米政府、テキサスで水道サイバー防御「Project Watershed 250」始動　FBIは7州でOT攻撃確認、日本も10月に重要インフラ規制強化

米テキサス州政府とホワイトハウス国家サイバー長官室（Office of the National Cyber Director、ONCD）は2026年8月31日、水道・下水道事業者のサイバー防御を支援する「Project Watershed 250」を開始しました。

テキサス州政府によると、同プロジェクトは州内の水道・下水道事業者に対し、連邦政府、州政府、民間企業のサイバー防御能力を組み合わせ、無償で防御リソースを提供する取り組みです。特に専門人材や予算が不足しやすい地方・小規模事業者の防御力を引き上げる狙いがあります。

Axiosなど米メディアは、Project Watershed 250を6か月間の実証プログラムと報じており、AIやサイバーセキュリティ製品、脆弱性診断などを活用してテキサス州の水道システムを検証し、成果を他州へ展開する構想だと伝えています。

背景には、米国の水道・下水道施設を狙ったサイバー攻撃の拡大があります。FBIとEPAは7月30日、7月27日以降、少なくとも7州の水道・下水道事業者からインターネットに直接接続されたPLCを狙う攻撃の報告を受け、一部で水道運用が低下したと公表しました。

その後、AxiosやABC Newsなどは被害・調査対象が少なくとも12州へ広がったと報じています。イラン関係者の関与が疑われていますが、FBIやCISAは今回の2026年の攻撃について正式な攻撃主体の帰属を公表していません。

日本でも水道は重要インフラに指定されており、2026年10月1日にはサイバー対処能力強化法の主要規定や「重要インフラのサイバーセキュリティ対策のための統一基準」が施行されます。米国の事例は、インターネットへ露出したOT機器、遠隔保守、認証管理、インシデント報告体制の見直しが国内事業者にも必要であることを示しています。

米国の水道サイバー攻撃とProject Watershed 250のサマリー

• テキサス州政府とONCDは2026年8月31日、「Project Watershed 250」を開始しました。
• テキサス州の水道・下水道事業者へ、民間企業などのサイバー防御リソースを無償提供します。
• AxiosやCyberScoopは6か月間の実証プログラムと報じており、成果を全国展開する構想があるとしています。
• FBIとEPAは2026年7月30日、7月27日以降に少なくとも7州の水道・下水道事業者がサイバー攻撃を報告したと公表しました。
• 攻撃対象にはインターネットへ直接接続されたRockwell Automation/Allen-Bradley MicroLogix 1100、1400シリーズのPLCが含まれています。
• 攻撃者は一部でIPアドレスやパスワードを変更し、監視・制御機能を失わせました。
• AxiosやABC Newsなどは、その後少なくとも12州で水道・下水道施設への攻撃・侵入が報告されたと伝えています。
• イラン関係者が疑われているとの報道がありますが、FBIやCISAは2026年の一連の攻撃について正式な帰属を公表していません。
• 日本では水道は重要インフラ15分野の一つに指定されています。
• 国土交通省は2026年5月、水道向け情報セキュリティ安全ガイドラインを第2版へ改定しました。
• 2026年10月1日には、サイバー対処能力強化法の基幹インフラ向け資産届出・インシデント報告などの主要規定が施行されます。
• 同日、「重要インフラのサイバーセキュリティ対策のための統一基準」も施行予定です。

項目	内容
米国の新施策	Project Watershed 250
開始日	2026年8月31日
主体	ONCD、テキサス州、Texas Cyber Command、民間企業
対象	テキサス州の水道・下水道事業者
支援	サイバー防御・AI等のリソースを無償提供
実施期間	Axios、CyberScoopは6か月間の実証と報道
2026年の攻撃	FBI・EPAは少なくとも7州で公式確認
その後の範囲	米メディアは少なくとも12州と報道
公式に確認された影響	一部で監視・制御機能喪失、水道運用の低下
攻撃主体	FBI・CISAによる2026年攻撃の正式帰属は未公表
主な攻撃対象	インターネットへ露出したPLCなどOT機器
日本の位置付け	水道は重要インフラ15分野の一つ
日本の制度上の節目	2026年10月1日

