「Firewall 」への挑戦：重要インフラにリターンパスが不要なら、それを排除せよ

重要インフラは接続性に依存していますが、あらゆる接続は攻撃の潜在的な経路となります。最近の攻撃事例、私の新作ドキュメンタリーシリーズ『Into the Breach: Breaking theFirewall 』から得られた教訓、そしてデータダイオードのような分離技術の進化を踏まえ、私たちは最も重要なシステムの設計方法を見直す必要があります。また、政府も産業界も、まず「この接続はそもそも必要なのか？」という単純な問いから始めるべき理由を探る必要があります。

今週末、『Into the Breach: Breaking theFirewall 』を公開しました。これは、私がCyber King Productionsを通じてプロデュースした最初のエピソードで、『MythBusters』のカリ・バイロンが司会を務めています。

なぜ私はサイバーセキュリティ番組を制作することにしたのでしょうか？

長年にわたり、私は顧客や政府関係者、記者、パートナー、友人、時には自分の家族に対しても、重要インフラのサイバーセキュリティについて説明しようと努めてきました。

たいてい、そう長くはかからずに、ファイアウォール、エアギャップ、PLC、IT、OT、セグメンテーション、ゼロトラスト、データダイオード、マルウェア、脆弱性といった話題になるものです。

それに、いつから人々が離れていくのか、私にはわかるんだ。

ある時、私は、問題の根本は観客にあるのではないかもしれないと気づいた。

サイバーセキュリティ業界は、自らの取り組みをうまく伝えることが、すっかり下手になってしまったのかもしれない。

この業界がどのような対象を扱っているか考えてみてください。国家主体の攻撃者、発電所、水道システム、衛星、工場、AI、量子コンピュータ、そして現実の世界に物理的な影響をもたらしうる攻撃などです。

それでもなぜか、私たちはこれらすべてをまた別のパワーポイントを使って説明し続けている。

いつもとは違うことをしてみたかった。

人々が「理解している」と思っている事柄を取り上げましょう。それを軸に実際の実験を構築し、徹底的に検証し、テストを重ねます。その技術に精通した専門家を招き入れ、視覚的に分かりやすく、かつ興味深い内容に仕上げます。そして何よりも重要なのは、サイバーセキュリティ業界が長年にわたり、十分に疑問を投げかけることなく繰り返してきた前提に、果敢に疑問を呈することです。

それが『Into the Breach』となりました。このシリーズでは、実際のサイバー攻撃、実践的な実験、専門家へのインタビュー、実演などを組み合わせることで、サイバーセキュリティを身近で理解しやすいものとしています。

第1話では、まず最も基本的な前提の一つから始めたいと思います：

「ファイアウォールの内側に置けば、保護される。」

そして、そのエピソードの公開とほぼ完璧なタイミングで、ミネソタ州で起きている出来事がニュースの話題を独占した。

7月26日と27日、ミネソタ州内の30か所以上の地域水道システムの運用技術（OT）を標的とした組織的なサイバー攻撃が発生した。ミネソタ州は、この攻撃の調査および被害を受けた地域社会への支援を行うため、州全体のサイバーセキュリティ対応体制を発動した。

その2日後、FBIとEPAはより広範な警告を発した。7月27日以降、少なくとも7つの州の水道・下水道事業体から、インターネットに接続されたPLCに関連する事案が報告されていた。

攻撃者はデバイスに遠隔からアクセスし、IPアドレスやパスワードを変更した結果、運用担当者は監視および制御機能を失った。FBIは、圧力低下や浸水などの運用上の影響を報告した。また、複数の被害者において同様のサードパーティ製ネットワーク構成が確認されており、これが攻撃者による同様の攻撃の繰り返しを可能にした可能性がある。

ちょっと立ち止まって、そのことについて考えてみてください。

ここで話題にしているのは、コンピュータによる水の制御についてです。

これは、単に誰かがクレジットカード番号を盗むような話ではありません。また、従業員のノートパソコンをランサムウェアが暗号化するだけの話でもありません。

攻撃者がポンプ、バルブ、電気ブレーカー、パイプライン、生産ライン、あるいはその他の物理的プロセスに干渉できる場合、サイバーセキュリティの問題ははるかに大きなものとなります。

これは公共の安全に関わる問題となります。

そして、ミネソタ州は最初の警告ではない。

「ボルト・タイフーン」はその最も顕著な例の一つです。

米国および同盟国のサイバーセキュリティ機関は、通信、エネルギー、交通、水道、その他の分野にわたる重要インフラ組織の内部で、中国政府が支援するアクターが持続的なアクセス権を確立していることを確認した。

