、セクターのNIAP（国家インフラ計画）を策定した。
さらに、連邦政府の各省庁および機関は、連邦政府の重要インフラのうち自らが担当する部分を保護するための独自のCIP計画を策定する責任を負っていました。連邦政府の各省庁および機関の計画は、セクターNIAPと統合され、包括的な国家インフラ保証計画が作成されました。加えて、国家的な枠組みは、国家CIPプログラムが存在することを保証しなければなりません。このプログラムには、教育と啓発、脅威評価と調査、研究などの責任が含まれます。
このプロセスには、以下の評価が含まれます。
同様の重要インフラ保護計画の例としては、ドイツの重要インフラ保護国家戦略（CIP戦略）や、スウェーデンのSTYREL短期電力不足時の優先ユーザーへの電力供給制御[ 28 ]などがある。
一部の安全保障イニシアチブや助成金の仕組みや実施方法については、利益を得られる企業自身が主導している、不必要な恐怖の文化を助長しているといった批判が公に寄せられている[ 29 ] 。評論家は、これらのイニシアチブが冷戦の崩壊直後に始まったことを指摘し、これは軍産複合体が縮小しつつあった資金提供分野から、より豊かで以前は民間分野だった領域へと資金を転換したに過ぎないのではないかという懸念を示している。
リスクが均等に分散されていないにもかかわらず、助成金はさまざまな州に分配されており、資金と雇用を接戦区に誘導する利権政治の非難につながっている。都市地域安全保障イニシアチブ助成金プログラムは特に物議を醸しており、2006年のインフラリストにはポップコーン工場やホットドッグスタンドを含む77,000の資産が含まれていた。[ 30 ] 2007年の基準は2,100に削減され、現在ではこれらの施設は助成金の対象となるためにはるかに強力な主張をしなければならない。[ 31 ]善意によるものだが、より差し迫った問題から注意と資金をそらしたり、有害な副作用を生み出したりする、設計が不十分で侵入的なセキュリティショーであるという主張に関して、結果の一部も疑問視されている。
比較リスク分析とそれに伴う便益の追跡が欠如しているため、こうした主張に権威をもって反論することが困難となっている。この状況をより深く理解し、最終的に取り組みをより効果的に方向付けるため、国土安全保障省の国家保護・プログラム局内に、リスク管理・分析室が最近設置された。
米国国防総省は、政府の重要インフラのうち、自らが担当する部分を保護する責任を負っている。しかし、CIPプログラムの一環として、国防総省は国家レベルおよび省庁レベルの重要インフラの両方にまたがる責任を負っている。
PDD-63は、国防総省が重要インフラ保護に関して負う責任を明確にした。まず、国防総省は自らの重要資産およびインフラを特定し、分析、評価、および是正措置を通じて保証を提供する必要があった。また、国防総省は、産業界および他の政府機関の国内および国際的なインフラ要件を特定し、監視する責任も負っており、これらはすべて保護計画に含める必要があった。さらに、国防総省は、国防総省の調達における商業資産およびインフラサービスの保証と保護についても取り組んだ。重要インフラ保護計画（CIP）に関する国防総省のその他の責任には、インフラサービスの喪失または侵害によって軍事作戦に及ぼす潜在的な影響を評価することが含まれていた。また、国防総省の作戦を監視し、インフラ事故を検知して対応し、国家プロセスの一環として部門の指示や警告を提供する要件もあった。最終的に、国防総省は国家の重要インフラ保護を支援する責任を負っていた。
PDD-63で示された要件に対応するため、国防総省は国家の重要インフラ保護（CIP）組織と同様の方法で、自らの重要資産をセクター別に分類しました。国防総省は、特に国防総省による保護が必要な分野については、若干異なるインフラセクターのリストを作成しました。国防総省の重要インフラ保護のための組織構造は、国家のCIP構造を反映し、補完し、効果的に連携するものです。
国防総省によって保護されている国防上重要なインフラ分野は10分野あります。これらには以下が含まれます。
国防総省のCIP（市民改善計画）特別機能コンポーネントは、同等の国家機能コーディネーターと連携し、国防総省内におけるその機能に関連するすべての活動を調整する。
国防総省の特殊機能構成要素は現在、7つの重点分野から構成されています。それらは以下の構成要素から成ります。
PDD-63の規定に基づき、国防総省は連邦政府の重要インフラのうち、自らが担う部分を保護しなければならない。国防総省にとって、これは国防インフラ（DI）と呼ばれる。国防インフラの保護は、10の国防部門が関わる複雑な任務である。
あらゆる場所にあるすべての重要資産を保護することはほぼ不可能であると判断されたため、重点は重要防衛インフラの保護に置かれた。重要防衛インフラとは、任務遂行の確実性を確保するために不可欠な重要資産のことである。
