サイバー戦争は、欧米だけに限ったことではありません。 もうやってきました。
5月10日において、米国および欧州各国政府は 、 、ロシアによるウクライナ侵攻が、重要な通信インフラに対する国家主導のサイバー攻撃から始まったことを正式に宣言しました。この攻撃は、ウクライナから 、欧州全域の衛星インターネットネットワークへと波及しました。 当局者は、これは世界規模の混乱の前兆であると警告しており、公益事業、食糧生産、緊急サービスといった重要インフラが危険にさらされているとのことです。
実際、こうした攻撃がすでに始まっていることを示す有力な証拠があります。
ロシア産エネルギーからの急速な脱却を後押ししている の風力発電企業 のいくつかが、最近サイバー攻撃を受け、一部のシステムが停止する事態となりました。 非公式な話ですが、西側諸国の政府は、カリフォルニアに拠点を置く大手衛星通信会社「ヴィアサット」のシステムを機能停止に追い込んだ、憂慮すべきハッキング事件について、ロシアの軍事情報機関の仕業であると非難しました。同社は、ウクライナや風力発電事業者、その他多くの欧州企業がインターネットサービスを利用するために利用しています。
もちろん、重要インフラに対する国家主体の攻撃は、戦争以前から行われていました。 北米電力信頼性協会（NERC）の調査によると、電力会社を標的としたランサムウェアの活動件数が、 2019 件から2020件へと170 ％増加したことが判明しました。 また、先日放送された『 』の「60 Minutes」、 では、サイバーセキュリティ・
およびインフラセキュリティ庁（CISA）の局長であるジェン・イースターリー氏が、ロシアは
ほぼ間違いなく米国のインフラを直接攻撃する計画を立てており、
組織、そして私たち一人ひとりが、避けられない事態に備える必要があると述べました。
国家が支援するハッカーたちが公共インフラを一斉に停止させ、人々が暗闇の中で立ち往生するような、サイバー・ドゥームデイが目前に迫っているのでしょうか？ パニックになる段階ではないかもしれませんが、専門家たちは、早急に予防策を強化すべき時が来たと口を揃えています。
電力網、重要インフラ：サイバー攻撃の標的となりやすい
あるエネルギー業界の顧客が先日、Taniumの地域営業担当副社長であるタイラー・コステロ氏に対し、悪意のあるサイバー活動が前年比で 40％増加したと伝えました。 「しかし、彼らのセキュリティ予算は 40％も増えませんでした」とコステロ氏は述べています。 「また、厳しい規制を受けているため、民間企業のように資金を調達することはできません。」 「 のユーティリティがサイバー攻撃の格好の標的となる 要因が数多く存在しています。」
「現在、重要インフラが標的となっています。 この件については、本当に注意を払わなければなりません。”Taniumの地域営業担当副社長、タイラー・コステロ氏
エネルギーグリッドの最大の弱点の一つは、攻撃対象領域が極めて広大であることです。 「これまで以上に、運用技術（OT）への依存度が高まっています」と、グローバルなセキュリティ調査、コンプライアンス、コンサルティングを行う組織「ガイドポスト・ソリューションズ」の国家安全保障部門シニア・マネージング・ディレクター、ケネス・メンデルソン氏は述べています。 モノのインターネット（ ：IoT）のセンサーは、現在、製造業や公益事業、その他の重要インフラの運用において広く普及していますが、そのセキュリティ対策は依然として不十分です。
性能の低い産業用 SCADA （監視制御およびデータ収集）システム も、発電からパイプラインに至るまで、あらゆるものを管理しています。 当初、これらは（当時インターネットが存在しなかったことも一因として）独立したシステムとして設計されていましたが、準備が整っていようがいまいが、デジタル時代へと突き進まざるを得なくなりました。 これらのシステムは、時には極めて単純な攻撃に対しても依然として脆弱であり、今日のインフラ企業が直面している最も根本的な脆弱性のひとつとなっています。
SCADAシステムに対する最も注目すべき攻撃の一つは、 2015 年に、まさかのウクライナで発生しました。そこでは、攻撃者が発電システムを妨害し、真冬の真っ只中に225,000 世帯の停電を引き起こしました。 ウクライナのインフラには、これを可能にしたような特に際立った特徴は何もありませんでした。 専門家たちは、 において、この手法は他の国々でも確実に応用可能であると指摘しています。
[関連記事：サイバー犯罪者が小規模な公益事業者を標的にする理由]
「 2015 ウクライナ」攻撃は、電力網への攻撃として公に記録された最初の事例でしたが、電力会社が被害に遭ったのはこれが初めてではありませんでした。 水道事業者 がサイバー攻撃を受け、 全米で燃料供給を停止させたコロニアル・パイプラインの惨事 は、ハッキングから1年が経過した今もなお、 大きな影響を及ぼし続けています 。 が実施したシーメンスの調査（ ）によると、回答した電力会社の2019社のうち、 56％が前年にサイバー攻撃を受けたと回答しました。
「現在、重要インフラは標的となっています」とコステロ氏は述べています。 「彼らは体が弱いことで知られているため、特に恐ろしいのです。」 ロシアは、ニューヨークやボストン、あるいはその他の都市を、極めて容易に制圧することができるでしょう。 「この件については、本当に注意を払わなければなりません。」
サイバー戦争の専門家たちは次のように警告しています。「これは実際に起きていることです」
朗報としては、特に米国の組織がインフラのセキュリティに高い関心を寄せており、ますます厳格化されるセキュリティ基準を遵守できない重要インフラ事業者に対して、規制を課し、高額な罰金を科していることです。 非政府系の「自主規制機関」であるNERCは、基準を満たさない大規模電力供給事業者に対し、違反1件につき最大 、1日あたり$1 millionの罰金を科すことができます。 The current record for a penalty dates to 2019, when a fine of $10 million was levied against an unknown regional utility—purportedly Duke Energy—for 127 separate regulatory violations.
