- 重要分野におけるサイバーセキュリティは、エネルギー、水道、運輸、医療、金融といった不可欠なサービスを、ますます高度化するサイバー攻撃から守るものです。
- ITシステムとOTシステムの融合、そして複雑なサプライチェーンへの依存は、重要インフラの攻撃対象領域を拡大させる。
- 具体的な規制枠組み、サイバーレジリエンス、そして各国のCERTとの連携は、重大なインシデントの予防、検知、および対応において極めて重要である。
- 人工知能、ポスト量子暗号、ゼロトラストモデルは、これらのインフラストラクチャの将来の防御における柱として確立されつつある。
重要インフラにおけるサイバーセキュリティは、政府や企業にとって大きな懸念事項となっています。これは単なる技術的な問題ではなく、私たちの家庭の電気、水道水、日々の金銭取引、そして医療といった生活に不可欠なインフラの保護が不可欠です。サイバー攻撃によってこれらのシステムが機能不全に陥ると、問題は単なるコンピュータ上の問題にとどまらず、社会、経済、さらには地政学的な問題へと発展します。
スペインには、国家に深刻な被害をもたらす可能性のある重要インフラ施設が数千カ所存在します。同時に、犯罪組織、国家主体、そしてデジタルと物理的な要素を組み合わせたハイブリッド攻撃などによって、攻撃の件数と巧妙さは増大し続けています。このような状況において、これらの分野のサイバーセキュリティ強化はもはや選択肢ではなく、戦略的な優先事項となっています。
重要インフラと戦略的セクターとは、具体的に何を指すのでしょうか？
重要インフラとは、物理的または仮想的な施設、ネットワーク、システム、サービス、機器など、その障害が国家の基本的な機能と国民の日常生活に直接的な影響を与えるすべてのものを指します。これには、エネルギー、水、交通、医療、金融、食料、通信、および必要不可欠な公共サービスが含まれます。これらの分野における対策と資源の優先順位付けには、脆弱性の特定と分類が不可欠です。
スペインの法律、特に重要インフラ保護に関する法律8/2011では、戦略的インフラと重要インフラという2つの重要な概念が区別されている。すべての重要インフラは戦略的インフラであるが、すべての戦略的インフラが重要インフラになるわけではない。
戦略的インフラとは、必要不可欠なサービスを支える幅広い施設やネットワークを指しますが、場合によっては代替手段で置き換えたり、補償したりできるものもあります。一方、インフラは、その運用が絶対に不可欠であり、合理的な期間内に実行可能な代替手段がない場合に、重要インフラとみなされます。
したがって、重要インフラは戦略的インフラの中でも特に脆弱な部分集合であり、その機能停止は一つまたは複数の重要なサービスに深刻な影響を与え、安全保障、経済、または社会福祉を損なうことになる。
法律8/2011およびその施行規則は、特に脆弱な分野として、行政、宇宙、原子力・化学産業、水循環、エネルギー、医療、情報通信技術、運輸、食料、金融・税制などを挙げている。これらの分野はすべて、相互接続されたデジタルシステムへの依存度が高まっている。
重要インフラにおけるサイバーセキュリティ：概念と範囲
重要インフラに適用されるサイバーセキュリティとは、クラウドセキュリティを含むデジタル脅威からこれらの施設を保護することを目的とした、一連のポリシー、テクノロジー、プロセス、および組織的措置を指します。主な目的は、基幹サービスを支えるシステムとデータの可用性、完全性、および機密性を保証することです。
これには、企業情報システム（IT）と運用環境（OT）の両方を保護することが含まれます。運用環境には、産業制御システム（ICS）、SCADA、PLC、および電力網、浄水場、石油パイプライン、製油所、鉄道システムなどの物理プロセスと直接相互作用するその他の機器が設置されています。
重要産業におけるサイバーセキュリティの重要な特徴の一つは、ITとOTの融合です。長年にわたり、両者は孤立した状態にあり、ビジネスおよびデータ処理システムは一方で、産業制御システムは他方で稼働し、多くの場合、直接インターネットに接続されていませんでした。しかし、デジタル化、産業用IoT、そしてリアルタイム監視の必要性によって、これらの障壁は取り払われました。
この融合は、効率性、可視性、集中管理機能をもたらす一方で、新たな攻撃対象領域も生み出します。多くのOT（運用技術）およびIoT（モノのインターネット）デバイスは、堅牢なセキュリティ基準に基づいて設計されておらず、パッチ適用は複雑で、ライフサイクルも長くなっています。その結果、IT侵害がこれまで隔離されていた産業システムにも影響を及ぼす可能性のある、相互接続されたエコシステムが生まれています。