確認されたある侵害事例では、攻撃者は、パッチが適用されていないFortiGate 300D境界ファイアウォールのCVE-2022-42475を悪用して、初期アクセス権を取得したとみられる。

そこで何が起きたのか、考えてみてください。

周囲を保護するために設置された装置が、その周囲を通る通路となってしまった。

これはフォーティネットに対する批判ではありません。

どんなに洗練されたソフトウェアプラットフォームであっても、最終的には脆弱性が生じる可能性があります。ファイアウォールにはパッチが必要です。VPNにもパッチが必要です。オペレーティングシステムにもパッチが必要です。認証情報が盗まれることもあります。設定に誤りがあることもあります。管理者がミスを犯すこともあります。ゼロデイ攻撃が発生することもあります。

それがソフトウェアの現実なのです。

ウクライナでは、その物理的な影響がさらに劇的な形で現れました。2015年12月、攻撃者らは3つの電力配電会社を侵害しました。彼らはITシステムから運用システムへと侵入し、VPNインフラを通じてICS環境にアクセスして電気遮断器を操作し、約22万5,000人の顧客に影響を及ぼす停電を引き起こしました。

攻撃者があなたのコンピュータのうちの1台に侵入することと、攻撃者があなたの電力システムを制御するコンピュータに侵入することとの間には、大きな違いがあります。

その結果、画面から消えてしまうことがあります。

この点をはっきりとさせておきたい。

ファイアウォールが必要です。

OPSWAT それらを利用しています。当社の顧客もそれらを利用しています。現代のネットワークのほぼすべてが、それらに依存しています。

私が疑問を呈しているのは、「ファイアウォール＝隔離」という前提です。

私は、ファイアウォールを、ドアの前に立つ非常に賢い警備員のようなものだと考えています。その警備員は、何千ものルールを熟知しています。認証情報を確認し、トラフィックを精査し、何が通過を許可されるかを判断します。

それは非常に価値のあることです。

しかし、まだ道はある。

誰かが適切な認証情報を盗んだり、脆弱性を見つけたり、設定ミスを悪用したり、あるいはセキュリティ技術そのものを侵害したりした場合でも、その経路は依然として存在します。

そこで、私は別の質問を投げかけてみることにしました：

もし、実際には誰もそのドアから入ってくる必要がなかったとしたら？

そもそも業務上の要件としてドアが必要とされていないのなら、なぜドアをよりスマートにするためにそれほど多額の費用をかける必要があるのでしょうか？

その点において、データダイオードは根本的に異なるのです。

データダイオードは、ファイアウォールよりも優れたものではありません。

これは別の問題を解決するものです。

どのトラフィックを許可するかを決定する際に、ソフトウェアのルールだけに依存するのではなく、データダイオードはハードウェアレベルで通信の方向を強制することができます。

NISTは、電力事業向けのリファレンスデザインにおいて、まさにこの種のアーキテクチャを実証しました。運用監視データは一方向ゲートウェイを通じて外部へ送信され、このアーキテクチャにより、データが同じ接続経路を通って保護された産業用環境へ逆流することを防いでいます。

これは、根本的に異なるセキュリティ特性です。

この原理は十分に単純なので、シンプルな名前をつける価値があると思います：

不要なリターンパスは設けない

水道事業者は、警報を発信する必要がある場合があります。

発電所では、テレメトリデータを送信する必要がある場合があります。

工場では、ヒストリアン情報をエクスポートする必要が生じる場合があります。

パイプラインの運営事業者には、一元的な監視が必要となる場合があります。

防衛環境では、ログのエクスポートが必要になる場合があります。

その情報はすべて、保護されたネットワークの外へ流出する可能性があります。

しかし、通信が同じ境界を経由して戻ってくることに運用上の理由がない場合は：

なぜリターンパスを作成するのですか？

もちろん、すべての環境でこの方式が適用できるわけではないことは承知しています。リモートメンテナンス、リモート制御、ソフトウェアの更新、確認応答、その他の双方向のプロセスには、それなりの正当な理由があります。

そのつながりが必要なら、徹底的に守り抜いてください。

FBIが水事業分野向けに発表した最新の指針では、事業者に対し、PLCをインターネットに直接接続しないようにすること、セキュアなゲートウェイを介してリモートアクセスを仲介すること、アクセス権を制限すること、PLCのプロジェクトファイルを検証すること、携帯電話回線の接続を保護すること、およびインシデント発生後も手動で操作できる態勢を維持することを求めています。

