サイバー犯罪者たちが米国最大のガスパイプラインをハッキングし、数日間稼働を停止させ、エネルギー市場や消費者を不安に陥れた後、一つだけ確かなことがありました。それは、米国の重要インフラ――そしてそれを守り、稼働させるための技術――が、危険なほど機能不全に陥っているということです。
コロニアル・パイプライン に対するランサムウェア攻撃により、同社は全長 5,500 マイルのパイプラインを数日間停止せざるを得なくなり、その結果、ガソリン価格が急騰し、17 州が非常事態宣言を発令し、南東部の人々は ガソリンの買いだめ に走りました。
バイデン大統領は先ごろ、連邦政府のサイバーセキュリティ対策の強化を目的とした、待望の「 」大統領令（ ）を発令しました。 これには、連邦政府のソフトウェアベンダーに対する新たなセキュリティ基準や、連邦サイバーインシデント審査委員会の設置などが盛り込まれていました。
コロニアル・パイプラインへのサイバー攻撃は、米国の公益事業、病院、および地方・連邦政府を標的とした一連の攻撃のうち、最新の事例に過ぎません。 スタンフォード・インターネット・オブザーバトリー（ ）の政策フェローであり、国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）の元上級顧問であるマシュー・マスターソン氏によると、問題は、こうした組織が攻撃の格好の標的になりやすいという点にあるとのことです。
「わが国の重要インフラを支えるシステムやソフトウェアは、多くの点でアップグレードが必要です」とマスターソン氏は述べています。 彼のアドバイスは次の通りです。「州や連邦レベルの業務システムであれ、法執行機関を支援する中小企業のサーバーであれ、あるいは病院を支えるソフトウェアであれ、今こそ投資すべき時です。」
「わが国の重要インフラを支えるシステムやソフトウェアは、多くの点でアップグレードが必要です。」マシュー・マスターソン、スタンフォード・インターネット・オブザーバトリー
ITセキュリティの専門家たちは、デジタルインフラにおけるこうした格差が拡大しつつあると見ています。 その結果、サイバー犯罪者がこうした重要なシステムに侵入し、情報を持ち出したり改ざんしたり、あるいは運用を乗っ取ったり停止させたりする余地がさらに広がってしまいます。 こうした侵害は、単なる日常生活の混乱にとどまらず、深刻な、場合によっては生死に関わる結果をもたらす可能性があります。
ここ最近のこれらの攻撃について考えてみてください。 4月、ハッカーがワシントンD.C.警察署に対し、「 」というランサムウェア攻撃を仕掛けました（）。ハッカーは、潜入捜査員の身元を公表すると脅迫しました。 2月、ハッカーがフロリダ州の浄水場を攻撃し、水道水を汚染しようと試みました。 。 過去2年間で、ハッカーによる攻撃が少なくとも の8都市（アトランタ、ボルチモア、ニューオーリンズなど）で発生し、サービスや施設が停止に追い込まれ、復旧には数百万ドルの費用がかかりました。
「州、郡、市を問わず、ランサムウェアが広範囲にわたり甚大な被害をもたらしたことは、サイバーセキュリティインフラへの投資が必要であるという警鐘となりました」とマスターソン氏は述べ、多くの自治体ではデジタル化に向けたアップグレードに必要なリソースが不足しているか、あるいは他の支出プロジェクトを優先して対応を先送りしてきたと指摘しています。
「犯罪者たちは、小規模な町のインフラを標的にしようと、より下流へと移動しています。」
一方、サイバー犯罪者たちは、その動向を注視しつつ、下流へと移動し、小さな町のインフラを標的にしています。 そして、彼らは手ごわい相手を見つけると、すぐに見抜くのです。 「ハッカーたちは、こうした場所を『何度も攻撃し、そのたびに報酬を得られるだろうと分かっている』のです」とマスターソン氏は述べています。 幸いなことに、CIOが明日の攻撃を未然に防ぐ、あるいは被害を軽減するために、今日から で に示されているような対策を講じることができます。
スキルギャップを解消する
デジタル技術は、わが国のインフラに多くの恩恵をもたらしました。 ソフトウェアにより、自動負荷分散を通じてエネルギー供給の信頼性が向上しました。 人工知能により、 の水力発電ダムの性能が向上しました。。 自動化により生産性が向上し、医療から製造業に至るまで、重要な業務に従事する従業員が、従業員の仕事への満足度を高め、業績向上につながるより高度な業務に集中できるようになりました。
しかし、デジタル化には代償が伴います。 ITセキュリティコンサルティング会社 （NCC Group、）の 担当テクニカルディレクター、ジム・マッケニー氏は、自動化が進むにつれて、大規模で複雑かつミッションクリティカルなシステムを管理するために必要な人材が取り残されてしまうと述べています。 「テクノロジーを問わず、トラブルシューティングやインフラの保守といった基本的な業務を行うために必要な知識やスキルは、デジタルトランスフォーメーションの進展によって不要になりつつあります」とマッケニー氏は述べています。
とアスペン研究所の報告書『』によると、米国がサイバーセキュリティ分野の人材不足に悩まされており、今年だけで 500,000 件の技術系求人が埋まらない見込みであることは周知の事実です。 4年制大学ではこうした職種への採用活動が活発に行われていますが、より成熟したセキュリティ重視の組織は、その枠を超えて、基礎的なスキルを備えた「ニューカラー」の労働者 に注目し、彼らを将来のサイバー人材として育成しています。
