特集 4月下旬の晴れた朝、スペイン、ポルトガル、南西フランスの一部で大規模な停電が突然発生し、数千万人が数時間にわたり電気を失いました。
都市は闇に包まれました。列車は停止し、地下鉄は避難を余儀なくされました。フライトはキャンセルされ、携帯電話やインターネットもダウン。信号が機能せず道路は大渋滞となりました。
復旧までに10時間、スペイン全土の電力網が完全に回復するまでに23時間かかり、この事故は過去20年でヨーロッパを襲った最も深刻な大停電とみなされました。
この事故はサイバー攻撃によるものではなく、複雑な連鎖的障害によって発生しました。発電設備が同時に切断され、複数の過電圧が同時に発生し、国家電力網が圧倒されたのです（人的ミスも関与している可能性がありますが、送電網運営者と発電所は互いに責任をなすりつけ合っています）。
しかし、スペインの停電は、2015年にウクライナの電力網が6時間ダウンした壊滅的なサイバー攻撃を思い出させます。この攻撃はロシアのオンライン攻撃者に遡ることが判明しました。
最も懸念されるのは、国家電力網の安定を保つバランスがいかに繊細であるか、そしてヨーロッパの一国での障害が、エネルギー輸入に依存する隣国に瞬時にドミノ効果をもたらすことが明らかになった点です。
国際的な産業用OT（運用技術）システムのセキュリティベンダーClarotyの戦略的パートナー担当フィールドCTO、ニック・ハーン氏はThe Registerに語りました：
「現在、ヨーロッパの電力セクターにおけるインシデント対応はあまりにも断片的です。各運営者や国ごとに運用方法が異なり、問題が発生した際の調整が困難です。ヨーロッパの電力網は世界でも類を見ないほど緊密に接続されています。1つの障害が数分で国境を越えて広がることもあります。」
2015年のウクライナ電力網攻撃は、オンライン攻撃による初の深刻な停電でしたが、これが最後になるとは考えにくい状況です。なぜなら、西側諸国の公益事業会社への攻撃は増加傾向にあり、これらはジャストインタイム・オンデマンド・分散型発電を重視するエコシステム上に構築されているからです。
最近のサイバー攻撃は金融システムに影響を与えるランサムウェアが中心ですが、犯罪者や国家レベルの攻撃者が偶発的または意図的に変電所をダウンさせたり、燃料供給を停止させたりするリスクも深刻です。例えば2021年5月のColonial Pipelineサイバー攻撃のようなケースです。
白髪を増やすITインフラ
発電所のITインフラ内部を覗くと、状況はさらに悪化します。無秩序なソフトウェア、老朽化したハードウェア、複数のベンダーが供給する様々な機器を制御する多様なOSが混在し、いずれのベンダーもサイバーセキュリティチームに内部を詳しく見られたくないと考えています。
例えば、1つのガスタービン内には通常最大7つの異なるシステムがあり、それぞれが約10台のデバイスを制御し、すべてが独自のIPアドレスを持っています。また、遠く離れた制御室から変電所を制御する場合もあります。攻撃を受ければ警告は出ますが、止める手立てがないこともあります。
発電所には、共通プロセスをカバーするインシデント対応の共通言語が必要です
2015年にウクライナの電力網攻撃の影響を取材した際、専門家は、訪問した現場の一部では1980年代の埃をかぶったIBMマシンが使われていたと話していました。それは恐ろしい話でした。現代のウイルスは動作しないかもしれませんが、世界がレトロ技術を使わない理由があるのです。
現在の状況はさらに恐ろしいものです。この記事のために話を聞いた専門家は、「非常に珍しいオペレーティングシステム」が変電所のSCADA（監視制御・データ収集）システムに組み込まれているのを見たと語っています。Windows XP、Windows 7、Windows NT4から、BeOS（1990年代の失敗したOS）、最近廃止された30年以上前のネットワークソフトGE JungleMUXまで様々です。
「多くの場合、田舎ではいまだにダイヤルアップ[インターネット]を使っています。そして最も懸念すべきは、これらの制御システムの多くがDNP3のような安全性のないプロトコルに依存していることです。セキュリティ制御もアクセス制御もデータ暗号化も特権管理も鍵やパスワードもありません」と、カリフォルニア州パロアルトのサイバーセキュリティ企業Xage Securityの共同創業者兼製品担当上級副社長ロマン・アルチュノフ氏は述べています。
