水道施設への攻撃とOTの分離、NIS2への対応

2026年8月の工場設備などを監視・制御する技術であるOTセキュリティ動向は、接続の管理不足が操業に直接影響するリスクになり得ることを示しています。記録されていない接続や、インターネットに露出した接続も、そのリスクに含まれます。

米国の複数の州で上下水道の制御システムを狙う攻撃が広がり、設備を制御するプログラマブルロジックコントローラーであるPLCの設定変更や運転担当者が操作できなくなる事態、一部施設での自動運転機能の停止が報告されました。同時期に公表されたシステム分離の指針と、欧州の規制対応が示す課題は共通しています。すべての接続を把握し、各アクセス経路を管理し、接続を切り離しても重要な業務を継続できるようにすることです。

この記事の要点

• インターネットに露出したPLCを狙う攻撃で、米国の少なくとも12州の上下水道施設に影響が及んだと報じられました。一部では自動制御が使えなくなりましたが、当局によると、水の汚染や公衆衛生への長期的な影響は確認されていません。
• 共通する弱点は、高度なOTマルウェアではなく、外部に公開されたコントローラー、初期設定のままの認証情報や弱いパスワード、通常の台帳では把握されていない携帯回線やインテグレーターが設置した接続でした。
• 重要インフラ向けの共同指針は、重要なシステムの特定、依存関係の把握、段階的に分離できる箇所の設定、分離状態や手動で運転を続ける試験を勧めています。
• オランダでは、EUのネットワーク・情報システムのセキュリティに関する指令であるNIS2と重要事業体のレジリエンスに関する法律が2026年8月15日に施行され、登録、リスク管理、インシデント報告、経営陣の責任に関する義務が導入されました。
• EUサイバーレジリエンス法（Cyber Resilience Act：CRA）の報告義務は2026年9月11日に適用が始まりました。装置メーカーやネットワーク接続製品の製造者には、脆弱性とインシデントに対応する手順が求められます。

複数州の水道施設への攻撃が示したPLCの公開リスク

当時の報道では、ミネソタ州の30を超える施設とミシガン州の9施設への攻撃に続き、少なくとも12州の水道施設に影響が及んだとされています。攻撃者は、インターネットに露出したRockwell AutomationのAllen-BradleyブランドのMicroLogix 1100・1400 PLCを狙い、ネットワーク設定を変更したり、パスワードを設定して運転担当者が操作できないようにしたりしたと報じられました。一部施設では、自動制御の喪失や一時的な機能停止が発生しました。

操業への影響を考えると、こうした条件は、水道施設に限られません。外部に公開されたコントローラー、共有アカウントや初期設定の認証情報、老朽化した機器、携帯回線、ITとOTの間の分離不足は、製造、エネルギー、交通、ビル制御にも存在します。イランと関係する攻撃者の関与は未確認です。攻撃者の特定に気を取られ、すぐに対処できる露出を見落とすべきではありません。

原文の出典はITPro、Associated Pressです。

OTを分離した状態でも事業を継続できるようにする

CI Fortifyの指針は、重要サービスの提供に必要な最小限のシステムを特定し、外部への依存関係をすべて把握したうえで、物理的または暗号技術による分離点を設け、段階的な分離計画を試験するよう勧めています。対象には、ベンダーの遠隔アクセス、携帯回線や通信事業者の接続、クラウドサービス、共通の認証基盤、バックアップなど、分離の妨げになり得る依存関係が明示されています。

操業への影響を考えると、ネットワーク構成図で区画を分けているだけでは十分ではありません。遠隔接続経路を速やかに無効化できること、クラウド、認証基盤、通信事業者、ベンダーのサービスが使えなくても、工場や重要サービスを安全に継続できることを確かめる必要があります。装置メーカーと保守担当者にとっては、接続を管理・監査し、必要に応じて容易に取り消せる遠隔アクセスが、より重要になります。

出典は豪州サイバーセキュリティセンターのCI Fortify指針です。

オランダでNIS2に対応する法律が施行

オランダのサイバーセキュリティ法と重要事業体のレジリエンス法は、2026年8月15日に施行されました。8,000を超える組織が、登録、サイバーセキュリティリスク管理、重大なインシデントの報告、監督、経営陣の明確な責任に関する新たな要件の対象となります。エネルギー、水道、下水道、交通、食品、製造、デジタルインフラなど、OTへの依存が大きい分野も含まれます。

企業では、サイバーセキュリティの管理責任が経営陣の責任として明確になります。遠隔アクセス、第三者との接続、インシデントの報告・上申、業務を継続し、復旧するための体制を、ITとOTを通じて一貫して管理していることを示す必要があります。

NIS2の解説を見る

出典はオランダ政府、オランダNCSCです。

CRAの報告義務への対応

EUサイバーレジリエンス法の報告義務は、2026年9月11日に適用が始まりました。欧州委員会の実施ガイダンスでは、製品の適用範囲、遠隔データ処理を行う構成要素、実質的な変更、サポート期間、リスク評価、報告について説明されています。

装置メーカーには、脆弱性の報告を受け付け、悪用の有無や深刻度を評価し、インシデントを適切に報告・上申する手順が必要です。設計・開発、製品セキュリティ、法務、供給者、保守担当者、顧客の間で、通知を調整できる体制も求められます。

出典は欧州委員会の実施ガイダンス案内です。適用開始日の確認に用いた資料は欧州委員会の報告義務解説です。

OTの責任者が確認すること

• インターネット、携帯回線、ベンダー、インテグレーター、クラウドからOTにつながるすべての経路を照合する。中央のIT部門が管理していない接続も含める。
• 遠隔アクセスに、多要素認証、細かな権限設定、責任者の明確化、期限を設けた承認、監査記録を求める。
• 遠隔接続経路をどれだけ速く無効化できるか、分離状態や手動で重要な業務を安全に継続できるかを試験する。
• PLCプログラム、機器設定、アクセス制御リスト、復旧手順をオフラインでも利用できるように保管する。
• NIS2とCRAに関するインシデント対応の手順を連携させ、経営陣への報告、顧客への連絡、規制上の報告が、同じ確認済みの事実に基づくようにする。

原文はSecomea OT Security Weekly #001（2026年8月12日）。本記事は原文の日本語訳です。事例と未確認事項は原文時点の情報に基づきます。NIS2・CRAの適用開始日は、公表済みの公式情報に合わせて時制を調整しています。