CISA、連邦機関向けクラウドセキュリティ点検ツール「ScubaGear 2.0」「ScubaGoggles 1.1」を公開…リスクの高いAIエージェント遮断ポリシーを新設

米国ワシントン

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、連邦機関や官民組織のクラウド業務環境におけるセキュリティ設定を検証する無料ツール「ScubaGear」および「ScubaGoggles」の大規模アップデートを発表した。CISAは10月27日（現地時間）、公式ブログにおいて「セキュア・クラウド・ビジネス・アプリケーション（SCuBA・Secure Cloud Business Applications）」プロジェクトのMicrosoft 365（M365）向け検証ツール「ScubaGear 2.0」とGoogle Workspace（GWS）向け検証ツール「ScubaGoggles 1.1.0」を公開したと発表した。

ブログ記事は、クリス・ブテラ（Chris Butera）CISAサイバーセキュリティ担当上席副長官代行の名義で掲載された。CISAは今回のアップデートをSCuBAプロジェクトにおける「大きな飛躍（a major leap forward）」と表現した。

「連邦機関が拘束力のある運用指令25-01を順守するための能力」

CISAによると、M365およびGWS向けの検証ツールとセキュア構成ベースライン（SCB・secure configuration baselines）のアップデートは、連邦機関には拘束力のある運用指令（BOD・Binding Operational Directive）25-01を順守するための能力を、官民の組織にはクラウドセキュリティ態勢を強化するための実践的な措置を提供するという。

CISAはブログで「連邦機関を防護する場合であれ、州・地方・部族・領土（SLTT）政府のITを管理する場合であれ、民間企業のクラウド戦略を統括する場合であれ、課題は共通している。進化する脅威から現代のクラウド環境を守ることだ」と表明した。CISAは、今回のアップデートが連邦パートナー、SLTTのネットワーク防衛担当者、民間部門の関係者との厳格なテスト、専門知識の共有、継続的な協力の直接的な成果であると発表した。

CISAは10月28日、公式Xアカウントでも「ScubaGearおよびScubaGogglesの初回リリース以降、政府や業界のパートナーと協力し、ツールが進化する脅威に対応できるよう取り組んできた」とし、「今回のアップデートが組織のクラウドセキュリティ態勢をいかに向上させることができるか確認してほしい」と投稿した。

ScubaGoggles 1.1.0…管理者ログへの依存を排除、GUIを導入

CISAによると、ScubaGoggles 1.1.0はGWS管理者およびサイバーセキュリティ専門家がGWSのセキュリティ状態をより詳細に把握できるようにする。新バージョンは管理者ログイベントに依存しないため、短いログ保持期間や非表示のデフォルト設定といった長年の可視性に関する課題を解消する。テキストエディタでYAMLファイルを作成・管理する必要がなく、組み込みの検証・エクスポート機能を備えたグラフィカルユーザーインターフェース（GUI）を導入することで、導入の障壁を大幅に引き下げた。

ベースラインもより精密かつ透明になった。CISAは、人員やリソースが不足しているチームがGWS環境に合わせて設計された信頼性の高い新たな統制セットを配備できるよう、「保証統制（Assured controls）」ベースラインを新たに盛り込んだ。CISAは、組織が生成超知能（generative Super Intelligence・SI）を日常業務に統合する中でセキュリティもこれに追従しなければならないとし、Google Geminiが安全に構成されるよう支援する統制範囲を拡大したと発表した。Google Policy APIとの連携により準リアルタイムのセキュリティ状態の可視性も提供され、セキュリティ責任者が現在の設定に基づいて迅速にデータ主導の意思決定を下せるようにした。

GitHubに掲載されたScubaGoggles 1.1.0のリリースノートによると、今回のバージョンにおいてBOD 25-01必須構成ポリシーの追加・削除・バージョン変更はない。リリースノートには、Google Meet関連の新規ポリシーGWS.MEET.6.3v1の追加とともに、Google Policy APIを活用した検証機能、SCuBAベースラインのOSCALカタログ配布生成物の作成、GeminiベースラインのAlpha段階からBeta段階への移行が記載された。

