FISMA 準拠とは？

米国の連邦政府がサイバーセキュリティをかなり重要視していることは、驚くに値しません。連邦機関は、結局のところ、国家および国際的な安全保障や公衆衛生に関する情報、ならびに同国のほとんどの住民の個人情報など、膨大な量の機微なデータを管理しています。

FISMA（Federal Information Security Management Actのこと）には、連邦機関がサイバーセキュリティに対して強固でリスクベースのアプローチを確立できるよう支援する、包括的な枠組みと一連の要件が示されています。

FISMA で定められたガイドラインは、いかなる連邦機関も免除されません。したがって、連邦機関のためにデータを取り扱う場合、または FISMA のコンプライアンスが求められるその他のサービスを提供する場合は、FISMA とそれが日々の業務運用に与える影響について、しっかりと理解することが重要です。

FISMA コンプライアンス概要

FISMA は E-Government Act of 2002 の一環として法律として署名され、2014 年にいくつか重要な変更とともに更新されました。

FISMA の対象範囲

FISMA の要件は、失業保険、学生ローン、Medicare、Medicaid などの連邦プログラムを運営する州の機関だけでなく、すべての米国の政府機関にも適用されます。

この法律は、これらの州の機関と契約関係を持つ民間企業、連邦プログラムを支援する企業、または連邦の助成金（グラント）資金を受け取る企業にも適用されます。連邦政府との関係が「助成金の受給者であること」だけである民間事業者は、しばしば事前に把握できずに驚かされますが、それでも FISMA の連邦情報セキュリティ管理を実装することが求められます。

FISMA 準拠のメリット

近年、あらゆるレベルの政府機関が、サイバー犯罪者からより頻繁に狙われています。漏えいしたペンタゴン文書 は、注目度の高いデータ侵害 の数々のうち、最新のものの一つです。データ漏えいは 機関に多額の費用負担をもたらし、また、機密性の高い個人情報が侵害された人々に対して被害を引き起こす可能性があります。

政府以外の組織にとって、FISMA 準拠は連邦機関の請負業者（コントラクター）になることを可能にします。さらに、FISMA の要件を自発的に順守することで、組織は機微なデータに対するリスクを低減でき、その結果、データ侵害 に伴う金銭的およびその他の被害を回避するのに役立ちます。

FISMA 違反に対する罰則

FISMA を遵守しない場合、次のような望ましくない結果につながる可能性があります：

• 議会による非難（譴責）
• 連邦予算の削減
• 政府による監督の強化
• レピュテーションの損害

関連ガイドラインおよび標準

FISMA および OMB ガイドライン

米国管理予算局（OMB）はガイドラインを公表しました 2010年4月に、各機関がFISMA監査人に対してリアルタイムのシステム情報を提供し、FISMAで規制される情報システムを継続的に監視できるようにすることを求めています。 OMBのガイドラインには、米国国立標準技術研究所（NIST）の連邦情報処理標準（FIPS）に概説されたいくつかの要件が含まれています。

FISMA では、2つの FIPS セキュリティ標準が必要です:

• FIPS 199（Standards for Security Categorization of Federal Information and Information Systems：連邦情報および情報システムのセキュリティ分類基準）は、情報および情報システムを分類するための標準を策定するという FISMA の要件に対応しています。FIPS 199 では、情報セキュリティ・プログラムを効果的に管理・監督できること、また情報セキュリティの方針、手順、および実務の妥当性と有効性について、OMB および議会に対して一貫した報告を行えることを促す「共通の枠組みと理解」が求められます。
• FIPS 200（Minimum Security Requirements for Federal Information and Information Systems：連邦情報および情報システムの最低セキュリティ要件）は、連邦機関に対する「情報セキュリティに関する最低限のデューデリジェンス（注意義務）の水準」を定めています。ここでの目的は、ガイドラインに示された「最低限のセキュリティ要件を満たす情報システムに対するセキュリティ管理策を選定し、指定する」ための、 一貫性があり、比較可能で、かつ再現可能なアプローチを確立することです。

