老朽化したインフラと急速なデジタル化により、電力網はサイバーリスクに極めて脆弱な状態にある。
人工知能により、脅威アクターが重大な脆弱性を発見するスピードが加速している。
長期的なエネルギー安全保障のためには、ポスト量子暗号標準への移行を今から進めることが不可欠である。
エネルギー分野は、より厳しいサイバーリスクの時代に入りつつある。送電網の運営者は、老朽化した運用技術、急速なデジタル化、新たな再生可能エネルギー設備、そして地政学的競争によって形作られた脅威環境に対応している。同時に、基幹サービスはソフトウェア、接続性、複雑な技術サプライチェーンへの依存を高めており、その分だけ脅威にさらされやすくなっている。
人工知能はまた、セキュリティ上の前提が検証されるスピードも変えつつある。敵対者の手に渡れば、非常に短時間で脆弱性を発見しうるため、インフラ事業者はより迅速に重要システムを検証し、更新し、強化する方法が必要となっている。
このような環境において、同分野の新たな暗号標準への移行を計画することは、長期的な強靭性を確保するうえで緊急かつ不可欠な取り組みである。
電力網は特異的に脆弱である
エネルギーシステムは、送電網の運営者、機器メーカー、ソフトウェアベンダー、通信事業者、クラウドプラットフォーム、マネージドサービスプロバイダー、産業用制御機器のサプライヤーからなる複雑なエコシステムである。いずれか一つの階層に生じた弱点は、サプライチェーンの他の部分における強靭性にも影響を及ぼしうる。
このため、混乱は単一の組織にとどまらない広範な影響を及ぼしうるため、エネルギーインフラは敵対者にとって魅力的な標的となっている。英国政府の「エネルギー分野サイバーセキュリティ戦略」は、同分野が、高度な能力を持つ攻撃者や国家的脅威アクターによるものを含め、ますます高度化する攻撃に直面していると指摘している。また、エネルギーシステムの相互接続とデジタル化が進むなかで、老朽化したインフラと新技術の統合が生み出す課題にも言及している。
運用技術の耐用年数によって、この脆弱性はさらに深刻化している。エネルギー関連資産は、数十年にわたり稼働し続けることが想定されることが多い一方で、それを取り巻くサイバー環境ははるかに速く変化している。Bridewellによる最近の調査によると、2025年に公益事業者の77%が、旧式機器における古いソフトウェアや未適用のパッチに関連する攻撃を受けており、これは同分野が直面する最も一般的なサイバーインシデントとなっている。
この一例が、2025年12月にポーランドのエネルギー分野で発生したインシデントである。CERT Polskaの報告によると、攻撃者は、30を超える風力発電所および太陽光発電所、ある製造企業、そしてポーランドで約50万世帯近くに熱を供給する大規模な複合発電所を標的とした。
最も保護が難しいシステムは、しばしば最も交換が困難なシステムでもある。したがって、ポスト量子への対応は単純なソフトウェア更新として扱うことはできない。制約のあるハードウェア、組み込みシステム、産業環境、そして停止が許されない長寿命資産においても機能しなければならない。パッチ適用が困難で、交換も難しく、数十年にわたり稼働することが想定される資産は、将来のアップグレードの可能性を念頭に置いて計画すべきである。
タイムラインは現実の運用課題になりつつある
ポスト量子暗号標準への移行は、もはや遠い将来の計画課題ではない。英国国家サイバーセキュリティセンター（NCSC）は、組織が2028年までに調査と初期計画を完了し、2031年までに優先度の高い早期移行作業を実施し、2035年までにポスト量子暗号への移行を完了するという段階的な目標を設定している。
米国では、2026年6月のホワイトハウスの命令により、この問題は国家安全保障およびインフラの優先課題として位置づけられた。米国の方針は、連邦情報システムをNISTのポスト量子暗号標準へ移行させるとともに、重要インフラの所有者および運営者が独自に移行を進めるための支援を行うことである。
エネルギー分野にとって、これらの期限が重要なのは、今日下される判断が2030年代のインフラを依然として形作るからである。今調達される制御システム、現場機器、セキュアブート機構、ゲートウェイ、通信機器は、現在の暗号上の前提が変わった後も長期間稼働し続ける可能性がある。そのため、最新の暗号標準を最初期の計画段階から組み込むことが不可欠である。
量子耐性のあるインフラこそがエネルギーの強靭性である
量子耐性への備えの次の段階は、エネルギーエコシステム全体にわたる連携にかかっている。インフラ所有者は、システム、サービス、ハードウェア、サプライヤーのどこで暗号が使用されているかを把握する必要がある。規制当局と政策立案者は、期限、報告、重要な依存関係に関する期待を整合させることで支援できる。サプライヤーは、長期にわたる運用ライフサイクルを通じて製品がポスト量子標準にどのように対応するかについて、明確なロードマップを必要としている。
優先順位付けが不可欠である。最も緊急に注力すべきは、長期保存データ、重要な通信、運用制御、ハードウェアの信頼の基点（ルート・オブ・トラスト）を保護するシステムである。今日購入される資産が2030年代にセキュリティ上の弱点とならないよう、ポスト量子への備えは、技術の更新サイクル、サプライヤー評価、インフラ投資の判断に、今から組み込まれるべきである。
AIを活用した暗号解読の分析は、早期の行動を取る根拠を強めている。責任をもって利用すれば、これらのツールは防御側がより早く弱点を発見し、実装を改善し、基幹サービスを支えるシステムへの信頼性を高める助けとなりうる。しかし、悪意ある手に渡れば、脆弱性が露呈する可能性を加速させることになる。
エネルギー分野の目標は、現代の経済と社会が依存する基幹サービスの継続性、信頼性、安定性を守ることである。次の10年に最も備えができている組織は、早期に着手し、最も重要なシステムを優先し、量子耐性への備えを調達と強靭性計画の一部とする組織である。
