リモートワークにより、公益事業者にはこれまでにないサイバーリスクが生じています。
攻撃者は組織のインフラに生じた新たな弱点を突こうとします。
CEOと取締役会が防御を強化するために取るべき4つの対策を紹介します。
エネルギー業界では、新型コロナウイルス感染症のような危機に際し、2つの点に注意が向けられます。人々の安全をどう守るか、そして顧客への電力供給をどう続けるかです。現在、公益事業者にとってリモートワークが最優先事項となっていますが、この状況は同時にエネルギー業界を新たなサイバーリスクにさらしています。リスクはサイバー防御の内外から生じます。人命がかかっており、企業は従業員を守り、停電を防ぐ必要があります。
公益事業者のCEOや取締役は、サイバーリスクと安全上のリスクが複雑に絡み合う状況に直面しています。従業員が自宅から重要な発電設備や送電網のネットワークにアクセスすることで、第2波の危機、すなわち停電の連鎖や安全上の事故が起きるリスクが高まります。電力の維持が最も重要な時期に、攻撃者はリモートシステムへの急な移行、人員不足の施設、新しい働き方を悪用しようとするでしょう。
差し迫るサイバーセキュリティ危機を避けるには、公益事業者のリーダーは、リモートワークの安全性、業務上の実行可能性、レジリエンスを一層高めることに注力する必要があります。取締役会とCEOは、従業員の安全を確保するとともに、エネルギーのバリューチェーン全体を攻撃から守るため、迅速に行動しなければなりません。
新たなリスク構造に対応するには、大きく4つの取り組みが必要です。新たなサイバーリスクを理解すること、基本的な防御策を整えること、パートナーと相互運用可能な防御策を構築すること、そして新たな現実に合わせて全体のアーキテクチャを見直すことです。
1. 新たなサイバーリスクを理解する。在宅勤務はサイバーリスクへの露出を高めます。信頼性の低いインターネット接続、従業員やその家族を狙うソーシャルエンジニアリング攻撃、慣れない業務手順での悪意のないミスは、いずれも新たな潜在リスクです。パートナー企業もサイバーリスクの高まりに直面します。公益事業者は、どの業務が許容できないリスクを伴うか、どの業務ならリモートワークに適応できるかを意識的に選ぶ必要があります。例えば、多くの監視業務は適切な手順を設ければリモートで安全に実施できますが、安全装置やバックアップシステムの試験・保守はリモートではできません。
2. リモートワークに適した基本的な防御策を整える。「多層防御」として知られる重層的な防御策は、サイバー攻撃の影響を軽減します。リモートワークでは、次の対策が特に重要になります。
a)安全な接続。安全なアクセス手段がなければ従業員は効果的に働けません。そのため、安全なアクセスはサイバーセキュリティに不可欠ですが、それだけで十分ではありません。発電所の運用担当者は、誰がどの資産にアクセスすべきかを事前に定め、リモート技術を承認する前に管理策を導入する必要があります。
b)異常を監視する。在宅勤務では、一部のセキュリティ対策を実施できません。例えば、正当なコマンドも悪意あるコマンドも、発電所の外部から送られるようになりました。何が通常なのかを見極めるのは困難です。そのため、従業員と攻撃者を区別する手段として、監視の重要性が高まります。監視の一部は自動化でき、関係者が不審な活動を調査する時間を確保できます。
c)インシデント対応に備える。発電所には今、従業員の大半が現場におらず、一部は入院しており、システム内で攻撃が発生する状況でも機能するインシデント対応計画が必要です。攻撃者は新たな防御策を試し、少なくとも部分的には成功すると想定してください。今後数週間以内に、現場での支援が限られ、専門家による支援も分散型のリモート対応となる中で、インシデント対応を開始する必要が生じると見込んでください。当面は、脅威の除去やシステムの再起動が選択肢にならない可能性があります。
3. 相互運用可能な防御策を構築する。サイバーセキュリティの強さは、最も弱い部分によって決まります。公益事業者のリーダーとパートナー企業の同業者は、共通の防御策を導入するよう協力すべきです。これには、特権アクセスの定義、脆弱性の開示、脅威インテリジェンスの共有などが含まれます。パートナー各社のシステムが共通のロードマップに沿って機能すれば、公益事業者はセキュリティを評価し、改善しやすくなります。パートナーのサイバーセキュリティを考慮しなければ、防御に大きな死角が生じるおそれがあります。
4. セキュリティアーキテクチャを再設計する。公益事業者はエネルギー生産の業務手順を根本から変えつつあり、サイバーセキュリティの手法やアーキテクチャも刷新する必要があります。従業員が発電所や現場にいることを前提としたシステムでは、重点の置き方が現状に合わなくなります。例えば、発電所では通常、携帯型機器の持ち込みを禁止しています。しかし現在、従業員の大半は発電所の外におり、禁止されていた機器やソーシャルメディアにアクセスできます。この新たな現実に合わせて設計する計画では、新しい状況に即したリモート業務を防御し、監視する必要があります。
電力を止めないために
新型コロナウイルス感染症の危機により、これらの対策は急務となっていますが、パンデミック以前から続く長期的な傾向も、同様の変化を促すでしょう。分散型エネルギー源には新たな運用モデルが必要になります。リモートワークと自動化は効率性を高めます。エネルギー企業は次世代の人材を育成する必要があります。公益事業者を狙うサイバー攻撃は、頻度と巧妙さを増し続けるでしょう。こうした変化が起きること、そして恒久化する可能性があることは分かっています。公益事業者は、それぞれの傾向が新たな現実を形作る中で、業務を守るためにサイバーセキュリティの手順を段階的に適応させる必要があります。短期的にも長期的にも、こうして電力を止めずに供給していくのです。
