トンネル内で立ち往生する地下鉄車両。停電。決壊したダム。通信の混乱。重要インフラへのセキュリティ侵害がもたらすこうした事態やその他の潜在的な影響は、最悪の場合、衝撃的な規模の死や破壊につながり得る一方、軽微な不便にとどまることもある。2015年と2016年にウクライナで発生した停電は、その例である。
今日の超接続社会では、こうしたインフラは、悪意を持つ国家、犯罪組織、個人などからのサイバーセキュリティの脅威に、かつてないほどさらされている。この新たな脆弱性は、組織の技術システムを支える重要インフラに根本的な変化が起きたことに由来する。医療機関、公益事業者、化学メーカー、製造業者、防衛機関、緊急対応機関、銀行、交通システムなどの組織は、長年にわたり2種類の技術システムを所有し、運用してきた。情報技術（IT）システムは、電子メール、給与計算、人事システムなど基本的な事務機能を担う。一方、運用技術（OT）システムは、電力の発電・送電など、組織の使命を果たすうえで不可欠な物理的設備や人員を制御する。
以前のOTは、あまり知られていない独自プロトコルを使う独立したシステムで構成されていた。その目立たなさ自体が安全性をもたらしていた。しかし現在、OTシステムはITシステムと同じ、広く知られたソフトウェアやハードウェアのプラットフォーム上で稼働している。こうしたシステムはハッカーによく理解されているため、安全性が大幅に低下している。
前例のない露出
OTとITの融合を促したのは何だろうか。情報にシームレスにアクセスしたいという需要の高まりである。それは、センサー、カメラ、ウェアラブル機器などの「スマート」デジタル技術の利用を前提としている。例えば公益事業者は、スマートメーターから停電に関するオンラインデータを集め、問題のある場所をすばやく特定して顧客への電力供給を復旧する。住宅所有者は、休暇中に自宅のサーモスタットを遠隔操作して室温を下げる。医師は、院内のコンピューターで患者のインスリン使用状況を確認する。企業は、列車、バス、トラックの運行状況や位置、パイプライン内の石油・ガスの流れ、水や電力の消費量を遠隔監視し、これらのサービスを効果的かつ効率的に管理する。
こうした事例の技術は私たちの暮らしを向上させ、経済に効率性をもたらす一方で、私たちをより脆弱にすることもある。ウクライナの電力会社3社の顧客がサイバーインシデントによって停電した際、各社は手動運用に切り替えて電力を復旧できた。手動運用がもはや存在しない他の多くの国では、これは不可能だろう。ロサンゼルスの病院がランサムウェア攻撃を受け、病院のシステムがロックされて使用できなくなったとき、病院は患者に処方された薬の情報を一時的に失った。幸い、誤った薬を受け取ったり、必要な薬を受け取れなかったりして死亡した人はいなかった。
相互接続された機器の数が増え続けるにつれて、ハッカーが重要インフラを妨害するために利用できる侵入経路も増えている。これらすべての機器は、攻撃に対する脆弱性を低減する方法で設計、実装、導入する必要がある。
要するに、テクノロジーへの依存は今や不可欠なものとなり、指数関数的に高まっている。こうした技術を使うシステムを攻撃者が狙えば、不便や不快を感じることは、心配事のうち最も軽いものかもしれない。
課題を理解する
今日の高い相互接続性と露出は、重要インフラを担う組織に深刻な課題ももたらしている。私たちは先日、米国国立標準技術研究所（NIST）に提出した報告書で、国家サイバーセキュリティ強化に関する米大統領委員会にこの点を説明した。詳しく見てみよう。
進化の途上にある将来のデジタルインフラを守る必要性
スマートシティ、テクノロジーを活用した医療、自動運転車は、誰もがより良く、より安全で、生産的に暮らせる未来を約束してくれる。しかし、その実現に必要なデジタルインフラを構築するには、重要インフラを担う組織が、そのインフラに将来必要となるものを予測しなければならない。
インフラが支える必要のある技術の中には、まだ発明されていないものもある。それは、どれほど遠くまで飛ぶ必要があり、何人を乗せるのか分からないまま飛行機を造るようなものだ。さらに難しいことに、重要インフラを担う組織のOTシステムは、サイバーセキュリティが誰の関心事でもなかった時代に設計・導入された旧式の技術で構成されている。こうしたシステムは不可欠であるため、再設計や修理のために停止できないことが多い。さらに、導入済みの機器やシステムを入れ替えるには、費用と時間がかかる。改修のために近隣地域の電力を6か月間止めることを想像できるだろうか。
サイバーセキュリティ人材の不足
スマート機器を、セキュリティを考慮して設計、実装、保守するのは容易ではない。さらに、世界的に不足している専門知識が必要となる。サイバーセキュリティの専門知識が世界的に不足していることは、よく知られている。重要インフラに必要なITとOTの両方のシステムを保護する方法を知る人材を見つけるのは、さらに難しい。
2種類のシステムを支える技術は今や同じだが、両方を保護するには異なる優先事項と手法が必要となる。優先事項の違いは明確だ。OTシステムでは何よりも安全性と可用性が重要である一方、ITシステムでは処理・保存するデータの機密性を守ることが最優先される。IT環境またはOT環境でキャリアを積む人々は、こうした大きく異なる優先事項に導かれている。教育背景も異なることが多く、その結果、考え方にも大きな違いが生じる。OTとITの両方でサイバーセキュリティを実践できる人材を見つけるのは容易ではなく、相互に研修するのも困難で費用がかかり、必ず成功するとは限らない。
大規模組織と小規模組織の間にある資源格差
