絶え間ないサイバー脅威が、米国の電力網にとって重大な課題となっています。
これは、米国の電力系統監視機関である北米電力信頼性協会（NERC）が、最近の『 』レポート（）で発表した評価の中で、最も重要な警告の一つです。
「 2021年8月 」レポートによると、昨年、公益事業会社では毎日数千件もの不審なサイバー事象が発生しました。
米国およびカナダの電力系統事業者に対する義務的な信頼性基準を監督するNERCによると、ランサムウェア攻撃は 170％急増し、サプライチェーンの問題は 118％増加し、脆弱性に関する問題は 156％上昇し、不審な活動は 111％増加しました。 また、ベンダー各社によると、E-ISAC（電力情報共有・分析センター）の ポータル（ ）に登録された脆弱性やサイバーセキュリティ上の懸念事項が96％急増したとのことです。
「現在確認されている脅威の種類、脅威の持続性、攻撃経路の数、そして攻撃経路を増やすシステムの分散化が進んでいること――これらすべてが増加しています」と、NERCの信頼性評価・性能分析担当ディレクターであるジョン・モウラ氏は、先週のブリーフィングで記者団に語りました。 「他のリスクとは異なり、これらは脅威の主体が関与しているため、管理がより困難です。」
パンデミックによってリモートワークが急増したことで、 2020 の期間中、ハッカーが攻撃を仕掛ける余地が広がり、業界におけるサイバーインシデントの急増と不安の高まりという背景が生まれました。 さらに、ハッカーたちは のフィッシング攻撃やマルウェア、 のランサムウェアといったおなじみの手口を用いながらも、 のサプライチェーンを標的とするケースが増加していると、NERCは述べています。同機関は、「敵対者の並外れた能力と執拗さ」の具体例として、 のSolarWinds におけるサプライチェーン侵害を挙げています。
この監視機関の調査結果は、公益事業業界の将来にとって不吉な兆しとなっています。 4月、ハッカーたちは、「 」のコロニアル・パイプライン（ ）に対するランサムウェア攻撃を通じて、エネルギー企業への侵入能力を余すところなく示しました。 2021も残り数ヶ月となりましたが、リモートワークが継続していることから、ユーティリティ企業の攻撃対象範囲は依然として拡大したままであり、縮小の兆しは見られません。
警鐘
2020の公益事業者が報告したサイバーインシデントのうち、特定の傾向や攻撃の種類がNERCの注目を集めました。 同報告書によると、ランサムウェアは、一般的なフィッシング攻撃から、マネージド・サービス・プロバイダーなどのサードパーティ組織といった「より価値の高い標的」を標的にする方向へと移行しつつあります。 この種のサイバー攻撃の例としては、7月に米国を拠点とするソフトウェア企業 （）およびKaseya（ ）に対して行われた、 によるサプライチェーン攻撃が挙げられます。
[関連記事：Kaseyaおよび下流の組織を襲ったサプライチェーン攻撃への対策]
ランサム型分散サービス拒否（RDDoS）攻撃も、警鐘を鳴らしました。 NERCによると、昨年、ハッカーたちは世界中の数千もの組織を標的にし、DDoS攻撃を防ぐためにビットコインでの支払いを要求しました。 NERCによると、電力会社は今回の攻撃の影響を軽減することはできたものの、その「広範囲にわたる性質と潜在的な影響」が懸念されていたとのことです。
重大な脆弱性もまた懸念材料でした。 企業では、リモートワークを管理するために、境界ファイアウォールや仮想プライベートネットワーク（VPN）アプライアンスなどのネットワークセキュリティ製品への依存度が高まっています。 こうした機器が普及するにつれて、攻撃者がシステムにアクセスすることを可能にする脆弱性も同様に広まっています。
「他のリスクとは異なり、これらは脅威アクターが関与しているため、管理がより困難です。」NERCの信頼性評価・性能分析担当ディレクター、ジョン・モウラ氏
ハッカーが公益事業業界に浸透している現状に不安を覚えるのは当然ですが、サイバー犯罪者が悪用しようとしている脆弱性――例えば、 サイバー衛生管理の不備 や、 サプライチェーンに対する可視性の欠如 など――は、よく知られたものであり、対処可能です。
戦略的計画
NERCは、サイバー衛生戦略の見直しと改善の必要性を強調しています。 理想的には、 ソフトウェア を常に最新の状態に保ち、 パッチ管理 の運用を迅速かつ適時に行い、インターネットに接続されているデバイスが 適切に設定され、管理者権限が厳格に管理され、 パスワード が強固で定期的に更新され、ネットワークアクセスには ゼロトラスト ポリシーが導入されていることを確保する必要があります。 Taniumのようなプラットフォームは、あらゆる規模の公益事業会社が エンドポイントを監視し 、リモートワークの普及に伴い急増したデバイスやソフトウェアを適切に管理するのに役立ちます。
NERCは、従業員がスピアフィッシングに対して常に警戒を怠らないよう求めています。 また、同監視機関は、セキュリティチームが、ハッカーによる自社の従業員やベンダーへの勧誘に警戒しなければならないとも述べています。 公益事業者は、この業界で一般的であり、インフラのライフサイクル全体を通じて持続的なセキュリティリスクとなり得るターンキー契約について、徹底的に評価すべきです。
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
公益事業業界全体にとって重要な防衛策の一つは、リアルタイムで情報を共有し、潜在的な標的に対して脅威を警告することです。 幸いなことに、業界はこれに対応しつつあります。監視機関の管轄外にある小規模な公益事業会社（ ）でさえも、、対応を進めています。 E-ISACは、現在寄せられているフィードバックを踏まえ、主要な運用技術（OT）システムおよびITネットワークにおける可視性を高めることを目的としたパイロットプロジェクトを開始しています。
NERCの報告書から得られた朗報の一つは、昨年のサイバーインシデントのいずれも、国内の電力系統における電力供給の停止には至らなかったということです。 しかし、セキュリティ境界に対するハッカー攻撃の急増に加え、公益事業者が当面の間運用し続けることになる拡大したリモートネットワークを考慮すると、NERCの調査結果は、業界が無視できない警鐘であると言えます。
