米国 国防総省 新しいサイバー作戦準備評価プログラム(CORA) を開始 - 遵守検査から即応性へ考え方と変える

こんにちは、丸山満彦です。

米国の国防総省省が、サイバー作戦準備評価 (CORA) プログラムを2024.03.01から開始すると公表しています。これまで、システムがセキュアな状態であることを検査して、確認するというコンプライアンス検査的な考え方を中心にしていたが、インシデント等に相応的に対応し、任務が運用可能であるかを確認するという実質的な内容に転換するということのようです。

そして名前も

・Cyber Readiness Inspection (CCRI) program：サイバー即応性検査（CCRI）プログラム

から、

・Cyber Operational Readiness Assessment (CORA) program：サイバー作戦準備評価（CORA）プログラム

に変更するとのことです。。。

● U.S. Cyber Command

Cyber Operational Readiness Assessment Overview

サイバー運用準備評価の概要

The Cyber Operational Readiness Assessment helps strengthen the posture and resiliency of the Department of Defense Information Network (DODIN) by supporting DODIN Areas of Operation (DAO) commanders and directors in their efforts to harden their information systems, reduce the attack surface of their cyber terrain, and enhance a more proactive defense. These are the foundational cybersecurity principles measured by the CORA program.

サイバー運用即応性評価は、国防総省情報ネットワーク（DODIN）の態勢とレジリエンスを強化することを支援するもので、DODIN作戦地域（DAO）の指揮官と長官が情報システムを強化し、サイバー地形の攻撃面を減らし、より積極的な防御を強化する努力を支援する。これらはCORAプログラムによって測定されるサイバーセキュリティの基本原則である。

・2024.02.28 JFHQ-DODIN to officially launch its new Cyber Operational Readiness Assessment Program March 1st

