産業インフラはますます接続が進み、その過程でよりスマートで効率的になりつつあります。こうした利点とともに、インフラ資産をサイバー攻撃から守る必要性も生じています。例えば、ロイズとケンブリッジ・リスク研究センターによる最近の報告書によると、米国の送電網に対する大規模なサイバー攻撃は最大1兆ドルの損害をもたらす可能性があります。産業サイバーセキュリティの現状と、その改善方法について議論するため、Look aheadは、Langner Groupの創設者であり、産業制御システムを専門とするサイバーセキュリティの専門家であるラルフ・ラングナー氏にインタビューしました。2010年、同氏は物理的資産を破壊するために設計された最初のマルウェアであるStuxnetのリバースエンジニアリングを行ったチームを率いました。本稿では、インフラ資産をより良く保護するために何ができるかについての同氏の見解を紹介します。
あなたはStuxnetのリバースエンジニアリングを行ったチームを率いたことで知られています。Stuxnetは、政府や産業界のサイバーセキュリティに対する見方をどのように変えたのでしょうか？
世界各国の政府は、サイバーが軍事領域であることを理解してきました。この教義は、元国防副長官ウィリアム・リン氏と元CIA長官マイケル・ヘイデン将軍によって、とりわけ重要な形で策定され、提唱されました。今日、攻撃的な軍事サイバー能力のために毎年数十億ドルが費やされています。民間部門では同様の大規模な変化は起きておらず、現時点ではほとんどが否認の状態にあります。多くの資産所有者は、Stuxnetで起きたことが自社のリスク環境には影響しないと自らに言い聞かせており、国家が自分たちにサイバー攻撃を仕掛けることを選んだとしても、どうせ対抗できないと考えています。ちなみに、それは明白な誤りです。
現在、どの種類の産業インフラが最もサイバー攻撃に対して脆弱だと思われますか？
デジタル産業制御システムは、あらゆる産業に見られる汎用的な機器です。また、エレベーター、エスカレーター、空調などの制御にも使われています。軍事でも同じシステムが使用されています。この単純な理由から、産業間で脆弱性にそれほど差はなく、攻撃者には選択肢が豊富にあります。
報道によると、ハッカーはエネルギー分野を最も好んでいるようで、侵入件数が最も多いことがそれを裏付けています。エネルギーが国家安全保障に与える影響を考えれば、これは実はあまり驚くことではありません。攻撃者が敵対国のガソリンや電力の供給を管理する機会を得れば、それは脅迫として使われるにせよ実際の攻撃として使われるにせよ、かなり強力な交渉の切り札となります。
エネルギー分野に対する様々な注目度の高い侵入事件への政府の典型的な対応は、抑止に頼ることでした。しかし、これは危険な賭けです。なぜなら、それは a) 確実な攻撃者特定と、b) 合理的な敵対者を前提としているからです。北朝鮮のように、既に相当な攻撃能力を持つ国々を見ると、たとえばソニーへのハッキング事件を考えてみてください。後者の前提は疑問視され得ます。
報道によると、ハッカーはエネルギー分野を最も好んでいるようで、侵入件数が最も多いことがそれを裏付けています。エネルギーが国家安全保障に与える影響を考えれば、これは実はあまり驚くことではありません。
詳細に立ち入りすぎてサイバーハッカーを助けることがないよう配慮していただきつつ、インフラ資産が最も脆弱とされる脅威の種類は何だと思われますか？
現在の大きな無防備な入口は、高度な脅威アクターによる、請負業者を介した間接的な侵入です。Stuxnetの後、タクシー運転手に至るまでほぼ全員がこのことを認識しているはずだと考えていました。しかし実際には、極めて重要な施設を担当するプラント管理者でさえ、今なお「エアギャップ」によって守られていると空想しています。高価値の標的をサイバー攻撃したい場合、論理的な経路は、防御の甘い請負業者を狙い、定期的なプラント保守のために現場に入るまで待ち、マルウェアに感染したノートパソコンを重要ネットワークに接続する瞬間を待つことです。実行は容易で、防ぐのも容易です。それでも気にかける人はほとんどいません。
重要インフラをサイバー攻撃から守るためのベストプラクティスとは何でしょうか？
最も重要な点は、戦略的で長期的なアプローチを取ることです。これはIT分野ではよく知られていますが、オペレーショナル・テクノロジーではいまだにほとんど見られません。サイバーリスクをプロジェクトとして捉えたり、さらに悪いことに、技術的な[ネットワーク]課題のみに焦点を当てたりすれば、持続可能性と費用対効果を達成することはできないでしょう。それは根本原因ではなく、症状と戦うことになります。
リスクを減らす上での最も重要な一歩は、確かなサイバーセキュリティ計画に確実に取り組み、それを継続的なプロセスとして実施し、事実に基づく検証[監査]に依拠し、その実現に必要な資源を提供することです。おもしろいことに、多くの組織は、サイバーセキュリティの取り組みが実際に効果を上げているかどうかを、ほとんど確認していません。その結果生じる曖昧さが、経営幹部がこのテーマに一定の懸念を抱く理由の一つです。これは、良好な指標を備えた確かな報告書を提供することで改善できます。
