米英豪加、重要インフラ隔離の共同指針を公開 攻撃前の設計とテストを要請
2026年7月30日 17:33
中国などの国家支援ハッカー集団が米国の重要インフラに長期間潜伏している事態を受け、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）など4カ国の機関は2026年7月28日、共同ガイダンス「CI Fortify」を公開した。攻撃が発生する前に、運用技術（OT）システムを隔離できるよう事前に設計し、テストしておくことを求めている。ガイダンスに法的拘束力はないが、インシデント発生後に事業者の対応を評価する際の基準となる可能性が指摘されている。
■既存の隔離計画が失敗する理由とCISAの指摘
中国のハッカー集団「Volt Typhoon」は、少なくとも5年間、検知されることなく米国の重要インフラネットワークに潜伏していた。また、別の中国系集団「Salt Typhoon」は、AT&T、Verizon、Lumenなど少なくとも9社の米主要通信事業者に侵入し、法執行機関が裁判所の許可に基づいて通信を傍受するためのシステムにアクセスした。マーク・ワーナー上院議員は、これを米国史上最悪の通信網へのサイバー攻撃と評した。電力網、水道事業者、通信事業者が書面上で用意していた隔離計画では、いずれの攻撃も阻止できなかった。
2026年7月28日、米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、オーストラリア信号局（ASD）、英国国家サイバーセキュリティセンター（NCSC）、カナダサイバーセキュリティセンター（CCCS）は、「CI Fortify: Advice for Isolating Vital Systems（重要システムを隔離するための助言）」と題する共同ガイダンスを公開した。中核となる考え方は明確だ。攻撃の発生中に即席で隔離するのではなく、攻撃前に隔離方法を設計し、テストしておかなければならない。しかし、このガイダンスは任意の指針にとどまる。公開された分析で実名を挙げて発言した専門家らは、コスト上の障壁により、大半の事業者は各機関が求める仕組みを実際には構築できないだろうと述べている。
ガイダンスにおける技術面で特に重要な指摘は、事前の説明では大きく取り上げられていなかった。多くの組織が気づかないまま作り出した依存関係により、既存のOT隔離計画の多くは、実行時に明確な警告を発することなく機能しなくなるという問題だ。
過去20年間、重要インフラ事業者は、水ポンプ、電力開閉器、鉄道信号、パイプラインのバルブなどを制御するハードウェアとソフトウェアで構成されるOT環境を、企業のITネットワークに接続することで効率化を図ってきた。その過程で、本来は独立して稼働するよう設計されたOT環境に、2つの主要なWindows系ITサービスを組み込んだ。OT機器へのログイン権限を管理する認証・ユーザー管理システム「Active Directory（AD）」と、OTシステムがネットワーク上で互いを見つけるための名前解決を担う「DNS（ドメインネームシステム）」である。
どちらのサービスも企業のITネットワーク上に置かれている。CI Fortifyが想定するように、攻撃時に事業者がOTネットワークを企業インフラから物理的に切断すると、ADとDNSにアクセスできなくなる。作業員の認証やネットワーク上の構成要素の特定をこれらのサービスに依存しているOT機器は、明確な警告を出さないまま正常に機能しなくなる。技術的には隔離に成功していても、プラントを制御できなくなるのだ。
CI Fortifyは、完全な隔離演習で予期しない障害が繰り返し発生する主な理由として、この問題を挙げている。解決策は、緊急事態が発生する前に、OTネットワークの境界内へ独立して隔離されたADとDNSを配置することだ。これはまさにガイダンスが求める事前設計作業であると同時に、OT事業者が長年先送りしてきた設備投資でもある。
■「CI Fortify」が実際に求めていること
ガイダンスは、隔離と復旧という2つの緊急対応能力を中心に据えている。隔離とは、基盤となる物理的プロセスの制御を維持しながら、OTシステムを企業ネットワーク、ベンダーとの接続、クラウドサービス、インターネットに接続されたインフラから切り離す能力を指す。復旧とは、隔離された状態のまま、検証済みのローカル手順と、必要に応じた手動操作を用いて、侵害されたシステムを復元する能力である。
どちらの能力も、攻撃が発生する前に構築し、訓練しておく必要がある。ガイダンスは、ランサムウェアが制御ネットワーク内で拡散している最中に、初めてフレームワークを読んで対応することはできないと明記している。
フレームワークでは、事業者とインシデント対応の指揮担当者が共通の言葉で状況を把握できるよう、具体的な技術用語を定義している。
「重要システム（Vital systems）」とは、重要なサービスを提供するために最低限必要となるOTと、その支援インフラを指す。センサー、アクチュエーター、ヒストリアン、監視制御システムなどが該当し、これらがなければ水や電力の供給を維持できない。事業者は、まず重要システムを特定しなければならない。
