ユーティリティ業界のサイバーセキュリティ・ガイド

Margaret Lindquist | シニアライター | 2025年11月13日

従来、エネルギーや水道などのユーティリティでは、変電所や浄水場、ガスのパイプラインといった物理的な設備が主なインフラでした。しかし現在、サービスを安全かつ安定して提供するために、スマートメーターやセンサー、複雑なデータネットワークといったデジタル技術も欠かせなくなっています。こうした変化によって、ユーティリティ企業は効率化を図り、顧客との関係を強化できるようになりましたが、同時にサイバー攻撃のリスクも高まっています。この記事では、ユーティリティ業界が直面する主な課題や脅威、そしてデータや重要なインフラを守るためのベストプラクティスについてわかりやすくご説明します。

ユーティリティ・サイバーセキュリティとは

ユーティリティ・サイバーセキュリティとは、エネルギー会社や水道会社が自社のグリッド、パイプライン、制御システム、業務アプリケーション、その他のデジタル資産をサイバー攻撃から守るために活用する技術やベストプラクティスのことです。

堅牢なサイバーセキュリティ・プログラムは、ユーティリティ企業がシステムを円滑に運用し続けたり、制御シグナルの信頼性を維持したり、顧客やオペレーションに関するデータを保護したり、万一のインシデント発生時にも迅速に回復できるレジリエンスを高めることに役立ちます。

主なポイント

  • ユーティリティ企業は、財務、サプライチェーン管理、人事、顧客関係管理の各種アプリケーションに加え、発電所や送配電ネットワーク、水処理施設、パイプラインなどを管理する運用系システムにもサイバーセキュリティ対策を幅広く講じています。
  • ランサムウェアや国家レベルのサイバー攻撃は、ユーティリティ企業が直面する最も深刻なサイバー脅威であり、攻撃が成功すると、地域全体の重要なサービスが中断される恐れがあります。
  • ユーティリティ企業は、各従業員の職務に合わせたデータセキュリティ研修を定期的に実施するとともに、インシデント対応計画を策定し、継続的に見直しとテストを行うことが重要です。

ユーティリティ・サイバーセキュリティの解説

ユーティリティ企業は、サイバー犯罪グループや国家が関与する攻撃者から特に狙われやすくなっています。ランサムウェアの攻撃者は素早い金銭的な利益を求め、敵対する国の政府は長期的な混乱を引き起こすことを狙っています。これらの攻撃の一般的な侵入経路には、第三者ベンダーの侵害、インターネット経由でアクセス可能な脆弱な資産、ソーシャル・エンジニアリングによる手口、内部者によるアクセス権限の悪用などがあります。さらに、ITネットワークと運用技術（OT）ネットワークの統合が進んだことで新たな脆弱性が生まれ、攻撃者が財務やサプライチェーンなどの業務システムから、電力や水質、パイプライン運用を管理する制御システムへと侵入しやすくなっています。

ユーティリティ企業がサイバー攻撃の被害に遭うと、何百万人もの人々に影響が及ぶ可能性があります。たとえば、停電や断水、環境被害、さらには水の汚染につながることも考えられます。ランサムウェアやフィッシング、サプライチェーン攻撃といったサイバー攻撃はますます巧妙化しています。そのため、防御体制の強い組織であっても、こうした新たな脅威に対して防御、検知、対応の戦略を常に見直す必要があります。こうした背景から、ユーティリティ企業ではサイバーセキュリティ強化のため、クラウドベースの業務・運用システムの導入が進んでいます。クラウドを活用することで、攻撃が増加した際にもセキュリティ監視やバックアップ機能を柔軟に拡張できる点がメリットです。また、クラウドプラットフォームではAIによるセキュリティ機能が充実してきており、従来のシステムよりも圧倒的に早く、不審なログイン試行やマルウェア攻撃などを検知できます。一方、複数拠点にまたがってオンプレミス環境のセキュリティを管理する場合、拠点ごとにアップデートやパッチの適用が異なることから、管理の一貫性が損なわれる恐れがあります。クラウドベースのセキュリティであれば、一元的な管理が可能になり、すべての拠点でアップデートやパッチを定期的かつ均一に適用できます。

