電力網、浄水施設、交通網、パイプライン、産業プラントを含む重要インフラは、現在、相互に深く結びついている。
しかしながら、その戦略的重要性にもかかわらず、こうした不可欠なシステムの多くは、サイバーセキュリティの面で深刻なほど装備が不十分なままである。
この問題の解決には、プラントオペレーターから組織のサイバー防御担当者、そして地域社会を守る責任を負うC-suite（経営幹部層）および各国に至るまで、あらゆる関係者の注力が必要である。
重要インフラでは障害が発生するが、システムが複雑化するにつれ、その原因がメンテナンスの問題、構成変更、サイバー攻撃、またはその他のものであったのかを、常に把握できるわけではない。
スペインおよびポルトガルでの停電（2025年4月）は、数百万人を数時間、場合によっては数日間にわたり停電させてきた、増え続ける混乱の最近の事例である。この場合、技術者は一刻も早く復旧に努める一方、調査担当者は原因の特定を試みる。技術的な故障だったのか？人的ミスか？それとも弱点を探り、緊急対応を試すための意図的なサイバー攻撃だったのか？こうした疑問は毎回生じるが、あまりにも多くの場合、答えは「わからない」である。
電力網、浄水施設、交通網、パイプライン、産業プラントを含む重要インフラは、相互に深く結びつき、デジタル化されている。しかしながら、その戦略的重要性にもかかわらず、こうした不可欠なシステムの多くは、サイバーセキュリティの面で深刻なほど装備が不十分なままである。
情報技術（IT）のサイバーセキュリティは長年にわたり注目と投資を受けてきた一方、運用技術（OT）システム、すなわち重要インフラを重要たらしめる産業制御システムやデバイスは、従来オフラインまたは隔離されたネットワークで稼働していたという理由だけで安全と見なされ、見過ごされることが多い。
運用技術が弱点となり得る
しかし時代は変わった。デジタル化、自動化、相互接続性により、これらのOT環境はもはや隔離されていない。接続性が利便性と効率性を高めた一方で、悪意ある主体が利用できる攻撃対象領域も劇的に拡大した。高度な国家支援型ハッカーやその他の悪意ある主体は、現在、OTネットワークを日常的に探査し標的としており、壊滅的な混乱を引き起こすために悪用できる脆弱性を探している。OTへのセキュリティ投資が増大する脅威に追いついていないことが多く、その結果、これらのネットワークは監視されず、脆弱なままとなっている。
その結果、適切な監視なしに重大な停止が発生した場合、調査担当者やインシデント対応チームは、原因がソフトウェアまたは機器の故障、誤操作、サイバー攻撃、またはその他の要因のいずれであったかを判断するにあたり、ほぼ手がかりのない状態に陥る。OTネットワークを流れるデータは一過性であることが多く、記録のための措置が講じられていなければ、永久に失われる。対応者は推測、法科学的な憶測、あるいは不完全で結論の出ない証拠に頼らざるを得ず、それは、病歴、検査、診断ツールがないまま患者の病気を診断しようとする医師のようなものである。症状だけでは、根本原因を正確に明らかにすることはできない。
フォーラムがリーダーのサイバーリスク理解とデジタル・レジリエンス強化をどのように支援するか
サイバーセキュリティセンターは、変化し続けるサイバーリスクとその体系的影響を理解するため、リーダーが集まる信頼できるプラットフォームを提供している。相互接続が進むデジタル世界における理解と信頼の構築に重点を置いている。
分野横断的な協力と知見の共有を可能にすることで、センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に対処できるよう支援している。
根本原因を特定することは難しい
停止の根本原因分析を適時に行えないことは、連鎖的な問題につながりかねない。最善の対応策を判断することや、資産を安全に復旧させる方法を見極めることが困難になる。インシデント対応チームは、進行中の脅威について他の重要インフラ事業者に警告し、自社ネットワークを強化し、サイバー侵入者を排除するために必要な情報を欠いたままとなる。何が問題だったのかから学び、今後のさらなる悪用を防ぐ、あるいは同様の攻撃から守るための改善を行う能力も失われる。
この曖昧さはサイバーセキュリティの問題にとどまらない。透明性と説明責任の観点から、組織およびその経営陣に重大な影響を及ぼす。投資家、保険会社、一般市民を含むステークホルダーは、リスクを評価し、資源を配分し、十分な情報に基づいて意思決定を行うために、信頼できる正確な情報を期待し、それに依存している。投資家は、重要インフラを管理する企業の真のサイバーセキュリティ態勢を理解する必要がある。保険会社は、請求を公正に処理・決済し、保険料を適切に設定するために、停止の原因を正確に特定しなければならない。現在、多くの法域で、重要システムに影響を与えるサイバーインシデントの開示が義務付けられている。
適切なOTサイバーセキュリティの検知能力がない場合、企業は意図せずにこれらの法律の文言、少なくとも趣旨に反することになり、有効性と公的な監督を妨げることになる。防止または被害の最小化が可能であった成功した攻撃に対して、対処可能なサイバーセキュリティの死角が残ることを許容することは、ステークホルダーにとって信頼の裏切りであり、組織にとっての法的責任であると判断されるのは時間の問題である。
国家安全保障への影響
不十分なOTサイバーセキュリティがもたらす結果として、おそらく最も憂慮すべきものは、国家安全保障への影響である。検知されずに重要インフラネットワークに侵入できる敵対者は、もっともらしい否認の余地を得るため、外交、法律、または軍事的な対応を複雑にする。敵対的な国家支援型主体が、国家の電力システムや水インフラに密かに侵入するシナリオを考えてみてほしい。検知されなければ、侵入者は密かに偵察を行い、防御を試し、脆弱性を地図化し、あるいは通常の技術的故障を装った隠密作戦を開始することさえできる。悪意の明確な証拠がなければ、政府は政治的にも戦略的にも、断固とした対応をとることが困難であることに気づく。この帰属と対応の遅れが敵対者を後押しし、さらなる攻撃を助長する。
各国が重要インフラネットワークで実際に何が起きているのかをより可視化するための措置を講じている事例は確かにある。例えば、米国連邦エネルギー規制委員会（FERC）は最近、内部ネットワークセキュリティ監視（INSM）基準を承認した。本基準CIP-015-1は、最も重要な電力事業者のOT環境において、境界防御をすり抜けた可能性のある悪意ある活動を検知し、内部ネットワークトラフィックの監視を義務付けることにより、サイバーセキュリティを強化するものである。
インシデントがサイバー攻撃、技術的故障、あるいは人的ミスのいずれに起因するかを判断するために必要な法科学的な可視性を提供するOT監視技術は、すでに存在している。これらにより、組織はより効果的に対応し、より迅速に復旧し、防御を強化することができる。
重要インフラがますますデジタル化され標的とされる世界において、OT監視を中核的な業務上の必須事項として扱うことは不可欠である。それは、工場現場のオペレーターから組織のサイバー防御担当者、そして地域社会を経済、公共の安全、国家安全保障上の影響から守らなければならないC-suiteおよび各国に至るまで、あらゆる関係者の注力を必要とする。
