米国 NIST CSWP 35（初期公開ドラフト） ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング：ゲノムデータシーケンスおよび分析のための脅威モデル実装例

こんにちは、丸山満彦です。

NISTがホワイトペーパー：CSWP 35（初期公開ドラフト） ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング：ゲノムデータシーケンスおよび分析のための脅威モデル実装例を公表しています...

IR 8467とは違い、脅威モデルの実装例をしめしあものです...

IR 8467 (第２次公開ドラフト) ゲノムデータのサイバーセキュリティとプライバシーフレームワーク コミュニティプロファイルも同時に公表されていますね...

● NIST - ITL

・2024.12.16 NIST CSWP 35 (Initial Public Draft) Cybersecurity Threat Modeling the Genomic Data Sequencing Workflow: An example threat model implementation for genomic data sequencing and analysis

NIST CSWP 35 (Initial Public Draft) Cybersecurity Threat Modeling the Genomic Data Sequencing Workflow: An example threat model implementation for genomic data sequencing and analysis	NIST CSWP 35（初期公開ドラフト） ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング：ゲノムデータシーケンスおよび分析のための脅威モデル実装例
Announcement	発表
The NIST National Cybersecurity Center of Excellence (NCCoE) has released two new draft publications to help organizations address cybersecurity and privacy risks associated with processing genomic data. Both drafts are open for public comment until 11:59 PM (ET) on Thursday, January 30, 2025.	NIST国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）は、ゲノムデータの処理に関連するサイバーセキュリティおよびプライバシーのリスクに対処する組織を支援する2つの新しい草案を公表した。両草案は、2025年1月30日（木）午後11時59分（東部標準時間）まで一般からの意見を受け付けている。
About the Drafts	ドラフトについて
Draft NIST Internal Report (IR) 8467, Genomic Data Cybersecurity and Privacy Frameworks Community Profile (Genomic Data Profile), provides a structured, risk-based approach for managing both cybersecurity and privacy risks in processing genomic data. This update incorporates the NIST Cybersecurity Framework (CSF) version 2.0 and NIST Privacy Framework (PF) version 1.0 to help organizations prioritize cybersecurity and privacy capabilities. This is the first joint CSF and PF Community Profile developed by NIST.	NIST内部報告書（IR）8467、ゲノムデータ・サイバーセキュリティおよびプライバシー・フレームワーク・コミュニティ・プロファイル（ゲノムデータ・プロファイル）は、ゲノムデータの処理におけるサイバーセキュリティおよびプライバシー・リスクの両方を管理するための、構造化されたリスクベースのアプローチを提供する。今回の更新では、NISTサイバーセキュリティ・フレームワーク（CSF）バージョン2.0およびNISTプライバシー・フレームワーク（PF）バージョン1.0が組み込まれ、組織がサイバーセキュリティおよびプライバシー能力の優先順位付けを行うのに役立つ。これは、NISTが開発した初のCSFとPFの共同コミュニティ・プロファイルである。
Draft NIST Cybersecurity White Paper (CSWP) 35, Cybersecurity Threat Modeling the Genomic Data Sequencing Workflow, evaluates potential threats in a genomic data processing environment using an iterative methodology. It provides an example use case and demonstrates an approach which organizations can adapt to identify cybersecurity threats and mitigations in their environments.	ドラフト版NISTサイバーセキュリティ・ホワイトペーパー（CSWP）35「ゲノムデータ・シーケンス・ワークフローのサイバーセキュリティ脅威モデリング」では、反復的な方法論を用いてゲノムデータ処理環境における潜在的な脅威を評価している。また、使用例を示し、組織が自らの環境におけるサイバーセキュリティの脅威と緩和策を識別するために採用できるアプローチを実証している。

● [PDF] NIST.CSWP.35.ipd

目次...