「その結果、どんなコマンドでも送られれば実行してしまうシステムになっています。変電所を侵害するのは非常に簡単です。そして[発電所]が今日頼っている防御策は、物理的に閉じることだけです。一度悪意ある攻撃者が発電所や変電所に侵入すれば、もう手遅れです。終わりです。」
また、発電所の運用は複雑な問題であり、ベンダーロックインに縛られるのは良くありませんが、同時にベンダーは何か問題が起きた際の責任を負うため、自社機器を厳重に守ると付け加えました。
しかし、これが発電所のサイバー防御の強化を困難かつ報われない作業にしており、デジタルトランスフォーメーションはなおさらです。解決策が切実に求められています。
この頭痛の種に欧州委員会が注目しています。欧州委員会は、独立系非営利団体オランダ応用科学研究機構（TNO）とデルフト工科大学（TU Delft）のサイバーセキュリティ研究者が開発中のeFortフレームワークなど、電力網のレジリエンス向上を目指す複数のプロジェクトに資金を提供しています。
TNOのSOARCAツールは、物理的攻撃およびサイバー攻撃に対する変電所やネットワークの対応を自動化するために設計された、発電所保護用としては初のオープンソースSOAR（セキュリティオーケストレーション・自動化・対応）プラットフォームです。今年ウクライナが最初のデモ国となります。現時点では、SOARシステムは専用IT環境にしか存在しません。
研究者の設計では、発電所の各レイヤー（変電所、制御室、エンタープライズ層、クラウド、SOC）にSOARシステムを配置し、SOCと制御室が連携してネットワーク内の異常（脆弱性の悪用、悪意あるデバイスの接続、ミサイルによる物理攻撃など）を検知できるようにしています。
狙いは、潜在的な問題を隔離し、デバイス間の横移動や権限昇格を防ぐことで、攻撃者がネットワークを通じて電力網の中央IT管理システムに到達できないようにすることです。
「OTの世界では可用性が最重視されます。つまり電気は常に動作しているべきですが、ITの世界では機密性や完全性がより重要です」とTNOのシニアプロジェクトマネージャー兼コンサルタントのReinder Wolthuis氏はハーグのOne Conferenceで述べました。
「そこで、SOCと制御室の連携を開発しました。SOCがこれらの機械を停止する権限を求め、制御室が承認します。しかし、SOCが変電所でサイバー攻撃を検知した場合、制御室はリアルタイムでデジタルモデリングを行い、その影響をシミュレーションし、結果をSOCに報告できます。」
SOARCAツールは、OASIS Open標準化団体とそのメンバー（多くの大手IT企業や米政府機関を含む）が開発したオープンソース仕様CACAO Playbooksに基づいています。これは、侵入や悪意ある行為者による変更を検知し、ネットワークを保護し攻撃を緩和する一連の自動化ワークフローを標準化・事前定義するものです。
このシステムは役立つのか？
専門家の多くは、重要インフラが直面する問題は年々悪化しており、ネットワークにランダムなWindows実装が増えるほど攻撃対象領域が広がると認めています。
発電所や送電網運営者には、ウクライナで起きていることは自分たちには起きないという認識から現実逃避する傾向がありますが、脅威をより真剣に受け止める必要があると専門家は指摘します。
ウクライナで重要インフラを研究している匿名希望のサイバーセキュリティ専門家は、ウクライナ・ロシア紛争開始以降、発電所は「冗長性の上に冗長性を重ねた」追加ケーブルを変電所間に敷設し、ミサイル攻撃で変電所が被害を受けても国家電力網全体を圧倒するのは困難になったと語ります。事態はロシアや他国政府が想定していたものとは異なる展開になっています。
「このSOARCAツールは、カナダ、米国、ヨーロッパの一部、オーストラリアやニュージーランドのジャストインタイムネットワークには確実に役立つでしょう。しかしウクライナでは？あまり意味がありません。仮に数時間停電しても、戦争中です。誰も気にしませんよ。」
