米CISAの「選挙管理者のためのセキュリティ運用ガイド」は一般的な機密情報管理にも参考になる内容

　選挙に関連するセキュリティ上の脅威が（特に海外では）注目される中、米サイバーセキュリティ・インフラセキュリティ庁（Cybersecurity & Infrastructure Security Agency、以降CISA）は「Guide to Operational Security for Election Officials（選挙管理者のための運用セキュリティガイド）」を公開しました。

米CISAが公開した「Guide to Operational Security for Election Officials（選挙管理者のための運用セキュリティガイド）」冒頭の概要部分

　このガイドは選挙に関する「運用セキュリティ（operational security、以降OPSEC）」の概要を紹介するとともに、潜在的なリスクを浮き彫りにし、実践的な低減策を提示することで、選挙インフラのセキュリティを強化することを目的としています。あくまで「選挙管理者（election official）」向けにまとめられた文書ですが、内容自体は何らかの機密情報を扱う公務員や民間組織の職員にも十分に参考になる一般性のあるものであり、基本的に非技術的な観点でまとめられています。

　本文は全6ページとコンパクトにまとまっており、以下のような構成となっています。

• 概要（Overview）
• OPSEC原則の実施（Implementing OPSEC Principles）
• 敵対者の情報収集方法（Adversary Methods of Collection）
• OPSEC対策の適用（Application of OPSEC Countermeasures）
• 結論（Conclusion）
• OPSECに関するその他のリソース（Further Resources Related to OPSEC）
• Appendix A：運用セキュリティを向上させるためのステップ（STEPS TO IMPROVE OPERATIONAL SECURITY）

　今回はこのガイドの内容を簡単に紹介します。

概要

　ここでは本ガイドの目的や趣旨を紹介するとともに、以下の2つの事例を紹介しています。

OPSEC原則の実施

　ここでは、OPSECの原則を実施することで機密情報をよりよく保護するために選挙作業員がプロセスと手順を改善するうえで役立つ5つのステップを紹介しています。なお、より詳細なワークシートについてはガイド末尾の「Appendix A」に掲載されています。

敵対者の情報収集方法

　OPSECの原則を導入する際には、敵対者がどのようにして機密情報を「指標（indicator）」として収集し、組織の脆弱性に関する全体像を把握しようとするのかを考えることが重要との観点から、ここでは敵対者の「指標」の収集方法として以下を挙げています。

• ソーシャルメディアページの閲覧
• 選挙事務所や職員の観察、会話の盗み聞き
• ゴミ捨て場やリサイクル品の中身確認
• 誤って公開されたセキュリティ情報を含む公開記録の調査
• 電子メール、ウェブサイト、契約提案書など、複数の情報源からの情報の集約
• ソーシャルエンジニアリング

OPSEC対策の適用

　OPSEC対策は、機密情報が意図せず脅威アクターに開示される可能性を低減するために講じられる対策であり、人、運用、サイバーセキュリティ、物理セキュリティなど、選挙セキュリティにおける全てのリスク領域に適用する必要があるとの観点から、ここでは各リスク領域におけるOPSEC対策の適用例を紹介しています。

結論

　この節は短いので、本文を翻訳したものを紹介します。

　上記で紹介した内容を見れば明らかなように、選挙管理者向けを謳ってはいますが、実際の内容は一般的な機密情報管理にも適用できる（読み替えられる）内容となっています。際立って「斬新」なものはなく、専門家にとっては「当たり前」の内容ばかりかもしれませんが、短くコンパクトにまとまっているところが重要です。実際に扱う情報の機密性のレベルによって、このガイドのどこまでを適用するかは当然異なってきますが、参考になるところは間違いなくあるはずです。うまく活用してください。