ユーティリティ・サイバーセキュリティが重要な理由

ユーティリティ企業は、私たちの生活に欠かせない電気や水、ガスといった重要なサービスを提供しています。これらのシステムがサイバー攻撃を受けると、単なる技術的な問題にとどまらず、市民の安全や経済の安定、さらには国家の安全保障にまで影響が及ぶ可能性があります。

米国環境保護庁（EPA）によると、米国には約15万の公共水道システムと1万6千の公営下水処理施設があり、そのうち97%は顧客が1万人以下の規模です。多くのユーティリティ運営者は、限られた予算や小規模なIT・セキュリティチームで重要なインフラ管理に取り組んでおり、大きな課題に直面しています。特に、サイバー攻撃がITシステムとOT（運用）システムの両方を狙ってくる場合には対応が非常に困難です。加えて、外部の請負業者やベンダー、サプライヤーの利用が一般的であるため、さらに多くの脆弱性が生じるリスクがあります。

2023年、複数の政府機関が、イランの軍事組織による世界各地の水道施設や下水処理システムへの攻撃に関するサイバーセキュリティの注意喚起を発表しました。攻撃者は、インターネットに接続された機器が初期パスワードのまま使われていたことを悪用し、施設へのアクセスを得ていました。本来、これらのパスワードは運用前に変更されるべきであり、そもそもインターネットに直接接続されるべきではありませんでした。今回のケースでは、攻撃者の目的は政治的なメッセージを発信することだったようです。しかし、この侵害は深刻な被害の可能性も浮き彫りにしました。攻撃が、ポンプやタービン、放流バルブなどを制御するOTシステムを狙ったものであれば、火災や洪水、汚染といった重大な事態につながる恐れがあったからです。

また、ユーティリティ企業の請求システムやCRM、サプライチェーンなどの業務システムが攻撃されると、顧客や取引先の機密データが流出し、詐欺や個人情報の盗難、規制違反による罰則、ブランドへの信頼低下といったリスクが生じます。中でも、利用パターンの情報が流出すると、住宅が普段不在になる時間帯や、事業所が無人となるタイミングが明らかになるため、物理的なセキュリティリスクが高まります。

ユーティリティ・サイバーセキュリティの課題

ユーティリティ企業は、価値も影響も大きい標的と見なされていますが、運用ネットワーク内で古いソフトウェアが使われているケースが多く、サイバー攻撃者にとって侵入しやすい状況となっています。ここでは、ユーティリティ企業が直面する主なサイバーセキュリティ上の課題をご紹介します。