また、多くの企業が人材構成の多様化を図ろうとしており、「 」、「Black Girls Code」、「 」、「The Diana Initiative」、および「 」や「Executive Women’s Forum 」といった団体を活用し、多様な背景を持つ有能な人材を発掘・育成しています。 企業によっては、キャリアの反対側、つまり一度その職種から離れてしまったものの、再教育によって新たなスキルを身につけられる高齢の労働者を採用する動きも見られます。 見習い制度やメンタリングプログラムへの投資は、従来の型にはまらない労働者たちを短期間で戦力に育て上げることができます。
積極的にお金を使う
何か悪いことが起こるたびに、「お金の行方を追え」という格言があります。 サイバー攻撃に関しては、「資金の不足を追う」べきでしょう。 ITやセキュリティに関するプロジェクトは、誰もが目にし、賛同できる他の取り組みに比べ、後回しにされがちです。 「資金調達は常に課題です」と、弁護士のマイケル・バハール氏（ 、）は述べています。同氏は、ホワイトハウスの国家安全保障会議（NSC）の元副法律顧問であり、エバーシェッズ・サザーランドのグローバルサイバーセキュリティおよびデータプライバシー業務の共同責任者を務めています。
多くのCIOやCISOは、リモートワークを行う従業員への支援とセキュリティ確保において、前例のない成果を上げた1年を終えようとしています。 しかし、特に政府やインフラ関連機関では、予算の削減に直面しているところも少なくありません。 悪意のある攻撃者に対抗するためには、組織は、自社のデジタルインフラを保護するための取り組み や技術 への投資を行う方法を見出さなければなりません。 そうしたプロジェクトの中でも特に重要なのが、ハイブリッドなパブリック・プライベートクラウドプラットフォーム全体にわたる資産管理に資金を投じることです。
「ITおよびセキュリティへの資金調達は常に課題となっています。」マイケル・バハール氏、エバーシェッズ・サザーランドのサイバーセキュリティ部門
インフラ全体として可視性の欠如が課題となっており、複数のクラウドプラットフォームを横断して管理することは、もともと不透明な状況をさらに複雑にしています。組織は、目に見えないものを保護することはできません。 のエンドポイント検出・対応（EDR）プラットフォーム や、監視機能を活用することで、状況を明確に把握することができます。
しかし、バハール氏によれば、サイバーセキュリティは必ずしも高額である必要はなく、新たな予算項目を設ける必要もないとのことです。 エネルギー、医療、銀行、水道など、重要インフラを管理する企業は、自社のリスクおよび脆弱性評価を行うために時間を割く必要があります。 これには、利用しているベンダーの評価に加え、有意義なサイバー脅威情報の共有を行うことも含まれます。
「多くの場合」と彼は付け加えます。「ハイテクな問題の解決策は、実にローテクなものなのです。」 一例として、バハル氏は、ハッカーが運用を妨害するために、エネルギー制御室の照明を標的にすることが知られていると指摘しています。 手頃な解決策：電池式の懐中電灯を用意し、管制室の職員が（文字通りにも比喩的にも）暗闇に取り残されないようにすることです。
ITの適切な管理を実践しましょう
調査によると、サイバー衛生管理の不備により、 90％の企業 がハッキングの脅威にさらされていることが明らかになっています。 旧式のシステムからの移行や、 ソフトウェアの定期的なパッチ適用 といったデジタル衛生管理の慣行を確立することで、インフラ運用者は情報漏洩のリスクを低減することができます。
その他に欠かせない対策としては、 に記載されているような強力なユーザーパスワードの設定、 に記載されている多要素認証の導入、そして、ネットワークへの接続を試みるたびにすべてのデバイスがその正当性を確認しなければならない「ゼロトラストモデル」の採用などが挙げられます。
また、システムに接続されている、PCからクラウド上の仮想マシンに至るまで、数千台に及ぶデバイスやエンドポイントを含むネットワークについて、可視性を確保し、管理を行うことも極めて重要です。 マスターソン氏は、すべてのエンドポイントについて、正確なパフォーマンス監視と構成管理を行うことを推奨しています。 また、同氏は「ネットワークのセグメンテーションを確保し、対応能力への投資を行うこと」を提案しています。 彼は、こうしたことが行われなかった状況を間近で目にしてきました。 CISAのチームが州や地方自治体を対象に侵入テストを実施した際、彼は次のように述べています。「これらは、実際に悪用されていたような課題でした。」
テクノロジーだけでなく、人間関係にも投資しましょう
米国のデジタルインフラは、世界でも最先端の技術の数々で構成されています。 残念ながら、サイバー問題専門の弁護士バハール氏は、彼らは「脆弱であり、その影響は計り知れない」と述べています。
そのため、彼をはじめとする関係者は、ソフトウェアの脆弱性を早期かつ可能な限り迅速に特定できるよう、公共部門と民間部門のCIOが協力し合う必要があると考えており、これはバイデン大統領のサイバーセキュリティに関する大統領令が目指すところでもあります。 そうして初めて、コロニアル・パイプラインのような重要なインフラへの混乱を防ぐことができるのです。
「民間団体、政府機関、そしてサイバーセキュリティ業界の連携が必要です」と、クラウドセキュリティ企業Accurics（ ）のCISO兼リサーチ責任者である Om Moolchandani氏（）は述べています。 彼が言うには、それを実現してこそ、電力網や学校、浄水施設、その他の重要インフラへの侵害を防ぐことができるとのことです。