国防総省のCIPライフサイクルの6つのフェーズは、相互に積み重ねられ、インフラストラクチャ保証のための包括的なソリューションのフレームワークを構築します。ライフサイクルの各フェーズは、インフラストラクチャを損なったり劣化させたりする可能性のある事象の発生前、発生中、発生後に起こります。6つのフェーズの概要は以下のとおりです。
重要インフラ保護（CIP）ライフサイクルを効果的に管理することで、国防総省（DoD）の全部門間で保護活動の調整と整合が確保されます。多くの点で、DoDのCIPは、最も重要なリスク管理と言えるでしょう。成功とは任務の確実性を確保することであり、失敗は任務の失敗、ひいては人的・物的損失につながります。重要インフラ保護においては、リスク管理のために、最も脆弱で脅威にさらされている最も重要なインフラ資産に対処するために、リソースを最大限に活用する必要があります。
CIPライフサイクルにおいて最も重要なのはフェーズ1です。インフラ保護の対象となる資産を適切に特定することが極めて重要であるため、これらの資産を特定することがCIPライフサイクルの最初のフェーズとなります。この分析と評価のフェーズは、ライフサイクルの7つの活動の鍵となる基盤です。しっかりとした基盤がなければ、残りのCIPライフサイクルフェーズに欠陥が生じ、結果として重要なインフラを保護できず、ひいてはミッションの遂行を保証できないCIP計画になってしまう可能性があります。
フェーズ1では、どの資産が重要かを判断し、それらの脆弱性や依存関係を特定することで、意思決定者が効果的なリスク管理の選択を行うために必要な情報を提供します。
防衛インフラ（DI）は10のセクターに組織されています。各セクターは、システム、プログラム、人材、設備、施設などの資産で構成されています。資産は、地理的に1つの場所にある1つの施設のような単純なものから、地理的に分散したリンクやノードを含む複雑なものまで様々です。
分析と評価は、10のDIセクターとその資産を網羅する活動を含む5つのステップで構成されています。
2001年8月24日、統合参謀本部長官は、USPACOMに対し、史上初となる戦域CIP計画（「CIP付録16計画」として知られる）の策定において、主導的な支援を行う戦闘司令部となるよう要請した。USPACOMはこの任務に以下のように取り組んだ。USPACOMは、分析・評価段階において、以下の3つの主要な質問に答えるよう活動を組織化することで、分析・評価段階に重点を置いた。
「何が重要か？」という問いに答えるため、USPACOMは3段階の手順を概説した。
これらの手順を実行するために、USPACOMはCIPの取り組みをティア 1資産に集中させる方法論を採用しました。ティア1資産とは、侵害または損傷した場合に任務の失敗を引き起こす可能性のある資産です。USPACOMが採用し修正した方法論は、任務領域分析（MAA）です。MAAは、戦闘司令部の任務を、特定の作戦計画（OPLAN）、緊急時対応計画（CONPLAN）、または危機対応計画にとって重要なインフラ資産にリンクします。通常、MAAプロセスでは評価サイトの優先順位が決定されます。USPACOMはプロセスを修正し、MAAを実施する前にCIP評価サイトと施設を選択しました。以下は、USPACOMのMAAプロセスの図解です。
USPACOMは収集したMAAデータを使用して、真に任務遂行上重要な資産の範囲を特定し、そこに注力することで、次の質問である「脆弱性はあるのか？」に答えます。
この質問に答えるための第一歩は、施設分析を完了することです。次のステップは、商用インフラ分析を完了することです。USPACOMは、CIP評価のために2つの異なる国防総省組織、すなわちバランス型生存性評価（BSA）と任務保証評価に依存していました。BSAは、軍事施設または指定された場所で行われる2週間の任務重視型評価です。任務保証評価は、商用資産と軍事資産の両方の脆弱性と依存関係に焦点を当てるためにエリア評価アプローチを使用するという点で独特です。脆弱性を判断するための最終ステップは、2つの分析と評価を統合することです。重要な資産とその脆弱性が特定されたことで、USPACOMは、任務遂行上重要な資産を保護するために何ができるかを決定するためのリスク管理活動を実行する準備が整いました。
ブーズ・アレン・ハミルトン社は、 PACOMでこのプロセスを開発しました。
CIPライフサイクルの第一段階である分析と評価では、国防総省セクターインフラストラクチャの重要資産と、それらの重要資産の脆弱性または弱点が特定された。
