ランサムウェア攻撃を受けた化学プラントが、安全な状態で操業を停止します。負傷者はなく、施設も安定を保ち、オペレーターは再起動作業に取りかかりますが、システムは復旧しません。
再稼働を試みるたびに、暗号化されたプロセスと改ざんされた設定に阻まれます。操業停止は数週間に及び、その損失はサプライチェーンを上流にも下流にも波及していきます。製油所、化学プラント、パイプライン事業者はいずれも、20年から40年にわたって稼働し続ける制御システムを抱えており、こうしたリスクにさらされています。
Marco Ayala氏は、産業用制御システムのセキュリティに20年以上携わってきました。現在はABS Consultingでグローバルエネルギー部門のテクニカルディレクターを務めており、このリスクを自らの専門分野の課題として捉えています。
「信頼性、稼働率、安全性は何よりも重要です。サイバーセキュリティはこれらすべての成果に影響を及ぼすため、これはエンジニアリングの問題なのです」
対応を誤った際の代償は増大し続けています。米国の公益事業会社に対するサイバー攻撃は、わずか1年で約70パーセント増加しました。
DragosとMarsh McLennanは、全セクターにおけるOTサイバー攻撃の最悪シナリオでの世界的損失額を3,295億ドルと試算しています。Waterfall Securityの集計によれば、物理的な被害を伴う攻撃を受けたOTサイトの件数は前年比で146パーセント増加しました。
それでも事業者はサイバーセキュリティ予算の多くを別の分野に振り向けています。OTセキュリティに充てられるのは全体のおよそ20パーセントにとどまり、残りはノートパソコンやエンタープライズツールに費やされています。
計画が崩れるのは復旧の局面
Shankar Somasundaram氏は、産業施設全体の接続機器を管理するAsimilyを率いています。同氏は、実際の再起動作業の中で復旧計画の前提がいかに崩れていくかを目の当たりにしてきました。
「コントローラーのバックアップは残っていても、なぜそのように設定されたのかを知っていたエンジニアはとっくにいなくなっている、という現場を何度も見てきました。つまりバックアップは、本当に正しい状態かどうか誰も確認できない状態を復元しているにすぎないのです。プラント側は猛烈なプレッシャーの中(まさに停止の真っ最中に!)、自社のプロセスを一から解き明かす羽目になります。自社のプラントの仕組みを学ぶには最悪のタイミングです」と同氏はHelp Net Securityに語りました。
文書化された復旧見積もりは、実際の復旧作業に直面するとほとんど役に立ちません。
「予定より数日遅れで済んだ復旧もあれば、予定より数か月も遅れたケースもあります」
同氏は、復旧計画があいまいにしてしまいがちなある違いに話を戻します。
「実際に稼働中のコントローラーに対して一度も復元テストをしたことがないバックアップは、いざという瞬間に想定と異なる挙動を示すことが少なくありません。実際に復元作業をやり切るまでは、それは堅牢な復旧能力というより、単なる憶測にすぎないのです」
次に立ちはだかるのがベンダーという制約です。
「重要なシステムの多くは、安全に復旧させるために、当初の導入元やメーカーの担当者が現地に赴く必要があります。しかし、その担当者が自社の希望するタイミングで対応できる保証はどこにもありません。バックアップ計画では電話一本で解決できると想定していたかもしれませんが、実際には担当者が飛行機に乗って現地に来るまで2週間待たされる、というのが現実です」
優先度の低い機器から侵入口が開く
侵入経路は、セキュリティ対策が最も手薄な場所に生まれる傾向があります。Somasundaram氏は、複数の現場で同じパターンを目にしてきました。
「プラント側はOTの中核機器はしっかり固めていても、IoT機器(施設内カメラ、センサー、ビル管理システムなど)についてはリスクが小さく感じられるために後回しにしがちです。しかしIoT機器は、プラントのネットワーク全体への足がかりとして、他のどんな機器にも劣らず優れた侵入口になり得ます。むしろ、そこまで注意深く監視されていない分、より狙われやすいケースも珍しくありません」
こうした侵入は表沙汰にならないまま終わることが多いといいます。
「攻撃者が見落とされがちなIoT機器の一つから侵入し、内部を探り回っている最中に発見されたとします。生産は一度も止まらず、明確な被害も確認されなかったため、それは本来警鐘として扱うべき出来事だったにもかかわらず、単なる『何事もなかった案件』として片づけられてしまうのです」
インターネットから到達可能な、見えていない資産
Ayala氏は「コールドアイ」による現場評価を行うたびに、同じ盲点に繰り返し行き当たります。
「コールドアイ評価のために現場を回ると、プラントのスタッフがもはや意識すらしなくなっていることとして最も多いのが、セキュリティ管理策に対する一時的な回避策の積み重ねです。開けっ放しで施錠されていないパネル、そして1年以上も『一時的』なまま放置されているネットワーク接続などが典型例です」
同氏がその点を指摘すると、ある現場ではこう返されたといいます。
「もう何年もこのままやってきましたが、問題は起きていません。次こそは対応します」
同氏の返答は、その落ち着きの捉え方そのものを問い直すものでした。
「私はよくこう指摘します。これまでサイバー事案が起きていないという事実は、安全である証拠ではありません。単に、その現場がまだ本格的な試練にさらされていないという証拠にすぎないのです、と」
ある施設では、セルラールーターやパッケージ化されたOEM機器がOT環境の下層に次々と蓄積されており、ネットワーク構成図にはまったく反映されていませんでした。
