1. 導入：なぜCISA CPGが重要なのか
多くの組織が「セキュリティ対策をどこから手をつければいいのか」という悩みを抱えています。特に重要インフラや中小規模組織において、限られたリソースで最大限の効果を得るためには、網羅的なフレームワークよりも「優先的に実施すべき対策」の指針が不可欠です。米CISAが発行した「Cross-Sector Cybersecurity Performance Goals (CPG)」は、まさにその課題を解決するための「実戦的な優先リスト」です。本稿では、このCPGの概念を理解し、実務でどう活用すべきかを解説します。
2. 基礎知識：CPGとは何か
CISA CPGは、米国が定義する16の重要インフラ分野を横断して適用できる、サイバーセキュリティの必要最低限かつ効果の高い対策目標です。NIST CSF（サイバーセキュリティフレームワーク）の「識別・防御・検知・対応・復旧」の枠組みに基づき、組織が直面する既知のリスクを低減するための具体的なアクションがまとめられています。単なるガイドラインではなく、現実的な脅威に対抗するための「優先実施事項」である点が最大の特徴です。
3. 実装/解決策：CPGを現場に落とし込む
CPGを導入する際は、いきなりすべてを満たそうとせず、以下の手順で進めるのが現実的です。
1. 現状把握（ギャップ分析）：IPAが公開している翻訳版チェックリストを使用し、自組織の現状とCPGの要求事項を照らし合わせる。
2. 優先順位付け：リスクの高い資産（OT環境や公開サーバー）に影響する項目から着手する。
3. 自動化による定着：設定値の監査やログ監視など、手作業では漏れが発生しやすい部分をスクリプト等で自動化する。
4. サンプルプログラム：セキュリティ設定の簡易チェック自動化
CPGの「防御」項目にある、アカウント管理（不要なアカウントの定期チェック）を自動化するPythonスクリプト例です。現場のサーバー監査の雛形として活用してください。
サンプルプログラム（Python）:
import os
import pwd
組織のセキュリティポリシーに従い、ログインを許可すべきユーザーリスト
ALLOWED_USERS = [‘root’, ‘admin’, ‘sysadmin’]
def check_system_users():
print(“— ユーザーアカウントの監査を開始します —“)
# システム上の全ユーザーを取得
all_users = [user.pw_name for user in pwd.getpwall()]
# 許可リストに含まれないユーザーを検出
unauthorized_users = [user for user in all_users if user not in ALLOWED_USERS]
if unauthorized_users:
print(f”警告: 許可されていないユーザーを検出しました: {unauthorized_users}“)
# ここにアラート通知ロジック（Slack/メールなど）を記述します
else:
print(“ユーザーリストは正常です。”)
if __name__ == “__main__”:
# 実際の実務ではcron等で定期実行し、結果をログに出力してください
check_system_users()
5. 応用・注意点：現場で陥りやすい罠
CPG導入において最も注意すべき点は「チェックリストの形骸化」です。
・ツール導入で満足しない：CPGは「状態」を評価するものです。ツールを導入しただけで満足せず、そのツールが正しくポリシーを強制できているかを継続的に監視してください。
・OT環境への配慮：IT環境とOT（制御技術）環境では優先順位が異なります。OT環境では可用性が最優先されるため、CPGの対策を適用する際は、必ず実機への影響を考慮した検証を行ってください。
まずはIPAが公開している翻訳版の「Complete CPGs Matrix」をダウンロードし、貴社の現在のセキュリティ成熟度がどこにあるかを確認することから始めてみてください。
コメント