  • レガシーインフラ。多くのユーティリティ企業では、サイバーセキュリティ対策が十分に施されていない古いインフラが今なお使われており、サイバー攻撃の格好の標的となっています。このようなレガシーシステムは、サポートが終了したオペレーティング・システム上で稼働していることも多く、アップデートやパッチの適用が難しいため、深刻なセキュリティギャップを抱える要因となっています。
  • ITとOTの統合。かつて運用システム（OT）は外部と切り離されており、自然と外部からの攻撃に対する防御壁となっていました。しかし、ユーティリティ企業が自動検針や設備の故障予兆検知などを目的にOTとITシステムを連携させるようになると、攻撃者がITシステムを突破してOTシステムに侵入する機会が生まれています。
  • ランサムウェア攻撃。ランサムウェアは数十年前から存在していますが、過去15年の間に、その手口はより巧妙かつ広範囲に広がっています。暗号通貨の普及により、攻撃者が追跡されにくい形で身代金を受け取ることが容易になったことも背景にあります。ユーティリティ企業は、水や電力などのサービスが中断されると地域全体に深刻な影響が及ぶため、攻撃者にとって非常に魅力的な標的となっています。サイバー攻撃者は、ユーティリティ企業が早急に業務を復旧させなければならない状況に追い込まれることを理解しており、身代金の支払いに応じざるを得なくなると見込んで攻撃を仕掛けてきます。加えて、多くのユーティリティ企業が依然として古い運用システムを使用しており、こうした高度化した攻撃に十分な防御策を持っていないことも問題です。
  • 内部脅威。不満を抱いた従業員が意図的にシステムを妨害したり、機密データを漏えいさせたり、マルウェアを持ち込んだりするケースがあります。また、悪意のない従業員であっても、フィッシング詐欺に引っかかったり、機密情報を誤って取り扱ったりすることで、思わぬセキュリティ侵害を引き起こしてしまうことがあります。
  • リソース不足。小規模な地域や遠方の地域を担当するユーティリティ企業では、予算が限られており、ITやサイバーセキュリティの専門人材を確保するのが難しい状況です。そのため、セキュリティチームの人員不足や、先進的なセキュリティツールに十分な資金が回らないといった問題が生じ、サイバーセキュリティへの対応が計画的というよりは後手に回りがちになります。
  • 法規制への対応。ユーティリティ企業は、日々進化する政府のデータセキュリティ規制に対応しなければなりません。これには多くの時間とリソースが必要です。しかし、こうした規制は新たな脅威の出現に追いついていないことも多く、最低限の基準だけが設けられている場合が一般的です。そのため、サイバー攻撃者に悪用される隙が残ってしまうことがあります。
  • リアルタイム対応の必要性。ユーティリティ企業は、グリッドの変動や水圧の変化、パイプラインの異常など、運用上の出来事に迅速に対応しつつ、高いサイバーセキュリティ警戒を維持する必要があります。たとえば、ITシステムとOTシステムを効果的に分離できるセキュリティツールを導入することで、比較的防御が弱いITシステムから、重要な制御やリソースを持つOTシステムへの攻撃者の侵入を防ぐことが可能です。継続的な監視や脅威インテリジェンスの活用により、ユーティリティ企業は潜在的な攻撃を事前に把握し、迅速に対応できるようになります。
  • IoTやスマートグリッドのリスク拡大。スマートメーターや通信ノード、グリッドセンサー、遠隔操作可能な送電線など、IoT機器の普及により、サイバー攻撃者がデータを盗んだり物理的な攻撃をするための侵入口が大幅に増えています。
  • データプライバシーのリスク。ユーティリティ企業が扱う顧客データの量は、ソーシャルメディアやEC、金融サービスの大手企業ほどではありませんが、スマートメーターやCRMアプリケーション、その他のデータ収集システムなどの普及により、データ保護の重要性は一段と高まっています。たとえばスマートメーターでは、細かなエネルギー使用データが収集されるため、もしハッカーに悪用されれば、住民が家にいない時間帯まで知られてしまい、空き巣のリスクが増すことも考えられます。こうした機密情報をしっかり守れなければ、顧客のプライバシー侵害だけでなく、規制違反や訴訟、企業の評判悪化といった大きなリスクにつながります。