Project Watershed 250、テキサス州の水道事業者へ防御資源を無償提供

テキサス州のGreg Abbott知事と国家サイバー長官Sean Cairncross氏は8月31日、サンアントニオでProject Watershed 250を発表しました。

テキサス州政府の公式発表では、ONCDと民間企業が共同で実施し、州内の水道・下水道事業者へサイバー防御リソースを無償提供するとしています。Texas Cyber Commandもプロジェクトへ参加し、連邦政府、州政府、自治体、民間企業の能力を組み合わせます。

州政府は、多くの地方水道事業者が十分な専門人材や予算を持たないことを課題として挙げています。

AxiosとCyberScoopによると、プロジェクトは6か月間の実証として、脆弱性の発見、防御強化、AIを含む民間セキュリティ技術の活用などを試し、効果が確認できた取り組みを他州へ拡大する計画です。

テキサス州政府の公式リリースでは実施期間を明記していないため、「6か月間」は米メディア報道に基づく情報として区別する必要があります。

FBI・EPA、少なくとも7州で水道OTへの攻撃を確認

FBIとEPAは7月30日、7月27日以降、少なくとも7州のWater and Wastewater Systems（WWS）事業者から攻撃の報告を受けたと公表しました。

対象として確認されたのは、インターネットから直接アクセス可能なRockwell Automation/Allen-Bradley製MicroLogix 1100、1400シリーズのPLCです。

FBIによると、攻撃者はリモートアクセス後、一部のPLCでIPアドレスやパスワードを変更しました。その結果、事業者が設備の監視・制御機能を失い、一部では水道運用が低下したとしています。

重要なのは、今回の問題が単なるWebサイト改ざんではなく、ポンプ、バルブ、処理設備などの物理プロセスに関係するOperational Technology（OT）が狙われている点です。

ただし、FBIの公表では、飲料水の安全性が損なわれた、広域断水が発生したといった事実までは示されていません。

「7州」と「12州」は情報源を分ける必要

今回の攻撃範囲には複数の数字があります。

FBI・EPAが7月30日に公式確認したのは「少なくとも7州」です。一方、Axios、ABC News、CBS Newsなどは8月上旬までに、攻撃・侵入の報告や調査対象が少なくとも12州へ広がったと報じています。

このため「米政府が12州で攻撃を公式確認した」とするのは正確ではありません。

現時点では、FBI・EPAの一次情報は少なくとも7州、米メディア報道では少なくとも12州と分ける必要があります。

米国の重要インフラ攻撃は水道だけではない

米政府が警戒しているのは水道だけではありません。

CISA、NSA、FBIなどは2024年、中国政府系と評価するVolt Typhoonが米国の通信、エネルギー、交通、水道・下水道など複数の重要インフラへ侵入し、一部の被害組織で少なくとも5年間アクセスを維持していた兆候を確認したと公表しています。

Volt Typhoonについて米政府は、短期的な情報窃取だけでなく、将来の危機や有事に重要インフラを妨害できるよう事前配置を進めている可能性を警告してきました。

さらにトランプ政権は2026年8月26日、外国製のバルク電力系統用機器にサイバー・遠隔操作リスクが存在し得るとして国家非常事態を宣言し、一定の外国製機器や関連ソフトウェア、リモートアクセス機能などを制限できる大統領令を出しています。

セキュリティ対策Labでは「トランプ政権、米電力網の外国製機器に新規制　バックドア・遠隔操作リスクを国家安全保障上の脅威に」で詳細を整理しています。

米国の重要インフラ政策は、個別の攻撃へのインシデント対応だけではなく、OT機器のインターネット露出、サプライチェーン、外国製設備、脆弱性情報共有、AIを活用した防御へ対象を広げています。

