米国水インフラへのサイバー攻撃、規制論争を誘発し「ウォーター・ウォッチ・センター」を設立

イランの関与が疑われる一連の組織的なサイバー攻撃が、米国12州以上の飲料水および廃水処理システムを標的とした。これにより、民間部門による新たな防御策の導入と、サイバーセキュリティ義務化を巡る立法上の争いが再燃している。DEF CONカンファレンスにおいて、全米農村水協会（NRWA）とDEF CON Franklinは、人口1万人未満の小規模事業者に管理検知・対応（MDR）サービスを提供する「ウォーター・ウォッチ・センター」を設立した。一方、連邦議会では、これらの攻撃を受けて規制に関する議論が再燃している。民主党のアダム・シフ議員とエイミー・クロブシャー議員は、環境保護庁（EPA）にサイバーセキュリティ基準の強制執行権限を与える「2026年水サイバーシールド法」を提出したが、業界団体や共和党は、連邦政府によるトップダウンの義務化よりも、リソース提供ベースまたは業界主導の協調的アプローチを支持している。

// 背景

米国の水セクターは非常に断片化されており、約15万の飲料水および廃水処理システムが存在する。その大部分は、限られた予算で運営され、専任のサイバーセキュリティ担当者が不在の小規模な農村地域の事業者である。バイデン政権がEPAを通じてサイバーセキュリティ基準を義務化しようとした過去の試みは、共和党支持の州や業界による訴訟によって阻止された。現在、水情報共有分析センター（WaterISAC）が脅威情報の共有をある種の自発的なハブとして機能しているが、費用負担のため、加入しているのはセクター全体の1%未満に留まっている。

// 主要動向

• ミネソタ州の30以上のコミュニティ水システムおよび他11州のユーティリティ企業が、一連の継続的なサイバー攻撃の標的となりました。
• 新設されたWater Watch Center (WWC) は、全米のコミュニティ水システムの91%を占める、人口1万人未満の小規模ユーティリティ企業を対象としています。
• Defendify、Legato Security、L1 Secure、Rapid7、Sentinel Technologiesの5つのサイバーセキュリティ企業が、WWCイニシアチブの下で直接的なサービスを提供します。
• ヴァンダービルト大学はWWCと提携し、自動化されたAI駆動型の防御策をテストするための水システムの「デジタルツイン」を作成します。
• シフ議員とクロブチャー議員は、EPA（環境保護庁）にサイバーセキュリティ評価の義務化と脆弱性の対処に関する権限を与えるための「2026年水サイバーシールド法」を提出しました。
• リック・クロフォード下院議員が主導する業界支持の代替法案は、中規模および大規模ユーティリティ企業向けの基準を策定するためのNERCのような独立した組織を設立することを目指しています。