Jak przygotować sieć dystrybucji energii na cyberzagrożenia?

fot. PSE

Sieci energetyczne na całym świecie są nieustannie jednym z głównych celów cyberataków. Skalę zagrożeń zwiększyła wojna w Ukrainie. Według danych Check Point Research, w ciągu roku (2022 vs. 2023) liczba ataków na infrastrukturę użyteczności publicznej w Polsce zwiększyła się aż pięciokrotnie. Jak dalej zauważają eksperci firmy, infrastruktura krytyczna jest obiektem zainteresowania cyberprzestępców od dłuższego czasu. W 2021 roku prawie 14% wszystkich cyberataków w naszym kraju dotyczyło sektora energetycznego [1]. Co więcej, przeprowadzone przez Schneider Electric badanie wykazało, że 40% specjalistów odpowiadających za kwestie energii i usług użyteczności publicznej uważa cyberataki za jedno z największych ryzyk.

Sieć elektroenergetyczna stanowi potencjalny cel na ogromną skalę, zarówno jeśli chodzi o wielkość szkód, jakie może spowodować atak, jak i ze względu na wiele możliwych sposobów jego przeprowadzenia. Systemy dystrybucji energii elektrycznej są uważane za infrastrukturę krytyczną, która jest niezbędna do funkcjonowania społeczeństwa i gospodarki. Jak wskazują analizy Światowego Forum Ekonomicznego, cyberatak na sektor energetyczny to bardzo skuteczny sposób na sparaliżowanie gospodarki i zdestabilizowanie bezpieczeństwa narodowego. Atak może spowodować przerwę w dostawie prądu, paraliżując dotknięte regiony.

Ochrona wielostrefowa staje się koniecznością

Dzięki wzrostowi liczby podłączonych urządzeń w wyniku cyfryzacji tego sektora i rozwoju Internetu rzeczy, sieci dystrybucji energii elektrycznej są połączone ze sobą na coraz większej liczbie płaszczyzn. Każdy system i urządzenie dodają jednak kolejną potencjalną warstwę ataku. Sieć stała się bardziej złożona, dynamiczna, zautomatyzowana i rozproszona geograficznie, co stworzyło więcej słabych punktów do wykorzystania przez cyberprzestępców. Zagrożenia dla cyberbezpieczeństwa pochodzą również z całego łańcucha dostaw, w tym od stron trzecich, takich jak dostawcy rozwiązań i infrastruktury.

Odnotowane do tej pory skuteczne ataki na przedsiębiorstwa użyteczności publicznej pokazały, że atakujący nieustannie szukają nowych sposobów na uzyskanie dostępu. Dla przykładu udane cyberwłamanie miało miejsce w przypadku sieci biurowej ENTSO, czyli Europejskiej Sieci Operatorów Elektroenergetycznych Systemów Przesyłowych. Australijski CS Energy padł ofiarą ataku ransomware na swoją sieć. Ataki w Bombaju wpłynęły na regionalne centra dyspozytorskie i doprowadziły do rozległych przerw w dostawie energii, a awaria w małym amerykańskim przedsiębiorstwie użyteczności publicznej zdołała zniszczyć 90 procent wewnętrznego systemu przedsiębiorstwa i była odpowiedzialna za utratę 25 lat historycznych danych.

Cyfryzacja energetyki niesie ze sobą cyberzagrożenia, ale sprawia też, że sieci energetyczne stają się bezpieczniejsze i bardziej zrównoważone

Chociaż w teorii brzmi to dobrze, wstrzymanie wysiłków związanych z cyfryzacją jako sposób na zminimalizowanie ryzyka cybernetycznego to zły pomysł, ponieważ modernizacja daje sieciom dystrybucji energii elektrycznej ogromne możliwości. Transformacja cyfrowa zwiększa ich odporność, umożliwia zdalne monitorowanie, poprawia równoważenie obciążeń, zwiększa wykorzystanie OZE, wspiera prosumentów i pozwala przygotować się na większą elektryfikację, która jest z kolei istotną częścią wysiłków na rzecz dekarbonizacji.

Pięciostopniowe podejście do zapewnienia odpowiedniego bezpieczeństwa sieci dystrybucji energii

Aby wykorzystać możliwości inteligentnych sieci, jednocześnie chroniąc aktywa, sieci dystrybucji energii elektrycznej muszą nadać priorytet cyberbezpieczeństwu. Wiąże się to z proaktywną, a nie reaktywną obroną.

Na przykład, wszystkie produkty technologiczne, urządzenia i systemy – od poziomu czujnika do aplikacji – muszą być projektowane i produkowane z myślą o bezpieczeństwie. Pierwotnie bowiem nie wszystkie urządzenia wbudowane i aplikacje systemów zasilania zostały zaprojektowane z myślą o monitorowaniu cyberbezpieczeństwa i innych zagrożeń. Chociaż możliwe jest wzmocnienie cyberbezpieczeństwa istniejącego sprzętu, sieci są bezpieczniejsze, gdy korzystają z produktów i urządzeń, które są projektowane w sposób cyberbezpieczny, zgodny z normą IEC 62443.

Każde podejście do ograniczania ryzyka cybernetycznego musi definiować i wdrażać holistyczną, wszechstronną strategię cyberbezpieczeństwa, która będzie wspierać biznes jako całość. Wynika to z faktu, że cyberbezpieczeństwo obejmuje nie tylko urządzenia, ale także kulturę bezpieczeństwa i umiejętności pracowników w zakresie cyberbezpieczeństwa.

W tym celu eksperci Schneider Electirc proponują pięciostopniowe podejście, które może pomóc personelowi zarządzającemu sieciami dystrybucji energii elektrycznej w tworzeniu i utrzymywaniu cyberbezpiecznych systemów:

• Ocena: przeprowadzenie kompleksowej analizy ryzyka i luk w celu zidentyfikowania słabych punktów infrastruktury.
• Projektowanie: czyli cybersecurity by design na poziomie bezpiecznej architektury i zasad cyberbezpieczeństwa, które określa formalny zestaw reguł dla pracowników i innych upoważnionych użytkowników.
• Wdrożenie: implementacja rozwiązań kontroli bezpieczeństwa (sprzętu i oprogramowania) oraz wybór procesów zgodnych ze standardami bezpieczeństwa. Na przykład używanie rozwiązań, które są bezpieczne już na etapie projektowania, aby zmniejszyć ryzyko podczas eksploatacji komponentów systemu.
• Monitorowanie: proaktywne podejście do monitorowania sieci i urządzeń zabezpieczających.
• Utrzymanie: zachowanie i rozwijanie w organizacji programów cyberbezpieczeństwa. Strategie cyberbezpieczeństwa nie kończą się na samym wdrożeniu systemu. Sieci dystrybucji energii elektrycznej muszą być również stale aktualizowane, a pracujące przy nich osoby świadome znanych luk w zabezpieczeniach oraz istniejących poprawek. Muszą one także posiadać kompleksową wiedzę na temat technologii i harmonogramów starzenia się, a także mieć upoważnienie do tego, by określone zdarzenia, takie jak wykryte zagrożenia, umożliwiały uruchomienie oceny bezpieczeństwa.

Dodatkowym, nadrzędnym elementem muszą być ogólne wysiłki w zakresie cyberbezpieczeństwa, które powinny mieć zawsze na uwadze ludzi. Skuteczne szkolenia dla kluczowych specjalistów prowadzone przez zaufanych ekspertów ds. cyberbezpieczeństwa są niezbędne do zminimalizowania ryzyka cybernetycznego.