ウクライナの国営送電網運営会社JSC NEK Ukrenergoは、自社のデジタルツイン上でこのツールをシミュレーションする予定ですが、こうしたシステムを国家電力網に導入する多くのメリットがあると見ています。しかしJSCは、すぐに導入する予定はないとも付け加えました。「『平時』であっても、この種の導入には資本投資、人員配置、トレーニング、新しいハードウェアや統合システム、継続的な保守が必要です。」
これは非常に率直な回答であり、世界のエネルギー業界の多くも同じ考えでしょう。
「明らかに改善の余地はありますが、常に費用対効果の分析が必要です。英国では、全国送電網と医療の2業界が新技術の導入に常に消極的でした」と、Juniper Researchの通信市場調査担当副社長サム・バーカー氏は述べています。
「スマートグリッドネットワークやスマートグリッド運営者は、グリッドをより効率的にしコスト削減も可能にする新技術の導入にしばしば消極的です。その理由はベンダーロックインなどの問題かもしれません。[さらに]システムが異なり、それらを統合するのは大きな課題となるでしょう。」
ハーン氏は次のように述べています。「危機管理における一貫した汎欧州的アプローチが欠けています。発電所には、共通プロセス、通信標準、エスカレーション経路をカバーするインシデント対応の共通言語が必要です。これはサイバーインシデントだけでなく、すべてに当てはまります。統一基準がなければ、時間が重要な局面でその場しのぎの協力に頼り続けることになります。」
「大陸全体で基準を強制するスマートな法律や規制による変革が必要です。」
Clarotyは、発電所が自社のITインフラの現状を把握し、サイバーセキュリティパッチの状態を棚卸しし、ネットワークに監視ツールを追加してパケットを監視し、デバイスの異常な挙動を検知できるよう支援しています。
ハーン氏はまた、クライアントに対し、ベンダー契約更新時にはこれらの独自システムに対するサイバーセキュリティ監督を可能にするよう再交渉することを勧めています。
より多くの標準化と規制が助けになる
TNOのWolthuis氏は、特にNetwork Code on Cybersecurity（NCCS）が正式化され、電力分野でサイバーセキュリティリスク評価が義務付けられると、エネルギー業界は規制当局から早晩行動を迫られるだろうと述べています。
ネットワークプロトコルやサイバーセキュリティ関連標準の専門家で規格著者のブレット・ジョーダン氏は、サイバーセキュリティ業界におけるさらなる標準化を強く支持しています。
彼は、CACAO Playbooksが脅威インテリジェンスを劇的に向上させ、重要インフラや一般企業の両方に大きく役立つと考えています。将来的には発電所も政府と同時に潜在的な脅威を警告されるようになるでしょう。
しかし時には、国家レベルの攻撃者に自分たちのネットワークに足場を築いたと思わせて監視し、攻撃の情報を十分に得るまで隔離し、排除しない方が良い場合もあります。
「脅威アクターはネットワークに侵入し、すでに侵害していると想定すべきです。彼らは必要な時まで待つでしょう。それが2038年かもしれません」とジョーダン氏はThe Registerに語りました。
「何が機能し、何が機能しないのか、どう防止・検知・緩和・修復するのかを理解する必要があります。脅威インテリジェンスとワークフローの組み合わせにより、何を探すべきかが分かるのです。」
かつてCACAO仕様に携わったLangGuard.AIのサイバーセキュリティ運用専門家でエンジニアリング責任者のジェイソン・カーステッド氏も同意します。「本当の集団防衛を実現し、1社が攻撃を受けた際にその情報をほぼリアルタイムで他社と共有し、防御策を他社にも迅速に展開できれば、こうした敵対者への対抗力が大きく高まるでしょう。
「それを実現する唯一の方法は、標準化の推進と、守りを少し緩めてより多くの情報をオープンに共有することです。攻撃者の活動を困難にし、より頻繁に戦術を変えさせるべきです。」 ®
翻訳元: https://go.theregister.com/feed/www.theregister.com/2025/11/03/europe_power_grid_security/
