Atlikę 11 energetikos objektų kibernetinio saugumo auditų – 10 saulės elektrinių ir vienos hidroelektrinės – matome aiškų dėsningumą: elektrinė gali puikiai gaminti energiją ir tuo pačiu turėti rimtų saugumo spragų. Dažniausiai jos atsiranda ne dėl blogos įrangos, o dėl to, kad objektą projektavo, montavo ir prižiūri skirtingos įmonės, o už bendrą saugumo vaizdą niekas neatsako.
Šiame straipsnyje apžvelgiame septynias dažniausias spragas, kurias randame tikrindami elektrines pagal Elektros energetikos įstatymo 73³ straipsnį ir ESO (AB „Energijos skirstymo operatorius“) pasinaudojimo elektros tinklais tvarkos aprašą, ir kaip jas pašalinti.
1. Nuotolinės prieigos, apie kurias niekas nebežino
Tipinė elektrinė turi kelis nuotolinius prisijungimus: inverterių gamintojo debesijos platformą, montuotojo VPN (virtualų privatų tinklą), stebėsenos sistemos tiekėjo prieigą, kartais – nuotolinio valdymo programą, įdiegtą paleidimo metu „laikinai“. Po kelerių metų dalis šių kanalų nebenaudojama, bet vis dar veikia.
Ką daryti: sudaryti visų nuotolinių prieigų sąrašą, išjungti nebenaudojamas, likusioms įvesti kelių veiksnių autentifikavimą ir, kur įmanoma, prieigą įjungti tik suderintam darbų laikui.
2. Bendros paskyros ir gamykliniai slaptažodžiai
Viena paskyra „admin“, kuria naudojasi visi rangovo technikai, arba gamyklinis slaptažodis, nepakeistas nuo paleidimo – vienas dažniausių radinių. Tokiu atveju neįmanoma nustatyti, kas ir kada atliko pakeitimą, o technikui išėjus iš rangovo įmonės jo prieiga lieka.
Ką daryti: vardinės paskyros kiekvienam asmeniui, unikalūs ir stiprūs slaptažodžiai, reguliari prieigų peržiūra ir aiški tvarka, kaip prieiga panaikinama.
3. Nepakankamas tinklo atskyrimas
Valdymo įranga, vaizdo stebėjimo kameros ir svečių „Wi-Fi“ kartais veikia viename tinkle. Tada pažeidus mažiausiai saugų įrenginį atsiveria kelias į parko valdiklį.
Ką daryti: atskirti valdymo tinklą nuo kitų sistemų, ugniasienėje leisti tik būtinus ryšius ir juos dokumentuoti. Ši logika atitinka IEC 62443 zonų ir kanalų principą.
4. Neaiškios trečiųjų šalių teisės
Sutartyse su priežiūros rangovais dažnai aprašyta, kaip reaguoti į gedimą, bet nieko – apie kibernetinį saugumą: kas gali jungtis, kaip saugomi prisijungimo duomenys, per kiek laiko pranešama apie incidentą.
Ką daryti: papildyti sutartis saugumo sąlygomis, nustatyti minimalius techninius reikalavimus rangovams ir periodiškai juos peržiūrėti.
5. Nepaskirtas atsakingas asmuo
Reikalavimai numato, kad turi būti paskirtas už kibernetinį saugumą atsakingas asmuo ar paslaugų teikėjas. Praktikoje ši funkcija dažnai „priklauso visiems“, o tai reiškia – niekam.
Ką daryti: raštu paskirti atsakingą asmenį arba išorinį paslaugų teikėją ir aiškiai aprašyti jo pareigas. Mažesniems objektams racionalu šią funkciją pavesti išoriniam CISO paslaugų teikėjui.
6. Neaprašyta fizinė apsauga
Valdymo spintos ir ryšio įranga dažnai būna užrakintos, tačiau tai niekur neaprašyta: kas turi raktus, kaip registruojami apsilankymai, kas tikrina spintų būklę.
Ką daryti: aprašyti fizinės prieigos tvarką, raktų valdymą ir apsilankymų registravimą – tai nebrangu, bet būtina atitikčiai pagrįsti.
7. Trūksta įrodymų
Net kai priemonės realiai įgyvendintos, deklaracijai reikia įrodymų: tinklo schemos, prieigų sąrašo, atsakomybių paskyrimo, audito rezultatų ir spragų pašalinimo patvirtinimų. Juos rinkti paskutinę savaitę – didžiausia klaida.
Ką daryti: įrodymus kaupti nuolat, vienoje vietoje, ir juos atnaujinti po kiekvieno pakeitimo.
Kodėl verta pradėti anksčiau
Daugumos šių spragų pašalinimas nėra brangus, bet reikalauja laiko: reikia suderinti su inverterių gamintoju, montuotoju ir priežiūros rangovu, o kiekvienas jų turi savo darbų eilę. Todėl audito rezultatų verta turėti gerokai prieš deklaravimo terminą.
Jei valdote elektrinę virš 100 kW, plačiau apie reikalavimus skaitykite puslapyje Saulės elektrinių kibernetinio saugumo auditas, o apie mūsų darbą su energetikos įmonėmis – Energetika.