NPCIL、クダンクラム原子力発電所のデータ侵害疑惑を否定

否定からの後退

クダンクラム原子力発電所のデータ侵害は、インド原子力発電公社（NPCIL）が、同国最大の原子力発電プロジェクトで「機密データの侵害」は一切発生していないとまず否定し、その後、実際にサイバー攻撃があったことを認めたことで、今週、全国的な話題となった。『ザ・ヒンドゥー』紙によると、この事件は、関係者がランサムウェアグループが何にアクセスし、被害の深刻度が実際にどれほどなのかを必死に特定しようとする中で、プロジェクトの幹部たちの間に「大騒動」を引き起こしたという。

この二転三転が重要なのは、セキュリティインシデント発生時に重要インフラ事業者がどのように国民とコミュニケーションを取るかという核心に触れるからだ。最初の全面的な否定の後、数日後に微妙な言い回しの確認へと変わることは、たとえ根底にある事実が当初恐れられていたほど深刻でないと判明しても、国民の信頼を損ねる傾向がある。以前の報道で詳しく伝えたように、NPCILは後に約19,000ファイルの流出を認めたものの、原子力安全やセキュリティシステムは侵害されていないと主張した。

実際に何が流出したのか

物議の中心にあるファイルは、NPCILの中核的な原子炉制御や安全インフラではなく、クダンクラムプロジェクトに携わるある請負業者に関連しているようだ。これはサイバーセキュリティの観点から極めて重要な区別である。原子力施設では通常、安全上重要なシステムには高度に隔離された（エアギャップ）運用技術（OT）ネットワークが使われており、調達、人事、契約、一般的な業務運営に使用される管理系や一般的なITネットワークとは分離されている。ランサムウェアグループが請負業者のファイルにアクセスしたというのは、原子炉制御システムを侵害した場合とは全く異なるシナリオである。もっとも、「原子力」と「データ侵害」という言葉が同じ見出しに並べば、どちらも当然ながら世間を驚かせるには十分だ。

とはいえ、インシデントが「通常のシステム」のみに関わるものだと軽視することは、心配する必要がないという意味ではない。確認された流出に関する以前の記事で指摘したように、約19,000ファイルがアクセスされたと伝えられており、原子力施設の請負業者に関連するファイルには、機微な運用詳細、従業員や取引先の個人情報、財務記録、内部の通信など、敵対者が諜報活動、ソーシャルエンジニアリング、あるいは将来のさらなる侵入試行に悪用できる情報が依然として含まれている可能性がある。

請負業者と従業員のプライバシーへの影響

クダンクラム原子力発電所のデータ侵害は、国家安全保障の枠組みによって影が薄くなりがちなプライバシーリスクを浮き彫りにしている。請負業者のシステム内に個人データが置かれている人々は、そのシステムがどれだけ適切に保護されているかについて、ほとんど発言権を持たないということだ。重要インフラプロジェクトに従事する従業員、取引先、下請け業者は、本人確認書類、銀行口座情報、雇用記録などを、主要事業者と同レベルのセキュリティ予算や監視体制を持たない可能性のある第三者企業に日常的に提出している。

ランサムウェアグループが数千ものファイルにアクセスしたと主張する場合、危険にさらされるのは企業秘密だけではない。原子力事業者とは直接の関係を持たず、単にプロジェクトとの取引の一環としてデータが収集された一般の作業員の個人情報も含まれている。これは、あらゆる業界のサプライチェーン侵害で繰り返し見られるテーマである。最も弱い部分は、多くの場合、有名な組織ではなく、その数多い請負業者の一つなのである。

これが意味すること

ほとんどの読者はNPCILの請負業者ではないが、ここでのパターンは、絶えず業界を問わず展開されているものだ。より大規模な組織と協業するベンダー、請負業者、下請け業者に個人文書を提出したことがあるなら、あなたのデータの安全性は、その大手ブランドの評判だけでなく、その小さな会社のセキュリティ慣行に大きく依存している。

考慮に値するいくつかの実践的なステップ：

• 重要インフラに関連する請負業者で働いている、またはそのような請負業者と取引がある場合、自分の個人情報にどのようなデータ保持およびセキュリティポリシーが適用されるかを尋ねる。
• 職場の詳細に言及したフィッシングやソーシャルエンジニアリングの試みがないか注意深く監視する。流出した請負業者のファイルには、詐欺メールを真に迫ったものにするのに十分な文脈情報が含まれていることが多いからだ。
• 雇用主やベンダーのポータルに関連するアカウントには、固有のパスワードを使用し、多要素認証を有効にする。資格情報の使い回しは、初期の侵害がより大きな問題へとエスカレートする最も一般的な経路の一つだからだ。

より大きな構図

最終的な技術評価で何が明らかになろうとも、クダンクラム原子力発電所のデータ侵害は、重要インフラのセキュリティが原子炉や制御室を守ることだけではないことを改めて思い起こさせる。それは、それらを取り巻く請負業者、ベンダー、管理システムという広大なネットワークに関するものでもあり、その一つひとつが潜在的な侵入口であり、それぞれが現実の個人に属する現実の個人データを保持している。公式発表が変化し続ける中、読者は、単一のプレスリリースに基づいて最悪または最良の事態を想定するのではなく、初期の否定を健全な懐疑心で受け止め、検証済みの技術的詳細を待つべきである。

こうしたインシデントがどのように展開するかについて情報を入手し、運用技術への影響と管理ITの露出の違いを理解することこそ、真のリスクと見出しが煽る不安を区別する最もシンプルな方法の一つである。