ユーティリティ・サイバーセキュリティにおける主な10の脅威

ユーティリティ企業では、次のような理由からサイバー攻撃のリスクがますます高まっています。

  1. ランサムウェア攻撃。ランサムウェア攻撃では、サイバー犯罪者が悪質なソフトウェアを使ってネットワーク上のデータを暗号化し、身代金（多くは暗号通貨）を支払うまでアクセスできなくします。ユーティリティ企業がこうした攻撃を受けた場合、停電や水の汚染、パイプライン停止などが発生し、公衆の安全に重大な影響を及ぼす恐れがあります。
  2. フィッシングやソーシャル・エンジニアリング。ユーティリティ企業の従業員がフィッシング攻撃やソーシャル・エンジニアリングといった手口にだまされてしまうことで、ネットワークシステムが危険にさらされることがあります。これらは、従業員を巧みに誘導して機密情報を引き出したり、不正な行動を取らせて攻撃者に重要なシステムやデータへのアクセスを与えてしまうものです。
  3. 内部脅威（悪意のある場合や不注意によるもの）。ユーティリティ企業では、多くの従業員が重要なシステムへのアクセス権を持っているため、内部脅威が大きな課題となっています。不満を持った従業員などが意図的にデータを削除したり、制御設定を変更したり、設備を損壊したりするリスクがあります。また、従業員が不注意でフィッシング詐欺（上記2の脅威を参照）に引っかかったり、保守やアップグレード作業中にシステム設定を誤ってしまったりすることで、攻撃者に狙われやすい脆弱性を生み出してしまう場合もあります。
  4. サプライチェーンの脆弱性。ユーティリティ企業は、ソフトウェア開発会社やスマートデバイスメーカー、制御システムベンダー、インフラ保守業者、請求代行会社など、さまざまなサプライヤーと複雑なネットワークを築いており、それぞれがサイバー攻撃の侵入口となる可能性があります。SecurityScorecardとKPMGが2024年に発表した調査では、業界のセキュリティ侵害のうち45％がサードパーティベンダー経由で発生していることが明らかになりました。また、DNV Cyberが公表した調査によると、自社のサプライチェーンにどのような脆弱性があるか十分に把握できていると回答したのは、重要インフラ担当者の約半数のみでした。
  5. パッチ未適用ソフトウェアとレガシーシステム。多くのユーティリティ企業ではいまだに、古くなったソフトウェアやサポートが終了したシステムを利用しています。攻撃者がこうしたシステムの脆弱性を発見した場合、迅速に修正する手段がないことも多いのが現状です。
  6. 分散型サービス拒否（DDoS）攻撃。DDoS攻撃は、ユーティリティ企業のネットワークに大量のトラフィックを送り付けてシステムを過負荷にし、業務を妨害したり、セキュリティチームの注意をそらしたりするものです。顧客向けポータルや請求システム、さらにはOTシステムの入口を狙うことで、サーバーやネットワークが停止し、サービスの中断に至る恐れがあります。こうした攻撃は、悪意あるいたずらとして行われるだけでなく、より高度な侵入を隠すための陽動作戦として実行され、組織から何らかの価値ある情報やデータを得ることを目的とする場合もあります。
  7. 高度標的型攻撃（APT攻撃）。APTは、攻撃者がシステムへの不正アクセスを長期間にわたり秘密裏に維持し続ける、高度で組織的なサイバー攻撃です。侵入してから発見されるまでに数か月、場合によっては数年かかることもあります。主な目的は、重要なデータやシステムへの継続的なアクセスを確保することです。APTは、犯罪組織やテロ組織、国家レベルの攻撃者によって行われ、スパイ活動、破壊工作、社会的混乱を引き起こすことなどが狙いとされています。
  8. サードパーティアクセスの侵害。ユーティリティ企業は、システムの導入や保守、更新のためにITベンダーやサプライヤー、外部業者に大きく依存しています。このような依存関係によって、サイバー攻撃者はネットワークに侵入する新たな経路を得ることになります。多くの場合、ユーティリティ企業自体を直接攻撃するよりも、セキュリティ対策が手薄なパートナー企業を突破する方が容易なことも理由となっています。
  9. IoTやスマートグリッドの脆弱性。ユーティリティ企業がインフラにセンサーやスマートデバイスを導入することで、サイバー攻撃の潜在的な侵入口が増加している一方で、必ずしもサイバーセキュリティ対策が十分に強化されているとは限りません。攻撃者はこうした弱点を突いて、システムの隙間から侵入を図る可能性があります。
  10. データ漏えいと不正アクセス。ユーティリティ企業が、顧客の機密情報や、物理インフラを管理する重要なネットワークを守る上で、データ漏えいや不正アクセスは重大な課題となっています。たとえ侵害が早期に封じ込められた場合でも、たった一度の漏えいが顧客の信頼低下や保険料の上昇、さらなる規制強化につながる恐れがあります。

ユーティリティ・サイバーセキュリティの10のベストプラクティス

サイバーセキュリティは多面的な課題であり、ユーティリティ企業の経営層が単独で対応できるものではありません。効果的な対策には、テクノロジーの導入だけでなく、従業員の教育や規制順守、テクノロジーベンダーや行政機関との戦略的な連携も欠かせません。ここでは、ユーティリティ企業のサイバーセキュリティを強化するための10のベストプラクティスをご紹介します。