このような状況において、防衛戦略は、業務の継続性を維持し、分野固有の規制要件および規範要件を遵守しながら、サービスの中断、妨害行為、スパイ行為、プロセス操作、情報の盗難または乗っ取りを防止することを目指します。
必要不可欠なサービスと増大するデジタル脆弱性
現代のあらゆる重要なサービスは、自動化された発電所、スマート配電網、浄水場、空港、港湾、地下鉄網、高度に接続された病院、ATM、オンラインバンキングプラットフォーム、電子税務システムなど、ほぼすべてがデジタルシステムに依存している。
この技術依存には直接的な結果が伴う。深刻なサイバー攻撃は、たちまち人々の生活に具体的な問題として影響を及ぼす。単なる内部的なコンピュータの不具合にとどまらず、地域一帯の停電、鉄道網の麻痺、手術の中断、あるいは何百万人もの人々が預金にアクセスできなくなる事態にまで発展する可能性があるのだ。
最近の事例は、私たちの脆弱性の深刻さを如実に示している。2021年にアイルランドの医療機関がランサムウェア攻撃を受けた際、臨床システムが数時間にわたって停止し、予約や治療がキャンセルされたことで、業務に混乱が生じ、患者の安全が脅かされた。同様の事態は他国でも発生しており、病院、サプライチェーン、燃料ネットワークに影響を及ぼしている。こうした事態に対処するには、被害の範囲を把握し、業務を復旧させるために、専門的なデジタルフォレンジック分析が必要となる。
スペインでは、戦略的分野の組織に影響を与えるインシデントが大幅に増加していることがデータで明らかになった。わずか1年間で、システムへの不正アクセスを受けた組織の割合が20パーセントポイント以上も上昇しており、デジタルリスクの加速と、重要なアップデートおよび継続的な強化の必要性を示している。
こうした理由から、重要インフラの保護が国家安全保障と企業安全保障の両方にとって優先事項となり、その回復力強化を目的とした欧州および各国の規制枠組みが推進されているのである。
重要産業およびインフラにおける主なサイバー脅威
重要インフラを取り巻く脅威の状況はますます複雑化している。金銭目的のサイバー犯罪、国家支援によるサイバー諜報活動や破壊工作、ハクティビストによる攻撃、そして正当なアクセス権を持つ個人による人為的ミスや信頼の侵害などが複合的に絡み合っている。
特に重要な脅威の一つに、高度標的型攻撃（APT）があります。これらは長期にわたり、高度に標的を絞った組織的な攻撃であり、多くの場合、諜報機関や国家支援グループと関連付けられています。通常、APTはいくつかの段階を経て展開されます。脆弱性や高度なフィッシングによるネットワークへの侵入、横方向への移動と権限昇格、そして最終的には機密情報の漏洩または破壊工作の準備です。
様々な分析によると、重要インフラを標的とした攻撃の大部分は、恐喝、知的財産権侵害、詐欺など、金銭的な動機に基づいていることが示されています。最も活発なグループとしては、ロシアの利害関係と頻繁に関連付けられるAPT28（Fancy Bear）、中国発のヨーロッパやその他の地域での攻撃キャンペーンに関連するMustang Panda、そして中東のエネルギー部門に焦点を当てるAPT34（OILRIG）などが挙げられます。
一方、ランサムウェアは重要産業にとって最も深刻な脅威の一つとなっている。こうした攻撃では、身代金が支払われるまでシステムが暗号化またはロックされ、機密データの漏洩の脅威が伴うことが多い。2021年に発生したコロニアル・パイプライン攻撃は、米国の一部地域で燃料供給の混乱を引き起こしたが、これはサイバー攻撃がガソリンスタンドでの長蛇の列や供給問題につながる典型的な例である。
地政学的な動機に基づく破壊工作やスパイ活動も増加している。エネルギー、運輸、医療分野の事業者は、不安定化、圧力の行使、あるいは単に戦略情報の入手を目的とした工作活動の標的となっている。イランのナタンズ核施設にある遠心分離機に影響を与えたStuxnet事件は、物理的な産業プロセスを妨害するために特別に設計されたマルウェアの事例として、最も研究されているもののひとつである。
もう一つの重要なリスク要因は、内部脅威です。これらは必ずしも悪意のある従業員によるものではなく、多くの情報漏洩は、社内スタッフやサプライヤーのミス、トレーニング不足、不適切なパスワード管理、またはセキュリティポリシーの実施における怠慢に起因しています。
