インフラサービスを狙うサイバー攻撃が増加しており、最近では米国のコロニアル・パイプラインへのハッキングや、アイルランドの公衆衛生サービスへの攻撃が発生した。
ハッカーはモノのインターネット（IoT）の利用を悪用している。IoTによって、重要インフラには何百万もの新たな脆弱性箇所が生じている。
IoTセキュリティ基準について官民双方の合意を深め、重要インフラ全体のセキュリティへの信頼を築く必要がある。
私たちは「サイバー・パンデミック」のさなかにある。2020年には新型コロナウイルス感染症（COVID-19）によってリモートワークへの移行が加速し、こうした攻撃に使われるソフトウェアの実行も容易になった。ランサムウェア攻撃は急増し、2021年もさらに加速し続けている。
米国だけでも、過去9か月間に攻撃が300%増加した。
ランサムウェア攻撃の60%超は重要インフラ関連産業を標的としており、医療、公益事業、製造業が特に多い。
米国の公益事業は攻撃を受けている。毎週300回の攻撃を受け、わずか2か月で50%増加した。
サイバー犯罪者の主な標的となっているのが、重要インフラを管理する産業制御システム（ICS）を相互接続する運用技術（OT）ネットワークだ。電力網、浄水施設、交通、医療システムなどのサービスでは、遠隔センサーや監視などを通じて、運用技術システムとモノのインターネットとの統合が進んでいる。これにより、何百万もの脆弱性箇所や新たな攻撃経路が生まれ、ハッカーに悪用されるリスクの新たな領域が広がっている。
こうした攻撃は、企業だけでなく、地域社会、都市、州、そして国全体にも大きな影響を及ぼす。深刻な結果を招きかねない。2020年4月、ハッカーはイスラエルの浄水施設をIoTシステム経由で標的にし、水圧、水温、塩素濃度を変更できる状態にした。攻撃が完全に成功していれば、水道水によって地域住民全体が健康被害を受けたり、安全装置が作動して何千人もの人々が完全に断水したりする事態につながる可能性があった。
ハッカーはIoTシステムをどのように悪用しているのか？
セキュリティのベストプラクティスが実施されていない場合、IoTデバイスや接続システムは重要インフラサービスにとって大きなセキュリティリスクとなり得る。これらには、いくつかの構造的な欠陥がある。
サプライチェーン全体でサイバーセキュリティ対策が標準化されていないため、リスクにさらされる度合いが高まる。
脆弱なセキュリティプロトコルや設計。脆弱なパスワードやパッチ適用の不備などが含まれる。
時代遅れでサポートが終了したアーキテクチャ、ファームウェア、ソフトウェア。
接続デバイスの数が増えるにつれて、攻撃対象領域が拡大する。
その結果、ハッカーはこれらのデバイスをさまざまな方法で悪用し、より大きな標的への攻撃を実行したり、横方向に移動してミッションクリティカルなシステムに損害を与えたりできる。また、顧客や従業員の情報、知的財産、その他の機密資産を盗み出すことも可能になる。
Moziと呼ばれる新たな「ボットネット」攻撃は、過去18か月間に非常に活発化し、2020年のIoT攻撃全体の90%を占め、約50万台の接続デバイスを制御した。侵害された各デバイスは、感染させる別のデバイスを探すよう指示される。これにより、サイバー犯罪者はネットワーク全体とそのデータを掌握し、身代金を要求できる。
サイバー・パンデミックを防ぐために、フォーラムは何をしているのか？
2021年3月、シリコンバレーのスタートアップ企業Verkadaは、大規模なIoTサイバー攻撃を受けた。ハッカーは多数のセキュリティ監視カメラの管理者権限を取得し、各デバイス上で独自の悪意あるコードを実行できる状態にした。
ハッカーがネットワーク接続デバイスに侵入できれば、そのデバイスを足がかりに横方向への攻撃を仕掛け、業務に不可欠なシステムを危険にさらすことができる。新たな知見を得るために各産業でITネットワークとOTネットワークの統合がさらに進むにつれ、こうしたデバイスは産業制御システムに依存する業務にとって、より大きな脅威となる。接続デバイスのセキュリティ対策を強化しなければ、重要インフラ関連産業を標的とする攻撃は今後も増え続ける可能性が高い。
