第69号

米国の新サイバー戦略とCISAの人員削減

米国はサイバー攻撃と防御の能力を共に強化すると表明しました。CISAの予算・人員を削減する動きも合わせて確認しながら、戦略を実行する資源と韓国の対応を見ていきます。

社会

アン・グァンソプ（Oswarld）· INLEVEL9 著者・編集者

Google の優先ソースに追加
米国の新サイバー戦略とCISAの人員削減

新戦略を実行する組織と資源を確認しました

3月23日、この原稿を書きながら米国の新しいサイバー戦略を読んでみました。文書が掲げた目標とともに、その任務を担う組織にどのような変化が起きているのかを確認したいと思いました。

ホワイトハウスは2026年3月6日に**『President Trump’s Cyber Strategy for America』**を公開しました。PDF全体は7ページで、2023年のバイデン政権による39ページの戦略より短いものです。具体的な実行方針は後続の政策で定めるとする、方向性を示す文書です。

新戦略は、敵のネットワークを妨害するなど積極的な対応を強調しています。対応手段をサイバー領域に限定しないという記述もあります。同時に、連邦政府ネットワークの現代化、重要インフラの保護、専門人材の育成も主要な目標として提示しています。攻撃と防御を共に強化するという構想です。

私が注目したのは、防御を担うCISA1の予算と人員を減らそうとする動きが、この構想とどのように噛み合っているのかという点です。政権の2026会計年度予算要求には大幅な削減案が盛り込まれており、自発的な退職などによって実際の人員も減ったという報道が出ています。防御を強化するという目標を、どの資源で実行するのかを確認する必要があります。

規制と民間の責任を見る視点が変わりました

米国のサイバー戦略は、防御・攻撃・官民協力を継続して取り上げてきました。政権によって、どの手段と責任を強調するかが変わってきました。

2003年のブッシュ政権の国家サイバー戦略は、政府と民間の協力を強調しました。2018年のトランプ第1期には、より積極的な対応が浮き彫りになりました。その年の国防総省のサイバー戦略は、悪意ある活動を発生地点で妨害・停止させるディフェンド・フォワード（Defend Forward）2を掲げました。これはホワイトハウスの国家戦略とつながるものの、国防総省の別文書で示された概念です。

2023年のバイデン政権の戦略は、重要インフラ保護のための規制とソフトウェア提供者の保安責任を強調しました。個々の利用者に委ねられていた負担を、より大きな能力を持つ企業や機関が分担すべきだという方向性でした。敵の活動を妨害する積極的な対応も含まれていました。

2026年の戦略は、規制遵守の負担を減らし、民間との協力を拡大することに重点を置いています。政府の攻撃・防御手段を動員し、敵の行動にコストを課すという意志も強く表れています。両戦略の違いは、防御をするか攻撃をするかということよりも、規制と企業の責任、政府の介入をどう組み合わせるかにあります。

サイバー脅威の規模を示す資料もあります。FBIインターネット犯罪申告センター（IC3）は、2024年に85万9,532件の申告を受け、申告された損失額は166億ドルで前年より33%増えたと発表しました。これはインターネット詐欺などを含む申告の集計であり、国家レベルのハッキング被害だけを数えた数値ではありません。一方、CISA・NSA・FBIは、中国と関連するボルト・タイフーン（Volt Typhoon）が米国の通信・エネルギー・水道などインフラのIT網に侵入したと警告しています。

六つの政策分野と民間参加の拡大

新戦略は六つの分野を提示しています。敵の行動変化の誘導、規制の整備、連邦政府ネットワークの現代化、重要インフラの保護、新技術における優位の維持、人材と能力の拡充です。最初の分野は、政府の攻撃・防御能力をすべて動員するという内容です。

文書の冒頭では、イランの核施設に関連する作戦とベネズエラのニコラス・マドゥロ拘束作戦に言及し、米国のサイバー能力の貢献を主張しています。具体的な作戦の技術的詳細を公開したわけではありません。私は、政権がこうした事例を通じて相手に積極的な対応の意志を伝えようとしていると読みました。

**民間が敵のネットワークを識別し妨害するようインセンティブをつくるという記述もあります。**企業はすでに脅威情報の共有や犯罪インフラの遮断に参加してきましたが、今回の文言は参加の範囲がどこまで広がるのかに注目させます。具体的な権限や手続きは記されていません。企業に独自に他のネットワークを攻撃する権限を即座に付与したわけではないため、後続の措置において政府の承認と企業の責任をどう定めるかを見る必要があります。

技術分野では、AIを利用した脅威検知・回避誘導・欺瞞と、エージェンティックAI3を活用したネットワーク防御・妨害を提示しています。ハニーポット4で攻撃者の行動を観察したり、脆弱性対応を自動化したりすることは関連する活用例として考えられますが、この文書がそれぞれの機能を義務化したわけではありません。

