民主党の上院議員2名が月曜日、水道・下水道分野のサイバーセキュリティ改善に向けて毎年3億ドルを拠出する法案を提出しました。
アダム・シフ上院議員(民主党・カリフォルニア州選出)とエイミー・クロブシャー上院議員(民主党・ミネソタ州選出)は、環境保護庁(EPA)に米国内の水道・下水道システムのサイバーセキュリティ対策を規制する権限を拡大する「Water Cyber Shield Act」法案を発表しました。
この法案は、最近発生したサイバー攻撃を受けて提出されたものです。約12州にまたがる少なくとも30の水道・下水道システムが被害に遭い、専門家はイラン軍に関連する集団による攻撃とみています。
法案では、飲料水および浄水のための州循環基金(Drinking Water and Clean Water State Revolving Funds)から、サイバーセキュリティ改善に充てる資金として毎年3億ドルの拠出を承認します。安全飲料水法(Safe Drinking Water Act)と水質浄化法(Clean Water Act)を改正し、EPAにサイバーセキュリティ評価を実施する権限を付与するとともに、脆弱性が発見された場合には是正措置を義務付けます。
水道・下水道システムは、レジリエンス計画の一環としてサイバーセキュリティリスクを評価する必要があり、近く制定される重要インフラ向けサイバーインシデント報告法(Cyber Incident Reporting for Critical Infrastructure Act、CIRCIA)に定められたインシデント報告義務にも従うことが求められます。
同法は水道システムの規模に応じて異なる規則を定めており、各州がサイバーセキュリティ規制を自ら運用するか、EPAに介入・支援を求めるかを選択できるようにしています。
EPAはまた、脅威情報やサイバーセキュリティ基準について、サイバーセキュリティ・インフラセキュリティ庁(CISA)と連携します。基準策定のための技術諮問委員会も新設される予定です。
事業者から提出されたサイバーセキュリティ情報は情報公開の対象外とされ、小規模な水道システムには柔軟な対応が認められるほか、連邦financial支援の優先対象となります。
EPAは、水道分野の進捗を分析するためのサイバーセキュリティ指標を策定し、この問題に関する報告書を公表する必要があります。
「ミネソタ州で最近発生したサイバー攻撃は、私たちの水道システムや重要インフラのセキュリティを強化することがいかに急務であるかを浮き彫りにしました」とクロブシャー氏は述べています。「私たちの法案は、EPAに水道インフラのサイバーセキュリティを評価し脆弱性を特定するよう指示するとともに、自治体の水道システムがサイバー脅威から身を守れるよう支援するものです」
EPAは水道分野を管轄する立場にありながら、サイバーセキュリティ規則を制定する権限を持っていません。バイデン政権は、年次の水道システム評価にサイバーセキュリティ検査を追加しようと試みましたが、水道業界団体や複数の州から訴訟を起こされました。これらの団体は、サイバーセキュリティ対策の強化によって顧客への料金値上げを迫られると主張していました。
バイデン政権はその後この取り組みを断念しました。それ以降、国家の支援を受けた集団やランサムウェアギャングが米国内の水道システムを繰り返し攻撃しており、複数のシステムが一部機能を停止したり、手動運用を余儀なくされたりしています。
シフ氏の広報担当者はRecorded Future Newsの取材に対し、同氏の事務所が水道業界団体、州の規制当局、サイバーセキュリティ専門家、連邦政府機関と協議を重ね、想定される懸念に事前に対応したと説明しました。EPAをはじめとする連邦政府機関からも意見を得たとのことです。
「すべての米国民は、安全で信頼できる飲料水に依存しています。しかし最近の出来事は、私たちの水道システムが海外の敵対勢力や犯罪組織によるサイバー攻撃に対していかに脆弱であるかを露呈させました」とシフ氏は述べています。
「こうした脅威は仮定の話ではなく、現に今起きているのです。この法案は、この重要インフラを守るためにEPAが必要とするツールを提供すると同時に、地域の水道・下水道システムが料金負担者にコストを転嫁することなくサイバーセキュリティを強化するために必要な資源を提供するものです」
翻訳元: https://therecord.media/senate-water-cybersecurity-legislation
