ボランティアのサイバーセキュリティ専門家が地方の水道システムを守る取り組み

水道事業者をサイバー攻撃から守るためのボランティア活動により、事業者が直面する課題や、それを乗り越えるための現実的な方策について重要な知見が得られています。加えて、この取り組みに参加した少数の事業者においては、セキュリティ体制と安心感の両面で向上が見られています。

2024年後半、ハッカーカンファレンス「DEF CON」、シカゴ大学ハリス公共政策大学院、そして全米地方水道協会(NRWA)が「DEF CON Franklin」を立ち上げました。これは、社会貢献意識の高いサイバーセキュリティ専門家と、ハッカーへの対策を切実に必要としている小規模な地方の水道システムとをつなぐ取り組みです。米国にはおよそ5万件のコミュニティ水道システムが存在し、その大半は小規模かつ資金不足の状態にあります。そのため、これら事業者の生活インフラを支える老朽化したシステムは、米国社会に混乱を引き起こそうと目論むハッカーにとって格好の標的となっています。

この危険性は、複数の米国州の水道事業者を狙った一連のサイバー攻撃を受け、ここ数日で改めて注目を集めています。当局はこれらの侵害についてイランとの関連を暫定的に指摘しています。

DEF CON Franklinという名称は、米国初の志願消防団の創設に貢献したベンジャミン・フランクリンにちなんでいます。この取り組みは、十分な保護がなされていない重要インフラ事業者と、ボランティアのセキュリティ専門家とをつなぐ、米国初の本格的な試みです。同プログラムは2025年8月に規模を拡大しており、参加者や観察者からは、事業者の実際のニーズや能力に即した支援を提供している点、そして大きく異なる二つのコミュニティの間の溝を埋めている点が評価されています。

各州が財政危機に苦しみ、連邦政府も重要インフラへの支援を縮小しつつある今、Franklinは、他に頼る先のない脆弱な事業者にとって、限定的ではあるものの効果的なつなぎの解決策として存在感を増しています。

コンサルティング企業1898 & Co.の重要インフラセキュリティ部門ディレクター、ヴィクター・アトキンス氏は次のように述べています。「ボランティアプログラムは、事業者が本来ならアクセスできないサイバーセキュリティ支援とつなげることで、大きな価値を提供できます」

「非常にありがたい存在」

Franklinは、2024年11月に最初のパイロットプログラムを開始して以来、規模を小さく保ってきました。同プログラムはこれまで7つの州にある21の水道事業者に27人のボランティアを派遣しており、そのうち6事業者(パイロットプログラム参加の5事業者を含む)とは現在も協力関係を続けています。

Franklinの創設者であり、ハリス公共政策大学院のサイバー政策イニシアチブの事務局長を務めるジェイク・ブラウン氏は、次のように語ります。「ほとんどの場合、まず現地に入って特定の課題の解決を手伝い、支援が終わったら離れます。ただ、その後も『何かあったら電話して』という関係を維持しているので、事業者側に別の疑問が生じた際には連絡をもらっています」

Franklinの活動の中には、ベストプラクティスを共有し事業者の疑問に答えるための電話会議やミーティングを行うものもあります。また、ボランティアが現地の施設を訪れ、特定のアップグレード作業についてスタッフを直接指導するケースもあります。Franklinの専門家がカバーする範囲は幅広く、デフォルトパスワードの変更や多要素認証の有効化といった基本的なサイバー衛生対策から、インシデント対応計画や手順の文書化まで及びます。

「攻撃を受けた際に何をすべきかについて、文書化していた事業者はほぼ皆無でした」とブラウン氏は語ります。

ボランティアはまた、事業者のネットワークマッピングも支援しています。これは、必要な機器や脆弱性を把握するうえで欠かせない作業です。水道業界ではレガシー技術が大きな問題となっており、ITコンサルタントが頻繁に出入りして機器を導入するものの、作業内容を文書化せずに立ち去ってしまうケースが多く見られます。

水道業界は閉鎖的なコミュニティになりがちで、ベテランのシステム運用者は、無償の支援を申し出る部外者に対して警戒心を抱くことが少なくありません。Franklinが成功するには、業界内で信頼されるパートナーの後ろ盾が必要でした。そこで頼りになったのがNRWAです。NRWAは非営利団体であり、その州支部は全米で3万1000を超える事業者にサービスを提供しています。NRWAはFranklinの最初のパイロットプログラムに参加する7つの事業者を集めたほか、その後もほかの関係構築を仲介し、ボランティアが最も大きな効果を発揮できる場所についても助言を行ってきました。

NRWAの規制関連担当ディレクター、ジョン・デグール氏は次のように述べています。「Franklinのボランティアが協力してきた事業者から、どのように改善が見られたかについて、素晴らしいフィードバックをいただいています」

アイダホ州ワイルダーの公共事業部長、チェルシー・ジョンソン氏は、Franklinのボランティアであるデビッド・アームストロング氏との協力が「驚異的な」経験だったと語ります。

「彼にはたくさんのことを教えてもらいました」とジョンソン氏は述べます。「自分がまったく知らなかった世界がそこにあったんです。……本当にありがたいことでした。市長や議会も、彼が私たちのためにしてくれたことに、そして私自身に対しても、とても感謝していると思います」

