地政学、経済的要因、市場の動向は、デジタルエネルギー転換を通じて、エネルギー安全保障と気候危機を結び付けている。
デジタル化は、エネルギー需要と安全保障を満たすうえで、サイバー脅威という課題と、デジタル技術による解決策をもたらす。
エネルギー業界のリーダーは、デジタルエネルギー・エコシステムの柱として、サイバー・レジリエンスを受け入れなければならない。
スイスのダボスで開催された2022年世界経済フォーラム年次総会を振り返ると、その後に訪れる年を予測できた世界の政策立案者やビジネスリーダーはほとんどいなかった。しかし、世界的パンデミック、ウクライナ侵攻、重要なサプライチェーンの混乱が連鎖的な影響を及ぼし、世界のエネルギー・エコシステム全体を不安定化させた。
これらの危機は地政学を根本から変え、エネルギーと経済の安全保障を脅かした。一方で、効果的なエネルギー転換を通じて、こうした問題や気候変動という存亡に関わる脅威に対処するため、デジタル技術をどう活用できるかも明らかになった。
デジタル化――脅威であり好機
エネルギー安全保障とエネルギー転換の解決策は、電化、分散化、エネルギー技術の多様化を推進力とするエコシステムであり、そのすべてをデジタル化が支えている。
エネルギー業界が産業用モノのインターネット（IIoT）を導入したことで、この未来が可能になった。これにより、運用技術（OT）で物理的なエネルギー資産をデジタル管理し、人工知能（AI）、機械学習、クラウドストレージを活用する情報技術（IT）のソフトウェア・アプリケーションと連携できる。
しかし、産業用IoTと超接続性は、明日のエネルギー・エコシステムをサイバー攻撃に対して脆弱にもする。
エネルギー企業は事業モデル全体を運営するため、産業用IoTを急速に導入している。この変化は、最高情報セキュリティ責任者（CISO）に前例のないセキュリティ上の課題を突き付けている。
低炭素またはゼロ炭素排出を実現するため、CISOは物理とデジタルをつなぐ数十億もの接続を保護する責任をますます担うようになっている。たとえば、分析ツールやセンサーを活用して電力網の変動に対応したり、電気自動車の充電需要を予測したりする必要がある。また、家庭の太陽光発電設備に設置されたスマートメーターが電力会社と連携できるようにする場合もある。
機械設備とOT制御システムから成る物理インフラのこれほど多くがデジタルネットワークに組み込まれ、サイバー攻撃にさらされたことは、かつてなかった。
攻撃者が金銭を狙う場合も、敵対国の機能を麻痺させようとする場合も、エネルギーセクターは格好の標的となる。業界調査によると、エネルギー関連組織に対するサイバー攻撃は、件数も巧妙さも増し続けている。一方、数多くの報告書は、エネルギー企業では、取締役会レベルの幹部からCISO、中間管理職、キャリア初期の従業員に至るまで、備えが不十分であることを示唆している。デジタル接続された重要インフラをサイバー攻撃から守る、これからの波に対する備えができていない。
エネルギー企業がデジタルを最優先する事業モデルを採用するには、サイバーセキュリティへの投資、優先順位付け、人材育成を等しく進める必要がある。デジタル化と脱炭素化が相まって、エネルギー企業には猛烈な変化のスピードがもたらされた。しかし、多くのCISOは、それを守るためのツールや能力を欠いている。CISOの役割は根本的に進化し、従来の技術中心の職務から、新たなエネルギー・エコシステムにおけるデジタル技術の不可欠な役割を反映した、より広範な責務を担うものへと変わらなければならない。
CISOは、この新たな超接続環境を守るため、ITとOTの双方を同等に可視化し、状況を把握できる新しい種類のセキュリティ運用センター（SOC）を率いる必要がある。また、各組織全体に浸透させるサイバー・レジリエンス原則の新たな枠組みを用いて、脅威が絶えない時代に対応しなければならない。