サイバーセキュリティは、複数の知識分野から成る複雑な領域である。適切に取り組むには、さまざまな専門知識が必要だが、小規模組織にはその費用を負担できない。豊富な資源を持つ大規模な重要インフラ組織は、専門家を自ら雇用し、高度なサイバーセキュリティプログラムを整備できる。小規模組織（緊急対応機関や水道事業者など）は、大幅に少ない資源で同じリスクに対処しなければならない。
重要な機能を安全に提供するために第三者に依存
経済の原理により、企業は中核的な能力に注力し、それ以外を外部委託する。そのため、交通事業者、公益事業者、医療機関、金融サービス事業者をはじめ、数え切れないほど多くの業界が、ソフトウェアやハードウェアから法務・コンサルティングサービスまで、さまざまなものの提供を多数のパートナーに頼るのは驚くことではない。そこには、重要インフラのハードウェア・ソフトウェア部品や、数多くのスマート機器も含まれる。合併する企業は、以前よりはるかに緊密に統合され、互いのシステムを接続し、極めて機密性の高い情報を交換することもある。さらに複雑なことに、サプライヤーにも独自のサプライヤーや二次サプライヤーなどが存在する。
こうしてサプライチェーンは、長く、広範で、複雑、多次元かつ多国籍なサプライネットワークへと変化した。これにより、侵害され得る追加の侵入ポイントがほぼ無限に生まれている。従来型のITメーカーは20～30年にわたってサイバー脅威に対処してきたが、スマート機器や重要インフラシステムのメーカーがこの問題に直面したのは最近のことだ。前述のサイバーセキュリティ人材不足は、サプライヤーが自社の機器を保護する能力に大きく影響しており、自社のサプライチェーンを守ることも含まれる。以前は手動で操作するハードウェア機器を製造し、今ではソフトウェア駆動のスマート機器を製造するサプライヤーは、サイバーセキュリティについて急いで学ばなければならない。
行動を起こす：大統領委員会への提言
インターネットの時間は、人間の時間よりはるかに速く進む。つまり、脅威を仕掛ける側はインターネットの時間で動く一方、人々は考え、分析し、決断に悩む。組織は、今直面しているサイバーセキュリティの課題を軽減するため、今すぐ行動しなければならない。効果的な共同対応に役立つ提言をいくつかまとめた。
ITとOTのサイバーセキュリティ実務者の育成は、その一例である。連邦政府の資金を受けたサイバーセキュリティ人材育成プログラムは正しい方向への一歩だが、IT・OT環境ではなく、一般的なサイバーセキュリティ研修に重点を置いている。そのため、製造業、交通、公益事業などの重要インフラ組織や、そのサプライヤーのエコシステムが必要とするものに十分応えていない。格差を埋めるため、組織は大学の学位課程、見習い制度、既存従業員向けのIT・OTセキュリティ研修など、幅広い教育手法の創設を支援できる。
組織間のメンタリングと知識移転も提言の一つである。サイバーセキュリティの経験が浅い組織やチームの規模が小さい組織は、経験豊富な同業者の経験から学ぶことができる。大規模組織は、専門家が業界団体、官民パートナーシップ、地域組織に参加するよう促すべきである。これらは、組織間のメンタリングや知識移転を制度化する機会となる。小規模組織も同様の参加を促すべきだ。短期的には、こうした作業部会によって従業員が日常業務に割く時間が減る。しかし、今日の相互接続された世界では、知識移転によって組織間をつなぐインフラの安全性が向上するため、長期的には組織に利益をもたらす。
組織文化と戦略へのサイバーセキュリティの組み込み
上記の提言に加えて、重要インフラを担う組織は、組織文化と戦略計画そのものにサイバーセキュリティを織り込まなければならない。安全や品質のプログラムと同じく、こうした取り組みには大規模で抜本的な変革が求められる。組織は、サイバーセキュリティ技術の導入だけに頼ることはできない。サイバーセキュリティに必要な考え方、行動、実践を組織に根付かせるため、適切なインセンティブ、業績管理、研修、プロセス、手順、その他の仕組みを整える必要がある。これには、既存技術を効果的に活用し、新しい方針を徹底することも含まれる。日々の業務のより具体的なレベルでは、経営幹部が率先垂範し、組織全体の人々に模範としてほしい考え方、行動、価値観を示す必要がある。
要するに、サイバーセキュリティのレジリエンスを高める最も効果的な方法は、人々のテクノロジーの使い方を変えることであり、適切に使われていない技術を補うために技術を追加することではない。NISTのサイバーセキュリティ・フレームワークの分類の大半が非技術的であることも、この点を裏付けている。実際、MIT、世界経済フォーラム、世界各地の企業との取り組みに着想を得て、サイバーセキュリティを組織文化と戦略計画に織り込むうえで重要な実践として、以下を提言する。
組織の取締役会に対する権限、予算、定期的なアクセスを与え、サイバーセキュリティの責任者を支援する。
社内外から適切な専門家の支援を得る。
事業戦略とリスク許容度に沿って、サイバーリスクの許容度を定める。
事業への効果を最大化するサイバーセキュリティ投資を支援する。
効果的で優先順位に基づく意思決定を支える、実行可能な情報を含む報告を求める。
組織全体での協働を促すため、明確なコミュニケーションと説明責任の仕組みを確立する。
顧客、サプライヤー、ビジネスパートナー、競合他社などの第三者とのサイバーセキュリティに関する協働と情報共有を支援する。
最終的に、サイバーセキュリティを組織文化と戦略計画に組み込む組織が、最も高いレジリエンスを備える。組織の全員が、サイバーセキュリティの意味、組織や社会全体、仕事、家族にとってそれが重要である理由、そして日々の仕事や人とのやり取りを通じて、国全体の重要インフラの安全確保にどう貢献できるかを理解するようになる。大変な取り組みだろうか。もちろんだ。しかし、重要インフラを担う組織に、それを避ける余裕はない。