JFHQ-DODIN to officially launch its new Cyber Operational Readiness Assessment Program March 1st	JFHQ-DODINは3月1日、新しいサイバー作戦準備評価プログラムを正式に開始する。
Joint Force Headquarters–Department of Defense Information Network	統合軍本部-国防総省情報ネットワーク
ORT GEORGE G. MEADE, Maryland  –	フォートジョージG.ミード、メリーランド州 - 。
Following a successful nine-month pilot, Joint Force Headquarters–Department of Defense Information Network (JFHQ-DODIN) will officially launch its Cyber Operational Readiness Assessment program March 1.	成功した9ヶ月間のパイロットの後、統合軍本部-国防総省情報ネットワーク（JFHQ-DODIN）は、正式に3月1日にサイバー運用準備アセスメントプログラムを開始する。
Over the past four years, JFHQ-DODIN has made significant changes to the Department of Defense Command Cyber Readiness Inspection (CCRI) program, transforming from an inspection compliance mindset to an operational readiness mindset underpinning mission assurance. To enunciate this significant shift, the program has been renamed to the Cyber Operational Readiness Assessment (CORA).	過去4年間、JFHQ-DODINは国防省司令部サイバー即応性検査（CCRI）プログラムに重要な変更を加え、検査遵守の考え方から任務保証を支える運用即応性の考え方へと転換してきた。この重要な転換を明確にするために、プログラムはサイバー作戦準備評価（CORA）に改名された。
According to Lt. Gen. Robert Skinner, commander of JFHQ-DODIN, CORA is one of the most critical components of the DOD’s cyber security strategy and lays a strong cornerstone to support the command’s goal of continuous holistic assessments.	JFHQ-DODIN司令官のロバート・スキナー中将によると、CORAは国防総省のサイバーセキュリティ戦略にとって最も重要な要素の一つであり、継続的な全体的評価という司令部の目標を支える強力な礎石となる。
The new processes help strengthen the posture and resiliency of the Department of Defense Information Network (DODIN) by supporting DODIN Areas of Operation (DAO) commanders and directors in efforts to harden their information systems, reduce the attack surface of their cyber terrain, and enhance a more proactive defense. These are the foundational cybersecurity principles measured by the CORA program.	この新しいプロセスは、国防総省情報ネットワーク（DODIN）の態勢とレジリエンスを強化するもので、DODIN作戦地域（DAO）の指揮官と長官が情報システムを強化し、サイバー地形の攻撃面を減らし、より積極的な防衛を強化する取り組みを支援する。これらは、CORAプログラムによって測定されるサイバーセキュリティの基本原則である。
“CORA is a vital aspect of continually understanding our cyber readiness through fusing many risk factors including access control, detecting anomalies, adjusting to adversary threat information, and executing cyber orders,” Skinner said. “Ultimately, the assessment provides commanders and directors a more precise understanding of their high-priority cyber terrain and their overall cyber security and defensive posture enabling greater command and control and enhancing decision making.”	「CORAは、アクセス制御、異常の検知、敵の脅威情報への対応、サイバー命令の実行など、多くのリスク要因を融合させることで、サイバー準備態勢を継続的に理解するために不可欠なものである」とスキナー氏は述べた。「最終的に、この評価は指揮官や長官に対して、優先度の高いサイバー地形や全体的なサイバーセキュリティと防御態勢をより正確に理解させ、指揮統制を強化し、意思決定を強化する。
John Porter, JFHQ-DODIN’s acting director of DODIN Readiness and Security Inspections directorate, said “CORA represents a consolidated look at threat, vulnerability, and impact designed to give DAO commanders and directors relevant information for making decisions about cyber terrain, forces, and other resources”.	JFHQ-DODINのDODINレディネス・セキュリティ検査局長代理であるジョン・ポーター氏は、「CORAは脅威、脆弱性、影響に関する統合的な調査であり、DAOの指揮官や長官にサイバー地形、兵力、その他の資源に関する意思決定を行うための関連情報を与えるように設計されている」と述べた。
“CORA prioritizes MITRE ATT&CK mitigations to minimize adversarial risk to the Department of Defense Information Networks (DODIN) through JFHQ-DODIN’s risk-based metrics. The command created risk-based metrics after analyzing MITRE ATT&CK tactics, techniques, and procedures (TTPs) for initial access, persistence, privilege escalation, lateral movement, and exfiltration,” Porter said.	「CORAは、JFHQ-DODINのリスクベースのメトリクスを通じて、国防総省情報ネットワーク（DODIN）に対する敵対的リスクを最小化するために、MITRE ATT&CKの低減に優先順位をつける。同司令部は、初回アクセス、永続性、特権の昇格、横方向への移動、流出に関するMITRE ATT&CKの戦術、技術、手順（TTP）を分析した後、リスクベースの評価指標を作成した」とポーター氏は述べた。
MITRE ATT&CK is a knowledge base of adversarial TTPs utilized by cyber defenders world-wide to protect and defend information systems and networks and hunt malicious actors.	MITRE ATT&CKは、情報システムとネットワークを保護・防御し、悪意ある行為者を狩るために、世界中のサイバー防衛者によって利用されている敵対的なTTPの知識ベースである。
Porter said “the JFHQ-DODIN CORA team developed key indicators of risk from the risk-based metrics to ensure alignment with JFHQ-DODIN cybersecurity priorities and to direct focus onto the most critical areas of remediation.”	ポーター氏は、「JFHQ-DODIN CORAチームは、JFHQ-DODINのサイバーセキュリティの優先事項との整合性を確保し、最も重要な改善分野に焦点を当てるために、リスクベースの指標からリスクの主要指標を開発した」と述べた。