ScubaGear 2.0…「導入以来最も包括的なアップデート」

CISAは、ScubaGear 2.0を同ツールの導入以来最も包括的なアップデートであると発表した。ベースライン体系を完全に再構築し、企業や政府の関係者がM365環境をより適切に統制できるようにした。CISAによると、ScubaGearはサポート対象のすべてのM365製品でREST APIを直接呼び出すようになり、より迅速かつ正確な検証が可能となったほか、Power BIに対する完全自動化された検証も新たに導入された。

CISAのサイバーアカウント（@CISACyber）も公式Xで、Microsoft 365の構成ベースラインのアップデートおよびScubaGear v2.0.0のリリースを告知し、REST APIの直接呼び出し、Power BIの自動検証対応、新たなSecurity Suiteベースラインを主な変更点として紹介した。

新たな「Security Suite」ベースラインは、Defender、Purview、Exchange Online、Teamsの統制を単一の統合体系にまとめ、防御範囲を最大化する。アプリケーション管理ポリシーも強化され、セキュリティチームが危険なアプリケーションを迅速に特定して優先順位を付けられるよう、重要度スコアリング機能が新たに追加された。構成ユーザーインターフェース（Config UI）はポリシー移行を簡素化するよう改良され、複雑なベースライン文書を容易に閲覧できるようポリシービューアーを内蔵した。

GitHubリリースノート…危険なAIエージェントの遮断を「必須（SHALL）」ポリシーに指定

GitHubに掲載されたScubaGear v2.0.0のリリースノートによると、BOD 25-01の必須構成に影響を与える複数のポリシーが追加された。新ポリシーMS.AAD.9.1v1は、危険なAIエージェントの遮断を要求する「必須（SHALL）」ポリシーである。リリースノートは、AIエージェントがテナントリソースにアクセスして自律的に行動できるため、危険な挙動を示すエージェントを遮断することで不正アクセスや自動化された悪用のリスクを低減できると明記した。このポリシーはMicrosoft Entra ID P2ライセンスとMicrosoft Agent 365またはMicrosoft 365 E7を必要とし、GCC Highおよび国防総省（DoD）テナントには適用されない。

リリースノートによると、MS.AAD.3.5v2は最も脆弱な認証手段であるSMS、音声通話、電子メールによるワンタイムパスワード（OTP）認証方式を無効化するよう要求している。SharePoint関連のポリシーは、外部共有を承認済みの外部ドメインまたは承認済みのセキュリティグループユーザーに制限し、「すべてのユーザー（Anyone）」リンクの有効期限を30日以下に、リンクのファイルおよびフォルダ権限を表示専用に設定するよう義務付けている。

新たなSecurity Suiteポリシーは、実行可能ファイル（.exe、.cmd、.vbeなど）が添付された電子メールの遮断、配信後の電子メールの再スキャン、マルウェアメールの隔離・削除、クレジットカード番号や米国の個人納税者番号（ITIN）、社会保障番号（SSN）を最小限遮断する情報漏洩防止（DLP）ポリシー、最低限のアラート設定、統合監査ログの有効化を要求している。リリースノートは、これらのポリシーが既存のDefenderポリシーを代替すると記載した。

リリースノートには機能改善点も盛り込まれた。危険なアプリケーションの検証結果をCSVファイルにエクスポートする機能、2回の検証結果（ScubaResults.json）を比較する「Invoke-SCuBADiff」コマンド、レポート内の特権ユーザー一覧表、製品別レポートでのテナントドメイン名表示が追加された。Exchange Onlineの検証はREST呼び出し方式へと移行され、Graphセッションをプロセス単位に限定することで、テナントとの接続を切断した後に再利用可能なトークンが残らないようにする修正も含まれた。

BOD 25-01…連邦機関にクラウドセキュリティ設定を義務付け

CISAは2024年12月17日、BOD 25-01「クラウドサービス向けセキュリティプラクティスの実装（Implementing Secure Practices for Cloud Services）」を発令した。CISAによると、BODは連邦法（合衆国法典第44編第3552条(b)(1)）に基づき、連邦行政機関が連邦情報および情報システムを保護するために従わなければならない拘束力のある指示である。

指令によると、本指令は法的な「国家安全保障システム」ならびに国防総省および情報機関が運用する一部のシステムには適用されず、対象範囲は「連邦文民行政府（FCEB）」のシステムである。