アイダホ州ワイルダーは、他の多くの小さな都市と同じ課題を抱えています。サイバーセキュリティ担当者の不足、保護が必要な複雑な運用技術、そして効果が見えにくいIT投資に回す余裕のない小さな予算です。「もし誰かがシステムに侵入して乗っ取り、身代金を要求してきたとしても、私たちにはとても払えません」とジョンソン氏は述べます。

数回のミーティングを通じて、アームストロング氏はジョンソン氏がセキュリティを強化するために取れる一連の対策を示しました。アームストロング氏によれば、「チェルシーはその対策を見事にやり遂げました」

無償支援の受け入れすら難しい現実

Franklinは個々の事業者への支援に加え、水道セクター全体についてもより広い知見をもたらしています。

Cybersecurity Diveに独占提供されたFranklinのあるレポートは、セキュリティ企業が水道事業者向けに提供する無償サービスを調査し、ほとんどの場合、それらが実質的には役に立たないものであることを明らかにしました。ブラウン氏はこうしたサービスを「子犬のような『無償』」だと皮肉りました。つまり、無償のライセンスを得るために高額な機器を先に購入する必要があったり、無償の監視システムを利用するために高額なセキュリティコンサルタントによるデータ分析が必要になったりと、実際には高くつく条件が付いているという意味です。

「無償の支援すら受け入れる余裕がないのです」とブラウン氏は述べます。「これは私たちにとっても、そして多くの事業者にとっても、目から鱗が落ちるような発見でした。事業者はこうした無償の製品やサービスをなぜすべて受け入れないのか、説明を求められるプレッシャーにさらされていましたから」

Franklinはもう一つ、重要な知見も生み出しています。サイバーセキュリティ専門家が事業者運営者の支援に駆けつける際には、期待値の管理が鍵になるということです。

Franklinのボランティアの多くは大規模組織に勤務しており、短期間でどれだけの技術的・組織的な変化を実現できるかについて、非現実的な想定を抱きがちです。一方で、多くの事業者側も、Franklinのセキュリティ評価がどのように進むかについて、非現実的な期待を抱いています。時間をかけて、Franklinのリーダーたちは双方に対する準備の整え方を学んできました。ブラウン氏によれば、今では「誰もが最初の対話に臨む際、『相手のいる場所に合わせて進めよう』という心構えをより強く持つようになっています」

もっとも、Franklinが直面する最大の課題は、同プログラムの手の届かないところにあります。プログラムの実施過程で、他の業務に時間を取られて離脱した事業者もありました。ブラウン氏は「PFASや鉛管の問題など、事業者が取り組んでいてありがたいと思うような重要な課題」がその一因だと述べています。

この問題は、Franklinの支援を最も必要としている極めて小規模なコミュニティにおいて、とりわけ深刻です。

「たった2、3人で街全体を運営しなければならないとなると、本当に大変です」とジョンソン氏は述べます。「私が集中しているのは、街に水を通し続け、トイレを流し続けることです。……朝起きたときに1500人が飲み水を確保できるようにしなければなりません」

ブラウン氏によれば、そうした現実こそが「(サイバーセキュリティの)問題がこれほどまでに解決困難である理由」なのです。

AIデータセンターと口コミ

Franklinは、最大級かつ最も分散した重要インフラセクターの一つを相手にする、ごく小規模なプログラムです。ブラウン氏はこの状況を、DEF CONコミュニティで以前取り組んでいた選挙セキュリティの問題になぞらえ、「水道業界で同程度の、決して満足のいくとは言えない進展を遂げるには、10倍の努力が必要になるだろう」と予測しています。

それでも、ボランティアたちの献身的な姿勢が、ブラウン氏に希望を与えています。「2年間も継続して関わってくれている人たちがいるという事実には、正直驚かされます」と同氏は語ります。「もっと活動したい、より多くの事業者を担当したいと、こちらに詰めかけてくる人たちもいるほどです」

この熱意を活かすため、Franklinは支援を拡大するための、拡張性のある方法を模索しています。ブラウン氏がとりわけ関心を寄せているのは、AIデータセンターの冷却を担う水道事業者への支援です。同氏は、こうした事業者が国家的な支援を受けたハッカーやサイバー犯罪者にとって、ますます標的になりつつあると見ています。

Franklinのボランティアモデルには、利点と限界の両方があります。事業者を、本来なら得られなかったであろう支援とつなげる一方で、その断続的な関わりはマネージドセキュリティサービスの代わりにはなり得ず、保守・監視・計画に関する提言には資金や人員の裏付けが伴いません。加えて、その活動範囲は業界全体の規模と比べればごくわずかです。

それでも、楽観できる理由がもう一つあります。Franklinの影響が、提携先の事業者の枠を超えて既に広がりつつあるという点です。

アイダホ州ワイルダーの公共事業部長であるジョンソン氏は、数か月おきに、同じく小規模な近隣都市の同業者たちと会合を持っています。Franklinとの協力を始めて以来、彼女はこうした会合の場を利用して、自身が進めているセキュリティ改善について同僚たちに伝えるようにしてきました。

「前回の会合で多要素認証の話をしたら、みんな『どうやってやるの?』という反応でした」とジョンソン氏は語ります。「実際にやり方を見せたところ……『それはすごくいいね』と言われました」

彼女は最近パスキーについても学んでおり、次回の都市間会合で説明する予定です。

「みんなが私と同じような支援を受けられるとは限りません」と彼女は付け加えます。「私自身、サイバーセキュリティの専門家では決してありませんが、自分が知っているちょっとしたことを伝えて助けになれるのなら、それは彼らにとって大きな意味を持つと思います」