2019年、ウィスコンシン州ウィスコンシン・ラピッズというマット・ストームーンの住む小さな街に、サイバー戦争が襲来しました。
その年、犯罪目的のハッカーたちは、 という一連の攻撃を を通じて、 18 州にまたがる防御体制が不十分な10数社の小規模公益事業会社に対して仕掛けました。 香港を拠点とする攻撃者たちは、主要な連邦政府のダムや送電線、製鉄所の輸入に不可欠な水門、そして送電網規模のエネルギー分配拠点など、米国の重要インフラに近接していることを理由に、標的を選定していました。
「彼らは当社のファイアウォールを突破しようとしたのです」と、ウィスコンシン・ラピッズの 水道・照明委員会（ Water Works and Lighting Commission）のIT部門責任者であるストームーン氏は述べています。同委員会は、約 15,000 の顧客に電力を供給しています。 ストームーン氏によると、彼のネットワークは侵害されなかったものの、「脅威に対して常に警戒を怠らないよう努めなければなりませんでした」とのことです。
FBIと国土安全保障省はかねてより、米国のエネルギー部門がハッカーの標的となっていると警告してきました。 In April, the successful ransomware attack on Colonial Pipeline proved this, shutting down a major fuel line and forcing the company to cough up a $4.4 million payout.
米国の大手電力会社は、自社のネットワークやそれに接続する数千ものエンドポイントを保護するために、サイバーセキュリティを強化する十分な資金力を有していますが、中小規模の電力会社やエネルギー供給事業者には、同様の対策を講じるための予算が不足していることがよくあります。
「小規模な公益事業会社でテクノロジーを稼働させているインフラの多くは、最新のサイバーセキュリティツールに対応するには古すぎており、懸念が倍増しています」と、Tanium社の戦略アカウント担当ディレクターであるタイラー・コステロ氏（ ）は述べています。同氏は、いくつかの重要インフラ施設や、全米最大級の電力・天然ガス供給事業者と連携しています。 「小規模な電力会社は、旧式のシステムや予算の制約、限られたリソースといった課題に直面しています。」
予算が少なく、専門知識も乏しい
業界内の他社と同様、ウィスコンシン・ラピッズの公益事業会社も、 のスマートメーター、オンライン決済 、のポータルサイト、および のクラウドコンピューティング プラットフォームといった技術を活用し、業務のデジタル化を進めています。 しかし、こうしたインターネットによるつながりには、代償が伴います。 それはサイバー犯罪者の注目を集めてしまいます。
顧客数が数千件以下の小規模な電力会社は、特に脆弱な立場にあります。 彼らは、より大規模な電力会社による買収の試みを防ぐためなど、近代化の必要性を感じていますが、そのための費用を賄うために料金や地方税を引き上げることに、しばしば消極的であったり（あるいは単に引き上げることができなかったり）します。 その結果、こうした公益事業会社では、社内にIT専門家を常駐させる余裕がないことがよくあります。
「つまり、IT担当者がカスタマーサービスを担当しなければならないこともあるかもしれません。」 「彼にはマーケティング業務も担わなければならないかもしれません」と、フロリダ州全域の 32 の電力事業体が加盟する連合体であり、全米公共電力協会（American Public Power Association）の会員でもある、フロリダ州地方自治体電力庁（Florida Municipal Power Agency、 ：FMPA）のサイバーセキュリティ担当ディレクター、カーター・マヌシー氏は述べています。
「小規模な公益事業者は、旧式のシステム、予算の制約、限られたリソースといった課題に直面しています。」Taniumの戦略的アカウント担当ディレクター、タイラー・コステロ氏
自治体所有の公益事業体や農村協同組合は、大手公益事業体にはない別の課題にも直面しています。 それらは、北米電力信頼性公社（NAERC）の監督や保護の範囲外で運営されています。 この業界団体は、大規模電力システムの所有者、運営者、および利用者を監督しており、規制遵守が不十分な場合には罰金を科すことができます。 つまり、大手企業にはルールを守ることに経済的な利害関係があり、そのための具体的な指針が示されているということです。
深刻な認識の問題があります。 小規模な電力会社にはそれほど厳格な監督体制が整っていないため、「犯罪目的のハッカーは、それらを標的として狙いやすいと考えている可能性があります」と、カリフォルニア大学サンディエゴ校の非常勤教授で、電力システムに関する講義を担当し、電力業界にコンサルティングサービスを提供しているニコラス・アビ＝サムラ氏は述べています。 「しかし、彼らも同様の脅威に直面しています。」
基本に立ち返る
公益事業者のサイバーセキュリティを強化すること――これには、新しいサーバーやセキュリティソフトウェアの導入、従業員の研修、セキュリティオペレーションセンターの設置などが含まれる可能性があります――には、数百万ドルの費用がかかる可能性があります。 その資金を調達することは、地方の小規模な公益事業会社にとっては困難なことです。こうした事業会社は、多くの場合、投資費用を賄うために必要となる高い光熱費を支払う余裕のない低所得世帯にサービスを提供しているからです。
