ほとんどの都市では、ネットワーク全体を管理する責任者が存在しません

編集部注: ウェイコ市はここで紹介するネットワークセグメンテーション技術を、マイク・サーライト氏が同市の最高情報責任者(CIO)を務めていた当時にElisity社から購入しました。同氏は現在、サイバーセキュリティ企業であるElisity社のシニアアドバイザーを務めています。

私はウェイコ市の浄水処理場のひとつで、ネットワークキャビネットの前に立ち、どのシステムがどのシステムにアクセスできるかを追跡していました。プラントの制御システムはそのネットワーク上にありました。分館図書館も同じネットワークにつながっていました。市営ゴルフ場のレジもです。人口14万5,000人のこの都市で最高情報責任者を務めていた間、そのネットワーク上に何があるかを棚卸しするよう求められた人は誰もいませんでした。

7月、侵入者が上下水道処理設備を侵害しました。設備の大半は公衆携帯電話網経由でアクセス可能な状態にあり、つまりほとんどの事業者が防御していると考えていた境界線の外側にあったのです。私がこれまで確認してきた資産リストのどれを見ても、この状況を捉えられなかったでしょう。

小規模な公益事業体とこの設備との間には、2つの判断が立ちはだかっています。ネットワーク全体に責任を持つのは誰か、そして資金はどこから出るのか、という判断です。どちらも技術的な問題ではありません。両方とも市の管理者と議会にかかっています。そして両方とも、すでに予算要求に組み込まれている資金で、今会計年度中に解決できる問題です。

7月の報告書が実際に伝えていること

3つの報告は、それぞれ異なる話を伝えています。CISA(米サイバーセキュリティ・インフラセキュリティ庁)は7月中に上下水道セクターで100件を超える侵害されたシステムを確認しており、その多くは携帯電話用モデムに直接接続されたコントローラー経由でした。FBIとEPA(米環境保護庁)は7月30日、少なくとも7つの州の公益事業体が7月27日以降、FBIにインシデントを報告したと明らかにしています。匿名の当局者を引用した報道機関の記事では、影響を受けた州の数を12以上としているものもあります。

連邦機関はいずれも、7月下旬の水道インシデントの犯行主体を特定しておらず、私もここで特定を行うつもりはありません。合同勧告ではイラン系とされる攻撃者の名前が挙げられていますが、これはより広範なキャンペーンについてのものであり、別系統の侵入事案群に関連するものです。この勧告は7月22日、つまり公益事業体からの報告が始まる5日前に改訂されています。この改訂により、既知の標的はRockwell Allen-Bradley製品からSchneider Electric製品、Siemens製品、そしておそらくその他の製品へと拡大されました。つまり、パネルに記されたコントローラーのブランド名だけでは、もはや何も断定できないということです。

報告されている影響は運用面に及ぶもので、可視性の喪失や、場合によっては機能の喪失も生じています。ジョージア州クレイトン郡では7月27日午前1時ごろ、ポンプ場が故障しました。煮沸消毒勧告は翌日に解除されました。8月上旬、26万人以上に給水するこの水道公社は、不正なサイバー活動が今回の障害を引き起こした、あるいは一因となった可能性があると発表しました。この慎重な言い回しは意図的なものです。

誰もスキャンしなかった脆弱性

典型的な回答は「プラントのネットワークは何年も前に分離済みだ」というものです。それ自体は正当な取り組みです。しかし、それは今回の問題とは関係ありません。脆弱性のあったコントローラーはそもそも市のネットワーク上には存在せず、公衆携帯電話回線で稼働していたのです。何年も前に設置されたモデムは、資産リストにも、ネットワークスキャンにも、どこにも存在しません。しかし、携帯電話会社の請求書には、市が料金を支払っているすべてのSIMカードが記載されています。それを把握しているのは経理部門だけです。この請求書と実際のデバイスを突き合わせる作業には費用がかからず、月曜日からでも着手できます。FBIとEPAも、この種の設備については隔離されたアーキテクチャの検討を公益事業体に呼びかけており、そのリストの筆頭に挙げているのが専用のアクセスポイント名(APN)です。

ネットワーク全体を管理する責任者が誰もいない

これらのシステムの多くは組織図上、IT部門の外に位置しており、それぞれ独自の予算、ベンダー、責任者を持っています。処理場は公共事業部門の管轄です。カメラやカードリーダーは建設プロジェクトの一環として導入され、ほとんどの都市ではそれらを照明器具程度にしか扱っていません。私がこれまで働いてきたどの都市でも、全体像を理解しているIT部門の人間はただ一人しかいませんでした。そのエンジニアが辞めれば、セキュリティ体制もその人と一緒に失われてしまいます。そして、皆が共有するそのネットワークに対する説明責任を負う人は誰もいないのです。

報告義務のルールも、この問題の本質を捉えられていません。私の例として挙げるテキサス州では、地方自治体に対しセキュリティインシデントを48時間以内に報告するよう義務付けていますが、それは個人情報の漏えいやランサムウェアが絡む場合に限られます。コントローラーの制御を奪う侵入は、そのどちらかに関わっていたとしても、この報告義務の対象からは外れてしまいます。まさにそれが7月に起きたことでした。

対象となるサイバーインシデントを72時間以内に報告することを義務付ける連邦規則は、2025年10月に最終化される予定でしたが、CISAは現在今月中の最終化を目指している段階です。しかし、それでもネットワークの所有者が誰かという問題は決まりません。