国や世界規模では、どのような対策が進められているのか？
重要インフラの大部分は依然として民間所有であり、ランサムウェアやIoTの脅威を抑止するには、官民の連携した取り組みが必要だ。重要産業におけるセキュリティプロトコルや基準の不足に対処するため、各国政府はIoTデバイス向けのサイバーセキュリティ政策を新たに導入し、既存の政策を拡充している。
欧州連合サイバーセキュリティ機関（ENISA）は2020年にIoTサプライチェーンのセキュリティに関するガイドラインを公表し、現在はIoT事業者と重要インフラ関連産業向けの具体的なセキュリティ対策を策定している。一方、IoTサイバーセキュリティ改善法は2020年後半に成立し、重要インフラで使われるものを含め、米国の公共部門におけるIoT利用者に対し、IoT導入環境に強固なサイバー防御を適用するよう求めている。
この基準は、米国国立標準技術研究所（NIST）が策定した。同研究所は、米国全体のサイバーセキュリティを向上させる取り組みの策定に、数年にわたって中心的な役割を果たしてきた。NISTは、政府、産業界、民間部門の関係者と協議し、他国の国際標準化の取り組みとも連携しながら、複数のガイダンス文書を策定している。米国政府は大規模な顧客であるため、公共部門で採用されたNIST基準は、米国内外のあらゆる種類のIoTデバイスに適用される、より広範な事実上の業界標準となる可能性もある。
米国連邦政府市場に焦点を当てるIoTサイバーセキュリティ改善法に加え、2020年末に成立した公法116-283号は、民間部門の関係者で構成されるIoT運営委員会を設置し、米連邦政府全体の省庁横断グループに助言するよう求めた。運営委員会と連邦作業部会は、IoTの利点を特定し、IoT規制を改善し、導入の障壁を取り除く役割を担う。これと並行して、2021年5月の大統領サイバーセキュリティ大統領令は、消費者向けIoT製品がサイバーセキュリティ基準をどのように満たしているかを示すラベル制度の試験導入を求めており、2022年2月までに運用開始する予定だ。
IoTデバイスのセキュリティ要件を定めるこうした取り組みは、連邦政府機関や請負業者にとどまらず、重要インフラのセキュリティ確保にも対応するものだ。こうした攻撃に最もさらされている産業は、統一性と効率性を求めており、基本的なセキュリティ要件を導入する際の指針として、これらの法律や政策を参照している。
官民には何ができるのか？
重要産業へのサイバー攻撃が増加するなか、政府と民間部門は、これらのシステムを守る共同責任を負っている。IoTデバイスの導入者は、政策立案者やサイバーセキュリティ事業者と連携し、IoTセキュリティ基準について合意を深めるとともに、重要インフラ全体のセキュリティへの信頼を築くことができる。
1）IoTセキュリティに関する世界共通の取り組みを確立する：
消費者向けデバイスと産業用デバイスを区別した、IoTセキュリティの世界共通の基本基準に合意する。
Cyber Tech Accord、Charter of Trust、Paris Call for Trust and Securityなど、業界連合が掲げる共通のセキュリティ原則を推進する。
規制と、デバイスセキュリティの基本認証制度を整合させる。
デジタルセキュリティの共通原則と国際規範を策定する。
IoT技術の供給者だけでなく、利用者にも焦点を当てる。
2）透明性の向上と国際協力を通じて信頼を築く：
サプライチェーンとバリューチェーン全体における責任のあり方を明確にする。
分野横断的な連携と国際協力を促進する。
国際的な情報共有の枠組みと、信頼性を確保するためのベストプラクティスの活用を推進する。