攻撃者もAIを活用しています。セキュリティ企業SoSafeの2025年調査では、セキュリティ担当者の87%が、所属組織がこの1年間にAIを活用した攻撃を経験したと回答しました。複数の国のセキュリティ担当者と自社顧客を対象にしたアンケート結果であるため、世界中すべての組織で確認された攻撃率として読むことはできません。SoSafe調査発表

暗号資産とブロックチェーン技術の保安も保護対象として明示されています。2025年2月、Bybitで約15億ドル規模の暗号資産が奪取され、FBIは北朝鮮の犯行だと発表しました。こうした事件は、デジタル資産の保安が大きな課題であることを示しています。ただし、戦略文書はBybit事件を採用理由として指名したり、ミキサーやプライバシーコインの規制方策を提示したりはしていません。

ポスト量子暗号（PQC）5への移行も含まれています。十分な規模の量子コンピュータが登場すれば、現在広く使われている一部の公開鍵暗号が解読される可能性があるという懸念に備えるものです。既存システムで暗号を切り替えるには時間がかかるため、あらかじめ移行の準備をしようという方向性です。

CISAの削減案と実際の人員減少

サイバー攻撃・防御政策とそれを実行する組織の課題を表現したイラスト

**政権の2026会計年度予算要求は、CISAの予算を約5億ドル削減する方向でした。**人員についても、予算上のポジション数を3,732から2,649へ約29%減らす案でした。米議会調査局（CRS）がまとめたこの数値は、2024会計年度の基準と2026会計年度の要求を比較したものであり、実際の在職人員とは異なります。CRS予算分析

実際の人員減少は別に進行しました。2026年3月の報道と分析は、自発的退職・早期退職・解雇などによってCISAが約1,000人を失ったと伝えています。削減案と退職者数を合算して計算することはできませんが、現場で働いていた人材の相当数が離職したという点は、実行能力を判断する際に見る必要があります。

削減に関する議論は、サイバー教育訓練、リスク分析、外部機関との協力といった業務にも影響を与えます。2026年3月初めには、上院の承認を受けた正式なCISA長官がおらず、代理体制で運営されていました。業務を率いる人が全く存在しない状態と、正式な長官職が空席である状態は異なりますが、頻繁な人事の変動が長期計画にどのような影響を与えるかは確認する必要があります。

このため、BISIの3月8日の分析も、戦略の目標と民間部門のサイバー防御組織の能力との間にギャップが生じ得ると指摘しています。攻撃者を妨害する作戦と、内部システムの脆弱性を見つけて修正する作業は、互いに補完する役割です。攻撃能力が増したからといって、日常的な防御業務に必要な人員まで減るわけではありません。

政権は、詳細な実行計画を後続で提示するという立場です。業務を再編したり新技術を導入したりして、同じ資源でより多くの仕事をするという判断なのかもしれません。その判断が正しいかどうかは、どの業務を減らし何を補強するのか、対応時間と復旧の成果がどう変わるのかによって評価すべきです。予算要求、議会の最終承認、実際の執行を順に見ていく必要があります。

韓国は協力の変化と自前の防御能力を共に見るべきです

戦略には、米国と同盟国の間でコストと責任を公平に分担すべきだと記されています。韓国にも役割と負担をさらに求める可能性を考えさせる記述です。ただし、韓国に対する具体的な金額や協力縮小の計画を提示したわけではありません。

CISAは他国のセキュリティ機関とともに、脅威警報と対応情報を提供してきました。韓国インターネット振興院（KISA）6のような国内機関や企業も、国際協力を通じて必要な情報を得ています。CISAの人員変動がこうした情報提供に影響を与えるかを見守りながら、国内で検知・対応する能力も確保すべきです。

2025年のSKテレコム事故は、その必要性を示しました。政府による7月の最終調査では、感染サーバー28台とマルウェア33種が確認され、USIM関連情報25種が流出しました。流出規模は加入者識別番号（IMSI）基準で約2,696万件でした。これは人数をそのまま数えた値ではありません。確認された最初のマルウェア設置時点は2021年8月で、政府はアカウント管理と過去の侵害事故対応、主要情報の暗号化に問題があったと指摘しました。政府最終調査

KTに対する2025年12月の調査でも問題が明らかになりました。KTは2024年3〜7月に感染サーバーを自社で対処しながら政府に通報せず、さらに違法な小型基地局であるフェムトセルを通じた侵害が別途確認されました。LGユープラスの場合は、関連サーバーのOS再インストール・廃棄によって事故の痕跡を十分に確認できず、政府が捜査を依頼しました。3社の事件を同じ方式のハッキングとしてひとくくりにするよりは、それぞれで明らかになった管理の不備と調査の限界を個別に見るべきです。KT・LGユープラス調査発表

韓国も2024年に国家サイバーセキュリティ戦略を策定しました。今は、各企業・機関がアカウントとアクセス権限をどう管理し、事故記録をどう残し、侵害が発見された際にどう対応するかまで点検すべきです。これは国際協力の変化とは別に、国内で実行すべきことです。

