大抵の人が知らない｢サイバー攻撃｣驚愕の新事情

重要インフラ防護の新段階

今年5月、アメリカ最大手の石油パイプライン事業者であるコロニアル・パイプラインが、ランサムウェア（身代金要求型不正プログラム）の攻撃を受けて5日間にわたる操業停止に追い込まれ、アメリカ東海岸の社会経済活動に重大な影響を与えた。

独立行政法人情報処理推進機構セキュリティセンター（IPA）「情報セキュリティ10大脅威」（2021年2月）によれば、ランサムウェアは、今や政府・民間組織の情報セキュリティに対する最大の脅威となっている。この脅威をより深刻にしているのは、ランサムウェアの矛先が国民生活や経済活動の基盤となる重要インフラに向けられたことだ。

重要インフラに対するサイバー攻撃は、未遂事例を含めれば枚挙にいとまがない。最近の深刻な事例は、アメリカのセキュリティ企業ソーラーウインズがソフトウェアを契約する企業が連鎖的に攻撃を受けたことである。

同社製品はアメリカの主要政府機関、アメリカ軍、アメリカの大手重要インフラ企業が採用しており、海外ユーザーには北大西洋条約機構（NATO）、欧州議会、イギリス国防省、イギリス国民健康保険制度（NHS）が含まれる。この事案では犯行グループが静かに侵入して攻撃の痕跡を巧妙に隠し、約10カ月間にわたり発覚を逃れてネットワークに潜伏した。同社ユーザーの多くの機密情報が窃取されたとみられているが、現時点でも被害の全容は判明していない。

重要インフラ防護で懸念すべき新たな動向は、産業用制御システムの脆弱性をついた攻撃の拡大である。ウクライナ大規模停電（2015年）では、犯行グループがVPN接続から制御システムに侵入・潜伏し、ブレーカー遮断コマンドを送信していた。

ノルウェー企業ノルスク・ハイドロ事案（2019年）では生産設備の管理システムがランサムウェアに感染し、世界中で社内ネットワークがダウンした。アメリカ・フロリダ州オールズマー市水道局事案（2021年）では、水道の制御システムが不正アクセスされ、犯行グループは水酸化ナトリウムの量を100倍以上に増やすコマンドを実行している。

かつてイラン核燃料施設の遠心分離機を稼働不能にしたスタックスネットは、外部からUSBメモリーを持ち込む物理レイヤーが依然として介在していた。しかし現代のデジタルトランスフォーメーション（DX）では、主要企業の生産部門・管理部門ではスマートファクトリー、リモート制御システム、エッジコンピューティング、AIによる最適化生産、クラウドサービスの責任共有モデルの導入が進んでいる。DXにより産業用制御システムはオープンシステムとの連携が急速に進んでおり、この進化とともにオペレーショナルテクノロジー（OT）の脆弱性も飛躍的に高まっているのである。

重要インフラ防護とアクティブ・ディフェンスの導入

日本政府は重要インフラ防護の最大の目的を機能保証に置き、重要インフラ事業者（14分野）の防護能力を支援し、事業者同士の連携を図ることによってリスクマネジメント体制を整備している（サイバーセキュリティ戦略本部「重要インフラの情報セキュリティ対策に係る第4次行動計画」）。しかし、重要インフラに対する脅威が新たな段階に入りつつある現在、機能保証のための事業者間連携モデル＝受動防衛（パッシブ・ディフェンス）だけでよいだろうか。

例えばコロニアル・パイプライン事案では、アメリカのバイデン政権が犯行グループに暗号通貨で支払われた身代金のうち230万ドル相当を回収している。この回収作戦はアメリカ連邦捜査局（FBI）による犯行グループの捜査、アメリカ司法省のデジタル恐喝タスクフォース、アメリカ財務当局の緊密な連携によって暗号通貨ウォレット支払い資金の追跡（ブロックチェーン・エクスプローラー）によって可能となった。同作戦の成功は、アメリカの犯行グループに対する攻撃コストを高め、利益を減らす重要なシグナルとなる。日本政府にはこのような機動的なタスクフォース機能は未整備の段階である。

また、将来重要インフラが大規模なサイバー攻撃に晒され、人命の被害や物理的破壊を伴う事態も想定が必要だ。航空、鉄道、交通、電力システムなど、制御システムを乗っ取ることによって、多数の死傷者が生じる重要インフラ攻撃のXデーは間近に迫っているかもしれない。そのような事態が生じた際に、機能保証を目指す受動防衛のみではもっぱら守勢となり、次の攻撃を有効に抑止する手立てを著しく欠くことになりかねない。

