メインコンテンツへスキップ
上から見た斜めの列の水入りグラスの写真。
視点

連邦政府が水道システムへのハッキング攻撃の波を警告する中、サイバーセキュリティリソースのまとめをご紹介

イランの支援を受けるハッカーによる最近の攻撃や、中国が支援するグループによる将来の脅威を受け、水道事業者のセキュリティ強化を求める声が上がっています。そこで、弊社が保有する豊富なヒントやリソースを皆様と共有することといたしました。

国連が、世界的な水問題への認識を高めるため、今週金曜日、恒例の「 」世界水の日（ ）を記念する中、米国当局者は、全国の給水・下水処理システムを標的としたサイバー攻撃の波 について警告を発しており、見過ごされがちで資金不足に陥りがちなこの分野の脆弱性に対する懸念が再燃しています。

木曜日に開催された州の国土安全保障担当副長官による特別会議、火曜日にホワイトハウスと環境保護庁（EPA）が発表した の共同書簡（ ）、そして1月に開催された議会の公聴会（ ）では、いずれも水道インフラのサイバー防衛強化の必要性が強調されました。これは、11月に一連の攻撃がイランの支援を受けるハッカーによるものと調査当局が断定し、FBIが中国からの継続的な脅威を指摘したことを受けたものです。

私たちのインフラにとってこれほど重要な部分であるにもかかわらず、防御体制は著しく不十分です。

御社の組織が実際にどれほど安全か、あるいはどれほど脆弱なのかを把握しましょう。わずか 5 日で包括的なリスクスコアを取得できます。

「上水道および下水道システムは、魅力的な標的となっています」と、EPA（米国環境保護庁）のマイケル・リーガン長官と国家安全保障担当補佐官のジェイク・サリバン氏は、イランによるハッキングや、中国が支援するグループによる将来的な攻撃の可能性について州知事に注意を促す書簡の中で記しました。 同報告書によると、あまりにも多くの水道施設において、「基本的なサイバーセキュリティ対策さえ」講じられておらず、それが「通常通りの業務の継続と、業務に支障をきたすサイバー攻撃の発生との分かれ目となり得る」とのことです。

最新の数字を見てみましょう：

  • 150,000 – 飲料水を供給し、（ 16,000 の公共下水処理システムと合わせて）アメリカ国民の最大90％にサービスを提供している水道事業者の数です（EPA, CISA）。
  • 25％未満 – 毎年サイバーセキュリティリスク評価を実施している上下水道事業者の割合（EPA）
  • 25% – 2025年までに、サイバーセキュリティ侵害に見舞われる可能性が高いと推定される世界の水道システムの割合です。 (GHD)
  • 98% – 基本的なサイバー衛生対策（EPA）によって防止または軽減できるサイバー攻撃の割合です。

こうした厳しい統計を踏まえ、ここでは水道分野におけるサイバーセキュリティに関する手短な入門ガイドをご用意いたしました。これには、直近の攻撃や政府の公聴会の概要に加え、 のフォーカルポイント「 」の資料から得られた豊富なヒントやリソースも含まれています。

[関連記事：サイバーレジリエンスとは？] (新しいタブで開きます)

水（および廃水）問題に関して――ハッカーと公聴会

先月、米国の財務省（ ）は、昨年秋にペンシルベニア州アリキッパの市水道局を含む複数の米国の水道事業者を標的としたハッキンググループに関与したとして、イラン人当局者6名に対して制裁措置を講じました（ ）。 によると、ハッカーたちがデジタル式水圧モニターを無効化し、プラントの管理者たちは手動制御に切り替えることを余儀なくされました。 給水サービスは中断されることなく、水質も安全な状態が保たれましたが、特に多くの水道局にはこのような手動による緊急切り替え機能がないことを考えると、危ういところでした。

「水道事業、とりわけ下水処理業務は、華やかな分野ではありません。」
リック・ジェファーズ氏、ジョージア州農村水道協会会長

1月、全米 200 の自治体で上下水道システムを管理するヴェオリア・ノースアメリカ（Veolia North America）は、によると、 同社の水道部門がランサムウェア攻撃を受け、一部の料金支払い用ソフトウェアアプリケーションに影響が生じ、「限られた数」の個人の個人情報が漏洩した可能性があることを報告しました。