EPAは8月31日に1,175万ドルの水道レジリエンス助成も発表

Project Watershed 250と同じ8月31日、EPAは中規模・大規模の飲料水システムを対象に計1,175万ドルの助成を発表しました。

対象は10のプロジェクトで、サイバー攻撃や山火事、洪水などへのレジリエンス向上を支援します。

Project Watershed 250が民間企業の技術・専門能力を無償提供する実証型の取り組みであるのに対し、EPAの助成は設備・運用のレジリエンス強化を資金面から支援するものです。

米国では3,300人超を供給する水道にリスク評価・緊急対応計画を義務付け

米国では2018年のAmerica’s Water Infrastructure Act（AWIA）により、Safe Drinking Water Act第1433条が改正されました。

人口3,300人を超えるCommunity Water Systemには、Risk and Resilience Assessment（RRA）とEmergency Response Plan（ERP）の作成・更新が義務付けられています。

RRAには電子計算機や自動化システムのセキュリティ、つまりサイバーセキュリティも含める必要があります。ERPでもサイバーセキュリティを含むレジリエンス向上策と、攻撃時の対応・復旧手順を盛り込む必要があります。

一方、3,300人以下の小規模システムには同じ認証義務がありません。Project Watershed 250が地方・小規模事業者を重視する背景には、こうした制度上・資源上の差もあります。

EPAの「水道サイバー監査義務化」は2023年に訴訟で撤回

EPAは2023年3月、州が行う水道施設のSanitary Surveyでサイバーセキュリティを評価するよう求める解釈メモを出しました。

しかし、一部州などによる訴訟を受け、EPAは同年10月にこのメモを撤回しました。

EPAは撤回後も水道サイバーセキュリティを優先課題と位置付け、リスク評価、技術支援、トレーニングなど自主的な支援を続けています。

Project Watershed 250も、連邦政府が全国一律の新たな監査義務を直ちに課すのではなく、州政府と民間企業を組み合わせて実効性を検証するアプローチと見ることができます。

日本では水道を「重要インフラ15分野」の一つに指定

日本でも水道は重要インフラに位置付けられています。

国家サイバー統括室の「重要インフラのサイバーセキュリティに係る行動計画」では、情報通信、金融、航空、空港、鉄道、電力、ガス、政府・行政サービス、医療、水道、物流、化学、クレジット、石油、港湾の15分野を重要インフラとして指定しています。

水道分野では公益社団法人日本水道協会がCEPTOARとして、政府や関係機関からの情報を水道事業者へ共有する役割を担っています。

水道施設の運転管理コンピューターには法令上のサイバー対策要件

日本の水道サイバーセキュリティはガイドラインだけではありません。

国土交通省によると、「水道施設の技術的基準を定める省令」第1条第11の2号では、施設の運転を管理する電子計算機について、水の供給に著しい支障を及ぼすおそれがないよう、サイバーセキュリティを確保するために必要な措置を講じることが水道施設の要件として定められています。

