本稿は、世界経済フォーラムの地政学戦略プラットフォーム
エネルギー分野がグローバル化し、ソフトウェアコンポーネントへの依存がますます複雑になるにつれ、サプライチェーンのリスクも変化し、拡大してきた。
エネルギー分野のサイバーサプライチェーンの問題は、数年前から認識され、研究されているものの、依然として解消されていない。
際立ったリスクの一つが「意図しない汚染」である。これは、設計または実装の過程で、ソフトウェアコンポーネントの欠陥が意図せず製品に組み込まれることを指す。品質の低い製品や模倣品への置き換えである偽造品とも、意図的なサプライチェーンの転覆である「悪意ある汚染」とも異なる。
意図しない汚染は、意図しないサプライチェーンの転覆につながる可能性があり、エネルギー分野の重要インフラが中断なく機能するうえで、重大かつ現実的な脅威となる。
報告書 ソフトウェア時代のサプライチェーンは、エネルギー分野の特定のリスクを理解するための分類体系を示し、政策立案者と民間部門に向けて、具体的かつ探索的な提言を行っている。
選択肢の中には受け入れにくいものもある一方、意欲さえあれば比較的容易に実行できるものもある。はるかに望ましくないのは、現状の道を進み続け、事故や敵対者によるエネルギー運用の妨害につながる経路を残すことだ。それは、エネルギー分野、世界経済、そして国内外の安全保障に、はるかに深刻な影響を及ぼしかねない。
2015年から2017年にかけて行われた調査を締めくくるように、ウクライナとサウジアラビアで発生した注目度の高い2件のサイバー攻撃は、サプライチェーンの脆弱性を悪用し、エネルギー分野の2組織の業務に影響を与えた。
2015年12月、電力網に対する初の確認済みサイバー攻撃により、ウクライナの数十万世帯が一時停電した。2017年8月には、サイバー攻撃によってサウジアラムコの操業が停止した。どちらの事例でも、サプライチェーンを構成するコンポーネントのセキュリティが強化されていれば、攻撃を阻止できたはずである。
エネルギー分野では、サイバーサプライチェーンのセキュリティが重要課題となり、対策の取り組みも広がっている。たとえば、北米電力信頼度協議会（NERC）は、サプライチェーンの保護を盛り込むため、重要インフラ保護（CIP）基準を改定している。
さらに、「デジタル排気」を測定するBitSight、Security Scorecard、ドイツのSir-Trackなどの企業は、サードパーティーのサプライヤーの情報技術（IT）およびITセキュリティの実践について、公開され、観測可能な痕跡を測るために、ますます利用されている。
しかし、依然として課題が残る。NERC-CIPが適用されるのは、安全性と信頼性に影響を及ぼすシステムやコンポーネントの一部と、電力事業者の一部に限られる。また、インターネットに接続されたシステムのセキュリティ測定は、エネルギー分野の制御システムで使われる技術を示す指標として、せいぜい間接的なものにすぎない。
ソフトウェアのセキュリティ脆弱性は、開発プロセスに自然に伴うものであり、最善を尽くしても完全には排除できない。
毎年、市販の既製品（COTS）コンポーネントで1万件を超えるセキュリティ脆弱性が発見されている。こうした脆弱性は、エネルギー分野を含む世界のサイバーサプライチェーンに現れる。意図的か偶発的かを問わず、ソフトウェアの設計や実装における弱点や脆弱性は、サプライチェーンを通る多段階の過程で蓄積していく。
一つのソフトウェアコンポーネントが、重要システムの運用の完全性を損なう可能性がある。たとえば、サプライチェーンの脆弱性として知られる、ハードコードされたデフォルトパスワードが安全計装システムのコンポーネントに含まれていたことで、2017年12月のサウジアラムコの操業停止が引き起こされた。
この概要では、これらの課題に対処するための複数の代替策を提案している。
エネルギー分野全体で既存の枠組みを適用する— エネルギー分野の企業や米国エネルギー省（DOE）は、既存の枠組み、とりわけNERC-CIP基準とDOEのサイバーセキュリティ能力成熟度モデルを、サードパーティーのサプライヤーを含むエネルギー分野全体のセキュリティ向上に向けた指針として活用できる。
エネルギー分野における意図しない汚染を防ぐ、信頼できるIT慣行を奨励する— 米国議会、DOE、エネルギー分野の企業は、規制負担の軽減、購買力の活用、その他のインセンティブを通じて、有効性が知られている慣行への認識と導入を促し、効果がないと知られている慣行を避けるよう促すことができる。
脆弱性の監視、調整、共有— DOE、米国国土安全保障省（DHS）、業界団体は、分野全体で既知のソフトウェア脆弱性に対する認識と理解を深め、同一または類似の問題の影響を受ける組織間の情報格差を縮小できる。
運用、責任、規制に関する他のモデルを検討する— 米国議会、DOE、DHSは、影響を受ける他の利害関係者とともに、エネルギー分野全体の安全性、セキュリティ、信頼性を高め得る、運用、責任、規制に関する代替的なアプローチを特定し、分析すべきである。
ソフトウェア時代のサプライチェーン、ボー・ウッズ、アンディ・ボックマン