こうした懸念はすべて、先ごろ下院エネルギー・商業委員会で開催された「 」公聴会（ ）において、主要な議題として取り上げられました。同公聴会では、業界団体の幹部らが、水道事業者がサイバーセキュリティ研修やソフトウェアの更新を受けられるよう、議会に対し、関連法案の可決や資金援助の実施を強く要請しました。 「 2002’s 号バイオテロ対策法」や「2018’s 号水道インフラ法」といった従来の法律では、脆弱性の特定に向けた資金は提供されていましたが、その修復に向けた措置についてはほとんど講じられていませんでした。 「ねえ、問題が見つかりました。それを解決するためのリソースはどこにあるのでしょうか？」 カンザス州保健環境局の公共水道課長であり、州飲料水管理者協会の元会長であるキャシー・タッカー＝フォーゲル氏が証言しました。

[関連記事：サイバー犯罪者が小規模な公益事業者を標的にする理由]

公聴会以来、約 50,000 の会員を擁する業界団体である米国水道協会（American Water Works Association）は、政策立案者らと会談を重ね、水道分野の専門家が考案し、EPAが監督する共同規制モデルの承認を促しています。 AWWAの連邦政府渉外担当マネージャーであるケビン・M・モーリー氏は、『 』の『Focal Point』（）誌との独占インタビューの中で、画一的な規制ではなく、水道事業者の多様性（および能力）を認識した段階的な枠組みが提案されるだろうと述べています。

「実用的で、保護効果が高く、かつ実施可能な解決策に焦点を当てた、合理的なサイバーセキュリティ要件が必要です」とモーリー氏は述べています。 「今後数ヶ月のうちに法案が提出されることを期待しております。」

その重要性はこれ以上ないほど高く――しかも、その重責は高齢化が進む労働力に課せられているのです。

「新しい携帯電話を手に入れたら、孫娘に設定してもらわなければなりません」と、ジョージア州農村水道協会の会長であるリック・ジェファーズ氏は、議会での証言の際にそう認めました。 水道事業体に勤める人全員が技術に戸惑っているというわけではありませんが、水道事業体の従業員の高齢化が進んでいることは否定できません。 ジョージア州の水道事業者の平均年齢は 58歳だと、ジェファレス氏は述べました。 また、米国における水道業界全体では、他の業界に比べて労働者の年齢層が高めであり、環境保護庁（EPA）の 2020 号報告書によると、今後数年間で数千人が定年退職を迎える見込みです。

この根底にある人口動態上の問題は、政策の選択肢を大いに制限しています。 また、予算が厳しい状況では、新しい人材を引きつけるような競争力のある給与を支払うことが難しくなります。

そして、もちろん、「気持ち悪い」という要素もあります。

「水道、とりわけ下水処理の業務は、華やかな分野ではありません」とジェファーズ氏は認めました。

こうした深刻な人材確保の問題を受け、NRWAは米国労働省と提携し、見習い制度を開始しました。 次世代の水道業界従事者は、間違いなくサイバーリテラシーに長けていることでしょうが、それまでの間は、包括的な研修プログラムへの取り組みと、 適切なサイバー衛生管理 が不可欠であると、彼は訴えました。

「 H2O」のITとOT

水は刻一刻とハイテク化が進んでいます。 情報技術（IT）と運用技術（OT）の融合により、人員が減少している公益事業会社のスタッフが、 重要なインフラ を遠隔で運用できるようになりました。 このように、自動化 は業界を救いましたが、その一方で、サイバー攻撃に対する脆弱性をますます高めてしまっています。

「水道事業者は『デジタルの峡谷』に閉じ込められています。」
ケビン・M・モーリー氏、AWWA連邦政府渉外担当マネージャー

現在、水道事業体は、ソフトウェア、ハードウェア、データネットワークを活用して、ポンプ、バルブ、センサー、および配水・処理プロセスを制御する遠隔監視システムによって管理されることが多くなっています。 ハッカーはこうした機器を悪用して、例えば、飲料水を供給するポンプを停止させたり（11月にアリキッパで実際に起きた出来事です）、水道水を汚染したりすることが可能です （フロリダ州オールドスマーの浄水場に対する悪名高い「 2021 攻撃」のように、身元がまだ特定されていないハッカーが水酸化ナトリウム（通称「苛性ソーダ」）の濃度を改ざんした事例があります。この事件は、警戒心の強い施設職員によって迅速に発見・是正されましたが、サイバーセキュリティの専門家にとっては深刻な懸念材料となっています）。