「隔離ポイント（Isolation points）」とは、重要ネットワークと非重要ネットワークの接続を切断できるよう、あらかじめ定めた場所や境界を指す。具体的には、特定の光ファイバー接続、ネットワークスイッチ、論理的なアクセス制御境界などである。これらは事前に把握し、文書化しておく必要がある。
「物理的隔離（Physical isolation）」とは、共有されているすべてのネットワークまたはコンピューティング基盤から完全に切断することである。CI Fortifyは、これを利用可能な保護手段の中で最も効果的な形態と説明している。
「段階的隔離（Graduated isolation）」は、複数の段階を設けて接続を制限する方法である。まずリモート作業者とベンダーからの接続を遮断し、次に企業ネットワークとの接続を切断する。さらにクラウドとインターネット向けの接続を切り、最後に完全な物理的隔離を実行する。各段階へ移行する基準について、意思決定者、発動条件、実行手順を明確にし、事前に承認しておかなければならない。
VLANやアクセス制御リストの変更といった「管理的なネットワーク制御（Administrative network controls）」は、有用な一時的保護策としてガイダンスに挙げられている。一方で、物理的隔離の十分な代替にはならないことも明記されている。設定を誤る可能性があるほか、すでに内部へ侵入している攻撃者に回避される恐れがあるためだ。
「データダイオード（Data diodes）」は、データの流れを一方向に限定するハードウェア機器である。悪意のある通信が隔離環境へ戻る経路を作ることなく、セキュリティチームが隔離されたOT環境からテレメトリを取得できる。ファイアウォールやソフトウェアによるネットワーク分割とは異なり、真正なデータダイオードは光学的な仕組みによって物理的な一方向通信を強制する。受光専用の機器は、同じ経路を使って光信号を送り返せないためだ。ガイダンスは、隔離後の監視手段としてデータダイオードを推奨している。
隔離計画では、各段階の発動を誰が承認するのか、隔離中も維持しなければならないサービスは何か、企業ネットワークが停止した場合に担当者がどのように連絡を取るのかを定めなければならない。また、計画書の印刷版または安全なオフラインコピーをどこに保管するのかも決めておく必要がある。計画の対象となる攻撃によって、企業の文書保管システム自体にアクセスできなくなる可能性があるためだ。
■脅威アクターはすでに内部にいる
ガイダンスの背景にある緊急性は、仮定に基づくものではない。情報機関は、中国、ロシア、イランの国家支援アクターが、将来の地政学的危機に際して混乱を引き起こせるよう、米国の重要インフラネットワーク内に足場を築いていることを確認している。
中国の国家支援ハッカー集団であるVolt Typhoonは、米国の航空、鉄道、公共交通、高速道路、海運、パイプライン、水道、電力インフラを標的にした。その目的は、直ちに情報を収集することではなく、戦略的に足場を確保することにあった。おそらく台湾をめぐる危機に合わせ、中国政府が選んだタイミングでシステムを妨害できるアクセスを確立することだ。CISA、米国家安全保障局（NSA）、米連邦捜査局（FBI）の共同勧告も、この評価を確認している。同集団は、新たなマルウェアを導入する代わりに、システムに標準搭載されたツールを悪用する「環境寄生型攻撃（living off the land）」を用い、検知を難しくしていた。少なくとも1件の記録された事例では、5年間にわたって検知されることなくアクセスを維持していた。
少なくとも2021年から世界各地で活動している中国関連の別の集団Salt Typhoonは、AT&T、Verizon、Lumen Technologiesを含む少なくとも9社の米主要通信事業者を侵害した。同集団は、100万人を超える利用者に関するメタデータへアクセスし、大統領選挙陣営の関係者による通信を記録した。さらに、米通信事業者が裁判所の許可を得た法執行機関の通信傍受のために維持しているインフラにも侵入した。ワーナー上院議員は、この侵害を米国の通信史上最悪と評価しており、情報機関もこの評価に異論を示していない。2025年6月の時点で、マリア・キャントウェル上院議員はAT&TとVerizonに対し、Salt Typhoonが両社のネットワークから完全に排除されたかどうかを確認するよう、引き続き求めていた。
水道インフラも同様の攻撃に直面している。2024年10月、14州と18の軍事施設で約1400万人に上下水道サービスを提供するAmerican Waterは、コンピューターネットワーク内で不正な活動を検知した後、顧客向けポータルと請求システムの停止を余儀なくされた。その後、影響を受けた顧客を代表して、500万ドル（約8億2000万円、1ドル＝164円で換算）の損害賠償を求める集団訴訟が提起された。これと近い時期の2024年9月には、カンザス州アーカンソーシティの浄水施設が、別のサイバー攻撃によってシステムを侵害され、手動運転へ切り替えた。2026年4月には米国の6つの連邦機関が、イランの国家支援アクターが、水道、下水処理、エネルギー、政府施設にあるインターネット接続型のOT機器を積極的に悪用し、実際に業務の中断と経済的損失を引き起こしたことを確認した。