そのすべてに同意します。

でも、デフォルトの設定が逆になっているような気がします。

今日では、あまりにも頻繁に、まずネットワーク接続を整備してから、サイバーセキュリティチームにその保護を依頼してしまう傾向があります。

最も重要なシステムについては、まず隔離から着手し、次のように自問すべきです：

なぜそのパスを開く必要があるのですか？

この議論には、見落とされがちな重要な点があります。

データダイオードは方向性を解決します。

それだけでは、コンテンツの問題は自動的に解決されるわけではありません。

悪意のあるファイルが許可された方向に移動することを許されたとしても、そのファイルは依然として悪意のあるファイルである。

セキュリティ上の問題があるソフトウェアの更新プログラムがダイオードを通過したとしても、その更新プログラムは依然としてセキュリティ上の問題を抱えたままです。

誰かが毒入りの文書を隔離された環境に持ち込んだ場合、隔離しただけではその文書が安全になるわけではありません。

だからこそ、このアーキテクチャの次世代版は、次のようなものであるべきだと私は考えています：

片道で、清潔に

ダイオードを使って方向を制御してください。

次に、通過が許可されているものを確認してください。

つまり、ハードウェアによって強制される一方向通信と、Multiscanning 、データサニタイゼーション、Deep CDR™テクノロジー、サンドボックス、DLP、AIベースのコンテンツ検査、ファイル検証、ポリシー適用といった技術を組み合わせることを意味します。

OPSWAT同社の現在のMetaDefender アーキテクチャは、すでにDeep CDR™テクノロジー、Metascan™Multiscanning 、サンドボックス、Proactive DLP 、およびAIベースの検査機能を、管理されたファイルワークフローに統合しており、当社のクロスドメイン製品では、これらの防御技術をセキュアな転送アーキテクチャと組み合わせています。MetaDefender™Core は、これらのワークフローの一環として、30種類以上のマルウェア対策エンジンを並行して使用することができます。

目標は単に次のようなものであってはならない：

このデータはAからBへ移動できますか？

質問は次の通りであるべきです：

そもそも、この方向に進むべきなのでしょうか？

…それどころか……

このコンテンツはそもそも掲載を許可すべきなのでしょうか？

そこが、単にエアギャップを設けることと、そのエアギャップを越えて情報を安全にやり取りするためのプロセスを構築することとの違いです。

CISAに異議を唱えたいが、同時にその功績も認めたい。

方向が変わりつつある。

2026年に策定された新たな重要インフラ隔離ガイドラインでは、運用者は重要なOTシステムを他のネットワークから隔離できるべきであると述べ、物理的な隔離を最も効果的な保護手段として位置づけており、特にデータダイオードやクロスドメインソリューションについては、適切に実装された場合、標準的なネットワークゲートウェイアーキテクチャよりも高い保証を提供すると明確に認めている。

これは重要な進展です。

My CISAが直面している課題は次の通りです：

隔離措置を、単に危機発生時に備えて行うものとして捉えるのではなく、重要なインフラを設計する段階から最初から組み込むべきです。

リモートアクセスをどのように保護するかという点を検討する前に、そもそもリモートアクセスが本当に必要かどうかを検討してください。

「はい」という答えなら、それを確保してください。

答えが「いいえ」の場合は：

パスを削除してください。

こうした問いかけは、米国の国境を越えて広がっています。欧州のNIS2枠組みは現在、エネルギー、交通、医療、飲料水、下水、デジタルインフラ、製造業、政府、宇宙など、18の重要分野にわたる共通のサイバーセキュリティ枠組みを確立しています。

世界中の政府が、リスク評価、認証、インシデント報告、パッチ適用、監視、検知、および復旧に関する要件を強化しています。

それらはすべて重要なことです。

しかし、規制当局はさらに多くの質問を加える必要があると思います：

なぜこのような関連性があるのでしょうか？

接続のセキュリティ対策はどのように行っていますか？

そもそもその接続は必要なのでしょうか？

これらの質問は、重要インフラが稼働しているあらゆる場所で問われるべきである。

とはいえ、米国が先に動くべきだと私は考えています。

私は、ある一つの単純な原則に基づいた米国の大統領令の発令を求めています。その原則とは、

不要なリターンパスがない。

最も重要なインフラに関しては、以下の5つの概念に集約されます：

1. 重要なコントローラは、インターネットに直接接続してはならない。
2. データを送信するだけの場合、接続を片方向にし、データをクリーンな状態に保ちます。ハードウェアによる強制的な片方向通信に加え、コンテンツセキュリティ、マルチスキャン、データサニタイゼーション、およびDeep CDR™テクノロジーを併用することで、境界を越える情報が検査され、サニタイゼーションされます。
3. リモート制御は例外的な措置であるべきです。どうしても必要である場合は、セキュリティ対策を講じ、利用を制限し、監視・監査を行い、オペレーターが安全に復旧できることを確実にしなければなりません。
4. 小規模な公益事業者の近代化を支援する。小規模な水道事業者が、全国規模の公益事業者並みのリソースを駆使して、高度なサイバー攻撃者から自らを守れるとは期待すべきではない。
5. ベンダーではなく、セキュリティ要件を定めるべきである。政府は達成すべき成果を定義し、業界が競争して最良のソリューションを提供できるようにすべきである。

