—·
EPAが検査した水道システムの約7割で、サイバーセキュリティ上の不備が見つかりました。重要なサービスを守りながら、監督や改善を実効性のあるものにするというインフラの課題が浮かびます。
蛇口をひねるとき、水道の運転を支えるコンピューターに思いを巡らせる人はあまりいないでしょう。しかし、米政府説明責任院（GAO）が2024年に公表した調査では、米環境保護庁（EPA）が検査した水道システムの約70％に、サイバーセキュリティ上の弱点が見つかりました。この数字が示すのは、あくまで検査対象となったシステムについてです。対象が全米の水道事業体を代表するという根拠がない以上、全国でどれほどの事業体に弱点があるかを、この割合から推し量ることはできません。(GAO)
政策上の重要性は、この割合を全国に当てはめることよりも、監督のあり方に関する調査結果にあります。EPAの検査で弱点が見つかった一方、GAOの報告書は、業界全体のサイバーセキュリティ対策におけるEPAの役割も検証しています。問われるのは、リスクをどう特定するのか、弱点が見つかった後に何が行われるのか、そして是正作業の完了を誰が確認するのかです。(GAO)
上下水道施設では、ポンプや水処理工程などの設備を監視・運転するために、デジタル技術が使われています。こうした機器や制御システムは「運用技術（OT）」と呼ばれ、事務用ソフトではなく、機械を動かす役割を担います。OTに影響するサイバー事故が起きれば、運転に支障が出るおそれがあります。ただし、その影響は施設のシステムや安全対策によって異なります。(NIST)
水道事業がデジタル技術に依存しているからこそ、備えはインフラ運用の現実的な課題です。デジタル制御や、運転員が頼りにする情報が使えなくなった場合、職員は異常をどう認識し、可能な範囲で重要な工程をどう維持し、どのように事態を上位の担当者へ報告するのかを把握しておく必要があります。これは運用体制の備えを問うもので、サイバーセキュリティ上の弱点があれば必ずサービス停止につながるという意味ではありません。参照できる資料が示しているのは、対策に目を向ける必要性です。すべての事業体で同じ結果が生じるとまでは示していません。(GAO; NIST)
資料から浮かび上がるのは、行政機関と水道事業体が、広範なサイバーセキュリティの助言を、実行可能で測定できる対策にどう落とし込むかという問いです。その際、議論のなかで混同されがちな三つの段階を区別する必要があります。すなわち、指針の公表、是正措置の実施、そしてリスク低減の確認です。勧告は出発点にすぎず、検査での指摘は弱点が存在する証拠です。どちらも、それだけでは弱点が解消されたことを示しません。
水道システムは、規模や設備、人員体制、改善費用を負担する力がそれぞれ異なります。同じ一般的な指針に従うよう求められても、小規模な事業体と広域の大規模事業者では、実務上の障壁が異なる可能性があります。GAOの調査は、連邦政府の監督も課題の一部であることを示しています。当局には、リスクの実態と、各システムがそのリスクに対応しているかを、より明確に把握することが求められます。(GAO)
EPAの水道分野向けサイバーセキュリティのウェブページには、事業体向けの指針や資料がまとめられています。対策を始める際の参考にはなりますが、特定の施設が評価を完了したのか、弱点を修正したのか、事故対応を訓練したのかまでは分かりません。助言と、実施が確認された対策との隔たりこそ、政策上の問題の核心です。(EPA)
住民にとって有益な問いは、水道事業体がサイバーセキュリティ計画を公表しているかどうかだけではありません。リスクをどう評価し、誰が対処の責任を負い、デジタル制御が使えなくなった場合にサービスをどう維持するのかを説明できるかどうかです。住民が技術システムを評価する必要はありません。こうした問いを通じて、重要インフラに関する公表内容を、より具体的に検証できます。
ペンシルベニア州アリキッパで実際に起きた事案は、デジタルへの侵入が水道インフラに及ぼしうる影響を示しています。2023年11月、アリキッパ市水道局が運営する水道施設の設備がサイバー攻撃の標的になりました。CBS Newsによると、この攻撃で水道サービスに支障は出ず、影響を受けた設備は運転を停止しました。(CBS News)
この事例が示すのは、どの侵入でも同じ結果になるということではありません。サービスを継続できるかどうかは、機器が侵害されたり切り離されたりしたときに、運転員が工程を維持できるかなど、施設側の対応に左右されます。アリキッパは、サービスへの影響が報じられた具体的な事例です。他の事業体も同じ状況にあることを証明するものではありません。(CBS News)
EPAが水道分野向けに示すサイバーセキュリティの勧告は、事業体がリスクを特定し、対策を強化することを目的としています。EPAの資料には、水道システムを支援する連邦政府の取り組みも記されています。ただし、指針を活用したすべての事業体について、比較可能な詳細な成果記録が公開されているわけではありません。読者は、勧告や発表と、個々の施設で独立して確認された改善とを区別する必要があります。(EPA勧告報告書; EPA発表)
水道利用者にとって、実務上の問いは明快です。設備が使えなくなる事態を想定した対応計画があるか、職員がその計画を訓練しているかを確認することです。アリキッパの報道は、サービス停止が報告されないまま事態を封じ込められる場合があることを示しています。しかし、その結果を得るために、どれほどの時間や費用、準備が必要だったかは分かりません。（CBS News）
