セキュリティポリシー：将来に不可欠な重要インフラとして分類される。

銀行および公益事業分野では、規制当局は特定のシステムを重要システムと定義しています。重要システムとは、その障害が顧客、市場、または公共の安全に耐え難い損害を与える可能性のあるシステムのことです。例えば、決済銀行の決済プラットフォームや電力配給会社のSCADAネットワークは、継続的な監視、文書化された変更管理、実証可能な回復力など、最高レベルのガバナンス義務を負っています。

ポリシー環境（ファイアウォール、クラウド制御、マイクロセグメンテーションなど、複数の要素から構成されるルール群）は、どのシステム同士がアクセスできるか、どの通信がブロックされるか、どの例外が有効となるかを決定します。これらのルールは、セキュリティポリシー制御レイヤーを構成します。これは、ビジネス目標を分散実行ポイント全体にわたるアクセス決定に変換するガバナンスレイヤーです。

クラウド移行中にハッシュルールの設定ミスがあると、決済サービスが決済プラットフォームから切断される可能性があります。同様に、開発サブネットから本番環境への広範なアクセスを許可する一時的なルールは、削除を担当する者がいないために、実際の運用開始後も数か月間有効なままになる可能性があります。

ファイアウォールルール、セグメンテーションポリシー、アクセス決定はすべて運用リスクに直接影響を与え、ポリシー環境が機能不全に陥ると、それを管理する重要なサービスも共に機能しなくなります。

このため、政策環境はそれ自体が重要なインフラとなる。

それらは依然として日常業務として管理されている。

それにもかかわらず、多くの規制対象組織は依然として、ポリシー環境を純粋に運用上のタスクとして管理している。ルールは変更要求によって追加され、その累積的な影響が当初の意図と照らし合わせて検証されることはほとんどない。リーダーの役割が変化するにつれて責任の所在は曖昧になり、特定のルールが存在する理由は、変更要求が存在する場合であっても、それを見なければ分からない。

最高情報セキュリティ責任者（CISO）は、決済プラットフォームが継続的な監視や文書化された依存関係なしに運用されることを決して許さないだろうが、プラットフォームへのアクセス可能性を決定するポリシー環境においては、監視と依存関係の両方が欠如している状況を容認するかもしれない。このような状況は、日常的なガバナンスにおいてインフラストラクチャ規模の影響を及ぼすものと言えるだろう。

銀行業界において、決済システム間の通信を阻害するような政策上の不備は、重要な業務サービスに支障をきたす可能性がある。金融行動監視機構（FCA）は、こうした不備を厳しく監視するだろう。なぜなら、そのようなサービスの喪失は重大な損害につながる可能性があるからだ。

医療分野とエネルギー分野では、その影響は異なりますが、メカニズムは同じです。企業ネットワークからNHS（英国国民保健サービス）の臨床システム、あるいはエネルギー供給会社の運用技術へのアクセスを許してしまうような設定ミスは、必要不可欠なサービスの提供に脆弱性を生み出します。これらは架空のリスクではなく、重要インフラのガバナンスをルーチンワークとして扱うことによる、現実の運用上の影響です。事前の計画の重要性についてより深く理解するには、弊社の記事「始める前に：重要インフラに関する疑問」をご覧ください。

規制当局の予測も同様の傾向を示している。

英国における規制当局の期待は高まっており、同じ結論を裏付けています。すなわち、重要なサービスへのアクセスを管理するセキュリティポリシーは、インフラストラクチャに見合った規律をもって管理されなければならないということです。金融行動監視機構（FCA）の運用回復力スキームでは、規制対象企業に対し、重要なビジネスサービスを特定し、それを支えるインフラストラクチャが、設定された影響許容範囲内に収まっていることを継続的に実証することを求めています。

ガス・電力市場規制庁（Ofgem）は、国家サイバーセキュリティセンター（NCSC）のサイバー評価フレームワークに基づき、重要サービス提供事業者を評価しており、特定のセキュリティ目標が継続的に達成されているかどうかを検証している。今年後半に成立が見込まれるサイバーセキュリティ・レジリエンス法案は、同様の義務をデータセンター、マネージドサービスプロバイダー、重要サプライヤーにも拡大する。