その原理は単純です：

トラフィックが戻ってくる必要がない場合は、リターンパスを削除してください。また、境界を越えるものはすべてクリーンな状態である必要があります。

米国が先導することは可能ですが、私は世界中の政府に対しても、同じ原則を採用するよう呼びかけたいと思います。

次の危機が訪れる前に行動すべきだと私が考える理由は、他にもあります。

2026年6月22日、ホワイトハウスは「高度な暗号攻撃から国家を守る」と題する大統領令第14412号を発令した。同令は、大規模な量子コンピュータが広く利用されている暗号技術に将来的に及ぼす脅威を認識し、連邦政府によるNIST承認のポスト量子暗号への移行を加速させるとともに、各機関に対し、重要インフラの所有者が独自の移行準備を進めるよう支援するよう指示している。

この理屈、気に入った。

危機が訪れる前に行動を起こしましょう。

それが予防です。

重要なインフラのアーキテクチャについても、同じ考え方が当てはまるべきだと思います。

また、データダイオードと量子時代の間には、興味深いつながりがあります。

はっきりさせておくと、データダイオードを導入したからといって、現在の暗号技術が量子耐性を持つようになるわけではありません。その数学的な問題を解決するのは、ポスト量子暗号です。

しかし、暗号化キーは依然としてどこかに存在しています。

それらはどこかで生成され、どこかに保存され、どこかで利用される。

HSM、鍵管理システム、量子コンピューティングインフラ、そして将来の量子ネットワークにおいても、ハードウェア、ソフトウェア、運用担当者、ネットワーク接続は依然として不可欠となるでしょう。

それでも、攻撃対象となる部分は残るだろう。

極めて機密性の高い暗号環境を想像してみてください。この環境では、テレメトリ、監査情報、セキュリティイベント、あるいは承認済みの計算結果を外部へ送信する必要がありますが、通常の企業ネットワークが、それらの鍵を保護しているシステムに向けて通信を開始する理由が一切ありません。

これは、ハードウェアによる隔離技術の将来的な重要な応用例になると考えています。これはアーキテクチャ上の推論であり、ポスト量子暗号に代わるものではありません。NISTの一方向アーキテクチャは、一方向の経路がネットワークの到達可能性をどのように低減できるかを示しており、一方、新たな連邦量子政策は、将来の暗号システムを保護することがいかに重要になりつつあるかを示しています。

My ビューはシンプルです：

ポスト量子暗号は、その数学的基盤を保護する。

Hardware-強制的な分離により、数学的基盤を保護することで、マシンへの経路を保護することができる。

最も機密性の高い環境においては、その両方が必要になると私は考えています。

当たり前のことですが、あらかじめお伝えしておきます。

OPSWAT データダイオードを販売しています。

しかし、私たちがこのアーキテクチャを突然発見したのは、先月ミネソタ州が攻撃を受けたからというわけではなく、また、私がサイバーセキュリティ番組を制作しようと決めたからといって、この市場に参入したわけでもありません。

この賭けをしたのは何年も前のことだ。

長年にわたり、OPSWAT は、政府、防衛、エネルギー、産業といった機密性の高い分野において、当社の技術をダイオードベンダーの製品と統合してきました。こうした顧客と関わる時間が長くなるにつれ、もし当社の使命が真に世界の重要インフラを保護することにあるのであれば、この技術のより多くの部分を自社で保有する必要があるという確信を強めていきました。

これまでソフトウェアで知られてきた企業としては、一見して明らかではないようなことを行いました。

私たちは2社のハードウェア企業を買収しました。

2021年、OPSWAT はBayshore Networksの資産を買収し、産業用セキュリティ、OT、ICS、およびセキュアなデータ転送機能を同社に組み込みました。

2024年、当社はFendを買収し、データダイオードの機能を拡充するとともに、水道事業などの分散型・遠隔インフラに特に適した新たなアーキテクチャを獲得しました。

そして、それらの企業を買収したのは、あくまで始まりに過ぎなかった。

この分野における研究開発リソースを3倍に増やしました。

また、別の決定も下しました。

政府や重要インフラの運営者が依存するハードウェアを製造するのであれば、そのハードウェアがどこから調達されたのか、誰が組み立てたのか、どのような部品が使われているのか、どのようにテストされたのか、そして品質をどのように管理しているのかを知りたいと思います。