「これは、こうした脅威に直面しているあらゆる組織にとって、最も優れた情報源の一つです。」ガイドポスト・ソリューションズ、国家安全保障部門のシニア・マネージング・ディレクター、ケネス・メンデルソン氏
「もうひとつ変わった点として、以前は存在しなかったリソース、すなわちCISAが登場したことが挙げられます」と、ガイドポスト・ソリューションズのメンデルソン氏は述べています。 「これは、こうした脅威に直面しているあらゆる組織にとって、利用可能な最も優れたリソースの一つです。」 これらの情報には、新たな脅威ごとの概要だけでなく、対策の提案やパッチへのリンクなども含まれています。 「情報セキュリティに携わるすべての担当者は、[同社のウェブサイト] をブックマークしておくべきです。非常に有用で、タイムリーな情報源だからです。」
コステロ氏も次のように同意しています。「CISAが推進する『 』の『Shields Up』 イニシアチブは、人々の意識を本当に高めています。」 人々はようやく、「これは起こるだろう」という考えから、「これは
実際に起きている」という認識へと変わりつつあります。」
適切なサイバー衛生習慣を実践する
重要インフラの保護に関する最良の戦術的アドバイスの一部には、 といった基本的なサイバー衛生管理や、 といった取り組みが含まれています。 「ネットワークに接続されているすべての機器を把握してください」とメンデルソン氏は述べ、「目に見えないものは守れないからです」と付け加えました。 また、SCADA機器を社内ネットワークから切り離すことも推奨しています。 設計がずさんだと、ネットワークの細分化や、ファイアウォールの不適切な設定につながる可能性があります。 彼は次のように付け加えています。「多くの人は、実際にはオフラインではないのに、自分はオフラインだと思い込んでいます。」
フロリダ州オールドスマーの浄水場へのハッキングは、より適切なサイバー衛生管理を行っていれば防ぐことができたはずの侵入事例の一つです。 大惨事を防ぐためのシステムは整備されていたものの、この漏洩事故により、液体排水管洗浄剤の主成分である高濃度の苛性アルカリによって、何千人もの人々が中毒になる恐れがありました。
[関連記事：エンドポイントから始まる適切なサイバー衛生管理が、米国のサイバーセキュリティにとってなぜ不可欠なのか]
「[オールドスマー]の事例は、浄水場の制御室からインターネットへのデータ通信の不適切な分離と、認証の脆弱性を示すものでした」と、OTセキュリティを専門とするXona SystemsのCEO兼創業者であるビル・ムーア氏は述べています。 オールドスマールの施設では多要素認証が導入されていなかったため、問題がさらに深刻化しました。 の分析記事（）において、CISAは、広く利用されているリモートデスクトッププロトコル（RDP）に基づくWindows版TeamViewerソフトウェアが、ハッカーが処理施設に侵入することを可能にする重大な脆弱性であったと指摘しました。 ムーア氏は、RDPが、 ランサムウェアが の脆弱性を悪用して攻撃を行う際、今日に至るまで最大の弱点となっていると指摘しています。
インフラの改善によるサイバーリスクの低減
野心的な解決策の一つは、世界がインフラに取り組む方法を根本から見直すことです。 リッグス・エッケルベリー氏は、水産業に革新をもたらそうとしているテクノロジー系スタートアップ企業「OriginClear」のCEO兼創業者です。 OriginClearのサービスには、先物市場、サービス型プラットフォーム、および専用の水供給を確保したい企業向けの、小型でプレハブ式のモジュール型水処理システムが含まれています。 その目的は、「自分で作る」水を実現し、老朽化が進み脆弱な公共水道網から消費者を解放することです。
「水道業界には大きな問題があります」とエッケルベリー氏は述べています。 「旧来の集中型モデルは崩壊しつつあり、連邦政府からの資金援助も不十分です。 「サイバー上の脆弱性は、紛れもない現実です。」
エッケルベリー氏にとって、分散化はサイバーリスクに対する一つの解決策です。なぜなら、これにより攻撃対象領域が、はるかに小規模で重要度の低い施設、場合によっては数十万カ所に分散されるからです。 あるノードがダウンしても、その影響は限定されます。 さらに、同氏によると、これらのシステムは、古びたSCADAコードの寄せ集めに対するアップグレードに頼るのではなく、最初からセキュリティを考慮して設計されているとのことです。
[関連記事：CISOの皆さん――CEOに真剣に聞いてもらえるよう、サイバーリスクについて語りましょう]
エッケルベリー氏によると、公益事業からの独立という概念は新しいものではないとのことです。 停電や水配給が
増加傾向にある現代において、屋上太陽光発電、蓄電池、さらには雨水貯留システムが、消費者にいかに高い安心感をもたらしているかを考えてみてください。
とはいえ、どの解決策も、ますますその場しのぎのものに見えてきています。 Tanium社のコステロ氏によると、公益事業分野における問題は「甚大」であり、レガシーシステム、分散したデバイス、リソースの制約などが挙げられます。 「そして、ロシア軍が猛然と襲いかかってくるのです」と彼は言います。 「彼らは指や足の指を使って堤防の穴を塞ごうとしてきましたが、もう指や足の指が足りなくなってしまいました。」