FISMA および NIST の標準

いくつかの NIST 標準は FISMA 準拠 と直接対応しています。たとえば：

• NIST SP 800-39（「連邦情報システムに Risk Management Framework を適用するためのガイド」）—本書は、情報セキュリティのリスク管理 のための統合プログラムを実装する際のガイダンスを提供します。これは、連邦情報システムの運用および利用から生じるリスクによって、組織の資産、個人、その他の組織、そして米国全体が影響を受けないようにすることを目的としています。本書では、意図的に幅広い範囲で、リスク管理に対する「構造化されているが柔軟なアプローチ」を示します。これらのプログラムを実装するための具体的な指示は、関連する NIST の各標準およびガイドラインの中で提供されています。
• NIST SP 800-37（「連邦情報システムに Risk Management Framework を適用するためのガイド：セキュリティ・ライフサイクルのアプローチ」）—本書は「セキュリティとプライバシーのリスクを管理するための、規律ある・構造化された・柔軟なプロセス」を提供します。情報セキュリティの分類、管理策（コントロール）の選定、実装、評価、システムおよび共通コントロールの承認、そして継続的モニタリングに関する情報を含みます。
• NIST SP 800-30（「リスク評価の実施のためのガイド」）—本書は、リスク管理のカテゴリを割り当て、これらのリスクに対して適切な対応方針（コース・オブ・アクション）を決定するための詳細を提供します。評価の準備の仕方、評価の実施方法、そして評価結果の伝達方法などを含む、リスク評価プロセスを実行するための枠組みを提示しています。
• NIST SP 800-53（「連邦情報システムおよび組織のためのセキュリティとプライバシーの管理策」）—本書は、国家安全保障に関連するものを除くすべての連邦情報システムに対するセキュリティとプライバシーの管理策をカタログ化しています。さらに、FIPS 200 におけるセキュリティ要件に従ってセキュリティ管理策を選定することに関連する、Risk Management Framework の手順を概説します。
• NIST SP 800-53A（「連邦情報システムおよび組織におけるセキュリティ管理策の評価のためのガイド」）—本書は、「効果的なセキュリティ評価計画およびプライバシー評価計画」を構築するためのガイドラインを列挙しています。また、情報システムで使用されるセキュリティおよびプライバシーの管理策の有効性を評価するための手順も提供します。

FISMA と FedRAMP

 Federal Risk and Authorization Management Program (FedRAMP) は、脆弱な連邦データに関して機関向けの基準を提供するという点で FISMA と似ています。 ただし FedRAMP はクラウドベースのデータに焦点を当てており、FISMA 準拠のためにクラウドコンピューティングサービスを検証する必要がある機関に、そのための手段を提供します。

FedRAMP は、連邦機関が使用するクラウドサービスのリスク管理や検証に関するガイダンスも提供しています。今日ではクラウドへの依存が高まっているため、 多くの最新の FISMA 準拠ソフトウェア ソリューションには、FedRAMP 準拠のための機能が組み込まれています。

FISMA の要件

以下の 7 つの FISMA 要件は、この法律の最も重要な要素の一部を表しています。

情報システムのインベントリを維持する

情報システム インベントリ には、連邦機関のデータにアクセスできるすべてのシステムまたはネットワーク（機関自身が運用していない、または（機関の）管理下にないものを含む）、およびシステム間のインターフェイスを含める必要があります。NIST SP 800-18, Revision 1（Guide for Developing Security Plans for Federal Information Systems）は、情報システムとその境界をどのようにグループ化するかを判断するためのガイダンスを示しています。

情報システムを分類する

FISMA は、情報システムとデータについて、その侵害によって生じうる影響に基づき分類することを求めています。:

• 低い影響 — 組織が主要な機能を引き続き実行できるものの、その機能の有効性が明らかに低下する程度および期間において、ミッション能力が低下すること。例としては次のようなものがあります：
  • 組織の資産への軽微な損害
  • 軽微な経済的損失
  • 個人への軽微な危害
• 中程度の影響 — ミッション能力が、組織が主要な機能を依然として実行できるものの、機能の有効性が大幅に低下する程度および期間にわたって著しく低下している状態。例には以下が含まれます：
  • 組織の資産への重大な損害
  • 重大な金銭的損失
  • 死亡または重篤で生命を脅かす負傷を伴わない、個人への重大な危害
• 高い影響 — 組織が主要機能の1つ以上を実行できないほどの範囲と期間にわたり、任務遂行能力が深刻に低下または喪失した状態。例には以下が含まれます：
  • 組織の資産に対する重大な損害
  • 重大な金銭的損失
  • 生命の喪失または生命を脅かす重大な負傷を伴う、個人への深刻なまたは壊滅的な害

FIPS 199 と SP 800-60 は、情報システムとデータを分類するための情報を提供します。

システムのセキュリティ計画を設計し、維持管理する

NIST SP 800-18 は、セキュリティ計画の策定と実装に関するガイドライン、および運用上のセキュリティを定期的に評価するためのレビュー計画の設定方法を示します。

リスク評価を実施する

NIST SP 800-37 および NIST SP 800-30 は、リスク評価を実施して現在の脅威を分析し、新たな脅威を見込み、リスクを許容可能な水準まで低減できるセキュリティ対策（セキュリティ・コントロール）を選択するための情報を提供します。

