Tenable ブログ
ブログ通知を受信する
公共水道事業におけるサイバーセキュリティ対策に関する連邦政府の推奨事項: Tenable がお手伝いできること
水インフラと重要インフラに対するサイバー脅威を受け、米国環境保護庁 (EPA : Environmental Protection Agency) は各州に対して、超党派インフラ法案で飲料水州回転基金に供給された増額資金を、サイバーセキュリティ防御の強化に活用するよう推奨しています。 このブログでは、必要な情報と Tenable がお役に立てる内容をご紹介します。
米国の上下水道システムが悪意のある攻撃者に狙われていると警告する共同サイバーセキュリティアドバイザリが、連邦捜査局 (FBI) 、アメリカ国家安全保障局 (NSA)、サイバーセキュリティ・インフラストラクチャセキュリティ庁 (CISA)、環境保護庁 (EPA) から発表されて 18 か月近く経ちました。 また 2021 年 2 月には、フロリダ州オールズマーの浄水処理システムに有害物質を加える企てが判明しました。米国EPA は、こういった施設でサイバーセキュリティのベストプラクティスを採用することが「極めて重要」であると述べています。
公共水道に対するサイバー攻撃は、確かに米国に限ったことではありません。 例えば、英国の水道事業者の South Staffordshire PLC は、2022 年 8 月にランサムウェア攻撃の被害を受けました。 しかし、米国特有の水道システムがサイバーセキュリティの強化をとりわけ難しいものにしています。地域ごとに州や地方自治体や民間企業など異なる団体によってシステムが管理されているためです。
EPA は「Water Sector Cybersecurity Brief for States (州の水道部門におけるサイバーセキュリティの概要)」の中で、すべての飲料水と下水の事業者が以下の緩和措置を講じるように推奨しています。
- 悪用されている既知の脆弱性に対する修正の優先順位付け
- 強力なパスワードによる多要素認証の有効化と適用
- 未使用ポートのクローズ
- 不要なアプリケーションの削除
また、近く EPA は州に対して、約 1,600 の水道システムについて検査範囲を拡大してサイバーセキュリティ脅威を対象に含めるよう要請する見込みです。
システムの老朽化と既知の脆弱性がサイバーリスクを拡大
2021 年 10 月の共同アドバイザリにあるように、水道システムを運営する自治体では「サイバーセキュリティに関する一貫した高い基準」を採用するためのリソースが不足していることが多く、それが「サポート切れまたは古いオペレーティングシステムとソフトウェア」の使用につながっている可能性があります。 この共同アドバイザリによると、こういった古いシステム、制御システムデバイス、ファームウェアバージョンは、水道システムネットワークを「誰でもアクセス可能でリモート実行が可能な脆弱性」にさらすことになります。 このようなデバイスの侵害に成功すると、システム制御の喪失、サービス拒否、機密データの損失につながる可能性があります。
特に懸念されるのはランサムウェアです。 2022 年 11 月 17 日に発表された共同サイバーセキュリティアドバイザリでは、ランサムウェアの攻撃者が幅広い企業や重要なインフラ部門を狙っていると警告しています。
「米国環境保護庁は各州に、大幅に増額された SRF 資金を、自然災害、気候変動、バイオテロリズムやサイバー攻撃など種類を問わず、あらゆる脅威に対して水道システムの強靭性を高めるインフラプロジェクトに活用するよう奨励しています」
1996 年に飲料水安全法の一環として制定された飲料水州回転基金 (DWSRF) は、公営および民間の水道システムの飲料水インフラプロジェクトに資金援助を行うものです。 2021 年 11 月に署名された超党派インフラ法案では、DWSRF に対して 117 億ドルが追加供給されることになりました。 2022 年から 2026 年の会計年度で利用可能となるこの資金は、米国の水インフラ史上における最大の投資額となります。 EPA のファクトシート「Bipartisan Infrastructure Law: State Revolving Funds Implementation Memorandum (超党派インフラ法案: 州回転基金の実施覚書)」には、「EPA は各州に、大幅に増額された SRF 資金を、自然災害、気候変動、バイオテロリズムやサイバー攻撃など種類を問わず、あらゆる脅威に対して水道システムの強靭性を高めるインフラプロジェクトに活用するよう奨励する」と明確に述べられています。 また EPA は、ファクトシート「Supporting Cybersecurity Measures with the Drinking Water State Revolving Fund (飲料水州回転基金によるサイバーセキュリティ対策支援)」で、DWSRF を活用し、サイバーセキュリティ対策で州政府の取り組みやコミュニティを支援する方法について詳しく説明しています。
Tenable は水道事業者が脆弱性を特定し優先順位を付ける手段を提供
Tenable には、上下水道サービスのネットワーク接続デバイスの保護を支援してきた豊富な経験があります。 当社のソリューションを使用すると、IT とオペレーショナルテクノロジーが融合された環境を完全に可視化し、正確な資産インベントリの構築、脆弱性の特定、資産の状況や背景に基づいたリスクの優先順位付けを行うことができます。
例えば、ローリー市では Tenable.ot を活用することで、インベントリ管理の時間を減らし、水道システムの脅威の調査や脆弱性の修正に注力できる時間を増やせるようになりました。 Tenable の高度な脅威検出エンジンでは、ネットワークとデバイス層で不正と疑われる動きを特定し、一目でわかるエンタープライズセキュリティダッシュボードを介してセキュリティチームに通知して、サイバー脅威への迅速な対応を実現できます。 Tenable は監査ログを保持し、偶発的または悪質な変更を特定するためにオペレーショナルテクノロジーデバイスでの設定変更を監視して、企業ポリシーおよびコンプライアンス要件をシステムが満たしていることを確認します。
Tenable は、産業用制御システム (ICS) セキュリティ市場のリーダーであり、サイバーセキュリティ分野で世界中の 4 万以上のお客様から信頼されるブランドです。 脆弱性カバレッジのリーダーたる Tenable Research チームと、特許取得済みのアクティブクエリテクノロジーに支えられた公共水道システムでは、重要な水道サービスを中断しようと試みる攻撃者を Tenable の力で阻止します。