2025年2月には、不正プログラム対策の追加やOSに関する措置の厳格化など、外部からの侵入を想定した考え方も見直されました。

これは推奨事項ではなく、水道施設が満たすべき技術基準です。

国交省は2026年5月に水道セキュリティガイドライン第2版

国土交通省は2026年5月13日、「水道分野における情報セキュリティ確保に係る安全ガイドライン」を第2版へ改定しました。

同ガイドラインは、水道事業者が実施することが必要または望まれる情報セキュリティ対策の項目や水準を整理しています。

一方、国交省はガイドライン自体について、法令で定められた強制基準ではなく推奨事項を列挙するものと説明しています。

ただし、前述の水道施設技術基準に由来する対策は法令遵守事項です。

経済安全保障推進法では重要水道設備の導入・保守を事前審査

2024年5月からは、経済安全保障推進法の基幹インフラ制度も運用されています。

この制度では、国が指定する特定社会基盤事業者が特定重要設備を導入したり、重要な維持管理を外部委託したりする場合、事前に所管大臣へ届け出て審査を受けます。

水道も対象分野です。

2026年の内閣府資料では、水道事業について給水人口100万人超、水道用水供給事業では1日最大給水量50万立方メートル超などが指定基準として示されています。

対象はすべての水道事業者ではありません。大規模事業者など、法令上の基準を満たし主務大臣から指定された事業者が直接の対象になります。

この制度は、サイバー攻撃そのものへの対応だけでなく、重要設備の導入元、供給者、保守委託先などサプライチェーンから妨害リスクを低減する仕組みです。

2026年10月1日、サイバー対処能力強化法の主要規定が施行

日本では2025年5月、「重要電子計算機に対する不正な行為による被害の防止に関する法律」、いわゆるサイバー対処能力強化法が成立しました。

2026年9月1日時点では一部規定が既に施行されていますが、基幹インフラ事業者に直接関係する主要制度は10月1日に始まります。

国家サイバー統括室は、10月1日から基幹インフラに関するインシデント報告、資産届出、官民協議会などの運用が始まると説明しています。

対象となる「特別社会基盤事業者」は、経済安全保障推進法で指定された特定社会基盤事業者のうち、法令上の特定重要電子計算機を使用する者です。

対象事業者には、特定重要電子計算機の届出や、一定のサイバー侵害が発生した場合の報告などが求められます。

なお、この法律は民間企業へ攻撃者への「反撃権」を与えるものではありません。アクセス・無害化措置は所定の条件と監督の下で警察など政府機関が実施する制度です。

セキュリティ対策Labでは「トランプ大統領、民間企業をサイバー攻撃に参加させる大統領覚書に署名 日本の「能動的サイバー防御」との構造的な違いとは」で整理しています。

10月1日から「重要インフラ統一基準」も施行

サイバーセキュリティ戦略本部は2026年7月31日、「重要インフラのサイバーセキュリティ対策のための統一基準」を決定しました。

施行予定日は10月1日です。

これまで重要インフラ分野ごとに対策水準のばらつきがあったことから、政府機関が重要インフラ事業者等へサイバーセキュリティ対策を促進する際の統一的な基準を設けます。

ここで注意したいのは、統一基準そのものが全重要インフラ事業者へ直接罰則付き義務を課す法律ではないことです。

政府機関が各分野の施策を設計・評価するための共通基準であり、各所管省庁の安全基準や業界ルールへ反映されていく仕組みです。

米国と日本の水道サイバー制度を比較

論点	米国	日本
水道の位置付け	重要インフラのWater and Wastewater Systems Sector	重要インフラ15分野の「水道」
OTへの基本対策	FBI・EPA・CISAがインターネット露出削減、強固な認証、FW、ACL等を勧告	水道施設技術基準と国交省ガイドラインで対策
リスク評価	3,300人超のCommunity Water SystemにRRA・ERPを義務付け	重要インフラ行動計画、分野別ガイドライン、事業者ごとのリスク管理
小規模事業者	AWIAの認証義務対象外が存在、Project Watershed 250で支援	規模により経済安保法・サイバー対処能力強化法の直接対象外となる場合あり
設備調達・保守	連邦政策・CISA/EPA支援、電力では外国製設備規制も強化	経済安全保障推進法で指定事業者の重要設備・保守委託を事前審査
インシデント報告	FBI、CISA、EPAなど複数機関へ報告・共有	2026年10月から対象基幹インフラで法定報告制度が本格施行
官民連携	ONCD、州政府、民間企業のProject Watershed 250	国家サイバー統括室、所管省庁、CEPTOAR、官民協議会
防御施策の方向性	無償ツール、AI、脆弱性診断、技術支援	統一基準、資産届出、インシデント報告、分野別安全基準