適切なセキュリティ対策（コントロール）を活用する

FIPS 200 は、リスク評価に基づいて必要に応じて、基準となるセキュリティ対策（コントロール）を選定し、調整されたガイダンスおよび補足の対策（サプリメンタル・コントロール）を適用する方法の詳細を示します。

NIST SP 800-53 は、各機関が実装を検討するためのセキュリティ対策（コントロール）の一覧を示します。これらの対策は、機関が選定した対策をシステムのセキュリティ計画に文書化することを条件として、機関のミッションおよび運用環境に合わせる形で柔軟に適用できます。

継続的なモニタリングを実施する

NIST SP 800-37 および SP 800-53A では、継続的なセキュリティ・システム監視のためのガイドラインを示しています。この文脈における監視には、システム整合性（System Integrity: SI）、構成管理（Configuration Management: CM）、インシデント対応（Incident Response: IR）、および監査（Audit: AU）の各カテゴリが含まれます。

年次レビューを実施

FISMA の遵守を維持するため、各機関は情報セキュリティ・プログラムについて年次のレビューを実施しなければなりません。これらのレビューは、監察官（inspectors general）、最高情報責任者（chief information officers: CIOs）、およびその他の連邦プログラム担当者によって実施されます。

レビューが実施されると、各機関はその結果を OMB に報告します。OMB は、議会に提出する公式な年次 FISMA 遵守報告書を作成します。

認証と認可（C&A）を取得

機関は FISMA Certification and Accreditation（C&A）を、4つのフェーズを含むプロセスを通じて達成する必要があります:

1. 開始と計画
2. 認証
3. 認定
4. 継続的な監視

C&Aは一度きりのイベントではありません。OMBは、FISMAの規制対象機関に対して、定期的な再認証と再認定を求めています。

FISMAのベストプラクティス

組織がFISMAの遵守を達成し、維持するために、以下のベストプラクティスに従ってください。

• 保存および処理する機密データについて全体像を把握してください。
• 定期的に リスク評価を実施し、情報セキュリティ上のギャップを特定・優先順位付けし、是正してください。
• セキュリティのコントロールとポリシーが システムを保護する上でどれほど効果的かを定期的に評価してください。
• FISMA に準拠していることを示す証拠を維持してください。
• FISMA の更新情報を監視してください。
• FISMA の要件とサイバーセキュリティの脅威の両方について、チームが最新情報を把握できるように継続的な従業員トレーニングを実施してください。

Netwrix がどのように支援できるか

「FISMA 準拠とは何か？」という問いへの答えを単に知っているだけでは、ビジネスに必要な変更を実行するための戦略は得られません。まして、OMB の変更で必要になるかもしれない予算も用意されるわけではありません。

Netwrix は、手軽で費用対効果の高い コンプライアンス監査ソリューション を提供し、企業を確実に保護し、監査対応も満たせるよう支援します。すぐに使えるテンプレート、強化された構築基準、 パスワードポリシー などにより、FISMA 準拠戦略を今すぐ始められます。

監査準備の工数を最大 85% 削減しつつ、貴社が FISMA 準拠要件を満たしていることを証明する準備ができているなら、Netwrix の無料デモを今すぐ依頼してください。

よくある質問

1. FISMA とは何ですか？

FISMAは Federal Information Security Management Act の略です。これは、機密情報を保護することを目的とした包括的な枠組みを提供する、米国の連邦法です。

2. FISMA を遵守しなければならないのは誰ですか？

FISMA の規則は、米国のすべての連邦政府機関に加え、連邦プログラムを実施する州の機関にも適用されます。さらに、これらの州の機関との契約関係に関与する民間企業にも適用されます。たとえば、サービスを提供する企業、連邦プログラムを支援する企業、または連邦の助成金（グラント）を受け取る企業などが含まれます。

3. FISMA に非準拠（不遵守）となった場合の罰則（ペナルティ）は何ですか？

政府機関および関連する民間企業は、FISMA への準拠（コンプライアンス）を維持できない場合、いくつかのペナルティを受ける可能性があります。たとえば、以下が含まれます：

• 議会による非難決議
• 連邦資金の削減
• 評判の毀損
• 政府の監督強化

4. NIST と FISMA の関係は何ですか？

NIST（米国国立標準技術研究所）は、組織が FISMA に準拠し、かつそれを継続的に維持するための支援として、いくつかのガイドを公開しています。

5. FISMA 認証とは何ですか？

組織が FISMA に準拠して行動するだけでは不十分です。適切な管理策を導入したら、FISMA の基準に従っていることを証明する必要があります。OMB は 認証および認定 のプロセスを定めており、これを定期的に繰り返さなければなりません。