サプライチェーンは、さらに複雑さを増す要因となる。重要インフラは、製造業者、システムインテグレーター、保守会社、ソフトウェアプロバイダー、クラウドサービスプロバイダーといったネットワークに依存している。攻撃者は、例えば、脆弱性のあるアップデート、セキュリティ対策が不十分な事前設定済みデバイス、あるいは不適切な運用慣行を持つベンダーなど、最も脆弱な部分を悪用することで、重要事業者のシステムを直接攻撃することなく、システムへのアクセス権を取得できる可能性がある。
運輸部門はこのリスクを如実に示しており、一部の国の報告書では、事故件数の大部分を占めている。鉄道や空港の運営会社、あるいはそれらの技術サプライヤーへの攻撃は、連鎖的な影響を及ぼす可能性がある。例えば、運行ルートの混乱、港湾や物流拠点での貨物滞留、在庫切れ、そして莫大な経済的損失などが挙げられる。
さらに、サイバー攻撃と物理的な事件を組み合わせて影響を増幅させるハイブリッド攻撃が注目を集めている。2015年にウクライナで電力会社へのサイバー攻撃によって発生した部分停電や、スカンジナビアの空港でドローンによる領空侵犯が行われ、安全上の理由から空域が閉鎖された事例は、デジタル世界と物理世界がいかに密接に結びついているかを示す例である。
規制枠組み、レジリエンス、およびインシデント対応
重要インフラの防衛は、国内法、欧州指令、技術標準を組み合わせた、特定の規制および組織的枠組みに基づいています。スペインでは、前述の法律8/2011が、物理的セキュリティと論理的セキュリティの両方を含む統合的な対策を実施することにより、このインフラを脅威から保護することを主要な目的としています。マルチユーザー環境やマルチテナント環境を規定するポリシーや標準などの定義も、この枠組みの一部を構成します。
重要な概念の一つはサイバーレジリエンスであり、これは運用能力を失うことなく、あるいは損失を最小限に抑えながら、インシデントを予測し、耐え、適応し、復旧する能力として理解されます。特定保護計画（SPP）はこの枠組みに含まれ、リスク分析、技術的および組織的なセキュリティ対策、そしてインシデント発生時の明確な行動手順を網羅しています。
欧州レベルでは、2022年に採択された重要機関レジリエンス指令（CER）が、ハイブリッド攻撃を含む重大なインシデント発生後の脆弱性の低減と復旧能力の向上という目標を強化しています。この指令は、加盟国および重要機関に対し、セキュリティ、リスク管理、インシデント報告に関する具体的な措置を講じることを義務付けています。
スペインでは、INCIBE-CERT（INCIBEのサイバーセキュリティインシデント対応センター）が、サイバーインシデント管理のための国家的なリファレンスセンターとしての役割を果たしています。24時間365日体制でサービスを提供し、脆弱性や脅威に関する警告を発令するとともに、公的機関や民間企業と連携して技術的な対応を調整しています。
民間部門の重要事業者に影響を及ぼす事件が発生した場合、対応は内務省のサイバーセキュリティ調整室（OCC）と連携して行われる。OCCは、治安部隊と関係する様々な機関との連絡窓口として機能する。
高度な監視技術によるシステムの継続的な監視により、異常な動作をほぼリアルタイムで検出することが可能になります。INCIBE-CERTをはじめとする専門センターは、複数のセンサーやレポートから得られる集約された情報源を活用し、早期警告を発令して、影響を受ける可能性のある組織にインシデントを通知します。ログ分析はこのプロセスにおいて不可欠な要素です。
実際には、ほとんどの重要施設運営者は、セキュリティオペレーションセンター（SOC）とインシデント対応チーム（CSIRT）を統合し、規制上の義務に準拠させ、公式の報告および調整チャネルに接続している。
主要な技術戦略：セグメンテーション、モニタリング、アクセス制御
重要インフラにおいては、単にウイルス対策ソフトとファイアウォールをインストールするだけでは不十分です。潜在的な侵害の影響を最小限に抑え、攻撃者を封じ込めるための多層的なセキュリティアーキテクチャを導入する必要があります。
最も広く用いられている手法の一つに、ネットワークセグメンテーションがあります。これは、ネットワーク環境を複数のゾーンまたはセグメントに分割し、それぞれのゾーン間でアクセス制御とトラフィックフィルタリングを行うものです。こうすることで、攻撃者がネットワークの一部にアクセスできたとしても、ネットワークの残りの部分を自由に移動することは非常に困難になります。
産業環境では、フィールド機器や制御機器から企業ネットワークに至るまで、システムをさまざまなレベルに分割するパーデューモデルが広く用いられています。これらのレベル間には、産業用非武装地帯、ファイアウォール、プロキシなどの制御システムが設けられ、最も機密性の高いOTシステムが企業ネットワークやインターネットに直接接続されることを防いでいます。