デジタルの未来への適応
エネルギー転換の安全を確保するには、適応したガバナンスモデル、新たな技術ソリューション、人材と解決策への優先的な投資が出発点となる。エネルギー業界がデジタルの未来を切り開き、安全を確保するための適応策を4つ紹介する。
1. リーダー層の教育と最新知識の習得
CISOは、企業の取締役や上級幹部と接点を持ち、率直に話し合える関係を築くとともに、組織外の政府関係者や規制当局とも強固な協力関係を構築する必要がある。こうした関係は、インシデント発生時に迅速な連絡と調整を行い、新たな脅威が生じる前に脆弱性の穴を埋めるうえで不可欠だ。
幹部との開かれたコミュニケーション経路があれば、CISOは国際基準や調達方針の導入を提唱できる。たとえば、新規プロジェクトに米国国立標準技術研究所（NIST）のサイバーセキュリティ・フレームワークを組み込むよう働きかけられる。
社外では、脆弱性に関する最新情報の提供やレジリエンス強化の取り組みへの参加において、CISOは政府関係者に先んじることができる。その重要性を示す例として、米国国土安全保障省のシールズ・アップ キャンペーンが挙げられる。同省のサイバーセキュリティ・インフラセキュリティ庁が主導し、ウクライナ侵攻後にロシアからのサイバー攻撃からエネルギー企業を事前に保護することを目指した。
2. 監視と検知のプロセスを拡大する
技術面では、自動化の進展が産業サイバーセキュリティの監視・検知業務を変えつつある。AIツールは膨大な数の変数を統合し、その相互関係を追跡する自動化を可能にする。つまり、OTへの攻撃は、それが引き起こす物理的な影響をもとに検知できる。
この情報は、インシデント報告要件への対応に役立つほか、業界のパートナーと迅速に共有することで、ほかの脆弱な企業に警戒を促せる。産業環境向けに特化して設計されたこうした新技術により、CISOは脅威をこれまで以上に迅速かつ正確に監視、検知、修復できるようになっている。しかし、真のサイバー・レジリエンスは、エネルギー業界のエコシステムを構成する組織やシステム全体で、セキュリティを優先することにある。
3. 組織全体で責任を共有するモデルを採用する
CISOは組織のデジタル変革とセキュリティ変革の中核を担うが、サイバー・レジリエンスに責任を負うのは一人ではない。エネルギー企業は、サイバーセキュリティは全従業員の責任であるという考え方を採用しなければならない。組織における個人と組織の成功は、サイバー衛生の指標や基準を満たし、維持し、上回ることと結び付ける必要がある。
責任の共有には、二要素認証の有効化、定期的なパスワード変更、ゼロトラスト原則の遵守など、基本的なIT対策の徹底も含まれる。さらに、産業サイバーセキュリティの専門知識を持つ人材の採用、育成、成長を優先することが、長期的な成功に不可欠だ。
4. 組織にサイバー・レジリエンスを根付かせる
最終的に、エネルギー企業の事業モデルのあらゆる側面にサイバーセキュリティを組み込むための専用投資がなければ、レジリエンスは実現しない。
業界のリーダー、投資家、株主は、サイバーセキュリティを後回しにできるもの、あるいは任意の追加コストとみなす考えを改めなければならない。サイバーセキュリティは資産、さらには競争優位と捉える必要がある。安全性、信頼性、長期的な評判に対する企業の責任を果たすうえで不可欠だ。
エネルギーセクターの経営幹部は、新規プロジェクトを設計段階から安全なものにするため、より多くの資本を投じるとともに、既存プロジェクトには脅威の特定と防止に向けた最先端のソリューションを後付けで導入する必要がある。しかし、サイバーセキュリティへの投資は一度限りの費用ではない。
長期的な課題に耐えるため、組織は新技術、運営予算、人材を対象に、サイバーセキュリティへの投資を継続しなければならない。