ManucyのFMPAでは、会員向けに低料金または無料でサイバーセキュリティ研修を提供しています。 しかし、それだけでは不十分だという認識が広まりつつあります。 同氏は、こうした事業の多くを本格稼働させるには、連邦政府の支援が必要だと述べています。 これには、共有アプリケーションやネットワークに対する基本的なIDおよびアクセス管理を皮切りに、多層的な防御体制を構築することが含まれます。
[関連記事：ツールの乱立がパンデミック後のセキュリティを脅かす]
これには、 の二要素認証 の導入や、 のゼロトラスト モデルに基づくネットワークアクセス体制の構築などが含まれます。 このモデルでは、どのエンドポイント、デバイス、ユーザー（以前に認識されていたものであっても）も、検証されるまでは信頼できないものとみなされます。 また、アクセスを要求しているユーザー、要求の背景、およびアクセス環境のリスクに基づいて、最小権限のアクセス権を付与する必要があります。
公益事業者がサイバーセキュリティの強化に着手するには、他にも方法があります。具体的には、適切なIT管理と のサイバーセキュリティ・ハイジーンの基本に立ち返ることです。。 「見えないものは管理できない」という格言にあるように、まず最初に行うべきことは、ネットワークに接続されているすべてのエンドポイント（ ）——ノートパソコン、PC、タブレット、さらにはクラウド上の仮想マシンまで——を特定し、、その一覧を作成することです。 これらのエンドポイントを常にリアルタイムで定期的に監視することで、潜在的な脆弱性やアクティブな脅威を検知することができます。
[関連記事：Taniumが構成管理をより良くする 10 の方法]
小規模な公益事業会社もまた、在宅勤務の時代において急増したアプリ、デバイス、ソフトウェアに対応できるよう、 （エンドポイント管理）ソフトウェア管理プラットフォーム（ ）への投資が必要です。 単一のプラットフォームを活用することで、あらゆる中小規模の公益事業者は、1つのコンソールから、エンタープライズアプリケーションの検出、監視、更新、およびセキュリティ対策を一元的に、かつ大規模に行うことができます。 同様に、プラットフォームを活用することで、 は のすべてのエンドポイントを管理・監視し、セキュリティ上の問題をリアルタイムで特定・解決することができます。
ファイアウォールの強化
FBIがウィスコンシン・ラピッズに対し、1月に攻撃者が同市のシステムを調査していたこと、および 2019年3月を通知した後、ストームーン氏は同市のサイバー防衛体制について徹底的な評価を主導しました。 これには、同社の エンドポイントセキュリティ体制（ ）および同社のセキュリティポリシー全般について、徹底的な見直しを行うことが含まれていました。 その結果、ストームーン氏はファイアウォールをアップグレードし、新しいセキュリティソフトウェアを導入しました。
「小規模な公益事業会社は、指導を行ってくれる最高情報責任者（CIO）を『雇用または委託』したいと要望しています。」
また、同電力会社は、電力情報共有・分析センター（ ：E-ISAC）および多州情報共有・分析センター（MS-ISAC）の会員にもなりました。 これら2つの機関は、いずれもサイバー攻撃に関する情報や警告を収集・発信しています。 現在、ストームーン氏は、脅威を特定し、防御体制が万全であることを確認するのに役立つ日次レポートを受け取っています。
もちろん、すべての小規模な公益事業会社に、最前線を監視してくれるマット・ストームーンのような専任の担当者がいるわけではありません。 しかし、多くの人が斬新なアプローチを試みています。 FMPAのマヌシー氏によると、自社のシステムに関する指導を行ってくれる最高情報責任者（CIO）を「」で購入またはレンタルしたいと依頼する小規模な電力事業者が増加しているとのことです。 これは、保険契約を発行する前に社内の専門知識を要求するサイバーセキュリティ保険会社による影響も一因となっています。 彼の公益事業連合に所属する30人近くのメンバーの多くが、彼にこう尋ねてきました。「どうすれば研修を受けられますか？」 「保険会社から問い合わせがありました。」
[関連記事：ラテラルムーブメント：サイバー犯罪者がネットワーク内をどのように移動するか、そしてそれを阻止する方法]
小規模な電力会社にとって、その重要性はこれ以上ないほど高く、また極めて大きなものとなっています。 米国の電力網は、極めて複雑で相互に密接に結びついたシステムです。 たった1つのノードの障害でも、連鎖的な影響が生じる可能性があります。 Just consider the 2003 Northeast blackout, which plunged 50 million people into darkness after a single monitoring tool in an Ohio energy control room malfunctioned.
しかし、たとえサイバー攻撃が小規模な公益事業者のネットワーク内に限定され、地域住民にのみ影響が及ぶ場合でも、その影響は深刻なものになり得ると、ストルモエン氏は述べています。 これにより、警察や消防の対応、さらには在宅での集中治療にも支障をきたす可能性があります。 「たった一つでも、甚大な被害をもたらす可能性があります。」