この基盤の上に、多くの組織はマイクロセグメンテーションというさらに一歩進んだ手法を採用しています。これは、アプリケーションレベルやワークフローレベルなど、よりきめ細かな制御を追加するものです。この戦略は、パッチ適用が困難なレガシーシステムを抱える重要なインフラストラクチャにおいて特に有効であり、他のセグメントからアクセス可能な領域を最小限に抑えることができます。
監視と早期発見が全体像を完成させる。組織は、従来のシグネチャベースの制御では見逃される異常なパターンを特定できる、継続的な監視ツール、侵入検知・防御システム（IDS/IPS）、ネットワークトラフィック分析、ユーザー・エンティティ行動分析（UEBA）ソリューションを導入している。
人工知能は、これらのセキュリティ運用センターにおいて主導的な役割を果たし始めており、 OTシステムやITシステムの通常の動作における微妙な逸脱を検出したり、大量のデータ内のイベントを相関させたり、より正確なアラートを生成したりすることで、ノイズや誤検知の数を減らすことが可能になっている。
最後に、システムやサーバーにおける適切なセキュリティ対策に加え、多要素認証、厳格な権限管理、職務分掌、包括的なアクティビティログ記録などの堅牢なアクセス制御は、内部ユーザー、サービスアカウント、リモートベンダーのアクセスに関連するリスクを最小限に抑えるために不可欠です。
ヒューマンファクター、安全文化、コラボレーション
多くの深刻な事件は、依然として人的要因が最も脆弱な部分であることを示している。フィッシングメールのクリック、使い回しのパスワード、暗号化されていないノートパソコン、あるいは特権アクセス管理の不備などが、最終的に重要なサービスに影響を与える攻撃への扉を開く可能性がある。
したがって、技術面だけでなく、重要インフラを管理する組織は、管理者、技術者、工場スタッフ、サポートチームを含むすべての従業員を対象とした、充実した研修および意識向上プログラムを実施する必要があります。単に時折研修コースを提供するだけでなく、真の安全文化を構築することが求められます。
これには、サイバーセキュリティリスク管理を業務プロセスや日常業務に統合すること、明確な責任範囲を定義すること、ポリシーや手順を定期的に見直すこと、そして不審な行動は報復を恐れることなく報告できることを奨励することが含まれます。
IT、OT、運用、法務、コンプライアンス、人事といった社内各部門間の連携も極めて重要です。従来、情報技術チームと工場管理者はほぼ別々の世界で活動してきましたが、デジタル化の進展に伴い、リスク管理の連携が不可欠となっています。
重要分野においては、公的機関や規制機関との連携も同様に重要です。一部の規制枠組みでは、特定の期間内に事件を報告すること、脅威に関する情報を共有すること、省庁、治安部隊、または専門機関と行動計画を調整することが求められています。
この共同の取り組みにより、エコシステム全体の保護レベルを高めることが可能になります。なぜなら、ある企業で検出された攻撃に関する情報は、同じ業界の他の組織や関連インフラにおけるインシデントを防止するために利用できるからです。
新たな課題：人工知能、自動化されたデータ、量子コンピューティング
現在のデジタル革命は、新たな防御ツールと新たな攻撃経路の両方をもたらしている。人工知能、高度な自動化、そしてそう遠くない将来には量子コンピューティングが、重要分野におけるサイバーセキュリティの理解の仕方を根本的に変革しつつある。
一方、防御型人工知能は、膨大な量の運用データやセキュリティデータの分析、リアルタイムでの異常パターンの検出、侵害されたノードの隔離、ネットワークの再構成、アクセス ポリシーの動的な調整といった自動応答のトリガーを可能にする。
生成型AIは、脅威に関する情報を統合し、複雑な検出ルールを開発するのに役立ちます。一方、エージェント型AIは、インシデント発生時にサービスの継続性を維持するために、事前に定義されたフレームワーク内で自律的な行動を計画および実行することができます。
しかしながら、これらの機能は攻撃側でも利用されています。攻撃者はすでにAIを活用してフィッシングキャンペーンを最適化したり、より巧妙なマルウェアを生成したり、脆弱性を発見したり、複雑なネットワークにおける横方向の移動を自動化したりしています。さらに、重要インフラで使用されるAIモデル自体が攻撃の標的となる可能性もあります。トレーニングデータへの攻撃、アルゴリズムの操作、悪意のあるデータの注入、結果の改ざんなどによって、自動化されたプロセスで誤った判断が下される可能性があるのです。
