LayerX Tech Advent Calendar 2024 の4日目の記事です。

LayerX Fintech事業部（三井物産デジタル・アセットマネジメント（MDM）に出向）で、セキュリティ、インフラ、情シス、ヘルプデスク、ガバナンス・コンプライアンスエンジニアリングなどを担当している @ken5scal です。

来年度1月より米国大統領の新政権が始まりますね。大統領の持つ特権の一つに、大統領令があります。これは、法的な拘束力を持ち、議会の承認を得ずに実施することができる *1 権限です。

対象は様々な分野に及び、昨今?はサイバーセキュリティ（Cybersecurity）にも及びます。 CSF、Zero Trustアーキテクチャ、サプライチェーン等からみられるように、良くも悪くも本邦におけるサイバーセキュリティは米国のそれを、大体、２〜５年経過してからキャッチアップする傾向があるように見えます。個人の感想です。そこでこの機会に2010年以降のサイバーセキュリティ・情報セキュリティ系の大統領令をおさらいしてみましょう。 ※思ったより多くて時間消費がやばかったので、オバマ政権の2017とそれ以降に分割します。

オバマ政権時

EO 13526: Classified National Security Information (2009)

国家安全保障情報（Classified National Security Information、以降CI）の分類、保護、および機密解除を管理し、国家安全保障（National Security）と透明性を促進します。特に、情報がもはや保護を必要としない場合に機密解除されるよう、定期的な分類ガイダンスの見直しを義務付けています。

これ自体はEO 13292（ブッシュ政権, 2003）や　EO 12958（クリントン政権, 1995）を廃止し、特に機密情報の解除する統一的な手続きを規程したことが新しいです

EO 13549: Classified National Security Information Program for State, Local, Tribal, and Private Sector Entities(2010)

EO 13526で定義づけられたCIを州、地方、部族、民間セクターといった非連邦機関にも拡大する大統領令です。

EO 13556: Controlled Unclassified Information(2010)

これは、政府内部の機密情報（CI）ではないが一定の保護を必要とする情報（Controlled Unclassified Information（CUI））を定義し、その取り扱いを標準化することを目指したものです。

なお、これに伴いCUIを管理するためのガイドラインであるSP800-171　Protecting Controlled Unclassified Information in Nonfederal Systems and Organizationsが作成されました。*2

これは防衛省が調達基準として2019年に参考にしたことから国内でもやや話題になりました

2010年のWikileaksに対する機密情報（CI）流出に応じて、CIに対する内部不正対策強化の目的で出された大統領令です。 Senior Information Sharing and Safeguarding Steering Committee (SISS SC)を設立し、インサイダー・スレット・タスク・フォースを創設しました。

EO 13636: Improving Critical Infrastructure Cybersecurity(2013)

ついに「Cybersecurity」という単語が登場します。日本のセキュリティ界隈でも有名な大統領令ではないでしょうか。この大統領令では重要インフラのサイバーセキュリティを向上させることを目的とし、次のことが命じられます。

NISTが技術中立な「The Cybersecurity Framework」を開発する。
サイバーセキュリティの実践の採用を促進し、インセンティブを提供する。
サイバーセキュリティ脅威情報の共有の量、タイムリネス、品質を増やす
プライバシーと市民的自由の保護を、クリティカルなインフラストラクチャーのセキュリティ確保を目的とした全イニシアチブに組み込む
現行の規制を利用してサイバーセキュリティを促進する

そして一点目により、今日v2になっているCSF*3につながりました。

そして改めて気づきましたが「Cyber Security」ではなく「Cybersecurity」なのですね。また、「Information Security」はCISOやFederal Chief Information Securityといった名詞の一部ではでてきますが、「Cybersecurity」のように大統領令のタイトルそのもにでてくることがありません。