からの最近のレポート ミシシッピ州会計監査局 州機関の3分の1近くが、政府システムと納税者のデータを保護するために設計された基本的なサイバーセキュリティ要件を満たしていないことが明らかになった。
の 報告、先週発表されたこの報告書は、コンプライアンス違反により、重要な公共サービスがハッカーに対して脆弱になる可能性があることを指摘しています。具体的には、州監査官は、9月8日の時点で、32の州機関が法的に義務付けられている第三者によるサイバーセキュリティ評価を完了していないことを発見した。
そして報告書は、これらのギャップが解決されない場合に何が危機に瀕しているのかを明らかにし、「国のサイバーセキュリティプログラムに従わないことは、重要な政府業務を不必要なリスクにさらすことになる」と述べている。
この警告は、ミシシッピ州の政府機関を標的とした最近の一連のサイバー事件のさなかに発せられた。 2023年、ハインズ郡に対するランサムウェア攻撃により車両登録と不動産取引が混乱し、納税者に少なくとも60万ドルの損害が発生した。 1 年後、データ侵害によりスタークビル オクティベハ統合学区は混乱に陥りました。そして今年7月には、司法長官のオピオイド和解基金諮問委員会のオンライン会議にハッカーが侵入した。
「私の事務所での役割の一部は、州の規制に従い、政府機関がハッカーから身を守るための措置を講じているかどうかを報告することだ」と監査人のシャド・ホワイト氏は報告書の中で述べた。 「この報告書は州当局に対する大きな警鐘となるはずだ。」
この侵害により、州指導者らはミシシッピ州がサイバーセキュリティにどのように取り組むかを再考することを余儀なくされた。しかし、当局は被害が出てから対応するだけでなく、脆弱性が公共の危機に発展する前に政府機関が州法を遵守できるよう、予防に重点を置いている。この変化は、少なくとも部分的には功を奏しているようだ。
州監査官は、ミシシッピ州の政府機関の 3 分の 1 近くが今年まだエンタープライズ セキュリティ プログラムの要件を満たしていないことを発見しましたが、この数字は実際に進歩を示しています。 2019年の調査では、政府機関の65％がコンプライアンスを遵守していないか、まったく報告を怠っていたことが判明した。
の最高情報セキュリティ責任者であるジェイ・ホワイト氏は次のように述べています。 ミシシッピ州情報技術サービス局 (ITS) に基づき、彼の事務所は政府機関が法律に準拠できるよう支援するための実践的なアプローチをとっています。
「ITSは、包括的なセキュリティおよびリスク評価サービスを提供できる資格のあるベンダーのプールを確立するための提案依頼書（RFP）を発行しました」と同氏は電子メールで述べた。 「これらの締結された契約を通じて、ミシシッピ州内の政府機関は、事前に承認されたベンダーからセキュリティおよびリスク評価サービスを容易に調達できるようになり、政府機関がコンプライアンス要件を満たし、サイバーセキュリティ体制を強化するためのプロセスを合理化できます。」
ホワイト氏は、小規模な代理店が置き去りにされないよう事務所も取り組んでいると語った。同氏によると、ITSはサイバーセキュリティ評価を完了するために必要なものと、正確な範囲を設定する方法を正確に概説した詳細な文書をすべての州政府機関に配布したという。同部門はまた、スタッフや予算が限られている政府機関が順調に進み、コンプライアンス基準を満たせるよう、テンプレート、チェックリスト、ベスト プラクティス ガイドなどの実践的なリソースも提供しています。
さらに、州は防衛努力を調整するために2024年にサイバーセキュリティ検討委員会を設立した。ホワイト氏によると、理事会は2024年7月に初会合を開き、「法的指令を実行し、州全体のサイバーセキュリティの回復力を高める」ために毎月会合を続けているという。
ホワイト氏は、政府機関がサイバーセキュリティ要件に遅れをとっている場合、ITSは問題が拡大するのを待たないと述べた。その代わりに、彼のチームは、同氏が「積極的なアプローチ」と呼んだものを採用しており、準拠していない政府機関に直接連絡を取り、法律を満たすために必要なことを説明している。
「同省はこれらの機関に直接連絡を取り、コンプライアンスを達成するために必要な要件と手順を理解するための指導と支援を提供しています」と同氏は述べた。
アシュリー・シルバーは、のスタッフライターです。 政府のテクノロジー。 彼女はモンテバロ大学でジャーナリズムの学士号を取得し、ケント州立大学で広報の大学院学位を取得しています。シルバーは出版著者でもあり、編集、コミュニケーション、広報の分野で幅広い経験を持っています。
アシュリー・シルバーのストーリーをもっと見る
#ミシシッピ州監査が州政府のサイバーセキュリティのギャップを指摘