出典：Science Photo Library（Alamy Stock Photo経由）
論説
重要インフラは、かつてとは様相が異なっています。過去数十年にわたるデジタル化の進展により、これらの分野は、運用技術（OT）、産業用制御システム（ICS）、および接続されたデバイスの複雑なネットワークへと変貌を遂げており、それぞれが新たな機能と固有のリスクを抱えています。
このような変革が進行しているにもかかわらず、重要インフラ組織のセキュリティ対策はほとんど変わっていません。しかし、これは現在のサイバー環境においては十分とは言えません。
2024年には、重要インフラが約9億件のサイバー攻撃を受けました。これは2023年から114%の増加です。主な標的はアメリカ合衆国であり、脅威アクターの多くは中国、ロシア、イランから発生しています。最近では、イランからの攻撃が激化しており、イラン・イスラエル紛争の一環として、米国の石油産業企業、銀行、防衛請負業者が標的となっています。今後は、他国もサイバー戦を活用した攻撃を増やすと予想されます。
サイバー犯罪者はどのように侵入しているのか？
全国ニュースの見出しは異なる印象を与えがちですが、最も小さな脅威が最大の被害をもたらすことがよくあります。例えば、ITシステムでのデータ漏洩がOTの大規模な障害を引き起こすことは非常に一般的です。よく知られている事例としては、2010年にイランの核施設を標的としたStuxnet攻撃などがあります。
その他の一般的な攻撃経路には、ランサムウェア、設定ミス、高度持続的脅威（APT）、サプライチェーンの脆弱性などがあり、これらは米国の重要インフラにおける大規模なセキュリティインシデントで利用されています。最も広く知られているのは、2021年5月のColonial Pipelineランサムウェア攻撃で、運用が停止し、燃料不足への不安から米国民が混乱に陥りました。ハッカーは、重要インフラが停止した際の損失が大きく、組織が事業停止よりも身代金の支払いを選ぶことを理解しているため、ランサムウェアで重要インフラを狙うことが多いのです。実際、Colonial Pipelineは運転再開のために440万ドルの身代金を支払いました。この攻撃は最終的に人的ミスに起因しており、ハッカーは侵害された従業員のパスワードを利用して侵入しました。
もう一つの例は、中国のAPTグループ「Volt Typhoon」で、2021年以降、米国の重要インフラを継続的に標的としています。彼らは標的ネットワークの背後に数カ月、時には数年も潜伏し、脆弱性を悪用してデータを流出させ、発見されることなく活動してきました。被害者の一例として、マサチューセッツ州のLittleton Electric Light and Water Departments（LELWD）があり、300日以上も侵入に気付いていませんでした。
その結果は？
これらの攻撃の影響は、組織の対応と復旧の速さによって壊滅的なものとなる可能性があります。重要インフラ分野のサービスや機器の遅延や停止は、一般市民を危険にさらします。例えば、2003年の北東部大停電は、米国とカナダに広がり、約4000万人が停電しました。フロリダ州の小さな町の住民も、2021年2月にハッカーが水道システムに侵入し、水酸化ナトリウムの濃度を危険なレベルまで引き上げたことで、中毒の危険にさらされました。
たとえ重要インフラ組織が攻撃を阻止し、公衆の安全に影響が出る前に食い止めたとしても、重大な財務的・法的・評判上の損害を被る可能性があります。運用停止による損失は、重要インフラ組織にとって1時間あたり26万ドルを超えることもあります。特に、復旧に1週間以上かかる場合は損失が急速に膨らみます。一般データ保護規則（GDPR）や、医療保険の携行性と責任に関する法律（HIPAA）などの法的枠組みも、個人情報が漏洩した場合に組織の法的責任を問うものです。
なぜ従来のセキュリティ対策は失敗しているのか？
多くの重要インフラ組織は、予防的なセキュリティ対策のみに頼っています。これには、継続的な監視や脅威検知による境界防御の強化、追加のアクセス制御や多要素認証（MFA）、その他一般的な防御策が含まれます。しかし、明らかにハッカーは依然として突破口を見つけています。組織は、あらゆる予防・検知ツールを導入しても、侵入が発生する可能性があることを前提としなければなりません。今や問われているのは、「それにどう備えるか？」ということです。
予防的防御とバックアップ・リカバリー戦略を両立させている組織は正しい方向に進んでいますが、多くの場合、クラウドなど従来のIT向けバックアップ手法を導入しており、ダウンタイムを最小限に抑える必要がある大規模で高負荷なOTやICS環境には設計されていません。その結果、最もスピードが求められる時に、復旧が遅く複雑になりがちです。
今後の進むべき道
変革は、意識の転換から始まります。予防的なセキュリティ対策は侵害を最小限に抑える助けにはなりますが、100%有効ではありません。絶えず拡大する脅威環境において真にレジリエントであるためには、組織は防御と備えのバランスを取る必要があります。重要な運用を維持し迅速な復旧を可能にする、最新のOT志向のリカバリー戦略がなければ、長期的なダウンタイムやその深刻な影響によって、自らと一般市民を危険にさらすことになります。
工業系組織の75%以上が過去1年以内に少なくとも1回のサイバー侵入を経験したと報告しており、その数は今後も増加し続けています。あなたの組織は、備えができていますか？