短期的な優先事項として最も良い助言は、リモートアクセス、持ち込み型ノートパソコン、USBメモリ、そして電子メールによるファイルのやり取り（技術文書から実行ファイルまであらゆるもの）に焦点を当て、間接感染のリスクに対処することです。意外なことに、多くの資産所有者は、請負業者の完全かつ正確なリストを、その役割と責任とともに維持していません。また、リモートアクセスを厳格に管理していない所もあります。高価値の標的への最も有望な侵入経路が請負業者経由であることを考えると、これらはいずれも非常に効果が高く、すぐに着手できる対策です。
また、私たちが得た別の知見として、取り組み全体をITではなくOT（運用技術）が主導した場合に、成功の可能性が高まるということがあります。経験上、ITの担当者にPLC（プログラマブル・ロジック・コントローラー）、フィールドバス、保護リレー、リアルタイム要件、あるいは安全全般を教育するより、制御システムのエンジニアにサイバーセキュリティを教育する方が現実的です。
私が強く忘れるべきだと提案する考えが一つあります。侵入防止システム、データダイオード、その他どのような洒落た名前が付いた技術的なガジェットであっても、施設を合理的に安全にするには十分ではないということです。最新の機器を導入するだけでサイバーリスクから「お金で逃れる」ことができると考えたくなるものですが、それだけでは決して十分ではありません。確かなサイバーセキュリティ戦略には、常に行動面および組織面の変革が伴います。ただし、こうした変革を可能な限り円滑かつ費用対効果の高いものにする方法について、私たちはより理解を深めつつあります。
サイバーリスクを減らす上での最も重要な一歩は、確かなサイバーセキュリティ計画に確実に取り組み、それを継続的なプロセスとして実施し、事実に基づく検証[監査]に依拠し、その実現に必要な資源を提供することです。… 確かなサイバーセキュリティ戦略には、常に行動面および組織面の変革が伴います。
公私パートナーシップは、ベストプラクティスの策定と普及においてどのような役割を果たすとお考えですか？
公私パートナーシップという考え方は魅力的に聞こえ、数十年にわたって推奨されてきましたが、いまだ目に見える大きな成果は確認できていません。私がはるかに有望だと考えるのは、同じ業界の資産所有者同士が、費用対効果の高い保護強化の方法について情報を共有する民間同士のパートナーシップです。実際のところ、産業施設の保護[において]政府の助けは必要ありません。私たちの顧客基盤での経験によって裏付けられていると強く確信していますが、サイバーセキュリティのための民間パートナーシップは、この取り組みをより効率的にするための今後の最も重要な潮流の一つとなるでしょう。私たちはソーシャルネットワークやクラウドを、あらゆる種類のささいな娯楽のために利用していますが、より重要な事柄について情報共有を行うためにテクノロジーを活用し始めるべきです。
一部の組織や政府は、「報復能力」の構築を検討してきました。このような戦略が、サイバー攻撃の件数や影響を減らすうえで効果があるという証拠はありますか？
そのような証拠があるならば、私はそれを見ていません。私たちが目にしているのは、Stuxnetがサイバー軍拡競争を引き起こし、最も非合理的な主体でさえ参加せざるを得ないと感じている状況です。サイバー空間で報復できるという考え方は、新しい軍事領域への投資を正当化するための奇妙な口実にすぎないのではないかと時折思います。その領域は、他の領域と比べて魅力的であるだけでなく、非常に安価でもあるのです。報復について言えば、一部の主体はほぼ無傷でいられる一方で、他の主体は気にかけていないかもしれないことを忘れてはなりません。
あなたはStuxnetのペイロードの高度さを「ロケット科学」だと表現しました。セキュリティコンサルタントとして、それ以降、Stuxnetに匹敵するほど高度なものを目にしたことはありますか？
いいえ。しかし、私たちが明確に目にしているのは、Stuxnet以後の攻撃です。Energetic BearやBlack Energyといったエネルギー分野を狙った注目度の高いサイバー攻撃キャンペーンを考えてみてください。これらのキャンペーンはこれまでのところ、産業機器を意図的に破壊したり劣化させたりはしていませんが、その目的の一つは、攻撃者がそうできる立場に入り込むことにあるようです。そして、いざその時が来れば、攻撃者はエネルギーインフラの重要部分を機能停止させることができるかもしれません。また、日常的なアンチウイルスのシグネチャ更新や年次のセキュリティパッチで対処できると考えているなら、あなたは間違いなくStuxnet以前の世界に生きています。
今後を見据えると、2030年のサイバーセキュリティ環境はどのようなものになり、今日私たちが直面しているサイバーセキュリティ環境とどのように異なるでしょうか？
私の見通しでは、2030年の世界は今日よりはるかにサイバー的に安全でなくなっています。旅客機からトイレの便座に至るまで、あらゆるものをインターネットに接続しようという現在の熱狂を考えると、流れを逆転させ、私たちが実際に理解し、安全に管理できるより単純なアーキテクチャに戻ることは、極めて困難で、場合によってはおそらく不可能でさえあるでしょう。
本記事は GE Lookaheadとの協力により掲載されたものです。掲載は、世界経済フォーラムの見解を支持することを意味しません。
Agendaの最新記事を読むには、 週刊ニュースレターにご登録ください。
執筆者：Clint Witchallsは、GE Lookaheadのライターです。
画像：キーボードを打つ男性。REUTERS/Kacper Pempel/Files.