■フレームワークの成立経緯と公開の背景
7月28日の共同公開は、この問題に対するCISAの最初の取り組みではなく、単独で進められてきたものでもない。
オーストラリアのASDは2025年10月、独自のCI Fortifyフレームワークを公開した。事業者に対し、重要なOTシステムを特定したうえで、重要サービスを維持しながらインターネットと隣接ネットワークから最長3カ月間隔離し、その後迅速に再構築するよう求めている。オーストラリアのガイダンスは、隔離によってOTとITの境界をまたぐ自動化された業務プロセスが停止することも明確に警告している。事業者は緊急事態が発生してからこの影響に気づくのではなく、事前に対処方法を計画しておく必要がある。
CISAはASDのフレームワークを基に、2026年5月に米国向けのCI Fortifyイニシアチブを立ち上げた。7月28日の公開は、共同署名した4機関が、共通の名称の下で統一されたガイダンス文書を公開した初めての事例となる。
公開の時期は、並行して進められている政策上の動きとも重なる。CI Fortifyの共同ガイダンスが公開された同日、ロン・ワイデン上院議員は、CISA、行政管理予算局（OMB）、米国立標準技術研究所（NIST）に対し、連邦機関による旧式VPN機器の撤去と、ベンダーへのゼロトラスト準拠の義務付けについて、拘束力のある2年間の期限を設定するよう求めた。2つの取り組みは、攻撃者によるネットワーク内の横展開を可能にする旧式のネットワーク構成という共通の問題に、異なる角度から対処するものだ。
■事業者は実際に構築できるのか
ガイダンスの最も重大な課題は、技術ではなく経済面にある。
CI Fortifyは任意のガイダンスであり、CISAは事業者に遵守を強制できない。各分野のリスク管理機関、州の規制当局、保険会社が、将来的に一部の要素を強制力のある要件へ移行させる可能性はある。しかし、公開時点で、いずれの要件にも法的拘束力のある義務は伴っていない。
公開された分析で名前を挙げて発言した専門家らは、これが実務上何を意味するのかを率直に説明している。
UMBCサイバーセキュリティ研究所の副所長であるリチャード・フォルノ氏はCSO Onlineに対し、この取り組みは、事業者が長年十分な投資をしてこなかった事業継続とインシデント対応の考え方を、おおむね再構成したものだと語った。「多くの場合、企業は接続を切り離して円滑に移行できるようにするための資金を投じようとはしない」と同氏は述べた。
ネットワークセキュリティベンダーElisityのCEOであるジェームズ・ワインブレナー氏は、方針と実行の隔たりを次のように説明した。「CI Fortifyの方針自体は正しい。欠けているのは、このガイダンスを実行可能にするための事業者側の投資だ」。同氏はさらに、具体的な障壁について「サードパーティーが誰なのかを実際に一覧化できなければ、数週間から数カ月にわたってサードパーティーから切り離された状態で運用する計画は立てられない。大半の事業者には、それができない」と述べた。つまり、CI Fortifyが前提条件として求める依存関係のマッピングは、大半の重要インフラ事業者が現在保有していないツールや人的資源への投資なしには完了できないということだ。
ガイダンス自体も、地理的に分散している組織、通信事業者のネットワークに依存している組織、クラウドサービスに依存している組織では、完全な物理的隔離を実現できない可能性があると認めている。そうした事業者に対しては、専用または暗号化された通信回線の利用、不要な企業システムへの依存の排除、システムをゼロから迅速に再構築できることが確認された手段の維持など、代替となる防御強化策を示している。
Crowell & Moringによる2026年5月の分析は、普及率にかかわらず生じる具体的な法的影響を指摘している。CI Fortifyは「インシデント発生後には無視することが難しい連邦政府の基準を確立し、将来の規制当局による審査、保険をめぐる紛争、訴訟において、取締役会、経営陣、法務部門に対する期待を引き上げる」という。言い換えれば、2026年7月以降、テスト済みの隔離計画を持たないまま大規模なOT障害に見舞われた事業者は、ガイダンスが存在しなかった時期より厳しい説明を求められることになる。
■隔離がもたらす副作用とその重要性
CI Fortifyは、自らが求める対策によって新たに生じるリスクを率直に認めている点で珍しい。
隔離されたシステムでは、更新用インフラが隔離境界の外側にあるため、セキュリティパッチの適用が遅れる。セキュリティオペレーションセンターは、物理的隔離によって遮断されるネットワークテレメトリに依存しているため、監視範囲も縮小する。また、エアギャップ環境とのデータ交換に、USBドライブなどのリムーバブルメディアや物理記憶媒体を使用する機会が大幅に増える。このリスクは仮定上のものではない。エアギャップで隔離された産業システムに対する攻撃として広く知られるStuxnetは、2010年ごろ、感染したUSBドライブを通じてイランの核施設の隔離ネットワークへ侵入した。
