ホワイトハウス、「プロジェクト・ウォーターシェッド250」を始動

ホワイトハウスは、テキサス州で「プロジェクト・ウォーターシェッド250」と名付けられた6か月間の試験的プログラムを正式に開始しました。この重要な取り組みは、アメリカの上下水道システムを高度なサイバー攻撃から守るための実践的な手法を見出すことを目的としています。参加する水道事業者には、無料のセキュリティ監査、脆弱性の是正支援、そして大手IT・サイバーセキュリティ企業から提供される先進的な防御技術が提供されます。ただし、当局はこの中核プロジェクト自体に充てる公的予算については、まだ明らかにしていません。

官民連携の指揮体制と産業界の支援

この包括的なプログラムは、国家サイバー長官室とテキサス・サイバー・コマンドが共同で統括します。プロジェクトには、名だたるテクノロジー企業による強力な連合が参加しています。その顔ぶれには、Parsons、Microsoft、Fortinet、Google Cloud、Palo Alto Networks、Amazon Web Services、Reflection AI、Cloudflare、Zscaler、Forescout、Abnormal AI、Dragosが名を連ねています。国家サイバー長官のショーン・ケアンクロス氏は、今後6か月間で、実際の事業者インフラの中でどの防御策が真に効果を発揮するかを見極めたい考えです。その上で、成功した施策を他州へと展開していく方針です。

参加する水道事業者は、現実の攻撃者の行動を再現した本格的なレッドチームテストを経験することになります。あわせて、綿密なセキュリティ態勢の分析、設定の堅牢化、AIを活用したツールの提供も受けられます。さらにテキサス・サイバー・コマンドは、発見された欠陥の解消に向けた実務的な支援も約束しています。つまり、プロジェクト・ウォーターシェッド250は、受け身の脆弱性報告書を渡して終わる通常の監査業務にとどまらないものです。とはいえ、依然として残る疑問があります。6か月の試験期間が終了した後、こうして構築された防御体制を維持し、将来の設備更新に資金を投じ続けるのは誰なのかという点です。

深刻な資金・人材不足の危機

アメリカの水道セクターにおいては、人材と資金の問題が技術的な課題以上に大きな壁となることが少なくありません。アメリカ国内には、上水道・下水道の個別システムが約17万件存在し、そのサイバーセキュリティの成熟度には大きなばらつきがあります。上水道システムの90%以上は、給水対象人口が1万人に満たない小規模事業者です。こうした小規模組織は、従業員の高い離職率、老朽化した設備、そして厳しい予算制約と常に向き合っています。サイバーセキュリティへの支出は、必然的に、物理的な配管の修理や浄水処理、厳格な衛生基準への準拠といった費用と直接競合することになります。

一方でサイバー脅威は、もはや机上の想定をとうに超えた現実の問題となっています。最近の連邦監査報告書によれば、7月だけでも悪意ある攻撃者が少なくとも12州にまたがる100を超える上下水道システムを標的にしました。連邦捜査当局の調べにより、攻撃者はプログラマブル・ロジック・コントローラー(PLC)への不正なリモートアクセス権限を頻繁に取得していたことが判明しています。これらのコントローラーは、ポンプ、水圧、制御バルブといった重要な物理プロセスを直接管理するものです。侵害を受けたハードウェアには、Rockwell AutomationのAllen-Bradley MicroLogix 1100および1400モデルが目立って含まれていました。

業務妨害と検知回避

システムへの侵入後、攻撃者らはコントローラーのIPアドレスとパスワードを組織的に改変しました。この悪質なロックアウトにより、運用担当者はリモートでの監視能力と重要設備への物理的な制御権を奪われる事態となりました。多くの事例で、こうした攻撃的な侵入行為は水道施設の業務運営に深刻な支障をもたらしています。テキサス州当局は、この一連のキャンペーンをイランの国家支援型攻撃者によるものと公に断定しましたが、FBIの公式な警告では正式な帰属認定までには至っていません。ただし連邦政府機関は、今年の春先には既に、水道セクターの運用技術(OT)がイランによる継続的な標的となっている事実を公式に確認していました。

推奨されている対策の多くは、意外なほど基本的な内容です。この厳然たる事実こそが、業界の一部に今なお残る危険なまでに低いセキュリティの基礎水準を浮き彫りにしています。連邦政府機関は、産業用コントローラーをインターネットに直接さらす状態から切り離すよう強く勧告しています。堅牢なゲートウェイやファイアウォールの背後にハードウェアを隔離することが推奨されます。事業者は初期設定のままの認証情報を変更し、許可されたネットワーク接続を厳格に制限し、多要素認証を徹底しなければなりません。リモートアクセスがどうしても必要な場合、CISAは管理されたセキュアゲートウェイまたは企業向けVPNを経由した接続を義務付けています。産業用コントローラーへの直接接続は強く控えるべきだとされています。

資金支援策と長期的な持続可能性

アメリカ当局は、これまでにも水道事業者に対して義務的なサイバーセキュリティ基準を課そうと試みてきました。2023年、EPA(環境保護庁)は通常の飲料水衛生調査の一環としてサイバーセキュリティ評価を義務化しようとしました。しかし複数の州がこの連邦の方針を法廷で争い、結果として同庁はこの要件を撤回せざるを得ませんでした。プロジェクト・ウォーターシェッド250は、これとは異なる自発的参加型のモデルを採用しています。厳格な規制による義務付けを強制する代わりに、政府は民間セクターのパートナーを巻き込んで無償の技術支援を提供させることで、参加を促す仕組みを取っています。

プロジェクト・ウォーターシェッド250に専用予算が当初示されなかったことは、当然ながら批判を招いています。匿名の水道インフラセキュリティ専門家は、この取り組みには十分な資金的裏付けがないと指摘しています。同専門家は、実質的に運用面の負担の大部分を民間セクターに転嫁するものだと主張しています。とはいえ、連邦政府が水道分野のサイバーセキュリティを完全に放置しているという見方は正確ではありません。この試験プログラムの開始と時を同じくして、EPAは、小規模・農村地域のコミュニティが水道インフラを守るための数百万ドル規模の助成金を発表しました。さらに同庁は、10件の特定プロジェクトに総額1,175万ドルを配分しました。この資金は、産業用コントローラーの交換や制御インフラの近代化を含め、中規模・大規模の上水道システムのレジリエンス強化に充てられます。

最終的に、プロジェクト・ウォーターシェッド250が試されるのは、最新のサイバーセキュリティツールが弱点を発見する純粋な能力だけではありません。複雑な推奨事項を、小規模な自治体の水道事業者において持続可能な防御体制へと落とし込めるかどうか、その現実的な実現可能性こそが問われることになります。この協働モデルが成功を収めれば、ホワイトハウスはこの枠組みを全米規模へと展開する意向です。真の課題が表面化するのは、その後になるでしょう。無償の評価とパートナー企業による支援が終了した暁には、水道事業者は自らの力でセキュアな構成を維持しなければなりません。老朽化した機器を継続的に更新し、通常のメンテナンスのために単純に停止させることのできない重要インフラのために、専門人材を確保し続ける必要があるのです。