こうした有形資産は、財政上の課題をもたらしています。

「水道事業者は『デジタルの峡谷』に閉じ込められている」と、モーリー氏は議会での証言で述べました。 同氏は、ポンプやモーターを稼働させているOTは、「はるかに速いペースで新バージョンへアップグレードされるエンタープライズシステムの進歩に追いつけていない」と説明しました。

水道事業者は、 の可視性の向上、 のパッチ適用 の更新、およびの規制遵守 に向けた取り組みを支援するため、包括的なエンドポイント管理ツールを導入する必要があります。 モーリー氏はさらに、場合によっては、旧式のOT設備に対して「全面的な更新」という資本プロジェクトが必要になることがあり、その際、アップグレード作業中も当該設備を稼働させ続けなければならないため、コストが高くなってしまう、と付け加えました。

「ウォーター・アズ・ア・サービス」――新たな商業的（かつ物議を醸す）解決策

青いポッドキャストのロゴで、タイトル「Lets Converge」が白、「Tanium」が赤で表示されています

近年、いくつかの州（インディアナ州、ミズーリ州、カリフォルニア州、ニュージャージー州、テネシー州）が、水道システムのサイバーセキュリティ対策を強化するための法案を可決しました。 一方、ペンシルベニア州やメリーランド州などでは、 に関する法案が否決されました 。これは、民間の水道会社が支持する法案に対し、公営水道当局から反発が生じたためです。当局側は、これらの法案は民営化を推進するための、わずかに偽装された試みに過ぎず、その結果、必然的に消費者に料金の値上げを強いることになる、と主張しました。

その通りかもしれませんが、この問題の規模と範囲の広さを考えると、官民が協力して取り組む、いわゆる「パッチワーク的な解決策」が必要になる可能性があります。 また、独立型給水システムも注目を集めています。

そう語るのは、OriginClear社のCEOであるリッグス・エッケルベリー氏です。同氏は、強力で収益性の高い「水版Airbnb」の創出を目指しており、水処理を民営化し、資産担保付きの高利回りの「水年金」によってその資金を賄おうとしています。 エッケルベリー氏は昨年、 の「Focal Point」が運営する『 』の姉妹ポッドキャスト『Let’s Converge』（ ）に出演しましたが、今日の切迫感が高まる中、彼の見解はこれまで以上に重要性を増しているように思われます。

「 2016年、私が『分散型水』について話し始めたとき、人々は『えっ？』といった反応でした。 「えっ？」」 エッケルベリー氏は次のように振り返りました。 「今日、人々はそれを理解し始めています。」 「自立が極めて重要であることを認識する人がますます増えています。」

セキュリティソフトウェア企業「サイバーディフェンダー」の社長兼最高執行責任者（COO）として、エッケルベリー氏は同社をナスダックへの新規株式公開（IPO）へと導きました。 現在、彼は「ウォーター・アズ・ア・サービス」、あるいは「オンデマンド給水」という、住宅開発や企業、特に中小企業が自ら水を処理できる仕組みに前向きな姿勢を示しています。 「Airbnbがホテル業界を席巻し、Uberがタクシー業界を席巻した」のは、まさにこのハイテクによる破壊的イノベーションという考え方によるものだと、彼は述べています。 「そして、それは水の中で起こるんです。」

[続きはこちら：第 5回：ハッカーと（そう、あなたのトイレ）に関する真実]

パスワードと基本的なサイバーセキュリティ対策が、上下水道システムにどのように役立つか

ノートパソコンでパスワードを入力している白人女性の肩越しに撮影された写真です。

のような基本的な問題や、 のような不十分なパスワード管理、さらには古いオペレーティングシステムなどが、こうした攻撃の多くに関与しています。 アリキッパでは、CISAの調査官らが、水道局が依然として、メーカーが設定したデフォルトのパスワード「 “1111” 」のままのソフトウェアを使用していることを発見しました。

