要約

  • 各省庁は侵害時の業務、法務、財務、評判への影響を基準に重要サービスを順位づけ、11月30日までにTreasury Board of Canada SecretariatのEnterprise Portfolio Managementへ提出する。
  • Treasury Board of Canada Secretariat、Shared Services Canada、Canadian Centre for Cyber Securityはリスク、依存関係、実施能力を踏まえ、実施優先順位と支援を調整する。

分析

連邦政府の「Security Policy Implementation Notice」（SPIN）は10月1日に発効した。広範なサイバー準備策を、サービス単位の判断に落とし込む内容だ。支援システムが侵害された場合、どの公共サービスへの影響が最も大きいのか。IDT-1は各省庁に、重要サービスとそれを支えるシステムを見直し、侵害時の業務、法務、財務、評判への影響を基準に順位づけ、11月30日までにTreasury Board of Canada SecretariatのEnterprise Portfolio Management（EPM）へ提出するよう求める。提出は中央の優先順位づけとShared Services Canadaの計画を支えるためであり、リストの公開は定められていない。

順位づけはサービス継続を技術対応につなぐ。通知は、アプリケーション台帳の更新、支援システムや攻撃経路を示す構成図、インターネット接続資産の把握も求める。これらがあれば、重要サービスを本人確認基盤、ネットワーク、アプリケーション、外部事業者などの依存先と結びつけ、継続や復旧に必要な作業を判断しやすくなる。施策全体は資産特定、脆弱性対応、ID・ネットワークの強化、監視、復旧準備に及ぶ。

機関間の役割も明示されている。Treasury Board of Canada Secretariat（TBS）はShared Services Canada（SSC）およびCanadian Centre for Cyber Securityと協力し、サイバーリスク、依存関係、実施能力を基準に政府全体の優先順位とSSC支援を定める。SSCは共通ITサービスを提供するが、第三者やマネージドサービス事業者が関与しても、政府情報と資産の責任は各省庁に残る。安全要件は調達文書、契約、継続的な契約管理に反映される必要があり、共通インフラを使うことは責任の移転を意味しない。

すべての重要サービスに一度に対応できない場合、通知は最優先の三つ以内から始め、同じ手法を残りへ広げるよう推奨する。これは段階的な進め方であり、恒久的な上限ではない。最初の対象に影響の根拠があるか、拡張中も重要な依存関係を見失わないかが実行上の焦点だ。

HRD-6はAIエージェントをサービスアカウントやマシンIDと同じ非人間主体に含める。所有者、業務目的、ライフサイクル、権限レビューを明確にし、常時アクセスや固定資格情報を減らす。どの自動化IDが重要システムに入れるのか、誰が停止できるのか、活動をどう確認するのかという運用上の問いになる。Canadian Centre for Cyber Securityの先端AIガイダンスは自律動作の制限、アクセス、ログ、試験、介入の技術的背景を示すが、個別の事故を示すものではない。

TBSは政府境界と公開システムを能動的に検証し、進捗を追い、必要な措置が満たされない場合に上級幹部と連携するとしている。Appendix Aの指標は「暫定的な指標案」とされ、台帳更新や非人間主体の所有者記録などを測る案であって、現在の実績値ではない。したがって、最初の節目は11月30日の提出と、その後の支援調整であり、実施済みとの想定ではない。

出典