  1. 多層防御型セキュリティ・アーキテクチャの導入。基本的な多層防御の考え方としては、まずファイアウォールや侵入検知・防御システム（IDS/IPS）を使って外部からの攻撃を防ぐことが挙げられます。また、ITシステムとOTシステムの間にゲートウェイを設けることで、両者の境界を保護します。さらに、OTネットワーク内でもマイクロセグメンテーションによって発電制御システムや配電制御システムなどの重要資産を個別に分離し、攻撃の拡大を防ぎます。加えて、エンドポイントセキュリティも導入することで、未修正のアプリケーションや保護されていない端末から攻撃者が侵入するのを防ぐ対策が可能になります。
  2. ITネットワークとOTネットワークの分離。前述の多層防御の一要素として、ITネットワークとOTネットワークをしっかり分離することで、攻撃者が両ネットワーク間を行き来するのを防ぎ、重要資産への被害を最小限に抑えることができます。このためには、ネットワーク内に明確なゾーンを設け、それぞれに適切なアクセス制御を設定します。たとえば、ITネットワークはインターネットへの直接アクセスを制限するために分離し、OTネットワークは重要資産へのアクセスを制限した専用セグメントを設けます。発電機、送電パイプライン、水処理ポンプなどを制御する重要機器は、公衆インターネット接続から隔離します。リモートアクセスがどうしても必要な場合は、安全なプライベート接続を介して行うことが大切です。
  3. 運用および技術面での課題。多くの銀行は、システム統合という課題にも対処する必要があります。これは、メインフレームやその他のレガシー・システムに保存されたデータが、AIによる処理に適していないためです。コンサルティング会社のMcKinsey & Companyによると、銀行は顧客データを高品質に保つことにも苦労しており、特に長年の顧客については、履歴の一部が標準化されていない形式で保存されていたり、紙の書類から転記された情報が混在していたりすることが課題になっています。
  4. システムの定期的な更新とパッチ適用の徹底。ユーティリティ企業は、オンプレミスとクラウドの両方を含めたすべてのデジタル資産を把握し、アプリケーション、データベース、オペレーティングシステムなど、すべてのシステムが最新の状態に保たれ、適切に構成されていること、またセキュリティパッチが適時に適用されることを保証する仕組みを確立する必要があります。
  5. 強力な認証とアクセス制御の導入。すべてのリソースへのリモートアクセスには多要素認証を必須とし、可能であれば生体認証も取り入れます。さらに、ロールベースのアクセス制御（RBAC）を導入し、従業員が業務遂行に必要な最小限の権限のみを持つように設定します。また、「ジャストインタイム・アクセス」の仕組みを活用することで、必要な時だけ、特定のシステムやデータへの一時的かつ時間限定のアクセス権を付与することも有効です。
  6. 継続的な監視と脅威検知の実施。24時間体制のセキュリティ・オペレーション・センター（SOC）を設置する、あるいは脅威の検知・対応機能を外部委託することで、ユーティリティ企業はシステムやネットワークに被害が及ぶ前に脅威を特定できます。運用システムのセキュリティツールは、遅延や業務の中断を引き起こすことなくデータ漏えいや異常を検知します。さらに、AIを活用すれば、リアルタイムデータから疑わしいパターンや異常を見つけたり、過去の攻撃データや脅威インテリジェンスを分析して、将来の攻撃を予測することも可能です。
  7. 従業員向けのサイバーセキュリティ研修の実施。すべての従業員がフィッシング詐欺やその他の不審な活動を見抜けるようにトレーニングを実施し、個人端末のセキュリティ確保の重要性についても理解を深めてもらいます。また、インシデントが発生した際には、被害拡大を防ぐために、誰でも迅速に報告できる明確で分かりやすい連絡体制を整えておくことが大切です。
  8. インシデント対応計画の策定と検証。インシデント対応計画は、ITシステムだけでなく、セキュリティ機能が十分でない場合も多いOTシステム（レガシーを含む）にも適用できるように作成します。この計画では、マルウェア感染やフィッシング詐欺、ランサムウェア、従業員によるエラーなど、どのような事象をインシデントとみなすかを明確にし、システムの切断やシャットダウン、規制当局への連絡、法執行機関との連携などを、誰がどのタイミングで行うのかをはっきりと決めておきます。また、訓練やシミュレーションを通じて、計画を定期的に検証することが重要です。
  9. 重要データの暗号化の徹底。ユーティリティ企業は、特に運用データや顧客データなどの機密性が高い情報を特定し、暗号化する必要があります。転送中と保存中のデータの両方に、適切な暗号化プロトコルを導入することは、基本的かつ重要なセキュリティ対策です。
  10. 定期的なリスク評価と監査の実施。ユーティリティ企業は、情報漏えいが与える影響に応じてデータセキュリティへのリソース配分を見直し、サイバー脅威の検知状況を確認するための定期的なセキュリティ監査を計画的に行う必要があります。監査では、セキュリティポリシーやガバナンス手順の評価、ファイアウォールや侵入検知システム、アクセス制御、データ暗号化プロセスの定期チェック、そして脆弱性診断などを実施し、潜在的な弱点を明らかにします。また、インシデント対応計画の実効性も定期的に評価し、サイバー攻撃を想定した訓練やチームディスカッションなどもあわせて行います。サードパーティのリスクも高いため、多くの企業では、ソフトウェアプロバイダーや委託先、機器メーカーのセキュリティ状況を把握するためにベンダーリスク評価（アンケート、監査、侵入テストなど）も取り入れています。
  11. 業界や政府との連携強化。ユーティリティ企業にとって、同業他社や政府機関との連携はサイバー脅威に対応するための重要な戦略となっています。大規模なサイバー攻撃を想定した国内や地域の演習に参加することで、対応計画や連絡手順、チームの対応力を実践的に検証できます。また、テクノロジーベンダーや連邦法執行機関、教育機関と協力し、ゼロトラストセキュリティモデルやAIによるセキュリティ監視などの新しいソリューションを導入・評価していくことも有効です。さらに、電力業界向けのE-ISACや水道業界向けのWaterISACといった業界団体の情報共有組織にも積極的に参加し、リアルタイムでの脅威インテリジェンスや脆弱性情報、インシデントに関する情報収集を強化することをおすすめします。