Oswarldの視点

私は、戦略文書の目標とその任務を担う組織を合わせて見るべきだと考えています。**誰がどのような資源で、いつまでに実行するのかが明確でなければ、戦略を評価できません。**米国の新戦略は、連邦網とインフラの防御を強化すると述べています。CISAの組織変動の中でも、その業務がしっかり遂行されているかを確認することが重要です。

特に、民間による敵対ネットワークの妨害への参加をどこまで許容するかに注目しています。政府の指揮・承認と企業の責任が曖昧であれば、活動の主体を誤認したり紛争が拡大したりする危険があります。企業が持つ技術を活用するとしても、作戦の権限と責任は明確にすべきだと考えます。

韓国企業も、外部の支援を待つよりも自前の保安能力を高めるべきです。私は、ゼロトラスト7を単なるスローガンにするのではなく、重要なシステムからユーザー・機器のアクセス権限を確認し、不要な権限を減らす作業を進めるべきだと考えます。脆弱性への対処、記録の保管、復旧訓練も併せて行われるべきです。

おわりに

米国の新戦略は、積極的なサイバー対応と規制の整備、防御体系の現代化を並行して推進しています。次に見るべきは、各目標に配分される予算と人員、民間に許容する活動範囲です。CISAが担ってきた防御と協力の業務が実際に改善されるかも重要です。

韓国では、この変化を協力条件を点検する契機としつつ、国内の事故で明らかになった問題をまず修正すべきでしょう。私は、戦略の表現がどれほど強いかよりも、アカウント奪取を防ぎ、侵害を早く発見し、サービスを復旧する能力が向上しているかを見ていきたいと思います。

あなたの視点が次の号をつくります

この号で最も共感した点、あるいは違う経験をした点はどこですか。

読者アカウントがあれば無料でコメントできます。

参考資料と関連リンク

執筆者アン・グァンソプ（安光涉）は世宗大学校経営学科教授であり、INLEVEL9のリードコンサルタントである。大学では経営データ管理、ビジネスアナリティクスなど統計・データ分析を教える一方、現場ではGTM戦略とAI戦略コンサルティングを主導し、技術とビジネスの接点を設計している。AI対話システムの記憶アーキテクチャ（HEMA）研究で学術論文を発表し、日々グローバルなAI論文をキュレーションするDaily Arxivプロジェクトを運営している。高麗大学校技術経営専門大学院の修士課程とKMBAを卒業した。著書に『考えを委ねる人々：ホモ・ブレインレス』がある。

アン・グァンソプ（Oswarld）のイラスト

著者 アン・グァンソプ（Oswarld） は世宗大学校 兼任教授、INLEVEL9 戦略コンサルタントです。経歴、研究、著書、最近の活動は著者紹介で更新しています。 最近の活動 · 2026年7月：HEMA-2: A Consolidation-Aware Tri-Memory Architecture with Multi-Channel Scheduling for Lifelong Conversational AI。

각주

  1. CISAは、米国国土安全保障省傘下のサイバーセキュリティ・インフラセキュリティ庁です。連邦民間機関のネットワークと主要インフラのセキュリティ、脅威情報の共有などを担っています。すべての米国のサイバー作戦を指揮する機関ではありません。 ↩

  2. ディフェンド・フォワード（Defend Forward）は、悪意あるサイバー活動が被害を引き起こす前に、その活動が行われている場所で妨害・停止させようとする国防総省のアプローチです。 ↩

  3. エージェンティックAI（Agentic AI）とは、与えられた目標と権限の範囲内で複数段階の作業とツール使用を実行するAIを指します。 ↩

  4. ハニーポット（Honeypot）は、攻撃者がアクセスするように用意したシステムや資源で、攻撃の試みと行動を観察するために活用します。 ↩

  5. ポスト量子暗号（PQC）は、既存のコンピュータと量子コンピュータによる攻撃に耐えられるよう研究・開発されている暗号技術です。すべての攻撃に対して絶対に安全という意味ではありません。 ↩

  6. KISAは韓国インターネット振興院で、サイバー侵害事故への対応とインターネット・情報保護関連の業務を担当しています。 ↩

  7. ゼロトラスト（Zero Trust）は、内部網にいるという理由だけでユーザーや機器を信頼せず、資源にアクセスする際に身元や権限などを確認する保安原則です。 ↩

あわせて読みたい過去の号

第63号

AI時代のセンス、何を選ぶ能力なのでしょうか

センスを強調するAI業界の主張とその批判を読み、私の経験の中で重要だった判断の根拠と実行の責任について考えてみました。

社会
第57号

ICML論文497本却下、研究者が守るべき判断と責任

ICMLの審査規則違反とAIライティング実験を見てみました。私が作ったPDF保護ツールとGTM現場での経験をもとに、AIを使いながらも自ら検証する能力をどう育てるか考えてみました。

社会
第56号

arXivの独立、無料論文公開を続けるためには

arXivが2026年7月、独立した非営利法人への転換を準備しています。投稿増加に対応し無料公開を維持するには、どのような運営方式と財源が必要なのでしょうか。

社会