米国の新サイバー戦略とCISAの人員削減

新戦略を実行する組織と資源を確認しました

3月23日、この原稿を書きながら米国の新しいサイバー戦略を読んでみました。文書が掲げた目標とともに、その任務を担う組織にどのような変化が起きているのかを確認したいと思いました。

ホワイトハウスは2026年3月6日に**『President Trump’s Cyber Strategy for America』**を公開しました。PDF全体は7ページで、2023年のバイデン政権による39ページの戦略より短いものです。具体的な実行方針は後続の政策で定めるとする、方向性を示す文書です。

新戦略は、敵のネットワークを妨害するなど積極的な対応を強調しています。対応手段をサイバー領域に限定しないという記述もあります。同時に、連邦政府ネットワークの現代化、重要インフラの保護、専門人材の育成も主要な目標として提示しています。攻撃と防御を共に強化するという構想です。

私が注目したのは、防御を担うCISA¹の予算と人員を減らそうとする動きが、この構想とどのように噛み合っているのかという点です。政権の2026会計年度予算要求には大幅な削減案が盛り込まれており、自発的な退職などによって実際の人員も減ったという報道が出ています。防御を強化するという目標を、どの資源で実行するのかを確認する必要があります。

規制と民間の責任を見る視点が変わりました

米国のサイバー戦略は、防御・攻撃・官民協力を継続して取り上げてきました。政権によって、どの手段と責任を強調するかが変わってきました。

2003年のブッシュ政権の国家サイバー戦略は、政府と民間の協力を強調しました。2018年のトランプ第1期には、より積極的な対応が浮き彫りになりました。その年の国防総省のサイバー戦略は、悪意ある活動を発生地点で妨害・停止させるディフェンド・フォワード（Defend Forward）²を掲げました。これはホワイトハウスの国家戦略とつながるものの、国防総省の別文書で示された概念です。

2023年のバイデン政権の戦略は、重要インフラ保護のための規制とソフトウェア提供者の保安責任を強調しました。個々の利用者に委ねられていた負担を、より大きな能力を持つ企業や機関が分担すべきだという方向性でした。敵の活動を妨害する積極的な対応も含まれていました。

2026年の戦略は、規制遵守の負担を減らし、民間との協力を拡大することに重点を置いています。政府の攻撃・防御手段を動員し、敵の行動にコストを課すという意志も強く表れています。両戦略の違いは、防御をするか攻撃をするかということよりも、規制と企業の責任、政府の介入をどう組み合わせるかにあります。

サイバー脅威の規模を示す資料もあります。FBIインターネット犯罪申告センター（IC3）は、2024年に85万9,532件の申告を受け、申告された損失額は166億ドルで前年より33%増えたと発表しました。これはインターネット詐欺などを含む申告の集計であり、国家レベルのハッキング被害だけを数えた数値ではありません。一方、CISA・NSA・FBIは、中国と関連するボルト・タイフーン（Volt Typhoon）が米国の通信・エネルギー・水道などインフラのIT網に侵入したと警告しています。