CI Fortifyはこの問題に対処するため、組織に対し、接続を切断する方法だけでなく、期限を定めず、場合によっては数カ月にわたり、システムを手動で運用、監視、更新する方法も計画するよう求めている。ネットワーク切断後はリムーバブルメディアが主要なデータ転送手段となるため、隔離環境へ持ち込む前に媒体を検査し、無害化する必要があることも具体的に警告している。
テスト要件も厳格だ。ガイダンスは、個々の構成要素だけを対象とするテストではなく、完全な隔離演習を求めている。部分的なテストでは、Active DirectoryやDNSへの依存を含む隠れた依存関係を十分に発見できず、実際の攻撃下で計画を実行したときに予期しない障害が発生する可能性があるためだ。
「CI Fortify: Advice for Isolating Vital Systems」の全文は、CISAのcisa.gov/ci-fortifyと、オーストラリア信号局のcyber.gov.auで公開されている。英国のNCSCとカナダサイバーセキュリティセンターも、それぞれの国内向けサイトを通じてガイダンスを公開している。
■注目ポイントQ&A
●CISAの「CI Fortify」とは何ですか。また、重要インフラ事業者に何を求めていますか？
CI Fortifyは、2026年7月28日にCISA、オーストラリアのASD、英国のNCSC、カナダのCCCSが公開した共同フレームワークです。電力網、水道、通信、交通ネットワークの事業者に対し、OTシステムを企業ネットワーク、ベンダーとの接続、クラウドサービスから物理的に切断できるよう事前に設計し、切断後も数週間、場合によっては数カ月にわたり重要サービスを維持できるようにすることを求めています。ガイダンスは現在のところ任意であり、CISAは遵守を強制できません。一方、法律の専門家は、従わなかった事業者がインシデント発生後に対応を説明する際、無視することが難しい責任判断の基準になると警告しています。
●OTの隔離計画が実行時に警告なく機能しなくなることが多いのはなぜですか？
CI Fortifyが指摘する最も一般的な原因は、Windowsの企業向けサービス、具体的には認証を管理するActive Directoryと、ネットワーク上の名前解決を担うDNSへの想定外の依存です。これらは、約20年にわたるITとOTの統合の過程でOT環境へ組み込まれてきました。両サービスは企業のITネットワーク上で動作しています。攻撃時に事業者がOTとITの接続を物理的に切断すると、利用者の認証やネットワークリソースの特定を両サービスに依存するOT機器は、OTシステム自体が損傷していなくても正常に機能しなくなります。CI Fortifyは、OTネットワークの境界内に独立して隔離されたADとDNSを配置するか、こうした依存をなくすようOTの認証方式を再設計することを求めています。
●米国の重要インフラには誰が侵入しており、何を目的としているのですか？
情報機関は、米国のインフラネットワークへのアクセスが確認された中国の国家支援集団として、Volt TyphoonとSalt Typhoonを挙げています。Volt Typhoonは、検知を避けるためにシステム内蔵のツールを使い、少なくとも1つの重要インフラネットワークで5年間、検知されることなくアクセスを維持していました。その目的は現在進行中の諜報活動ではなく、将来の妨害に備えた足場の確保と評価されています。おそらく台湾をめぐる有事に関連して、中国政府が選んだタイミングで米国の電力、水道、通信、交通システムを妨害できる状態を作ることです。Salt Typhoonは、少なくとも9社の米主要通信事業者を侵害しました。2025年半ばの時点で続いていた政府調査では、両集団が完全に排除されたことは確認されていませんでした。
●OTネットワークを物理的に隔離すると、監視やパッチ適用はどうなりますか？
物理的隔離により、セキュリティオペレーションセンターがOTシステムの監視に使う接続が切れ、テレメトリとセキュリティ警告を受信できなくなります。隔離されたシステムはベンダーのパッチ配信基盤にもアクセスできないため、隔離が続く間はセキュリティ更新の適用が遅れます。CI Fortifyは、攻撃者が戻る経路を作らずに監視を続ける方法として、ハードウェアで一方向通信を強制するデータダイオードを推奨しています。パッチ適用ではリムーバブルメディアを使用する必要がありますが、それ自体が重大な攻撃経路となります。Stuxnetは、USBドライブを通じてエアギャップで隔離されたイランの核施設へ侵入しました。事業者は、隔離環境へ持ち込むすべてのリムーバブルメディアについて、検査と無害化の手順を事前に定めておく必要があります。
元記事: China and Iran Are Already Inside US Grids: CISA Demands Tested Isolation Plans