ホワイトハウスが新たに開始したパイロットプログラムが、テキサス州の水道事業者をサイバーセキュリティ強化の最前線に押し出しています。AIと民間企業のツールを活用し、ハッカーに悪用される前に弱点を洗い出すのが狙いです。
トランプ政権は8月31日、サンアントニオで「プロジェクト・ウォーターシェッド250」を立ち上げました。連邦機関、テキサス州当局、サイバーセキュリティ企業が連携し、水道・下水道システムの防護に取り組む6カ月間の取り組みです。
ホワイトハウスによると、このパイロットではレッドチーム演習、脆弱性評価、システム強化を通じて水道事業者の防御態勢を検証します。参加企業は、サイバーセキュリティおよびAI関連の技術を無償で水道事業者に提供します。
環境保護庁(EPA)とサイバーセキュリティ・インフラセキュリティ庁(CISA)が連邦側のパートナーを務め、テキサス・サイバー・コマンドが州レベルの取り組みを統括します。参加企業には、Microsoft、Google Cloud、Amazon Web Services、Palo Alto Networks、Dragos、Reflection AI、Cloudflare、Fortinet、Forescout、Tenable、Zscaler、Abnormal AI、Parsonsが名を連ねています。
国家サイバー長官のショーン・ケアンクロス氏は、このプログラムの目的は、脆弱性が悪用される前に発見し修正することにあると述べています。
CyberScoopの報道によれば、ケアンクロス氏は立ち上げの場でこう語りました。「米国企業は世界最高水準のサイバー能力を提供しています。水道事業者の現在の防御態勢を検証するレッドチーム演習、民間企業の最新サイバーツールを用いたシステム強化、そしてテキサス州の水道システムを守る最前線のサイバー防衛担当者を支援し、実証済みのソリューションを全米へと拡大するためのAIツールです」
なぜテキサス州が試験場となったのか
水道事業者のセキュリティ確保は特に困難とされています。多くの中小規模および地方の事業者には、専任のサイバーセキュリティ担当者や予算、技術的な専門知識が不足しているためです。最近の攻撃事例が、この課題の緊急性を一段と高めています。ミネソタ州の30以上の地域水道システムが、少なくとも12州の水道システムに影響を及ぼした大規模な攻撃キャンペーンの中で、不審な活動を報告しました。また、CyberScoopによると、2024年にテキサス州ミュールシューで発生したサイバー攻撃では水道システムがオーバーフローする事態となり、研究者らは後にこれをロシア寄りのハッキング集団によるものと結論付けています。
それでも、ホワイトハウスは「ウォーターシェッド250」がこれら直近の攻撃以前から準備されていたプログラムだとしています。
Fox Newsの報道によれば、ホワイトハウス当局者は「とはいえ、これら直近の攻撃は、水道システムの近代化とそこへの注力の必要性をあらためて浮き彫りにしました」と述べています。テキサス州のグレッグ・アボット知事も、中小規模の事業者が直面するリソース不足の問題を強調しました。
Axiosによると、アボット知事は立ち上げの場で「テキサス州は水道システムへの攻撃を含め、絶え間ないサイバー攻撃にさらされています」と述べ、「サイバーレジリエンスの必要性は圧倒的なものです」と付け加えました。
真の試練は「拡張できるか」
「ウォーターシェッド250」の最も重要な部分は、6カ月間のパイロット終了後に訪れるのかもしれません。脆弱性を発見すること自体は有用ですが、より難しい課題は、外部の専門家が去った後も中小規模の水道事業者が実際に維持できる対策はどれかを見極めることです。
このプログラムが民間企業からの無償支援に依存している点も、長期的なコストや、パイロット終了後に事業者が防御態勢を維持できるかどうかという疑問を投げかけています。水道事業者にとっては、本来なら費用面で導入が難しい専門知識や技術にアクセスできるという利点があります。とはいえ、この手法が、設備や予算、技術的成熟度が異なるさまざまなシステムにわたって機能することを示す必要があるでしょう。
これにより、テキサス州の取り組みは単発のサイバーセキュリティ・プロジェクトというよりも、実践的な実験としての意味合いを帯びています。連邦政府が「ウォーターシェッド250」から得た教訓を再現可能な手順書へと昇華できれば、このモデルは全米の中小水道事業者に対して、防御態勢を改善するための明確な道筋を示すことになるでしょう。
CyberScoopによれば、ケアンクロス氏はこのアプローチについて次のようにまとめています。「何がうまくいくのかを見極めます。そこに狙いを定め、そこから拡張しながら教訓を学んでいきます」
水道事業者にとって、この取り組みの成果は、どのセキュリティツールが有効かという以上のものを示すはずです。より大きな試練は、このパイロットが、中小規模の事業者が外部専門家に恒久的に頼ることなく維持できる、手頃な防護策・改善指針・継続的な支援を生み出せるかどうかにあります。
関連記事： イランの脅威アクターも米国の重要インフラを標的にしており、あらゆる基幹サービスにわたって防御を強化する必要性を裏付けています。