これらのフレームワークは、規定的で詳細なものではありません。組織が持つべきファイアウォールルールや、小売ポリシーの設定方法を定義するものは何もありません。求められるのは、ポリシー環境が意図したとおりに機能していること、そして組織が評価のたびに証拠を再構築するのではなく、一貫してそれを実証できることの証明です。

なぜ現在のシステムはこの基準を満たせないのか？

ほとんどのポリシー環境は、この基準を満たすように構築されていません。実際、ほとんどのポリシー環境は、意識的に、あるいは意図的に構築されたものではありません。むしろ、ポリシーは実装プロセスの副産物として蓄積されていく傾向があります。プロジェクトや移行のたびに新しいルールが追加され、削除されるルールはごくわずかです。

時間が経つにつれて、「ポリシーの表面」、つまり実装の各層にわたるルールとアクセス決定の完全なセットは、それを理解している人々のグループが処理できる範囲を超えて大きくなり、システムは運用はできるが説明できない状態に達する。

銀行、エネルギー、医療などの規制産業では、従来の規制枠組み（定期的な評価、管理策に基づく監査、管理策の有効性ではなく存在の有無を問うコンプライアンス枠組み）の下では、この状況は維持可能でした。しかし、もはやそれでは不十分です。新しい基準では、アクセスが意図的なものであることを示す継続的な証拠が求められます。

金融行動監視機構（FCA）が1年間にわたる業務継続性に関する自己評価に基づいて発表した調査結果は、これが実際にどのような状況になるかを示している。規制対象企業が、重要な業務サービスを支えるインフラストラクチャに未解決のセキュリティ脆弱性がほとんど、あるいは全くないと報告した場合、FCAは、脆弱性が実際に存在しないのか、あるいは単に発見されていないだけなのかを判断するには証拠が不十分であると判断することが多かった。

この教訓は、セキュリティポリシーのガバナンスに直接当てはまります。組織は、ポリシーで何が許可されているか、どのようにテストされたか、そして脆弱性が対処されたかどうかを示す証拠を提示しない限り、アクセス脆弱性が制御されていると確実に主張することはできません。

インフラレベルのガバナンス要件

多くの場合、対応策として透明性の向上と文書化の強化が求められる。しかし、文書化は特定の時点の情報しか記録できず、規制当局が期待する継続的な保証を提供することはできない。

規制対象企業のCISO（最高情報セキュリティ責任者）は、ポリシー環境で許可されている内容の記録だけでは不十分です。設定と有効なアクセスは同じものではありません。セキュリティチームは、ルール、パス、オブジェクト、実装レイヤーがどのように相互作用して、実際に通信できるものを判断する必要があるのです。

この基準を満たすということは、2つのことを両立させることを意味する。1つは、環境が実際に許容するものが、意図されたとおりのものであることを証明すること、もう1つは、事前の警告なしにそれを証明できることである。

ポリシーの意図が定義される場所と、そのポリシーが適用される場所を分離します。意図は中央で保持および管理されますが、適用はハイブリッド環境、マルチクラウド環境、マルチベンダー環境におけるファイアウォール、クラウド制御、マイクロセグメンテーションに分散されます。

その意図は、レビューの段階で確認されるのではなく、継続的に検証されます。提案された変更は、本番環境に移行する前にポリシーに照らしてテストされ、有効なアクセス権限は、不必要な露出、実装レイヤー間の矛盾、およびビジネス意図からの逸脱を検出するために継続的に評価されます。許可された内容と変更された内容は、証拠として保持されます。

継続的な監視、検証済みの変更管理、および文書化された依存関係なしに運用される決済プラットフォームを決して容認しない情報セキュリティ責任者は、プラットフォームへのアクセス可否を決定するポリシー環境にもこの基準を適用すべきである。

金融行動監視機構（FCA）、国家サイバーセキュリティセンター（NCSC）のサイバー評価フレームワーク、そしてサイバーセキュリティ・レジリエンス法案はすべて、同じ根本的な疑問を指し示している。すなわち、この組織は、重要なサービスを支えるインフラストラクチャが、それらのサービスに必要な基準に従って管理されていることを一貫して証明できるだろうか？

この問いに答えるには、政策環境が特定の時点で何を許容しているのか、そしてそれが意図されたものなのかどうかを（推測や精査による再構築ではなく、真の知識に基づいて）知る必要がある。こうした不可欠なインフラに関する問いは、この文脈において極めて重要な出発点となる。