したがって、AIシステムを保護するには、トレーニングデータの完全性と機密性を確保すること、モデルの推論と出力を監視して異常を検出すること、開発環境と展開環境への厳格なアクセス制御を確立すること、モデルが操作される可能性がないか継続的に見直すことなど、具体的な対策が必要です。
同時に、量子コンピューティングは中長期的に根本的な課題を突きつけている。現在使用されている多くの暗号アルゴリズムは、十分な性能を持つ量子コンピュータによって破られる可能性がある。標準的な暗号を実運用段階で破ることができる汎用機器はまだ存在しないものの、様々な予測では、このリスクは今後10～20年以内に発生するとされている。
この考え方が「今は収集して、後で復号する」戦略の根底にある。攻撃者は、量子技術が成熟した際に復号できることを期待して、暗号化されたデータを今日保存する。機密性の高い長期保存情報を扱う重要インフラにとって、このアプローチは大きなリスクとなる。
これに対し、将来の量子コンピュータからの攻撃に耐えられるように設計された暗号化および署名アルゴリズムのセットであるポスト量子暗号への関心が高まっている。多くの組織は、これが一夜にして即席でできる移行ではないことを認識しつつ、これらのシステムへの移行の評価と計画を既に開始している。
こうした技術革新は、より動的なセキュリティモデルも促進する。例えば、状況に応じてフィルタポリシーを継続的に調整する行動ベースのマイクロセグメンテーションや、デフォルトではどの接続も信頼できないと想定し、内部ネットワーク内であってもIDと状況の継続的な検証を必要とするゼロトラストアプローチなどが挙げられる。
主要分野におけるセキュリティ機能とユースケース
上記すべてを実際に機能させるためには、重要インフラは高度に統合されたセキュリティ機能群を開発する必要があります。最も重要な機能の一つは、OT環境とIT環境全体にわたる統一された可視性であり、明確な資産インベントリ、依存関係マップ、および集中監視が不可欠です。
この可視性は、イベント相関システム、トラフィック分析、侵入検知、そしてますます高度化する行動分析によって支えられる、リアルタイムの脅威検知機能の基盤となります。これにより、不正アクセス、異常な使用パターン、コマンド＆コントロールドメインとの通信、および権限昇格の試みを特定することが可能になります。
同様に重要なのは、重大なインシデントが検出された際に、人間の介入なしに対策を適用できる自動応答機能です。これには、デバイスの隔離、アカウントのブロック、緊急時のセグメンテーション、設定のロールバックなどが含まれます。一刻を争う環境では、このスピードが大きな違いを生む可能性があります。
例えばエネルギー分野では、多くの企業がSCADAシステム監視と産業ネットワークトラフィック分析を統合した専用のOT SOC（運用技術セキュリティセンター）を導入しています。これらのセンターは、制御システムへの不正アクセスを早期に検知することで、電力供給を妨害しようとする破壊工作を阻止することに成功しています。
運輸、特に航空および鉄道においては、信号、交通管制、通信システムの保護が極めて重要です。高度にセグメンテーションされた高セキュリティゾーンは、厳重に管理されたゲートウェイを介してのみ接続されており、企業ネットワークへの侵入が旅客輸送と安全を管理するオペレーティングシステムに影響を与えることを防いでいます。
一方、医療分野は、医療データが闇市場で特に高値で取引されているため、ますます大きなプレッシャーにさらされている。病院や医療ネットワークは、フィッシングやランサムウェアに対する職員研修の強化、患者情報のエンドツーエンド暗号化の導入、そして医療記録や診断システムの迅速な復旧を可能にするバックアップおよび復旧計画の策定に注力している。
これら全ての分野において、高度な技術、成熟したリスク管理プロセス、そして責任感のある人材の組み合わせこそが、脆弱なインフラと、最悪のサイバー攻撃シナリオにおいても耐え抜き、復旧し、必要不可欠なサービスを提供し続けることができるインフラとの違いを生み出すのです。
現状は、重要分野におけるサイバーセキュリティ対策が、もはや単発的なプロジェクトや単なる規制要件として対処できるものではないことを示している。社会の機能を支える基盤を安全に保つためには、技術、プロセス、人材、そして官民連携が融合した、継続的かつ多角的で協調的な戦略が求められる。