指針は、施設の行動を変え、その変化を誰かが確認できるようになって初めて役に立ちます。米国国立標準技術研究所（NIST）の上下水道向けサイバーセキュリティ資料は、業界に即した指針を示しています。米サイバーセキュリティ・インフラセキュリティ庁（CISA）の「サイバーセキュリティ性能目標」は、重要インフラを担う組織が基本的な防御策を優先できるよう設けられた任意の取り組みです。CISAは、サイバーセキュリティとインフラ防護を担う連邦機関です。ただし、いずれの資料も、それだけで個々の事業体が対策を導入したか、リスクを低減したか、目標を順守したかを確認するものではありません。(NIST; CISA)
水道事業体は、重要な運用システムや工程を特定し、関連するリスクを評価したうえで、優先度の高い是正措置ごとに担当者と期限を定めることで、対策の進捗を見える形にできます。設備やデジタル情報が使えなくなった際に職員が対応できるか、訓練で確かめることも有効です。これは報告に盛り込むことが考えられる手順であり、引用した指針が統一チェックリストを義務づけているという意味ではありません。技術的な計画を、管理上の判断や運用体制の備えにつなげられる点に意義があります。
水道分野のサイバーセキュリティ作業部会による勧告も、一般原則を事業体の実務につなぐ手がかりとなります。業界のサイバーセキュリティを向上させるための行動を示すことが、その目的です。しかし、勧告は改修の完了を意味しません。公開文書だけでは、各対策を導入した施設の数も、その効果も分かりません。(EPA勧告報告書)
EPAが2026年に実施予定として掲載している全国サイバー演習は、実際の攻撃の報告とは異なり、備えを試す機会です。演習に参加する組織は、連携や対応を訓練できます。EPAのページから演習が計画されていることは確認できますが、誰が参加したのか、どのシナリオを試したのか、何を教訓として得たのかまでは分かりません。(EPA 2026 National Cyber Drill)
行政機関は、指針から成果に至る道筋を見えるようにすべきです。水道事業体や規制当局は、主要なリスクを評価したか、対応訓練を実施したか、特定された問題に対処したかを、分かりやすい言葉で報告できます。こうした事後確認がなければ、住民は有益な勧告と、実際に機能している防護策とを見分けられません。
一般的な勧告をさらに公表するだけでは、監督上の問題は解決しません。GAOの調査は、EPAがサイバーセキュリティの取り組みを改善すべき分野を指摘しています。連邦政府の監督が機能しているかを測るうえで、重要なのはその後の対応です。特定された弱点が是正措置につながるのか、その措置が完了したと確認する手段があるのかが問われます。報告書はEPAの役割も課題に含めていますが、ここで示された資料だけでは、すべての事業体が同じリスクに直面し、同じ対策を必要としているとは言えません。(GAO)
EPA監察総監室（OIG）が別途公表した報告書は、水道分野におけるEPAのサイバーセキュリティ業務を検証し、説明責任の観点を加えています。報告書は2025年に公表され、正誤表による訂正が加えられました。対象はEPAの業務であり、水道分野全体を施設ごとに評価したものではありません。その意義は、連邦政府の取り組みも検証の対象となることです。報告書が存在するだけで、特定の事業体が特定の弱点を解消したと確認できるわけではありません。(EPA Office of Inspector General)
2026年5月付のEPA OIG証明書も、監督に関する公式文書の一つです。ただし、証明書は運用上の成果を詳しく示す公開報告書とは異なり、水道システムが具体的なリスクを解消した証拠の代わりにはなりません。行政機関の措置、監査での指摘、記録で裏づけられた改善は、明確に区別する必要があります。(EPA OIG certificate)
有効な説明責任の枠組みをつくるには、施設の弱点を露呈させる情報を明かさずに、指摘から成果までの流れを追跡することが重要です。行政機関は、評価を完了した件数、優先度の高い不備に是正措置の担当者が割り当てられた件数、措置の完了を確認できた件数を、集計して公表できます。これらは提案する指標であり、引用した資料が報告している実績値ではありません。それでも、運用上の機密を守りながら、「指針を公表した」段階と「作業を完了した」段階を区別する助けになります。
サイバーセキュリティへの支出は、配管の維持や老朽設備の更新など、水道インフラが抱える他の需要と競合します。参照した資料は、こうした需要の費用を定量化しておらず、特定のサイバーセキュリティ投資による節約額も算出していません。単一の対策でサービス停止を防げる、あるいは水道料金を下げられると主張すれば、資料の裏づけを超えることになります。
一方、サイバーセキュリティを任意の技術プロジェクトではなく、水道インフラの運用・保守の一部として扱うべきだという点は、資料から読み取れます。EPAの指針、NISTの業界向け資料、CISAの性能目標は計画づくりの手段となり、GAOやEPA監察総監室の報告は監督の視点を提供します。アリキッパの事例は、実際の対応能力が重要であることを示しています。しかし、どの資料も単独で、特定の事業体が完全に守られていると証明するものではありません。(EPA; NIST; CISA; GAO; CBS News)
水道事業体が次に取るべき実務的な手順は、利用可能な指針を使って運用上の重大なリスクを特定し、対処の責任者を定め、重要サービスの維持を念頭に置いた対応訓練を行うことです。EPA、連邦議会、州の規制当局には、事後確認を強化し、勧告の公表と確認済みの改善を区別して報告することが求められます。こうした取り組みでリスクをなくすことはできませんが、どこに対策が必要で、実際に機能しているかを把握しやすくなります。
今後2年間で、EPAの2026年全国サイバー演習の価値を左右するのは、演習後の対応です。教訓を公表し、担当を明確にし、測定可能な形で事後確認を行う必要があります。EPAは施設の機密情報を守りながら、その成果を水道事業者や一般の人々が利用できる形で示すべきです。計画を紙の上にとどめず、人々が頼れる防護策に変えるため、実施状況を問い続けることが大切です。