第2段階は修復段階です。修復段階では、既知の弱点や脆弱性に対処します。修復措置とは、事象が発生する前に既知の仮想的および物理的な脆弱性を修正するために設計された、意図的な予防措置です。修復の目的は、重要な資産とインフラストラクチャの信頼性、可用性、および生存性を向上させることです。修復措置は、原因を問わず、あらゆる種類の脆弱性に適用されます。自然災害、技術的な障害、または意図的な悪意のある行為にも適用されます。
各修復措置の費用は、対処すべき脆弱性の性質によって異なります。各インフラ部門が策定しなければならない国防インフラ部門保証計画は、修復の優先順位とリソースを定めています。修復要件は、複数の要因によって決定されます。これらの要因には、分析と評価、軍事計画担当者および他の国防総省部門からの意見、国家インフラ保証計画、国家インフラの脆弱性と修復に関するその他の計画、報告書、情報、ならびに脅威に関する情報機関の推定と評価が含まれます。
修復要件は、国防インフラ部門の監視および報告、ならびにインフラ保護作戦および演習から得られた教訓に基づいて収集されます。CIPプログラムは、重要資産の修復活動の状況を追跡します。国防インフラの重要資産を保護するための修復活動は、国防省の複数の部門にまたがっています。
米国に対する活動を監視し、潜在的な脅威を警告する必要性は、決して新しいものではありません。通常兵器による攻撃から核攻撃の可能性に至るまで、軍は建国以来、潜在的な危険を監視し警告する最前線に立ってきました。重要な国防インフラを含む米国の安全保障と福祉を守ることは、今や新たな時代を迎えています。重要なインフラ領域における潜在的または実際の事象を特定し警告するための協調的な能力を持つことが不可欠とみなされています。インフラ事象を検知し警告する能力は、重要インフラ保護ライフサイクルの第3段階である「兆候と警告」段階にあたります。
兆候と警告とは、以下のいずれかの事象が発生したことを示す行動またはインフラの状態のことです。
歴史的に、国防総省の事象指標は、外国情勢に関する情報に重点を置き、それに依存してきた。これらの事象指標は、原因を問わず、あらゆる潜在的なインフラの混乱または劣化を含むように拡大された。国防総省のCIP指標は、次の4つのレベルの入力に基づいている。
従来の諜報情報と業界固有の情報を融合させることは、有意義なCIP（企業情報提供計画）の策定に不可欠であると判断された。
兆候が検出された場合、適切な資産所有者に対し、発生している可能性のある事象または危険を通知する警告を発することができます。セクターの保証計画では、各防衛インフラセクターについて、監視および報告する条件と措置が定められています。各セクターは、監視および報告のためのセクターインシデントの概要を含む、文書化された防衛セクター保証計画を作成する必要があります。セクターインシデントの概要は、次の3種類のインシデントで構成されています。
国防総省の重要資産所有者、施設、およびセクターの重要資産管理責任者（CIAO）は、国防総省およびセクターが定義するインシデントを決定します。報告対象となるインシデントまたはインシデントの種類には、それぞれ以下の要素を含める必要があります。
国家インフラ保護センター（NIPC）は、重大なインフラ攻撃に関する主要な国家警報センターです。重要資産所有者、国防総省施設、およびセクターCIAOは、インフラを毎日監視しています。インフラインシデントの兆候は、国家軍事指揮センター（NMCC）に報告されます。兆候がコンピュータネットワーク上にある場合は、統合任務部隊コンピュータネットワーク作戦（JTF-CNO）にも報告されます。NMCCとJTF-CNOは兆候を評価し、NIPCおよび適切な国防総省組織に伝達します。NIPCは、インフラインシデントが発生する可能性が高い、計画されている、または進行中であると判断した場合、国家警報を発令します。国防総省に関しては、NIPCは警報と警告をNMCCとJTF-CNOに伝達します。これらの警報と警告は、その後国防総省の各構成機関に伝達されます。警報には、国防総省が講じるべき追加の保護措置に関するガイダンスが含まれる場合があります。
CIPライフサイクルのフェーズ1では、重要な資産とその脆弱性を特定・評価することで、保護層が構築されます。フェーズ 2では、特定された資産の欠陥や弱点を修復または改善することで、さらに保護層が構築されます。これらの保護策や予防措置を講じていても、インフラストラクチャのインシデントが発生する可能性は依然としてあります。インシデントが発生した場合は、兆候と警告のフェーズが発動されます。
緩和フェーズ（フェーズ4）は、インフラに関する警告やインシデントに対応するための、事前に計画された協調的な行動で構成されます。緩和措置は、インフラ事象の発生前または発生中に実施されます。これらの措置は、重要な資産の喪失による運用上の影響を最小限に抑え、インシデント対応を円滑化し、インフラサービスを迅速に復旧させることを目的としています。