Executive Summary	エグゼクティブサマリー
1. Introduction	1. 序文
1.1. Use Case and Scope	1.1. ユースケースと範囲
1.2. Organizational Tailoring	1.2. 組織の調整
1.3. Threats and Risk	1.3. 脅威とリスク
1.4. Threat Modeling Overview	1.4. 脅威モデリングの概要
1.5. Audience	1.5. 対象読者
2. Threat Modeling Exam	2. 脅威モデリング試験
2.1. Question 1: What are we working on?	2.1. 問題 1: 私たちは何を扱っているのか？
2.1.1. Genomics Sequencing Laboratory Data Flow Diagrams	2.1.1. ゲノム配列決定研究所のデータフロー図
2.1.2. Research Partner Data Flow Diagrams	2.1.2. 研究パートナーのデータフロー図
2.1.3. High-Value Dataflows Overvie	2.1.3. 高価値データフローの概要
2.1.4. Genomic Sequencing Laboratory HVD Examples	2.1.4. ゲノムシークエンシング研究所のHVDの例
2.1.5. Research Partner HVDs	2.1.5. 研究パートナーのHVD
2.2. Question 2: What could go wrong	2.2. 質問2：何が問題となり得るか
2.2.1. Spotine. Tamperine, Repudiation, formation Dislose, and levato rule STRIDE)	2.2.1. Spotine、Tamperine、Repudiation、formation Dislose、levato rule STRIDE
2.2.2. Key STRIDE Results	2.2.2. 主なSTRIDEの結果
2.2.3. Attack Trees	2.2.3. 攻撃ツリー
2.3. Question 3: What are we going to do about it?	2.3. 質問 3: それに対して何をすべきか？
2.3.1. Broker Access to Genomic Data	2.3.1. ゲノムデータへのブローカーアクセス
2.3.2. Use Network Isolation and Firewalls	2.3.2. ネットワーク分離とファイアウォールの使用
2.3.3. Use RBAC on the Cluster Filesystem	2.3.3. クラスタファイルシステムでの RBAC の使用
2.3.4. Authenticate and Authorize All Users	2.3.4. すべてのユーザーの認証と認可
2.3.5. Restrict Physical Access to Environments	2.3.5. 環境への物理的アクセスを制限する
2.3.6. Implement Data Retention Policies for the Genomic Data	2.3.6. ゲノムデータに対するデータ保持ポリシーを実施する
2.3.7. Conduct Backups of Datastores	2.3.7. データストアのバックアップを行う
2.3.8. Containerize Untrusted Software	2.3.8. 信頼されていないソフトウェアをコンテナ化する
2.3.9. Implement Least Functionality and use Configuration Benchmark	2.3.9. 最小限の機能の実装と構成ベンチマークの使用
2.3.10. Encrypt Data Whenever Possible	2.3.10. 可能な限りデータの暗号化を行う
2.4. Question 4: Did we do a good job?	2.4. 質問 4: 私たちは良い仕事をしたか？
2.4.1. Did we do a good job documenting the system and data architecture?	2.4.1. システムおよびデータアーキテクチャの文書化は適切に行われたか？
2.4.2. Did we do a good job identifying and documenting threats?	2.4.2. 脅威の識別および文書化は適切に行われたか？
2.4.3. Did we do a good job mitigating the threats?	2.4.3. 脅威の緩和は適切に行われたか？
3. Conclusion	3. 結論
References	参考文献
Appendix A. Abbreviations and Acronyms	附属書 A. 略語および頭字語

エグゼエクティブサマリー...