現代の重要インフラ防護の新たな動向に対応するためには、従来の受動防衛の強化と重要インフラ基盤の強靭性強化に加えて、攻撃者に対する直接的な働きかけを含む積極防衛（アクティブ・ディフェンス）の導入が望ましい。具体的には、潜在的な攻撃者に対する通信の監視による攻撃兆候の把握、攻撃者の特定（アトリビューション）能力の強化、攻撃者に対する交渉・強制・報復能力、（脅威の段階に応じた）有事認定、日米を中核とした国際連携を組み合わせることが重要な課題となる。

アクティブ・ディフェンスの3段階

アクティブ・ディフェンスの第1段階は「探知による抑止」（deterrence by detection）強化である。潜在的な攻撃者の行動を検知・把握することによって、攻撃者が常に監視されていることを知り、機会主義的な行動をとる可能性を減らすことだ。

第2段階は「拒否的抑止」（deterrence by denial）であり、日本の多層防護態勢や迅速な復旧能力を示すことにより、攻撃インセンティブを低くすることである。

そして第3段階は攻撃者に対する刑事訴追や反撃を含む「懲罰的抑止」（deterrence by punishment）を導入し、日本に対する攻撃に高い代償を与える能力を持ち、攻撃を思いとどまらせるようにすることである。

日本政府は本年末をメドに「次期サイバーセキュリティ戦略」を策定する。また本年9月にはデジタル庁が発足し、デジタル経済推進を加速させる。この重要なタイミングで、政府は重要インフラ防護に対する危機認識を更新し、本稿で提示したアクティブ・ディフェンス導入も含めた取り組み強化を検討し、必要な法改正や実施体制について提言し、各組織における責任・権限・役割分担を明確化する必要がある。

次期戦略（案）では「サイバー攻撃に対する抑止力の向上」が掲げられ、「相手方によるサイバー空間の利用を妨げる能力」や刑事訴追等の手段を活用するという方針を示している。日本が本気でアクティブ・ディフェンスに踏み込むためには、これら施策をより体系的に推進することが必要だ。

また経済安全保障の視点からも、先端技術・防衛産業等のセキュリティを確保する視点を強化することも必要だ。次期戦略の中で、機微技術の保護・移転防止を情報セキュリティ分野から支え、データセンター防護や分散化を推進し、さらにグローバルなサプライチェーン管理と新興国の情報セキュリティの能力向上支援をセットにした国際連携が求められる。

日本には高い専門性を持つ大臣レベルの権限者がいない

日本の重要インフラ防護政策の最大の問題は、高い専門性を持つ大臣レベルの権限者が存在しないことである。国家安全保障会議（NSC）へのサイバーセキュリティ責任者の関与は極めて重要だ。重要インフラ防護と安全保障政策の接続にあたり、サイバーセキュリティを統括する責任者が首相、官房長官、外相、防衛相、自衛隊統合幕僚監部と連携を図る必要は明白だからである。

アメリカ・バイデン政権はホワイトハウス内に国家サイバー長官を指名し、民間機関の防衛やサイバーセキュリティ予算を監督する。アメリカNSCではサイバーセキュリティ担当国家安全保障副補佐官がサイバー防衛の指揮を担っている。またアメリカ国土安全保障省、国家情報長官（DNI）、サイバー脅威情報統合センター（CTIIC）が連携しながら体制を築いている。日本にも適切なカウンターパートの体制が整えられることが望ましい。

サイバーセキュリティを担う実行部隊の育成と組織化も喫緊の課題だ。次期戦略（案）でも「ナショナルサート機能の強化」および「包括的サイバー防御のための環境整備」が掲げられている。次期戦略では大規模な人事予算を確保し、ナショナルサートの枠組み整備とともに、内閣サイバーセキュリティセンター（NISC）の情報セキュリティ横断監視即応・調整チーム（GSOC）および緊急支援チーム（CYMAT）の大幅強化に取り組まねばなるまい。

これらのチームが警察庁・防衛省・デジタル庁と連携しつつ、状況監視・インシデントレスポンス・影響評価・フォレンジック・法的対応などの基盤となる。仮に国内の体制や法的基盤が短期間に整備されなくても、将来の日本のアクティブ・ディフェンス機能を担う準備を整えることが必要だ。