そこで、製造拠点を私たちのすぐ近くに配置したのです。

2025年11月、OPSWAT はフロリダ州タンパに生産拠点を開設し、ハードウェアの生産を自社内で行えるようにしたことで、品質、コンプライアンス、製品開発、およびサプライチェーンの健全性に対する管理体制を強化しました。

そして、この戦略はタンパで終わるわけではない。

欧州やアジアにおいて、さらなる地域拠点やハブを構築しています。これは、各国政府がサイバーセキュリティ技術の機能だけでなく、それがどこで開発されているか、またサプライチェーンを誰が管理しているかについても、ますます関心を高めているためです。

これは単なるサイドプロジェクトではありません。

これは、重要インフラのセキュリティが今後どのような方向に向かうべきか、という私たちの考えに基づく長期的な賭けです。

これらすべては、私の著書で述べた主張に帰着します。 『サイバーセキュリティ・アップサイドダウン』で述べた主張に帰着するのです。

私たちの業界は、有害物質を環境中に放出させてしまった後、それを検知することに関しては驚くほど得意になってしまいました。

検知機能は絶対に不可欠です。SOC、脅威インテリジェンス、監視、そしてインシデント対応が必要です。

しかし、何よりも予防を最優先すべきです。

悪意のあるコンテンツが実行される前に削除できる場合は、削除してください。

不要な権限があるなら、それを削除してください。

重要な環境を隔離できるのであれば、隔離してください。

また、重要なシステムにインバウンドのネットワークパスが必要ない場合は：

パスを削除してください。

これこそが、「予防を第一とする」サイバーセキュリティです。

そして、これでまたこの物語の始まりに戻ることになります。

『Into the Breach』は、単なる『OPSWAT 』の宣伝動画ではありません。

私がサイバー・キング・プロダクションズを設立したのは、サイバーセキュリティには、世界とコミュニケーションをとるためのまったく新しいアプローチが必要だと考えているからです。

企業のCMは作りたくない。

人々が本当に観たいと思うようなサイバーセキュリティのストーリーを伝えたい。

誰もが理解していると思っている事柄を取り上げましょう。その根底にある前提を見つけ出し、それを基に実験を組み立てます。それを検証し、徹底的に検証し、場合によってはそれを打ち破り、あるいは何かを吹き飛ばすかもしれません。そして、専門家を招き、実際に何が起きたのかを説明します。

それが、 私たちが『Into the Breach 』の第1話「 Firewall を打ち破れ 」で目指したことでした。

公式公開に先立ち、このエピソードはユナイテッド航空の機内で放映され始めました。その後、ブラックハットで、私にとって特に嬉しい出来事が起こりました。フライト中にこのエピソードを観た人々が 「OPSWAT 」のブースを訪れ、中にはデータダイオードについて私たちと話したいという人もいたのです。

そのことを考えてみてください。

ある人が飛行機の中でサイバーセキュリティに関する番組を見て、ブラックハットに到着した後、当社のブースを訪れ、重要なネットワークをより効果的に保護する方法について理解したいと希望しました。

まさにそれが、私が『サイバーキング』に期待していたことなのです。

アイデアを思いつくのは簡単だ。それを実現するのはそう簡単ではない。

私はクリエイター兼エグゼクティブプロデューサーを務めていますが、第1話の制作にあたっては、素晴らしいチームに支えられて幸運でした：

• カリ・バイロンが司会兼エグゼクティブ・プロデューサーを務めた

• ベリー・ブラントンは監督兼プロデューサーを務めた

• ジェイソン・リチャードがプロデューサー兼編集を担当した

• リンダ・ウォルコビッチがプロデューサーを務めた

• エリック・ワインブレヒトはライターでした

• ジョアンナ・シェメッシュはアソシエイト・プロデューサーを務めた

• スコット・ソレンセンが撮影監督を務めた

• シャノン・ウィルカーソンが3Dおよびモーションデザインを担当しました

• クリストファー・ゴア・ガモンは副編集長を務めていた

• 制作チームには、ヘスス・“チュイ”・バラデス、マリック・ハイル、ヤン・ライヒレ、クリスティーナ・ロブレス、ヘスス・オセホ、ロマン・モラも名を連ねていた。

…そしてもちろん、ロボドッグのマックスは本人役で出演した。

カリ、ベリー、ジェイソン、エリック、そしてこのアイデアを現実のものにするために協力してくれたすべての方々に、心から感謝申し上げます。