Fitchが解説、水道・医療機関がサイバー攻撃を受けても高い信用格付けを維持する方法

サイバーセキュリティの脅威がリソースの制約や規制の不統一と重なり合い、米国の水道システムにとって厳しい運用環境を生み出しています。医療機関も同様に、サイバー攻撃の増加と目前に迫る規制強化に直面していると、Fitch Ratingsが指摘しています。

Fitchのアナリストは、火曜日に顧客向けに公開され、Cybersecurity Diveにも共有された2本の分析レポートの中で、両重要インフラ分野とも、老朽化した技術と運用停止への低い許容度を理由にハッカーの標的とされ、苦境に立たされていると述べています。

Fitchの専門家は「必要不可欠なサービスの提供、接続性の高まり、そして多くの水道事業者が抱える financial・technical資源の制約という組み合わせが、水道システムを攻撃者にとって魅力的な標的にしている」と記しています。

医療分野については、アナリストが「(サイバー攻撃に関連する)格付け変更はこれまで限定的だったものの、サイバー事案のコストと深刻度は増しており、格付けへの圧力が生じる可能性も高まっている」と述べています。

今回の新たな分析は、水道・医療両分野へのサイバーセキュリティ面での監視が強化される中で発表されました。水道事業者は、米当局がイラン政府によるものと暫定的に断定したハッキングキャンペーンへの対応に追われています。

事前の計画が格付け維持を助ける

サイバー攻撃そのものだけで、アナリストが被害組織の信用格付けを変更することはめったにないと、Fitchは述べています。格付けが変わるのは、サイバー攻撃が「より広範な事業・財務上の課題を悪化させる」場合だとしています。医療分野のレポートによれば、「健全な営業利益率」を持つ組織がハッキング被害後に格下げされるケースはまれです。

Fitchのアナリストによれば、高い信用格付けを持つ組織は、対応の備えさえできていれば、サイバー攻撃を受けても好ましい財務評価を維持できるとしています。

Fitchは医療分野のレポートで、「格付けへの下方圧力を軽減できる可能性が最も高いのは、事業のレジリエンスを備え、強固なインシデント対応能力、実効性のある事業継続計画、そしてサイバー事案による財務ストレスを吸収できるだけの格付け上の余力を持つ事業者だ」と述べています。水道分野のレポートでも、アナリストは同様の指摘をしています。

しかし、こうした事前の備えという要請は、財務的な制約があり、サイバーセキュリティの経験も限られる小規模な医療機関にとっては難しい課題です。アナリストは、こうした事業者は「持続的な事業・財務上のストレスに対して総じてより脆弱であり、それが格付けへの下方圧力を生みかねない」と記しています。

攻撃が料金値上げを複雑にする可能性

水道事業者へのサイバー攻撃は、あまり認識されていない形で長期的な課題を引き起こす可能性があると、Fitchは指摘しています。

資金繰りに余裕のない水道事業者が新たなサイバーセキュリティ対策や人員に投資できる財源は、料金値上げによってしか賄えないケースが多く、これは平時の運用環境下でさえ政治的に難しい選択です。例えば、水の供給に影響を及ぼしたり顧客データを流出させたりするような大規模なハッキングは、事業者の経営に対する信頼を大きく損ないかねません。信頼の低下は、ひいては料金値上げを政治的に成り立たなくさせる可能性があります。

さらに、サイバー攻撃に最も脆弱な小規模・地方の水道事業者は、ハッキング被害を受ける前に、防御力強化の資金を賄うための料金値上げを行う余地が最も乏しい事業者でもあります。

Fitchのアナリストは、こうした事業者について「顧客基盤が料金の急上昇に耐えられる余地が小さいため、相当なコストになり得るものを十分に転嫁できない可能性がある」と述べています。「その結果、利益率が悪化し、流動性とレバレッジが弱まり、格付けへの下方圧力が高まりかねない」としています。

HIPAA準拠については前向きな見通し

Fitchの医療分野レポートは、目前に迫るいくつかの規制変更をまとめています。特に注目されるのは、米保健福祉省(HHS)による医療保険の携行性と責任に関する法律(HIPAA)のサイバーセキュリティ基準の更新です。しかし、HHSの試算では今後5年間で330億ドルのコストがかかる可能性があるとされる新たなセキュリティ要件が控えているにもかかわらず、Fitchは格付け対象組織がこの規制対応によって大きな財務上の課題に直面するとは見ていないとしています。

Fitchは「2.0倍のストレステストの下でも、格付け対象ポートフォリオにおいて格付け変更が生じるとは想定していない」とした上で、「その一因は、格付け対象となっている事業者の多くがすでにこれらの提案されている要件の多くを実施済みであること、そして業界の営業収益の中央値に対してそのコストが低いことにある」と述べています。