思わず顔を覆いたくなるような場面ですね。

これは、世界中の企業リーダーにとって、基本的なサイバーセキュリティ対策の重要性はいくら強調してもしすぎることはないということを改めて認識させる良い機会となります。

確かに、これは従業員だけの問題というわけではありません。 労働者が近道をするのには、それなりの理由があります。 煩雑なログインやその他のネットワーク手続きは、スタッフによる回避策を招きがちです。 解決策は？ 企業のリーダーは、 デジタル従業員体験 を改善する必要があります。この戦略は、ハイブリッドな労働力の生産性を高め、ITサポート部門の負担を軽減するのに役立ちます。

さて、パスワードの話に戻りますが……セキュリティと利便性のバランスを適切に保つことが極めて重要です。 ここで、払拭すべきパスワードに関する4つの主な誤解をご紹介します。

[続きを読む：Taniumの専門家が、パスワードに関するよくある誤解を解き明かします]

上下水道事業の資金調達――資金を確保するためのコツ

100 枚の1ドル札の束を別の人に手渡すビジネスマンの手のクローズアップ写真

Focal Point（ ）は、州および地方自治体向けサイバーセキュリティ助成プログラムの10億ドルの一部を申請する方法の基本について、の特集記事（ in 2022 ）や、の「Let’s Converge」（ ）のポッドキャストエピソード（ ）で、昨年取り上げました。 3年目の助成金獲得をめぐる競争は今後さらに激しくなる見込みですので、水道関係者の皆様は今から計画を立て始めるべきです。 郡の指導者たちとの対話ルートを開くことは、良い第一歩となります。

応募手続きの進め方に関するさらなるヒントや、本プログラムのこれまでの展開状況に関する分析については、1月に公開したSLCGPの最新情報をご覧ください。

[続きを読む：SLCGPがまた1年を刻みました――連邦政府のサイバーセキュリティ助成金について知っておくべきこと]

インシデントを報告するには：

すべての組織は、実際に発生した、あるいは発生が疑われるサイバーセキュリティインシデントを……に報告する必要があります。

  • CISA – 当機関の 24/7 オペレーションセンターへのお問い合わせは、、[email protected]、 までメールをお送りいただくか、 888-282-0870、 までお電話ください。
  • FBI – お近くのFBI支局（ ）までご連絡ください。 または、 tips.fbi.gov まで情報をご提供ください。

水道・下水道のサイバーセキュリティに関するその他のリソースについては

CISAのサイバーセキュリティ担当副局長であるエリック・ゴールドスタイン氏は、上下水道部門を「標的は多いが、サイバーセキュリティ対策は不十分」と評しています。 確かに――今のところは。 しかし、数多くのリソースやツールを活用すれば、状況を好転させることができます。 以下のいずれかを検討してください：

環境保護庁（EPA）

サイバーセキュリティ・インフラセキュリティ庁（CISA）

  • 水道・下水サイバーセキュリティ情報センター – このリンク集では、資金調達機会に関する最新情報に加え、 ランサムウェア、 フィッシング、およびその他の問題に関する最新情報を提供しています。
  • 「水道・下水道インシデント対応ガイド」 – 1月にFBIおよびEPAと共同で発行されたこの新しい包括的な解説書は、水道・下水道の運営担当者を対象に、インシデント対応の4つの段階について詳しく解説しています。 何より、この本は一般の方にもわかりやすい言葉で書かれています。専門的な知識は一切必要ありません。
  • サイバーセキュリティのパフォーマンス目標 – サイバー脅威の発生確率と影響を低減するため、規模の大小を問わず重要インフラ事業者を対象とした、セクター横断的な一連の保護措置です。 これには、サイバーセキュリティに関するベストプラクティスの基本セットと、サイバーセキュリティの成熟度を測定・向上させるためのベンチマークが含まれています。
  • サイバー衛生・脆弱性スキャン – 登録したすべてのシステムに対して無料で提供されるこのサービスは、ほぼ自動化されており、毎週スキャンとレポートを作成し、設定上の不備や既知の脆弱性を指摘します。

米国国立標準技術研究所（NIST）

米国水道協会（AWWA）