カナダはサイバーセキュリティ監視でG7諸国に後れを取っている、ブラックベリーが警告

木曜日の議会委員会公聴会では、自由党政府が提案した重要インフラプロバイダー向けのサイバーセキュリティ法に対する見解の対立が浮き彫りとなった。

ブラックベリー関係者は下院国家安全保障委員会の議員らに可決するよう促した。 法案-26他の国には、サイバーセキュリティの法的責任を民間部門に課す法律があるためです。

同社のカナダ政府問題・公共政策担当シニアディレクター、ジョン・デ・ボーア氏は「カナダは最も緊密な同盟国と足並みが揃っていない。今回の法案はその溝を埋めるのに役立つだろう」と述べた。

ジェニファー・クエイド、エグゼクティブ・ディレクター カナダサイバー脅威取引所脅威情報協同組合は、この法案は「いくつかの小さな修正」を加えれば、重要インフラプロバイダーのサイバーセキュリティ強化に役立つと述べた。

そして、規制問題担当エグゼクティブバイスプレジデントのクリス・ローウェン氏は、 カナダのエネルギー規制当局 州間のパイプラインと電力事業者を規制するCER（CER）は、この法案の規制当局の仕組みは現在のCERの仕組みと同様になると述べた。

しかし、電力会社団体であるカナダ電力協会のフランシス・ブラッドリー最高経営責任者（CEO）は、この法案により、カナダのエネルギー生産会社が米国とカナダの企業を監督する北米電力信頼性協会（NERC）のサイバーセキュリティ要件を無視する可能性があると警告した。

レイラ・ライト氏、通信担当エグゼクティブ・ディレクター カナダのラジオテレビおよび電気通信委員会 (CRTC) は、C-26 が通信事業者間のサイバーセキュリティを推進し、通信事業者が政府のサイバネティクス関連の命令に確実に従うようにするという新たな任務を同局に与えると述べた。 しかし、これは提案された法律であるため、彼女は法案の省略や改善方法についてはコメントしなかった。 同委員会の仕事は可決された法案を施行することだと彼女は説明した。

行動の重要性を強調するために、デ・ブール氏は、BlackBerry が顧客に代わって 2023 年の最後の 4 か月間で 520 万件のサイバー攻撃を阻止したと指摘しました。 そのうちの 62% は、銀行や政府機関などの重要インフラ (CI) プロバイダーをターゲットにしていました。

今週のファイブアイズレポート 中国が支援する脅威グループ「ボルト・タイフーン」が、通信、エネルギー、運輸、水道分野の一部を含む米国の複数の重要インフラプロバイダーを侵害したと発表したことについて同氏は指摘した。 米国当局者は、この報告書は「氷山の一角」にすぎないと懸念していると付け加えた。

個人情報保護および電子データ法（PIPEDA）のデータプライバシー保護要件を除けば、カナダには重要インフラプロバイダーにサイバー攻撃の報告、準備、防止を義務付ける法律はない、と同氏は述べた。

対照的に、米国は 2022 年に 重要インフラ法に基づくサイバーインシデント報告、 CIプロバイダーに対し、サイバーセキュリティインシデントを72時間以内に政府に報告するよう義務付ける。 また 2022 年に欧州連合は、プロバイダーにベースラインのサイバーセキュリティを実装し、重大なインシデントが発生した場合は 72 時間以内に各国のサイバーセキュリティ当局に通知することを義務付ける法律を可決しました。

「カナダはサイバーセキュリティにおいて他のG7諸国に後れを取っている」とデブール氏は語った。

法案 C-26 には 2 つの部分があります。 電気通信法を改正して、連邦内閣と産業大臣に、指定された電気通信プロバイダーに対して、システムをさまざまな脅威から保護するために「何でも」するよう命令する権限を与えることも考えられる。 CRTC は通信プロバイダーがこの法律を遵守することを保証する役割を担うことになる。

C-26 の残りの部分である CCSPA の作成は、他の重要インフラプロバイダーに適用されます。 当初は、これらは銀行、金融清算会社、州間輸送およびエネルギー会社、原子力発電事業者に限定される予定だった。 電気通信法の改正と同様に、指定企業に対するサイバーセキュリティのコンプライアンス体制が創設されることになる。 これには、政府のサイバーセキュリティを担当する国防総省の部門であるカナダ安全保障局（CSE）にサイバー事件を「即時」報告するという要件も含まれる。

デブール氏は、CCSPAは政府と民間部門がサイバー攻撃情報を迅速に共有し、他の潜在的な被害者に警告して保護し、攻撃による被害を封じ込めるための支援を迅速に展開するのに役立つと述べた。

同氏は、提案されているCCSPAは完璧ではないと述べた。 彼は次の 3 つの変更を推奨しました。

— CIプロバイダーがサイバーイベントを即時に報告する義務は、72時間以内に変更されるべきである。

— 政府に報告されたサイバー関連情報について企業が訴訟や起訴されないという保証があるべきである。

そしてこの法案は、企業がサイバーセキュリティに誠実に取り組んでいるにもかかわらず、セキュリティ管理違反が発生したり、法律に違反していると考えられたりした場合には処罰されないことを明確にする必要がある。

クエイド氏は、CCSPAの前文はカナダのすべての官民組織がサイバー脅威情報を共有することを奨励すべきだと述べた。 CIプロバイダーが政府だけでなくサイバー交換を通じて脅威情報を共有できるようにすべきである。 また、CI プロバイダーがサイバーセキュリティ脅威情報共有協会に参加できるようにする必要があります。

ブラッドリー氏は、この法案はカナダの電力セクター内で確立されたセキュリティ基準と専門知識を認めていないと不満を述べた。 同氏は、他の問題の中でも特に、この法案は報告義務のあるサイバーセキュリティインシデントの定義を未発表の規制に委ねていると述べた。 私たちの定義はNERCの定義と同じでなければならない、と彼は言った。

ここをクリックしてカナダ電力局の書面による提出物をご覧ください

同氏は、カナダ電力加盟国が従う必要があるNERCのサイバーセキュリティ要件はCCSPAよりも高いため、この法案が国境のこちら側の加盟国のサイバーセキュリティを改善しないと信じていると付け加えた。

しかしブラッドリー氏は、ここのエネルギープロバイダーのサイバーセキュリティは他の分野に比べて高いが、CCSPAはそのギャップを埋めるのに役立つだろうと述べた。

同氏は法案の可決が遅れることは望んでいないが、一部の分野では修正されるべきだと考えている。

公聴会は月曜日に再開され、連邦プライバシー委員フィリップ・デュフレーヌ、金融機関監督局、カナダ銀行協会、カナダ電気通信協会の証言が行われる。