公益事業体がすでに申請している資金

もうひとつよくある回答は「予算がない」というものですが、これは誤りです。重要なのは金額の大小ではなく、資金の仕組みそのものです。

2026会計年度(州の会計年度)に向けて、テキサス州水開発委員会(TWDB)は、飲料水州循環基金(Drinking Water State Revolving Fund)の「意図された使用計画(Intended Use Plan)」の評価基準にサイバーセキュリティ項目を追加しました。プロジェクト情報様式(Project Information Form)にある2つの設問には、合わせて5点の優先ポイントが与えられます。ひとつは、過去5年以内に統治機関がサイバーセキュリティ啓発計画を採択したかどうかを問うもの、もうひとつは、そのプロジェクトがサイバーセキュリティ評価で見つかった不備を修正するものかどうかを問うものです。5点というのは控えめな数字であり、過大評価するつもりはありませんが、この基金は僅差で順位が決まる競争的な性質を持っています。

ウェイコ市は5つの処理施設(飲料水施設4つと下水施設1つ)のセグメンテーションを、私が市議会に約束した90日間に対して43日間で完了させました。債券発行もなく、資本支出の申請もありませんでした。公益事業局長は、RFP(提案依頼)ではなく、すでに市の契約に組み込まれていた契約を使い、運営予算の中からこれを賄いました。ネットワークは自分たちが所有するものだという意識があったからこそ、彼らはこれを議会に諮ったのです。

これらは何よりもまず予算上の判断でした。運営予算の項目は保守契約と競合する程度で、今四半期中にも承認され得ますが、同じ資金でも資本計画に組み込めば、債券発行サイクルを待たなければなりません。CIOのいない小規模な都市では、このスケジュール感を再現することはできないでしょう。しかし、資金の仕組み自体は同じです。

ネットワークのセグメンテーションのやり方は、どのCIOも知っています。それでもほとんど誰も実行しないのは、プラントを停止させてしまうことを恐れているからです。強制適用の前にシミュレーションを行うべきです。この取り組みから生まれた運用ルールがひとつあります。それは、ネットワーク上にいるというだけでは、デバイスに何の権限も与えないというものです。プラントの制御システムは、自らのSCADAサーバーとしか通信しません。それ以外はすべて、明示的に許可されない限り拒否されます。

市の管理者、大学の学長、教育長、そして最高経営責任者たちは、投資が測定可能な効果をもたらすと確信できれば、サイバーセキュリティへの投資を惜しみません。こうしたリーダーたちは納税者の税金を人目にさらされる形で使っており、一つひとつの予算項目には、その金額と同じくらい市民の信頼がかかっています。彼らの承認を得るために必要なのは透明性、すなわち、何を守ろうとしているのかの全体像と、重要インフラがオープンなインターネットからの脅威、そして自らのネットワーク内部からの脅威の両方から守られているという証拠です。この基準、すなわち完全な可視性と証明可能な防御こそ、あらゆる組織が目指すべきものです。

マイクロセグメンテーションは、既存システムの総入れ替えを必要とせずに重要システムを保護します。浄水処理場、911緊急通報指令システム、公共安全アラート、交通管理システムを、内部・外部両方の脅威から隔離できます。しかも、これらはすべて都市がすでに保有しているネットワーク上で実現可能です。最新のプラットフォームは予算編成サイクルではなく数週間単位で導入できるようになっており、この制御手段はついに現実的なものとなりました。すべてのCIOとCISOは今すぐこれを検討すべきです。マイクロセグメンテーションはゼロトラストの基盤であり、住民が頼りにするインフラを守るための最も直接的な防御策です。

頼れる相手が必要

ここまで述べてきたことは、競争的な補助金申請書を作成できないような2人規模の公益事業体には届きません。だからこそ、州が積極的に関与する必要があるのです。ニューヨーク州は3月、補助金と無償の技術支援を伴う、同州いわく「全米初」の水道サイバーセキュリティ規則を採択しました。テキサス州は上下水道を明確な対象とするサイバー・コマンドを立ち上げています。小規模な都市に必要なのは、電話をかければ誰かが応答してくれる窓口です。

その窓口は、いまや現実のものとなっています。月曜日、テキサス州のグレッグ・アボット知事と国家サイバー長官のショーン・カーンクロス氏は、サンアントニオでProject Watershed 250を立ち上げました。これは6か月間のパイロット事業で、テキサス・サイバー・コマンド、国家サイバー長官室、EPA、CISA、そして十数社の民間サイバーセキュリティ・技術企業が、テキサス州の水道事業体を後押しします。参加事業体はレッドチームによるテストや脆弱性評価、そしてその評価結果を踏まえた防御強化の支援を無償で受けられ、パイロット終了後には全米展開する計画もあります。テキサス州で水道システムを運用している方は、すぐにでも連絡を取るべきです。

最小規模の事業体に向けては、DEF CON Franklinと全米農村給水協会(National Rural Water Association)がボランティア人材と5つの検知監視サービス提供事業者による支援体制を用意しています。

何から始めるべきか

CIOやCISOが、補助金や予算編成サイクルを待たずに今すぐできることが3つあります。公益事業体のネットワーク上にあるすべてのデバイスに対して責任を持つ担当者をひとり定め、それを文書化すること。過去12か月分の携帯電話会社の請求書を、実際のデバイスや設置場所と突き合わせること。そして次回の申請の前に、自州の「意図された使用計画」の評価基準に目を通しておくこと、です。

ウェイコ市でも、このうち最初の項目が定まるまでは何も動きませんでした。残る2つは、誰かの午後の時間さえあれば済むことです。それにもかかわらず、ほとんどの都市では、その担当者すら置かれていないのが実情です。