重要インフラ・水道事業者への示唆

米国の2026年の攻撃で特に重要なのは、攻撃者が特殊なゼロデイを使わなくても、インターネットへ直接露出したOT機器や不十分な認証を足掛かりに物理設備の監視・制御へ影響を与えられる点です。

第一に、PLC、SCADA、HMI、RTUなどOT資産のインターネット露出を棚卸しする必要があります。FBIとEPAは今回の攻撃を受け、PLCをインターネットへ直接公開せず、安全なゲートウェイやファイアウォールの背後に配置することを推奨しています。

第二に、デフォルト認証情報や弱いパスワードを排除します。2023～2024年のIRGC関連攻撃でも、インターネットへ公開されたPLCにデフォルトパスワードやパスワード未設定が残っていたことが侵害要因になりました。

第三に、ITとOTのネットワーク分離、遠隔保守経路の制御を確認します。保守ベンダーがVPNやリモートアクセス製品を利用する場合も、MFA、接続元制限、操作ログ、時間制限、委託先アカウント管理を組み合わせる必要があります。

第四に、OTの手動運転・代替運用を含むBCPを準備します。水道設備では、監視・制御システムが使えなくても安全な範囲で運用を継続できるかが重要です。

第五に、10月1日の法施行を前にIT・OT資産台帳と報告フローを見直します。サイバー対処能力強化法の対象事業者は、特定重要電子計算機の把握と、侵害時の報告判断を短時間で行える体制が必要になります。

第六に、設備更新時は本体だけでなくサプライチェーンを確認します。PLCや制御装置について、製造元、ファームウェア更新経路、保守事業者、クラウド接続、リモートアクセス権限、サポート終了時期まで把握する必要があります。

米国のProject Watershed 250は、最新のAI防御技術を導入することだけが目的ではありません。地方・小規模事業者を含め、基本的な資産管理、認証、ネットワーク分離、脆弱性管理、インシデント対応を実装できる状態へ引き上げることが焦点です。

日本でも法制度は2026年10月に大きな節目を迎えます。重要インフラ事業者は、法令対応を形式的な届出・報告だけで終わらせず、OT環境の実態把握とサービス継続まで含めた対策へつなげる必要があります。

出典

• Governor Abbott, National Cyber Director Launch Project Watershed 250 To Defend Texas Water Supply – Office of the Texas Governor
• Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers, Causing Operational Disruptions – FBI
• IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities – CISA
• CISA, EPA, and FBI Release Top Cyber Actions for Securing Water Systems – CISA
• AWIA Section 2013/SDWA Section 1433: Risk and Resilience Assessments and Emergency Response Plans – EPA
• Cybersecurity in Sanitary Surveys – EPA
• EPA Announces $11.75 Million to Help Protect Drinking Water from Cyberattacks and Extreme Weather Events – EPA
• PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure – CISA
• Declaring a National Emergency to Secure the United States Bulk-Power System – The White House
• Trump administration launches new program to secure water systems – Axios
• 上下水道：水道分野におけるサイバーセキュリティ対策 – 国土交通省
• 水道分野における情報セキュリティ確保に係る安全ガイドライン（第二版） – 国土交通省
• 重要インフラ対策関連 – 国家サイバー統括室
• 重要インフラのサイバーセキュリティの確保に関する主な資料 – 国家サイバー統括室
• 重要電子計算機に対する不正な行為による被害の防止に関する法律 – e-Gov法令検索
• 基幹インフラ役務の安定的な提供の確保に関する制度 – 内閣府
• トランプ政権、米電力網の外国製機器に新規制　バックドア・遠隔操作リスクを国家安全保障上の脅威に – セキュリティ対策Lab
• トランプ大統領、民間企業をサイバー攻撃に参加させる大統領覚書に署名 日本の「能動的サイバー防御」との構造的な違いとは – セキュリティ対策Lab