11月下旬、感謝祭の七面鳥が食卓に並ぶわずか数日前に、ハッカーたちが北米の電力網に対して組織的な攻撃を仕掛けることになります。 彼らは発電所、送電塔、配電施設を標的とし、数百万世帯の停電を引き起こし、インフラ施設を機能停止に追い込むような威嚇攻撃を行うでしょう。
FBIや国土安全保障省、そして大手公益事業会社の数十名の最高情報セキュリティ責任者（CISO）は、この攻撃への対応に苦慮し、その拡大を防ぐのに苦労することになるでしょう。 幸いなことに、彼らは攻撃者たちと直接連絡を取ることができ、その動機も理解できるでしょう。彼らは私たちを守りたいと考えているのです。
この攻撃シナリオは、国内最大の公益事業監督機関が、エネルギーシステムの備えを検証するための大規模な取り組みの一環であり、デジタル攻撃や物理的攻撃に対する同システムの強みを見極め、弱点を洗い出すことを目的としています。 業界の監視機関である北米電力信頼性公社（NERC）は、11月 16 日と17日に、数百の電力会社を対象としたこの模擬攻撃を実施する予定です。
これほど重大な局面はかつてありませんでした。 NERCの調査報告書（ ） によると、昨年、 ランサムウェア（ ）および公益事業ネットワークに対するサプライチェーン攻撃は、前年比で2倍以上に増加しました。 NERCが前回、 2019年に訓練を行ってから2年の間に、世界的なパンデミックが発生しました。 リモートワークの普及に伴い、ユーティリティネットワークは急拡大しており、 の従業員向けエンドポイント の数が爆発的に増加したことで、ハッカーにとって新たな攻撃の標的が生まれています。
NERCは、ソフトウェア開発者をこの演習に参加するよう招待するかどうかについては、各電力会社に一任しています。 しかし、公益事業会社は必ずしもそうしているわけではなく、それが懸念の声が上がっている原因となっています。 7月に発生したソフトウェアプロバイダーの （）やKaseya（ ）、そして昨年発生したやSolarWinds（ ）に対するサプライチェーン攻撃は、公益事業、連邦政府機関、および国の重要施設を含む多くの分野において、ソフトウェアサプライヤーがいかに重要であるかを浮き彫りにしています。
ユーティリティ・ネットワークのセキュリティテストは、そのネットワークに関わる主要な関係者の参加がなければ、不完全なものになってしまいます。 サイバーセキュリティ研究・研修機関であるSANSインスティテュートのティム・コンウェイ氏をはじめとする専門家たちは、 と述べています。 コンウェイ氏は、SANSの産業用制御システム（ICS）および監視制御・データ収集（SCADA）プログラムの技術ディレクターを務めています。 「ソフトウェア開発者は、潜在的に悪意のある事象の継続的な防御と検知において、顧客のパートナーとして現実の世界で『非常に重要な役割』を果たしています」と彼は述べています。 「それらは業務に不可欠です。」
真の警鐘
の電力系統セキュリティ演習「 」（GridEx）は、NERCの演習として知られており、2011年以来、2年ごとに実施されています。 最初の訓練には、 24 社の公益事業会社が参加しました。 侵入者は変電所や予備の制御センターに物理的に侵入し、主要な業務プロセスを妨害するマルウェアを仕掛けました。 2019年に行われた、参加した 254 の電力事業者に対する物理的攻撃のシミュレーションにより、燃料供給を妨害し、エネルギー制御システムを停止させ、発電・送電・配電施設に損害を与えることが可能であることが実証されました。
「ソフトウェアの脆弱性がシステムにどのような影響を与えるかを特定することは、ネットワークを保護する上で極めて重要な要素です。」ニューヨークのコンソリデーテッド・エジソン社のメディア広報マネージャー、アン・マリー・コーバリス氏
「 2019 」シミュレーションは4つのセグメントに分けられました。 第1部では、NERCのサイバーセキュリティリスク共有ポータルである「電力情報共有・分析センター（E-ISAC）」が、電力網に対する差し迫った脅威の可能性について、各電力事業者に警告を発しました。 その後、制御システムを標的としたマルウェア攻撃に関する情報が共有され、電力網では発電量の不足が生じ始めました。
The peak impact of the attack occurred in part two, knocking out power to 5 million homes and impacting water treatment plants. 第2部および第3部では、公益事業各社と政府が対応計画を策定し、攻撃を無力化するための今後の措置について連携を図りました。 ICSベンダー各社は、被害を受けたシステムを修復するために必要なソフトウェアパッチを公開し、 がパッチを適用しました（）。これにより、電力網の供給が復旧しました。
2019 テストでは、電力会社が送電網の復旧を図るにあたり、ベンダーへの依存が明らかになっています。 しかし、この演習には、主要なサプライチェーンベンダーのうち3社しか参加しませんでした。 また、前回のGridEx（ 2017年）では、電力会社はベンダーを1社も招待しませんでした。 NERCは、 2019 演習後に発表した「Lessons Learned」報告書（ ）において、一部の電力事業者には、模擬攻撃に対する「対応を調整するために必要なリソースが不足していた」と指摘し、「参加組織には、サプライチェーンのパートナーを対応計画に組み込むことが求められている」と結論づけました。
[関連記事：在宅勤務のサプライチェーンを安定させ、効率化する 5 の方法]