「ある事案では、暗号化型のマルウェアがHMI(ヒューマン・マシン・インターフェース)の一つに侵入し、水平方向への拡散を始めました。幸い、主要な制御システムに影響が及ぶ前に早期発見できました。経営陣の意識を最終的に変えたのは、自分たちが信頼していたエンタープライズ向けのネットワーク監視ツールが、通常の可視範囲外にあったために下層の資産をまったく検知できていなかったという事実でした」
Ayala氏は、こうした場面で経営層を動かすものが何かをよく理解しています。
「技術的な議論だけでは、なかなか響きません。重要なプロセス資産が既存のツールからは見えておらず、しかもインターネットから直接到達可能な状態にあることを経営層に示した瞬間、議論の空気は一変しました」
評価で最も難しいのは対話の部分であり、同氏はあえて沈黙にその役割を委ねることもあるといいます。
「時には、厳しい問いかけの後に訪れる沈黙そのものに、語らせるべき仕事をさせる必要があります」
繰り返される物理法則
Ayala氏の主張は、ABS Consultingが最近発表した白書「OT Cyber Resilience and Business Continuity for Global Energy Facilities」の内容にも通じています。この白書は、プロセス安全の考え方をひな形とし、制御システムセキュリティに関するISA/IEC 62443と、安全計装システムに関するIEC 61511を並行して適用する立場を取っています。Hexnodeの最高経営責任者(CEO)であるApu Pavithran氏は、この比較が成り立たなくなる境界を指摘します。
「例えば、バルブは既知のパラメーターに基づいて予測可能な形で故障しますが、攻撃者は新しい手口を使って、これまでにない形で妨害を仕掛けてきます。デジタルの世界は、物理の世界に比べてはるかに予測しづらく、しかもはるかに標的を絞った形で破綻します」
エンジニアが機械の世界から持ち込んでしまうある習慣が、最も大きな弊害を生んでいます。
「一つには、認証を取得すればそれで終わりだと考えるのは誤りです。数十年使われることを前提に作られる機械設備とは違い、ソフトウェアは絶えず進化し、新たな脆弱性が発見されるスピードも非常に速いため、チームは常にパッチの確認と再確認を繰り返す必要があります」
ルールを定めつつあるのは保険会社
保険会社は、製油所や化学プラントを対象に年次のOTセキュリティ監査を実施しており、その結果はそのまま保険料に反映されます。Pavithran氏は、規制による義務づけが本来担うべき役割を、保険引受(アンダーライティング)が代わりに埋めつつあると見ています。
「多くの産業施設は、いまだに拘束力のあるサイバーセキュリティ義務の対象外にあります。そして保険引受は、この規制上の空白を埋める手段として驚くほど有効に機能しています」
事業者側は、証拠の提示という段階でつまずきがちです。
「多くの事業者は自社のセキュリティ対策について説明はできても、それを継続的に証明することには苦労しています。保険会社が求めるのは、最新の資産インベントリと、例外事項まで記録されたパッチ適用のサイクルです」
保険引受担当者が下す判断の基準は、ある一点に尽きます。
「保険会社の目から見れば、記録がないということは、管理策が存在するという証拠がないということと同じなのです」
担い手となる人材が退職していく
業界は今、すべての現場で同時並行的に、3年から5年に及ぶレジリエンス強化のロードマップを進めるよう求められています。
この作業には、制御室にもネットワークにも通じ、深夜のプロセス異常時に現場に立った経験を持つ人材が欠かせません。しかし、そうした人材が育つには15年から20年を要し、その知見を担ってきた技術者たちは次々と定年を迎えつつあります。
Pavithran氏は、後継人材をプラント内部で育成する方針を支持しています。
「第二に、そうした人材を価値ある存在にしている知識の多くは、本人と一緒に外へは持ち出せません。彼らは自分の担当するプラントを知り尽くしていますが、現場の本当の知識は実際の業務を通じてしか身につかないのです。現実的に考えれば、次の世代は外部からの採用ではなく、社内での育成・転換から生まれるべきでしょう」
同氏は、業界がかつて一度、これに匹敵する規模の転換を経験したことを知っています。
「今日のベテランたちも、かつてはエアギャップ環境から常時接続の機械設備へという大きな転換に直面した新人だったのです」
現場視察で投げかけるべき、たった一つの問い
プラントは監視体制を整え、監査にも合格していながら、誰も確認したことのない箇所に脆弱性を抱えたままになっていることがあります。Somasundaram氏なら、書類はいったん脇に置き、ある一点だけを確かめるといいます。
「私が知りたいのは、そのプラントのネットワーク上に実際に何が存在し、それらの機器が互いにどんな通信を許可されているのかを、誰かがきちんと説明できるかどうかです。資産インベントリを見せてもらい、それを実態と突き合わせて確認したいですね。形だけのプログラムでは、そのインベントリは作成した当日こそ正確だったものの、その後はずっと実態から乖離し続けているスプレッドシートにすぎません。現場には一度も登録されなかった機器がある一方で、とっくに撤去された設備が古い記録としていつまでも残っていたりします」
同氏は、その答えをただ一点で見極めます。
「インベントリが最新であることをどうやって確認しているのかを尋ねてみてください。本物のプログラムであれば、それは継続的なプロセスとして語られます……形だけのプログラムは、過去に行われた最後の監査の話として語られるのです」
翻訳元: https://www.helpnetsecurity.com/2026/07/29/ot-cybersecurity-in-energy/