Oracle Cloudでセキュリティとレジリエンスを強化

今日のデジタル環境において、ユーティリティ企業は独自のセキュリティ課題に直面しており、これには専門的なソリューションが求められます。 Oracle Utilitiesは、こうしたニーズに応えるために設計された専用アプリケーションで、ユーティリティ企業に強力なセキュリティ機能を提供します。これらのソリューションはOracle Cloud Infrastructureを基盤に構築されており、AIなどの先進的なセキュリティ機能も組み込まれています。オラクルの専門知識を活用することで、ユーティリティ企業は安全に運用し、潜在的な脅威にも迅速に対応し、地域社会からの信頼を維持することができます。

ユーティリティ業界のサイバーセキュリティ・ガイドをご覧ください

エネルギー施設や水道施設などの重要な設備の保護に、オラクルがどのように役立つかについてご紹介します。

ガイドを読む

ユーティリティ・サイバーセキュリティに関するよくある質問

現在、企業が直面している最大のサイバーセキュリティ脅威は何ですか？
最大のサイバーセキュリティ脅威を特定するのは難しいですが、特に一般的かつ深刻なものとしては、ランサムウェアやウイルスなどのマルウェアによる脅威、そしてフィッシングやベイティング（詐欺者が偽の誘い文句で被害者をだます手口）といったソーシャル・エンジニアリングによる脅威が挙げられます。

電力網に対する主なサイバーセキュリティ脅威は何ですか？
電力グリッドに対する主な脅威は、発電・送電・配電を管理するシステムを狙った攻撃です。こうした攻撃によって大規模な停電が発生し、重要インフラや市民の安全、経済の安定に深刻な影響を及ぼす可能性があります。