エネルギーインフラはサイバー犯罪者にとって主要な標的であり続けており、国家的重要インフラ（CNI）に対する攻撃はエネルギー部門以外にも極めて深刻な影響を及ぼす可能性がある。こうしたインシデントは、重要サービスを中断させ、国家全体を不安定化し、悪意ある者に多大な経済的利益をもたらす。このリスクは理論上のものではない。2021年のColonial Pipelineランサムウェア攻撃は、米国の主要燃料パイプラインの一時的な停止を余儀なくさせ、地域的な燃料不足を引き起こし、単一の侵害が経済や日常生活にいかに波及しうるかを浮き彫りにした。世界的に地政学的緊張が高まる中、サイバー諜報活動も並行して激化しており、エネルギー企業にとって堅牢なサイバーセキュリティ投資が急務となっていると、大手インテリジェンスおよび生産性向上プラットフォームであるGlobalDataは指摘する。

GlobalDataの戦略インテリジェンスレポート「Cybersecurity in Energy」は、サイバーセキュリティの課題がエネルギー業界の最重要問題とどのように交差するかを考察している。具体的には、デジタル化、分散型エネルギーリソース（DER）、電力網の近代化、サプライチェーン、サードパーティベンダーとの関係、および地政学的リスクが含まれる。エネルギー部門における再生可能エネルギー源、スマートグリッド、IoTデバイスへの移行の加速は、同時に攻撃者が悪用しうる攻撃対象領域を拡大させている。

GlobalDataの石油・ガスアナリストであるRavindra Puranik氏は次のように述べた。「エネルギー企業は広範なサードパーティエコシステムに依存しており、サプライヤーの脆弱性がITおよびOT環境に波及しうる主要なサイバーリスクとなっている。共有ベンダーソフトウェア（例：ファイル転送ツール）を悪用した攻撃は、大手プレーヤーを直撃している」

Puranik氏はさらに、「リスク軽減には、継続的モニタリング、標準化、セグメンテーション、最小権限、監査、共同インシデント対応など、より強力なベンダーガバナンスが必要である」と付け加えた。

GlobalDataは、進行中のデジタル化と情報技術（IT）と運用技術（OT）の融合が、従来の産業資産を現代のグリッド技術にリンクさせていると指摘する。この統合により、ITレベルの侵害が物理的な運用障害に波及しうる侵入経路が拡大している。多くのエネルギー施設は、ネットワークセキュリティを考慮せずに設計された数十年前の産業制御システムを今も稼働させており、極めて複雑な保護課題を生み出している。生成人工知能（AI）は攻撃の速度と洗練度を高めることで脅威状況をさらに悪化させ、防御側が利用できる対応時間を短縮している。

各国政府と規制当局もこの事態を注視している。米国運輸保安庁と欧州連合はパイプライン事業者および重要エネルギーインフラ向けの強化されたサイバーセキュリティ義務を導入し、英国のNetwork and Information Systems（NIS）規制は当該部門全体の運用レジリエンス要件を継続的に厳格化している。

Puranik氏は次のように総括した。「石油・ガス企業は、継続的モニタリングと迅速な対応、専門家による検証、強固な運用準備を提供する専門的なサイバーセキュリティサービスに投資すべきである。また、設備および油田サービスプロバイダーは、セキュアな開発支援やセキュリティ監査・認証などの製品志向のサービスを追加し、サプライチェーンリスクを低減して顧客の信頼を維持すべきである」

「サイバーセキュリティは石油・ガスのバリューチェーン全体において不可欠であり、データの保護、資産の完全性の担保、および経済的損失の防止において重要な役割を果たす」

出典：GlobalData