This, in turn, allows organizations to focus their mitigation efforts on risk and exposure to common adversarial TTPs. “Focusing on these essential remediation points allows DOD Components to concentrate limited resources and staffing on correcting high-risk areas,” Porter said. JFHQ-DODIN risk-based metrics and CORA key indicators of risk are adjusted as the MITRE ATT&CK TTPs and mitigations priorities shift, enabling the CORA program to keep pace with the rapidly changing cyber domain.	これによって、組織はリスクと一般的な敵対的TTPへのエクスポージャーに焦点を当てて低減に取り組むことができる。「これらの重要な修復ポイントに焦点を当てることで、国防総省の各部門は、限られた資源と人員をリスクの高い分野の修復に集中させることができる。JFHQ-DODINのリスクベースの指標とCORAの主要なリスク指標は、MITRE ATT&CK TTPsと軽減策の優先順位が変わると調整されるため、CORAプログラムは急速に変化するサイバー領域と歩調を合わせることができる。
In addition to the key indicators of risk, Porter said “CORA is hyper-focused on securing the boundary.” The boundary consists of network perimeter devices, public and DOD facing assets servicing the public or external DOD components and any information systems with a direct interface to an external information system. The boundary reviews measure the cyber-hardening risk of information systems exposed to the public internet and the possibility that the malicious activity could spread to other DOD Components if an information system is compromised.	リスクの主要指標に加えて、ポーター氏は「CORAは境界の安全確保に超重点を置いている」と述べた。バウンダリーとは、ネットワーク境界デバイス、公共または国防総省の外部コンポーネントにサービスを提供する公共および国防総省に面した資産、外部の情報システムに直接接続する情報システムで構成される。バウンダリー・レビューは、公共のインターネットにさらされた情報システムのサイバー・ハードニング・リスクと、情報システムが侵害された場合に悪意ある活動が他の国防総省構成機関に広がる可能性を測定する。
The Cyber Operational Readiness Assessment has become a more agile process encouraging and enabling adjustments in strides. The assessment can be adjusted as new orders, policies or directives are issued, add new assessed technology if Security Technical Implementation Guides exist, and adjust key risk indicators as the threat landscape changes.	サイバー運用準備アセスメントは、より機敏なプロセスとなっており、迅速な調整が可能となっている。アセスメントは、新しい命令、政策、指令が発行されたときに調整することができ、セキュリティ技術実装ガイドが存在する場合は新しい評価技術を追加し、脅威の状況が変化したときに主要なリスク指標を調整することができる。
The program will help ensure a strong cybersecurity foundation for all DOD networks. It will help DAO commanders and directors better understand the status of their high-priority terrain and their overall cyber security readiness and defensive posture and provide them with relevant information for making decisions about terrain, forces, and other resources.	このプログラムは、すべての国防総省のネットワークに強固なサイバーセキュリティの基盤を確保するのに役立つ。また、DAOの指揮官や長官が、優先度の高い地形や全体的なサイバーセキュリティの準備態勢や防御態勢の状況をよりよく理解し、地形や兵力、その他のリソースに関する意思決定を行うための関連情報を提供するのに役立つ。
At the same time, it will provide the USCYBERCOM and JFHQ-DODIN commanders a greater understanding of level of risk to the DODIN. CORA is crucial for validating current, future, and emerging technologies that will help the DOD continuously monitor and assess terrain to assess and mitigate risk across the DODIN.	同時に、USCYBERCOMとJFHQ-DODINの指揮官に、DODINに対するリスクレベルの理解を深めることができる。CORAは、DODIN全体のリスクを評価し軽減するためにDODが継続的に地形を監視しアセスメントするのに役立つ、現在、将来、および新興の技術を検証するために極めて重要である。
Joint Force Headquarters–Department of Defense information Network is the U.S. Cyber Command component that leads DOD’s unified force approach to network operations, security, and defense across the Department of Defense Information Network, commonly known as the DODIN. This global command and control responsibility underpinning all DOD missions works to ensure mission assurance and bolster DOD’s competitive advantage.	統合軍本部-国防総省情報ネットワークは、一般的にDODINとして知られている国防総省情報ネットワーク全体のネットワーク運用、セキュリティ、および防衛への国防総省の統一された力のアプローチをリードする米国のサイバーコマンドのコンポーネントである。国防総省のすべての任務を支えるこのグローバルな指揮統制責任は、任務を確実にし、国防総省の競争上の優位性を強化するために働く。
The Command’s mission covers a broad range of activities on behalf of U.S. Cyber Command including proactive, threat-informed steps to reduce cyber risk across the DODIN, and leading response to attacks against the DODIN to ensure network operations remain agile and resilient. Lt. Gen. Robert J. Skinner is dual-hatted as the commander of JFHQ-DODIN and the director of the Defense Information Systems Agency (DISA).	同司令部の使命は、DODIN全体のサイバーリスクを低減するための事前予防的で脅威情報に基づいた措置や、ネットワーク運用が機敏でレジリエンスを維持できるようにするためのDODINに対する攻撃への対応を主導することなど、米サイバー軍を代表する幅広い活動をカバーしている。ロバート・J・スキナー中将は、JFHQ-DODIN司令官と防衛情報システム局（DISA）局長を兼任している。

詳細はよくわかりませんが、考え方は参考になると思います。