緩和フェーズの主な目的は、重要な資産が失われたり損傷したりした場合に、他の重要な防衛インフラや資産への運用上の影響を最小限に抑えることです。たとえば、 ホスト国に米国の施設であるサイトAがあるとします。サイト Aはティア 1の資産であり、これが故障すると、戦闘司令部の任務が失敗します。サイト Aは、サイトBおよびCと相互にグローバル情報グリッド指揮統制（GIG/C2）情報相互依存関係を持っています。 さらに、他の防衛インフラ部門は、 任務遂行能力のためにサイトAに依存しています。このシナリオでは、施設の主電源を供給する商用発電所への供給ラインが誤って切断された場合、どのような影響があるでしょうか。すべての相互依存関係があるため、この資産を失うことは、単に1つのサイトを失う以上の意味を持ちます。それは、他の部門の能力を失うことを意味します。
考えられる緩和策としては、サイト Aをバックアップ電源に切り替えることが挙げられます。別の対策としては、サイトAの機能を完全に別のサイトに移管し、そこで冗長性が事前に確保されていることが考えられます。これらの対策により、今回のインシデントが他のサイトや関連セクターに与える影響を限定することができます。CIPライフサイクルの緩和フェーズは、重要インフラ事象の運用上の影響を軽減するだけでなく、他の2つのライフサイクルフェーズをサポートし、補完します。緩和策は、フェーズ 5「インシデント対応」の緊急対応、調査、管理活動を支援します。また、フェーズ6の復旧活動も促進します。
緩和フェーズでは、国防総省の重要資産所有者、国防総省施設、およびセクター最高インフラ保証責任者（CIAO）が、国家軍事指揮センター（NMCC）および統合任務部隊コンピュータネットワーク作戦（JTF-CNO）と連携して、さまざまなシナリオに対する緩和対応策を策定、訓練、および演習します。警告、緊急事態、またはインフラインシデントが発生した場合、重要資産所有者、施設、およびセクターCIAOは、国防総省へのサービスを維持するために緩和措置を開始します。また、NMCCおよびJTF-CNOに緩和状況情報を提供します。NMCCは、1つの国防インフラセクター内のイベントによる影響が他のセクターに影響を与えるほど重大なものかどうかを監視します。2つ以上のセクターにまたがるイベントについては、NMCCは緩和措置の優先順位付けと調整について助言します。イベントの脅威または影響が拡大し続ける場合、NMCCは国防総省全体で調整された対応を確保するために、セクターごとに緩和措置を指示します。 NMCCとJTF-CNOは、重要な緩和活動について、国家インフラ保護センター（NIPC）に常に情報を提供している。
国防インフラに事象が影響を及ぼすと、インシデント対応フェーズが開始されます。インシデント対応は、CIPライフサイクルの第5フェーズです。インシデント対応フェーズの目的は、インフラ事象の原因または発生源を排除することです。たとえば、 9/11の世界貿易センターとペンタゴンへの攻撃の際、さらなる事件を防ぐために、米国上空ではすべての非軍用機が運航停止となりました。対応活動には、資産所有者や運用者ではなく、法執行機関、医療救助、消防救助、危険物または爆発物の取り扱い、捜査機関などの専門の第三者による緊急措置が含まれていました。国防インフラのインシデントへの対応は、事象が国防総省のコンピュータネットワークに影響を与えるかどうかに応じて、2つの経路のいずれかになります。
国防総省のコンピュータ ネットワークが侵害された場合、統合任務部隊コンピュータ ネットワーク作戦 (JTF-CNO) が対応活動を指揮します。これらの活動は、コンピュータ ネットワーク攻撃を阻止し、国防総省の情報ネットワークへの損害を封じ込め、軽減し、必要最低限の機能を復旧することを目的としています。JTF-CNO はまた、国防総省のネットワークに影響を与えるインシデント発生時に、他の連邦機関や民間組織からの支援や援助を要請し、調整します。インシデントが国防総省が所有する他の資産に影響を与える場合、施設司令官と重要資産所有者は、従来の経路と手順に従って対応を調整します。これには、最初の通知と状況報告で、影響を受けるセクターの最高インフラストラクチャ保証責任者 (CIAO) に通知することが含まれます。国防インフラストラクチャの事象への対応には第三者が重要な役割を果たしますが、国防総省の CIP 担当者にも果たすべき責任があります。
インフラ障害の原因が排除または封じ込められた後、インフラとその機能を復旧させる必要があります。復旧は、重要インフラ保護の最終段階です。復旧は、ライフサイクルの中で最も困難で、最も開発が進んでいないプロセスと言えるでしょう。国防総省の重要資産所有者は、復旧に関して主要な責任を負っています。