独立行政法人情報処理推進機構（IPA）は7月31日、制御システムのセキュリティリスク分析ガイドの補足資料として「制御システム関連のサイバーインシデント事例」シリーズを追加公開した。
IPAでは、制御システムにおけるリスクアセスメントの具体的な手順を解説した「制御システムのセキュリティリスク分析ガイド」を公開しており、同ガイドでは、制御システム保有事業者の事業に重大な被害を与えるサイバー攻撃からの回避に重点を置いた「事業被害ベースのリスク分析手法」を紹介している。
「事業被害ベースのリスク分析手法」では、攻撃シナリオの検討時に過去の攻撃事例を参考にすることを提示しており、これによって自社の制御システムで類似の脅威が発生した場合の事業への影響、脅威の発生可能性、発生した脅威の受容可能性/脅威に対するセキュリティ対策の有効性を分析できる。
「制御システム関連のサイバーインシデント事例」シリーズは、事業被害ベースのリスク分析における攻撃事例の活用を支援するための補足資料で、過去の制御システムのサイバーインシデント事例をもとに、その概要と攻撃の流れ（攻撃ツリー）を紹介している。現時点で、下記の13の事例を取り上げており、事例12、13が今回の追加分となる。
【事例1】2015年 ウクライナ 大規模停電
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000076755.pdf
【事例2】2016年 ウクライナ マルウェアによる停電
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000076756.pdf
【事例3】2017年 安全計装システムを標的とするマルウェア
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000076757.pdf
【事例4】Stuxnet：制御システムを標的とする初めてのマルウェア
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000080701.pdf
【事例5】2019年 アルミ製造企業に対する大規模ランサムウェア攻撃
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/ssf7ph0000002uci.pdf
【事例6】2018年 半導体製造企業のランサムウェアによる操業停止
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/ssf7ph0000002ujl.pdf
【事例7】2020年 医療関連企業のランサムウェアによる業務停止
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000085318.pdf
【事例8】2021年 水道局への不正侵入と飲料水汚染未遂
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/CyberIncident8_20231110.pdf
【事例9】2021年 米国最大手のパイプラインのランサムウェア被害
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/000093825.pdf
【事例10】2022年 衛星通信網へのサイバー攻撃の事例
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/incident_10.pdf
【事例11】2022年 電力網への攻撃の事例
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/incident_11_20240417.pdf
【事例12】2023年 デンマークの複数のエネルギー関連企業へのサイバー攻撃
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/rcu1hd0000017pia.pdf
【事例13】2025年 ポーランドの市民プールへの攻撃
https://www.ipa.go.jp/security/controlsystem/ug65p900000197wa-att/rcu1hd0000017pjj.pdf