もっと詳しく
関連記事
Cybersecurity Snapshot: New Guide Explains How To Assess if Software Is Secure by Design, While NIST Publishes GenAI Risk Framework
May 10, 2024Is the software your company wants to buy securely designed? A new guide outlines how you can find out. Meanwhile, a new NIST framework can help you assess your GenAI systems’ risks. Plus, a survey shows a big disconnect between AI usage (high) and AI governance (low). And MITRE’s breach post-mortem brims with insights and actionable tips. And much more!
Cybersecurity Snapshot: Attackers Pounce on Unpatched Vulns, DBIR Says, as Critical Infrastructure Orgs Benefit from CISA’s Alert Program
May 3, 2024Verizon’s DBIR found that hackers are having a field day exploiting vulnerabilities to gain initial access. Plus, a CISA program is helping critical infrastructure organizations prevent ransomware attacks. In addition, check out what Tenable’s got planned for RSA Conference 2024. And get the latest on the Change Healthcare breach. And much more!
As Pro-Russia Hactivists Target OT Systems, Here’s What You Need To Know
May 2, 2024U.S. and international cybersecurity and law enforcement agencies this week issued a joint fact sheet to highlight and safeguard against the continued malicious cyber activity conducted by pro-Russia hacktivists against operational technology (OT) devices in North America and Europe. Read on to get all the details and learn what actions to take today.
Tenable Cloud Security Study Reveals a Whopping 95% of Surveyed Organizations Suffered a Cloud-Related Breach Over an 18-Month Period
May 14, 2024The finding from the Tenable 2024 Cloud Security Outlook study is a clear sign of the need for proactive and robust cloud security. Read on to learn more about the study’s findings, including the main challenges cloud security teams face, their strategies for better protecting their cloud infrastructure and the tools they use to measure success.
Shifting the Paradigm: Why the Cyber Insurance Industry Should Focus on Preventive Security
May 13, 2024As claims and losses climb, it’s clear that preventive security should be prioritized more when designing a cyber insurance policy. Here’s why preventive security investments are cost effective and can lead to lower premiums.
Cybersecurity Snapshot: New Guide Explains How To Assess if Software Is Secure by Design, While NIST Publishes GenAI Risk Framework
May 10, 2024Is the software your company wants to buy securely designed? A new guide outlines how you can find out. Meanwhile, a new NIST framework can help you assess your GenAI systems’ risks. Plus, a survey shows a big disconnect between AI usage (high) and AI governance (low). And MITRE’s breach post-mortem brims with insights and actionable tips. And much more!
- Government
- OT Security