市民社会の取り組み、農村部の水道システムを保護するためサイバーセキュリティ企業に報酬を支払う

ラスベガス発――水道業界の業界団体とボランティアのサイバーセキュリティ専門家集団が、ハッカーからシステムを守るための支援を切実に必要としている小規模な水道事業者に対し、無償のセキュリティサービスを提供しようとしています。

DEF CON Franklinプロジェクトは金曜日、サイバーセキュリティ企業に対価を支払い、人口1万人未満の地域にサービスを提供する水道事業者に対し、監視・防御製品を無償で提供してもらう計画を発表しました。こうした事業者は、米国内にある5万カ所のコミュニティ水道システムの90%以上を占めており、デジタル面で最も脆弱な存在の一つとされています。この危険性は、最近イラン関連の攻撃者が全米各地の水道システムを標的にしたことで改めて浮き彫りになりました。

当初は5社のマネージド検知・対応(MDR)プロバイダー――Defendify、Legato Security、L1 Secure、Rapid7、Sentinel Technologies――がこのプログラムに参加し、各社が水道事業者のネットワークから収集した脅威インテリジェンスを、全米農村水道協会(NRWA)が新たに運営する「Water Watch Center」を通じて共有します。

水道事業者のネットワークに導入されたMDRソフトウェアが潜在的なサイバー攻撃や脆弱性を検知すると、ベンダーはその事業者に警告し、問題に関する報告書を提供します。事業者はその後、自ら問題を修正するか、Franklinの登録ボランティア専門家に支援を要請することができます。

「これはすべて規模の問題です」と、DEF CON Franklinの発起人ジェイク・ブラウン氏は金曜日、このボランティア団体の発祥地であるDEF CONサイバーセキュリティ会議の会場脇で行われたインタビューで語りました。「サイバー対策の提供を拡大することこそ、あらゆる課題が集約される部分です」

今回のMDR提供とWatch Centerの開設は、水道分野を支援するFranklinの取り組みを大きく拡大するものです。同団体は2024年後半、参加水道事業者を支援するためボランティアを派遣し、基本的なサイバーセキュリティ対策の実施やネットワークのマッピング、インシデント対応計画の策定を後押ししてきました。しかし金曜日の発表は、水道事業者向けの商用サイバーセキュリティ支援に同団体が初めて直接資金を投じるという、野心的な新時代の幕開けを意味しています。

募集と情報共有

各MDRプロバイダーはそれぞれ微妙に異なる形でサービスを提供しており、これによりFranklinは最適なモデルを見極めることができます。「すべてを試してみたいのです」と、シカゴ大学サイバー政策イニシアティブの事務局長を務めるブラウン氏は述べています。

水道事業者とMDRサービスをつなぐ作業はFranklinのボランティアが担いますが、ブラウン氏によれば、これはプロセス全体の中で最もコストがかかる部分の一つだったといいます。

Franklinのチームが最初の5社のMDRベンダーを選んだのは、いずれも既に水道事業者を顧客に抱えており、事業者特有のニーズを理解していたためです。ブラウン氏によると、今後の目標は「数万」の事業者をさらに追加することです。そうした事業者の大半はFranklin自身が開拓することになるだろうと同氏は付け加えましたが、ベンダー側にも事業者を獲得する経済的なインセンティブがあります。

このプロジェクトは既に、メリーランド州のサイバーセキュリティプログラムと提携し、同州内の農村部の水道事業者の受け入れを進めています。

Water Watch Centerは、MDRベンダーから得た脅威インテリジェンスを、業界の情報共有分析センターであるWaterISACと共有する計画です。「まずはデータの匿名化に取り組んでいるところです」とブラウン氏は述べています。

WaterISAC、サイバーセキュリティ・インフラセキュリティ庁(CISA)、その他のパートナー団体は、水道事業者にサイバー攻撃に関する情報を提供し続ける上で重要な役割を果たしているとブラウン氏は言いますが、事業者側はそうした団体が発行するガイダンスを実際に実行に移すのに苦労することが多いといいます。Franklinのスタッフは最近、従業員がわずか2人しかいない水道事業者と面会しました。「そのうちの1人は、町の独立記念日パレードの運営も兼務していました」とブラウン氏は語ります。「我々が一日中警告を送り、あらゆる評価を行ったとしても、それに対して実際に対応する人がいないのです」

政府の支援を求める声

MDRサービスとWater Watch Centerの資金は、助成金によって賄われます。当初の元手となる資金は、Craigslistの創業者であり、サイバーセキュリティ分野への慈善活動で知られるクレイグ・ニューマーク氏から提供されましたが、ブラウン氏によれば、他に2件の「大規模な助成金」の結果待ちだといいます。

今回の取り組みは、現在の運営を維持するには十分な資金がありますが、事業者数を数万規模にまで拡大するには、はるかに大きな投資が必要になります。

「最終的には、連邦政府がこの費用を負担するために乗り出す必要があります」とブラウン氏は述べています。

連邦議会は既に、農業政策法である「農業法(Farm Bill)」に基づくNRWAとの契約を通じて、農村部の水道システムに資金を提供しています。「議会はただ数字を変えるだけでいいのです」とブラウン氏は言います。「議会にとってこれを実行するのは実に簡単なことです」

Franklinは今後、水道分野のサイバーセキュリティの重要性について、連邦議会の関係者との対話を大幅に増やしていく方針です。

政府が乗り出さなければ、「このままでは何もうまくいかず、水道事業者は完全に行き詰まってしまうでしょう」とブラウン氏は述べ、実際にはより強い言葉を使ってその窮状を表現しました。