AIの高性能化で増すサイバー脅威、エネルギー業界が備えるべき理由

AIは急速に進化しており、重要インフラを狙う脅威の様相を一変させています。エネルギーシステムがスマートになるにつれて、当該システムのレジリエンスは前例のない試練に直面しています。リーダーたちは早急に対応しなければなりません。

この1年の間に、AIのコーディング能力は劇的に進歩しています。AI企業であるアンソロピックは最新モデルの公開を見合わせ、同モデルに発見されたテクノロジー業界全体に影響を及ぼす脆弱性を修正する取り組みを組織しました。

重要インフラを狙った、AIを活用した攻撃を防ぐために設計された安全対策は、完全な能力を持つモデルがもたらす脅威の深刻さを浮き彫りにしています。こうした安全対策が機能し続けるかどうか、あるいは監督が不十分なオープンウェイトモデルがいつ同じ能力に到達するかは、依然として不明です。

ただし、一つだけ極めて明確なことがあります。それは、AIがデジタルシステムの脆弱性を迅速に発見し、悪用が可能となった「ニューノーマル」に備えるために、エネルギー企業に残された時間は限られているということです。

エネルギーインフラは、デジタル制御され、長寿命かつ複雑です。ランサムウェアから、敵対する経済圏に向けた国家主体の侵入に至るまで、重要インフラを標的としたサイバー攻撃がすでに行われています。

一方、サイバーセキュリティの専門家で「自組織のオペレーショナルテクノロジー（OT）環境において、十分な保護が施されている」と回答した者は、わずか46％に留まりました。比較的成熟した米国市場でさえ、エネルギー企業で、自社のインフラが長期間にわたり侵害されていたことに気付かなかった事例が見られます。

電力セクターの多くの公益事業者は、予算が限られた小規模な組織ですが、国家レベルの脅威から身を守らなければなりません。脆弱性を発見、悪用することのできる新たなAI技術が加わることにより、攻撃側と防御側の行動速度の間に存在する既存の格差はさらに拡大することになります。

一般的なOT防御担当者にとって、サイバー侵害の検知には1カ月以上、復旧には7カ月以上を要します。この現状のもと、今や15分以内に脆弱性を発見、悪用することのできるAIエージェントに対処しなければならないのです。

現在、エネルギーインフラの運営者は厳しい現実に直面しています。既知の脆弱性を抱えたままシステムの運用を続けなければならない一方で、AIは新たな脆弱性を見つけようとコードやネットワークをくまなく探索しており、エネルギー業界に対する攻撃は激化の一途をたどっているからです。

AIエージェントや国家によって支援、実行されるフィッシング、ボイスフィッシング、ソーシャルエンジニアリング攻撃は、有効なアカウントを標的とし、時には侵害を引き起こしています。これは未来の話ではなく、まさに現実なのです。

事業者は、こうした過酷な状況を想定し、それに備えた対策を講じなければなりません。多層防御、ネットワークのセグメンテーション、および最小権限の原則は引き続き、強固な防御体制を構築、維持するための基本となるでしょう。

また、バグを迅速に発見、悪用するAIの能力こそが、ソフトウェアベンダーによるパッチ開発の加速を可能にするはずです。新しいパッチは展開されて初めて効果を発揮するため、CISOは管理下にある各工程を迅速化する必要があります。

設定の監査など、サイバーセキュリティ対策の強化を定期的に行うためのワークフローも、さらに頻繁に実施しなければなりません。特に注目すべきは、アップルが長年にわたるパッチリリース方針を変更した理由として、AIの悪用を挙げたことです。これは、AI時代を生き残るためには、パッチ適用を迅速化することが重要になるという明確なシグナルです。

事業者は、ソフトウェアの早期サポート終了に備える必要があります。実環境でAIエージェントによるソフトウェアの悪用が見られるようになると、多くのベンダーは現在および将来のソフトウェアバージョンへのセキュリティ対策に注力し、古いバージョンはパッチが適用されず、脆弱なまま放置されることになります。

すべてを一度に更新するための予算や運用リソースを保有している組織は、ほとんどありません。エネルギー業界のCISOは、どの重要なシステムを早期に最新バージョンに更新するか、また、サポートが終了したバージョンについてはどのような代替対策で補うべきかを選択する必要があります。

資産の強化、ホワイトリスト、ファイアウォール、一方向のデータフローを強制するデータダイオードといった代替対策に加え、OT環境全体を可視化できるようにしなければなりません。異常が発生した際に、デジタルシステムと物理システムにまたがって追跡が可能であることが、状況の理解と介入時期の判断に役立つでしょう。

危機発生時の意思決定において、経営陣や幹部が得られる情報の質は、危機が発生する前に可視性を構築しているかどうかにかかっています。適切に実施されれば、新たに発見された脆弱性が自社のネットワーク内に存在し、過去に悪用されていたかどうかを遡及的に確認することさえ可能になります。

欧州、米国、中東の多くの市場では、サイバーセキュリティ規制により、重要インフラにサイバーセキュリティ監視機能を組み込むことが一層求められるようになっています。

自動化は、「ニューノーマル」に伴い変化の加速する脅威に対応する上で、大きな助けになります。すでに自動化によって、定型業務の処理、脆弱性の探索、そしてサイバー侵害の疑いへの対応を、機械のようなスピードで行うことが可能になっています。さらに高性能なAIが利用可能になることで、確実に自動化できる業務の範囲が広がるでしょう。AIを完全な代替手段ではなく、戦力を増幅する手段として捉えることは、有望なアプローチです。

また、短期的には、自動化によって人間の時間を他の業務に充てられるようになるはずです。資産インベントリ、脆弱性の発見、ネットワーク監視は、すでに自動化が可能です。機械学習とAIを活用することで、異常を正確に検出し、攻撃の可能性が高い事象への人的対応を優先させると同時に、アナリストを大量の誤検知から守ることが容易になるでしょう。

さらに主要システムの「ゴールデンイメージ」を定期的に取得し、安全に保管しておくことにより、安全性が確認されたバックアップを確保し、侵害発生時の復旧コストを最小限に抑えることができます。長期的に、エネルギー業界のCISOは、AIベースの自動化による生産性やセキュリティの向上と、それに伴う複雑化に伴うリスクとのトレードオフを評価する必要があります。

エネルギー業界のリーダーたちは、AI時代において何もしないことが、ゼロではないリスクであることを認識しなければなりません。自動化の恩恵を得られないだけでなく、業界全体を脅かす時代遅れかつ脆弱性を抱えた技術を蓄積していくことにならないよう、 AI時代のCISOには、動きを止めないことが求められているのです。