Executive Summary	エグゼクティブサマリー
In this paper, the National Cybersecurity Center of Excellence (NCCoE) Genomic Data project team demonstrates how to conduct cybersecurity threat modeling against the environments involved in genomic sequencing and analysis. The paper demonstrates a common four-step threat modeling process that can be used as an example for organizations involved in genomic research, sequencing, and analysis planning to conduct similar threat modeling and identify mitigations:	本論文では、国立サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）ゲノムデータプロジェクトチームが、ゲノム配列決定および分析に関わる環境におけるサイバーセキュリティの脅威モデリングの実施方法を説明する。本論文では、ゲノム研究、配列決定、分析計画に関わる組織が同様の脅威モデリングを実施し、緩和策を特定するための例として使用できる、一般的な4段階の脅威モデリングプロセスを説明する。
1. Document “What are we working on?” through architecture, dataflow, and high-value dataflow diagrams for the genomic data processing environment (Sec. 2.1).	1. ゲノムデータ処理環境のアーキテクチャ、データフロー、および高価値データフロー図を通じて、「取り組んでいることは何か」を文書化する（セクション2.1）。
2. Evaluate “What could go wrong?” by identifying threats in the environment using tools such as STRIDE, MITRE ATT&CK®, and attack trees (Sec. 2.2).	2. STRIDE、MITRE ATT&CK®、攻撃ツリーなどのツールを使用して環境内の脅威を識別し、「何が問題となる可能性があるか」を評価する（セクション2.2）。
3. Determine “What are we going to do about it?” by prioritizing the identified threats to help sequence and select initial targets for mitigations, leveraging best practice guides and existing resources (Sec. 2.3).	3. 識別した脅威を優先順位付けし、緩和策の初期ターゲットを順序立てて選択するのに役立てることで、「それに対して何をしようとしているのか」を決定する。その際には、ベストプラクティスガイドや既存のリソースを活用する（セクション2.3）。
4. Consider “Did we do a good job?” by reviewing the results of the threat modeling exercise and identifying any additional activities, including high-priority areas where additional mitigations are needed (Sec. 2.4).	4. 脅威モデリングの作業結果をレビューし、追加の緩和策が必要な優先度の高い領域など、追加の作業を識別することで、「良い仕事ができたか」を検討する（セクション2.4）。
Background. Legislation such as the Genetic Information Nondiscrimination Act of 2008 (GINA) [1] identifies the need to protect genetic data, while Executive Order 14018 [2] lays out the need to identify risks and develop a protection plan for biological datasets, including genomic data. Cyber attacks may impact the confidentiality, integrity, and availability of systems that process genomic data , introducing economic, privacy, discrimination, and national security risks. Organizations rely on genomic data sharing and aggregation to advance scientific and medical research, improve health outcomes, and compete within the global bioeconomy. Cybersecurity and privacy for genomic data are complicated by the nature of the data, which is immutable and includes kinship, health, and phenotype, as well as the broad, diverse, and international composition of the genomics community, which includes government, academia, and industry stakeholders engaged in biopharmaceutical research, healthcare, law enforcement, agriculture, and direct-to-consumer genetic testing.	背景 2008年の遺伝情報差別禁止法（GINA）[1]などの法律は、遺伝子データの防御の必要性を特定している。一方、大統領令14018[2]は、ゲノムデータを含む生物学的データセットのリスクを識別し、防御計画を策定する必要性を定めている。サイバー攻撃は、ゲノムデータを処理するシステムの機密性、完全性、可用性に影響を及ぼし、経済、プライバシー、識別的、国家安全保障上のリスクをもたらす可能性がある。科学および医学研究の進歩、健康状態の改善、そしてグローバルなバイオエコノミーにおける競争のために、組織はゲノムデータの共有と集積に依存している。ゲノムデータのサイバーセキュリティとプライバシーは、その性質により複雑化している。その性質とは、不変であり、親族関係、健康、表現型を含むこと、また、バイオ製薬研究、ヘルスケア、法執行、農業、消費者向け遺伝子検査に従事する政府、学術界、産業界の関係者を含む、広範で多様かつ国際的なゲノムコミュニティの構成である。
The paper is part of a larger effort at the NCCoE to engage genomic data processing stakeholders to create practical guidance that addresses related cybersecurity and privacy concerns. The NCCoE Genomic Data website provides links to previous workshops and publications, including National Institute of Standards and Technology (NIST) Internal Report (IR) 8432, Cybersecurity of Genomic Data [3], and IR 8467, Genomic Data Cybersecurity and	この論文は、NCCoEがゲノムデータ処理の関係者を巻き込み、関連するサイバーセキュリティおよびプライバシーの懸念に対処する実用的な指針を作成する取り組みの一環である。NCCoEのゲノムデータウェブサイトでは、国立標準技術研究所（NIST）の内部報告書（IR）8432「ゲノムデータのサイバーセキュリティ」[3]やIR 8467「ゲノムデータのサイバーセキュリティおよび
Privacy Frameworks Community Profile (Genomic Data Profile) [4]. Additionally, the NCCoE is currently developing a privacy-focused guide to address privacy-related concerns, threats, and risks that will also be published.	さらに、NCCoEは現在、プライバシーに関する懸念、脅威、リスクに対処するためのプライバシーに焦点を当てたガイドを開発しており、これも公開される予定である。

● まるちゃんの情報セキュリティ気まぐれ日記

・2024.12.26 米国 NIST CSWP 35（初期公開ドラフト） ゲノムデータシーケンスワークフローのサイバーセキュリティ脅威モデリング：ゲノムデータシーケンスおよび分析のための脅威モデル実装例

・2024.12.26 米国 NIST IR 8467 (第２次公開ドラフト) ゲノムデータのサイバーセキュリティとプライバシーフレームワーク コミュニティプロファイル (2024.12.16)

・2023.12.23 NISTIR 8432 ゲノムデータのサイバーセキュリティ

・2023.06.24 NISTIR 8467（ドラフト）ゲノムデータのサイバーセキュリティフレームワーク・プロファイル

・2023.03.05 NISTIR 8432（ドラフト）ゲノムデータのサイバーセキュリティ