BOD 25-01は発令の背景として、「悪意ある脅威アクターがますますクラウド環境を標的とし、クラウドへの初期アクセスを獲得する手口を高度化させてきた」とし、「近年のサイバーセキュリティインシデントにおいて、クラウド環境におけるセキュリティ統制の不適切な構成が重大なリスクをもたらし、実際の侵害へとつながった」と明記した。指令は、こうした脅威に対抗するためにCISAがSCuBAプロジェクトを開始し、一貫性があり管理可能なクラウドセキュリティ構成ベースラインと検証ツールを開発したと記載している。

指令は各機関に対し、SCuBAセキュリティ構成ベースラインを実装し、CISAが開発した自動構成検証ツールを配備し、CISAの継続的監視体制と連携させ、ベースラインから逸脱した設定を是正するよう求めている。義務事項はベースライン文書で「しなければならない（shall）」と表記されたポリシーにのみ適用され、「推奨する（should）」と表記されたポリシーは機関の裁量に委ねられる。指令によると、1年以内に更新されないベースラインは自動的に対象から外れ、ベースライン一覧から削除される。指令は連邦機関に対し、2025年2月21日までに該当するクラウドテナントの一覧を作成し、2025年4月25日までにCISAの検証ツールを配備し、2025年6月20日までに義務ポリシーを実装するよう求めた。テナント一覧は毎年第1四半期に更新しなければならない。検証結果は、CISAの継続的監視ソリューションと連携して自動的に報告するか、最新バージョンの検証ツールの結果をCISAが承認した機械可読形式で四半期ごとに直接報告する必要がある。

CISAによると、SCuBAプロジェクトはSaaS（Software-as-a-Service）のサイバー侵入や侵害によって浮き彫りとなったサイバーセキュリティおよび可視性の空白を埋めるため、2022年に発足した。主な目標はクラウド環境における連邦文民行政府の情報を保護することだが、すべての組織がSaaSセキュリティ強化にSCuBAを活用できる。両検証ツールは組織の現在のM365・GWSテナント設定をCISAベースラインと比較し、セキュリティ改善が必要な領域を視覚的なレポートで提示する。CISAはSCuBAウェブページにおいて、オンプレミスとクラウドベースのID管理間の相互運用手段や課題を扱った「ハイブリッドIDソリューションガイダンス（Hybrid Identity Solutions Guidance）」も確定・公開した。CISAはSCuBAプロジェクトのウェブページでこれらの検証ツールを無料で提供している。CISAは連邦機関のユーザー、クラウドセキュリティ関係者、SLTT管理者、そして安全なデジタルインフラに依存する一般市民に対し、アップデートされた検証ツールをダウンロードしてベースラインを実装するよう推奨した。問い合わせに加え、ベースライン実装ガイダンスや検証ツールの改善に向けた意見もSCuBAチームの電子メール（scuba@cisa.dhs.gov）で受け付けている。

情報源（KST）

• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）ブログ「CISA Publishes Significant Updates to ScubaGear and ScubaGoggles」（2026-10-27）：https://www.cisa.gov/news-events/news/cisa-publishes-significant-updates-scubagear-and-scubagoggles
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）拘束力のある運用指令「BOD 25-01: Implementing Secure Practices for Cloud Services」（2024-12-17）：https://www.cisa.gov/news-events/directives/bod-25-01-implementing-secure-practices-cloud-services
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）「Secure Cloud Business Applications (SCuBA) Project」：https://www.cisa.gov/resources-tools/services/secure-cloud-business-applications-scuba-project
• CISA GitHubリリースノート「ScubaGear v2.0.0」：https://github.com/cisagov/ScubaGear/releases/tag/v2.0.0
• CISA GitHubリリースノート「ScubaGoggles v1.1.0」：https://github.com/cisagov/ScubaGoggles/releases/tag/v1.1.0
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）公式X投稿（2026-10-28）：https://x.com/CISAgov/status/2115414807931199727
• 米サイバーセキュリティ・インフラセキュリティ庁（CISA）サイバー公式X投稿：https://x.com/CISACyber/status/2115069767019077977