公益事業におけるデジタル化と相互接続が進むにつれ、攻撃の対象となり得る範囲は拡大しています。 こうした分野では、ソフトウェア開発者といったサードパーティのプレーヤーがますます参入しており、その製品のアップデートが、ハッカーにとっての「 」という裏口となる可能性があります。。 公益事業（ ）のセキュリティは、取引先企業のサイバー防御体制への依存度が高まりつつあります。
年間を通じた対策
NERCは依然として、開発業者を試験に招待することは監督機関の責任ではないとの立場を堅持しています。 NERCは電力事業者に対し、ベンダーを含めることを「強く推奨」している一方で、「自社の業務にとってどのベンダーが不可欠であるかを判断するのは、参加者自身に最も適している」と考えていると、NERCの広報担当者レイチェル・シェラード氏は述べています。
「公益事業のセキュリティは、取引先企業のサイバー防御にますます依存するようになってきています。」
シェラード氏によると、今年の演習では、NERCは一部のベンダーに対し、業界の上級幹部や政府高官を対象とした演習の一部を傍聴することを許可するとのことです。 「エグゼクティブ・テーブルトップ」として知られるこの招待制のセッションには、国土安全保障省（DHS）、国防総省、FBI、およびホワイトハウスの国家安全保障会議（NSC）などの機関から、CEO、COO、および高官らが参加しています。 彼らの任務は、模擬サイバー攻撃の後に電力系統を復旧させるために必要な「高レベルの対策」を決定し、実施することです。
そこで、今年の演習では、NERCの要請により参加するベンダーもいれば、個々の電力会社からの招待を受けて参加するベンダーもおり、参加するベンダーの数がどの程度になるかは現時点では定かではありません。 そうした点を踏まえると、このシミュレーションが実際のサイバー攻撃を完全に再現できるとは考えにくいでしょう。 業界の一部の人々にとっては、それだけでは不十分だと言われています。
「ソフトウェアのセキュリティ侵害がシステムにどのような影響を与えるかを特定することは、ネットワークを保護する上で極めて重要な要素です」と、ニューヨークのコンソリデーテッド・エジソン社のメディア広報マネージャー、アン・マリー・コーバリス氏は述べています。
NERCが試験を開始した際、サイバーセキュリティソフトウェアを含め、電力会社が導入していたすべてのシステムが、演習の中で検証されました。 現在、この業界のネットワークは以前よりも流動的になっています。 常に、ソフトウェア開発者から、人事、財務、監査などの業務を外部委託するベンダーに至るまで、さまざまな第三者が同社のオンラインプラットフォーム上で活動しています。 公益事業ネットワークは常に進化を続けており、こうした追加された要素のすべてに、強固なサイバーセキュリティが求められています。
[関連記事：エネルギー規制当局の懸念のトップはサイバーセキュリティ]
コンウェイ氏は、電力会社は自社のセキュリティ体制において重要な役割を担う開発業者を特定し、それらを具体的にGridEx演習に招待すべきだと述べています。 これにより、開発者やその他のサプライヤーが、実際の脆弱性を発見し、それに対応できるようになります。
公益事業にはサイバー衛生管理が必要です
その欠点はどうあれ、2年ごとに実施されるサイバー攻撃シミュレーションの価値は疑う余地がありません。 しかし、公益事業ネットワークは常に変化し続ける性質を持つため、サイバー防御体制の継続的な監視、見直し、および強化も同様に重要です。
NERCが「 2019 報告書」において電力・ガス業界に対して提示した提言の一つは、慎重に策定されたインシデント対応計画の必要性であり、これは組織の サイバー衛生管理にとって極めて重要です。 重大なハッキング被害が発生した場合には、公益事業者は連邦、州、および州政府の当局と連携しなければなりません。
[関連記事：サイバー犯罪者が小規模な公益事業者を標的にする理由]
パンデミックの間、エンドポイント間の安全な通信におけるゴールドスタンダードは、 のゼロトラスト でした。 このアプローチでは、エンドポイント、デバイス、またはユーザーは、検証されるまではすべて信頼できないものとみなされ、ワーカーへのアクセスは、アクセスを要求している主体、要求のコンテキスト、およびネットワークに対するリスクに基づいて決定されます。
その他のサイバー衛生対策も、防御体制を強化する上で大いに役立ちます。 その中には、次のようなものがあります：
- すべてのエンドポイントの棚卸し ノートパソコン、デスクトップPC、タブレット、さらにはクラウド上の仮想マシンに至るまで、すべての資産を把握することで、ネットワークの全体像を完全に把握し、エンドポイントをリアルタイムで監視できるようになります。これにより、潜在的な脆弱性やアクティブな脅威を明らかにするのに役立ちます。
- ソフトウェア管理ツール これらを利用することで、アプリ、デバイス、ソフトウェア、ソフトウェアの更新、およびパッチ適用を適切に管理することができます。 単一のプラットフォームを利用することで、公益事業者は1つのコンソールからエンタープライズアプリケーションの検知、監視、およびセキュリティ対策を行うことができます。
- 多要素認証 強力な パスワード の管理と併せて、複数の認証方法を義務付けることで、ハッカーに対するシンプルでありながら堅牢な防御策となり、コロニアル・パイプラインのセキュリティ侵害を未然に防ぐことができたかもしれません。
- サイバーリスクスコアリング サイバーリスクスコアは、社内およびサードパーティベンダーの脆弱性管理を評価するのに役立ちます。
- アクティブな脅威ハンティング 異常な活動を検知することで、プラットフォームを監視できるだけでなく、ハッカーが被害をもたらす前に脅威を特定し、対処することが可能になります。
