エネルギー分野は、供給停止を含む重大な影響をもたらすサイバー攻撃の増加に直面し続けています。
業界のバリューチェーンへのサイバー攻撃は、供給を妨げ、経済を麻痺させ、さらには国家安全保障を不安定化させる可能性があります。
企業は、業界全体でサイバーセキュリティを向上させリスクを軽減するため、バリューチェーン全体で他者と連携する必要があります。
エネルギー・公益事業分野は、より組織化されたサイバー攻撃に直面してきました。その影響は広く報告されています。サプライチェーン攻撃は、件数と影響の両面でより顕著になっています。
2021年だけでも、SolarWindsに対する単一の攻撃が、世界中の数千の主要企業および政府機関に影響を及ぼしました。一方、Colonial Pipelineへの攻撃は、数百万人の市民へのエネルギー供給を麻痺させ、数日間にわたり、封じ込めと復旧に数百万ドルの費用を要し、長期的なブランドイメージの毀損をもたらしました。
インシデントの66%において、攻撃者がサプライヤーのコードを標的として顧客への侵害をさらに進めていたこと、また単一組織の脆弱性によってバリューチェーン全体が機能不全に陥りうることを踏まえ、以下の問いを検討する必要があります。
周辺環境に何が潜んでいるか分からない中で、どのようにサプライヤーを信頼できるでしょうか。
自社のデジタル環境が見えていない顧客との間で、どのように信頼関係を構築できるでしょうか。
相互に結びついた現代世界では、いかなる組織も単独では活動できず、信頼は不可欠です。しかし同時にこれはジレンマでもあります。信頼そのものも、慎重かつ相互的で、証拠に基づき検証可能なものでなければ、脆弱性となりかねないからです。
実際には、政府機関、非営利団体、グローバル企業、中小企業のいずれも、事業運営においてデジタル面でサプライヤーやパートナーに依存しています。いずれも、情報の非対称性を克服するほかに選択肢はありません。
とはいえ、国家全体の成長と生産に不可欠な「実現機能」を担う組織は、バリューチェーン全体を通じて行動により信頼を保証する必要があります。
サプライヤーとの信頼に基づく対話を構築する
複数の拠点で事業を展開し、5大陸から物資を調達し、サービスを外部委託し、数千の多様なサプライヤーを管理することは、エネルギー分野の企業にとっては現実のものです。
さらに、エネルギー分野は、信頼性が高く柔軟なエネルギーインフラの構築を支えるデータに大きく依存しています。それを支える技術は通常、第三者から提供されます。これにより、そのエコシステム全体の複雑性とリスクが高まります。
さらに複雑なのは、次の事実を踏まえた場合です。65%の組織は、その侵害が最も重要な機能に影響を及ぼしうる第三者を特定できていません。
リスクを踏まえたアプローチを取るため、企業は「第三者セキュリティ原則」を策定すべきです。これは、共通のサイバーセキュリティ態勢に基づいてサプライヤーとどのように関わるかを規定し、調達プロセスとサプライヤーのライフサイクル全体にセキュリティとプライバシーを組み込むためのものです。これには以下が含まれる可能性があります。
サイバーセキュリティをサプライヤー選定プロセスの基準とすること。共有評価プラットフォーム、従来型の質問票、スコアリングプラットフォームによる評価などを通じて実施します。
第三者との協業が開始された後、契約期間中および契約更新時には、企業はサプライヤーのサイバーセキュリティ態勢の継続的な評価を実施する機会を設け、必要に応じて契約上の要件を更新すべきです。例えば、スコアリングプラットフォームを活用するなどです。
第三者を評価する際はリスクベースのアプローチを採用し、リスクを正確に把握するとともに、そのリスクレベルに基づいて適切な管理策を求めること。
ソースコードポリシーおよびセキュア・バイ・デザインの開発手法を採用し、製品およびシステムにおけるセキュリティ、品質、信頼性を重視すること。
サプライヤーに起因するリスクを軽減するとともに、セキュリティに関する透明性の高い対話を生み出すためには、第三者セキュリティを統括する指針が必要です。
サイバーセキュリティが最優先事項であることを示す
複雑なバリューチェーンにおいて、エネルギー企業は顧客または利用者に対するサプライヤーです。そのため、各社はセキュリティが自社にとって最優先事項であり、現実のものであることを証明しなければなりません。
したがって、以下に示すように、信頼の指標がサイバー戦略の基盤となり、セキュリティの設計と提供プロセスを導くべきです。
最も基本的なものから最も具体的な証拠に至るまで、各指標は信頼の水準を高め、顧客や当局と関わる際に信頼に基づく対話を可能にします。
あらゆる接点を通じて顧客の信頼を獲得する
顧客との各接点は重要であり、営業から最高情報セキュリティ責任者（CISO）レベルに至るまで、サイバーセキュリティが議論の一部となることが不可欠です。
顧客は、拠点を訪問する際、サイバーに関する質問票を提出する際、脆弱性について知らされる際に、最高水準のセキュリティ基準が満たされているとの確信を持てなければなりません。そのための方法は次のとおりです。
まず、営業、プロジェクトマネージャー、発注担当者、現場サービス担当者などの顧客対応要員は、多様で機微な情報技術（IT）および運用技術（OT）環境の中で業務を進めながら、顧客の要望や期待に応えられる必要があります。研修や意識向上などのソフト面の管理策と、技術的なハード面の管理策を組み合わせて堅牢に整備することで、これらの人員やその機器がサイバーセキュリティインシデントや攻撃の経路とならないようにし、すべてのサイバーセキュリティインシデントが厳格な基準、方針、手順に従って検知・報告されるようにすべきです。この取り組みは、「サイバーバッジ」のような、正式な認定と公的なコミットメントとして制度化されるべきです。
次に、顧客はサイバーセキュリティに関して独自の期待を持っており、取引先の組織においてそれがどのように管理されているかについて説明を受ける必要があります。したがって、これらの問い合わせには、単一企業の各地域および各事業部門にわたり、適時かつ統一された専門的な方法で対応しなければなりません。
最後に、企業は製品の脆弱性を全ライフサイクルを通じて監視し、適切なレベルのセキュリティを確保するため、最新の基準や規制に適合させる必要があります。そのためには、コンプライアンス、事業、安全上のリスクに基づく脆弱性対応プロセスを構築し、脆弱性を優先順位付けして適時に是正することが極めて重要です。さらに一歩進めるなら、研究者や顧客とサポートポータルを通じてやり取りし、直接連絡を受けられるようにすることで、協力と透明性の両方を確保できます。
エネルギー分野のレジリエンスには安全なバリューチェーンが不可欠
エネルギー分野は、私たちの経済の礎です。日々の業務はすべて、エネルギーの開発と輸送に依存しています。そのバリューチェーンへのサイバー攻撃は、経済を麻痺させ、国家安全保障を不安定化させる具体的な手段となります。
世界経済フォーラムはサイバーセキュリティに関して何に取り組んでいるのか？
サイバーセキュリティセンターは、指導者が一堂に会し、進化するサイバーリスクとその体系的な影響を理解するための信頼できるプラットフォームを提供しています。相互接続が進むデジタル社会において、理解と信頼の構築に注力しています。
セクターを横断した協働と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を要する課題に取り組めるよう支援しています。
不確実な環境と、エネルギー分野が攻撃者の標的となっている動的なサイバー脅威の状況において、バリューチェーン内での信頼構築は不可欠です。
世界のリーダーが共通の理解に基づいて協力し、関与するならば、体系的リスクを共同で軽減し、より大きなレジリエンスを達成できるでしょう。
