Saulės ir vėjo parkai, hidroelektrinės, energijos kaupimo sistemos ir šilumos tiekimo objektai šiandien valdomi nuotoliniu būdu. Inverteriai, parko valdikliai, SCADA (angl. Supervisory Control and Data Acquisition – priežiūros ir duomenų surinkimo) sistemos ir telemetrija sujungti su gamintojų debesijos platformomis bei rangovų prieiga. Tai patogu eksploatacijai, tačiau kiekvienas toks ryšys yra ir galimas įsibrovimo kelias – o energetikoje incidento pasekmės neapsiriboja vienu objektu.
Esame atlikę 11 energetikos objektų kibernetinio saugumo auditų: 10 saulės elektrinių ir vienos hidroelektrinės. Žinome, kaip šie objektai atrodo realybėje, kokių spragų pasitaiko dažniausiai ir kaip jas uždaryti nesustabdant gamybos.
Susisiekite dėl energetikos objekto audito
Kokie reikalavimai taikomi energetikos objektams
Elektrinės virš 100 kW. Pagal Elektros energetikos įstatymo 73³ straipsnį ir ESO (AB „Energijos skirstymo operatorius“) pasinaudojimo elektros tinklais tvarkos aprašą elektrinių valdytojai turi deklaruoti saugumo atitiktį ir ją pagrįsti audito rezultatais. Reikalavimai apima valdymo sistemos apsaugą nuo neteisėtos prieigos, unikalius prisijungimo duomenis, kontroliuojamą nuotolinę prieigą, fizinę apsaugą ir atsakingo asmens paskyrimą. Plačiau – Saulės elektrinių kibernetinio saugumo auditas.
NIS2 ir Kibernetinio saugumo įstatymas. Energetika yra viena iš didelės svarbos NIS2 (ES Tinklų ir informacinių sistemų saugumo direktyvos 2) sektorių. Gamintojams, operatoriams ir kitiems energetikos rinkos dalyviams, atitinkantiems dydžio kriterijus, taikomi kibernetinio saugumo subjektų reikalavimai: rizikos valdymas, incidentų pranešimai NKSC (Nacionaliniam kibernetinio saugumo centrui), tiekimo grandinės saugumas ir vadovybės atsakomybė.
Svarbu atskirti šiuos režimus: dalis elektrinių virš 100 kW nėra kibernetinio saugumo subjektai, todėl joms taikomas sektorinis auditas ir deklaravimas, bet ne visos NIS2 prievolės. Įvertiname, kas taikoma būtent jums.
Dažniausios spragos, kurias randame
- perteklinės arba nepakankamai valdomos nuotolinės prieigos – įrangos gamintojų, montuotojų ir priežiūros rangovų;
- bendros vartotojų paskyros ir gamykliniai slaptažodžiai;
- nepakankamas valdymo tinklo atskyrimas nuo kitų tinklų;
- neaiškios trečiųjų šalių prieigos teisės ir atsakomybės sutartyse;
- nepaskirtas už kibernetinį saugumą atsakingas asmuo;
- nepakankamai aprašyta fizinė apsauga;
- trūkstamos procedūros ir įrodymai, kurių reikia deklaracijai pagrįsti.
Plačiau apie kiekvieną iš jų ir kaip jas šalinti – straipsnyje Dažniausios kibernetinio saugumo spragos elektrinėse.
Mūsų paslaugos energetikai
Kibernetinio saugumo auditas. Vertiname valdymo sistemos architektūrą, nuotolines prieigas, ugniasienes, autentifikavimą, tinklo atskyrimą, fizinę apsaugą ir atsakomybes pagal Elektros energetikos įstatymo 73³ straipsnio ir ESO tvarkos aprašo reikalavimus arba pagal NIS2. Pateikiame konkretų neatitikčių sąrašą ir prioritetinį planą.
Pagalba įgyvendinant reikalavimus po audito. Audito ataskaita – tik pradžia. Padedame suplanuoti techninius pakeitimus su rangovais, parengti trūkstamas procedūras ir surinkti įrodymus deklaracijai.
CISO paslaugos ir paskirtas atsakingas paslaugų teikėjas. Galime būti jūsų paskirtas už kibernetinį saugumą atsakingas paslaugų teikėjas: koordinuojame rangovus, prižiūrime prieigas, atnaujiname dokumentus ir ruošiame jus kitam audito ciklui. Nepriklausomumo sumetimais tokių klientų pakartotinio audito patys neatliekame. Plačiau – CISO paslaugos.
Ugniasienių žurnalų stebėsena. Elektrinių ugniasienių žurnalų kaupimas ir stebėsena padeda laiku pastebėti neįprastus prisijungimus ir turėti įrodymų incidento atveju. Plačiau – įsilaužimų monitoringas.
OT saugumo auditas didesniems objektams. Hidroelektrinėms, vėjo parkams, pastotėms ir šilumos tiekimo objektams atliekame išsamų OT kibernetinio saugumo auditą pagal IEC 62443 principus.
Kas vyksta po audito
Audito ataskaita parodo spragas, bet jų nepanaikina. Praktikoje didžiausias darbas prasideda po audito: reikia suderinti pakeitimus su inverterių gamintoju, montuotoju ir priežiūros rangovu, pakeisti sutarčių sąlygas, parengti trūkstamas procedūras ir surinkti įrodymus, kad priemonės iš tiesų įgyvendintos. Mažesnėms elektrinėms, kurios neturi savo IT ar saugumo specialisto, šis etapas dažnai užstringa.
Todėl siūlome tęstinę pagalbą. Galime parengti konkrečias technines užduotis rangovams, patikrinti, ar pakeitimai atlikti teisingai, ir prižiūrėti, kad pasiekta būklė išliktų iki kito audito ciklo: prieigos peržiūrimos, nauji rangovai gauna tik būtinas teises, dokumentacija atnaujinama po kiekvieno reikšmingo pakeitimo. Jei kelios elektrinės priklauso vienam savininkui, tą pačią tvarką taikome visam portfeliui – taip mažėja ir kaštai, ir klaidų tikimybė.
Svarbu: jei tampame jūsų paskirtu už kibernetinį saugumą atsakingu paslaugų teikėju, kitą auditą turėtų atlikti nepriklausomas auditorius. Tai apsaugo jus nuo klausimų dėl audito objektyvumo.
Kaip vyksta energetikos objekto auditas
- Apimties suderinimas – objektai, sistemos, rangovai ir taikomi reikalavimai.
- Dokumentų ir architektūros analizė – tinklo schemos, įrangos sąrašai, sutartys su rangovais, prieigų tvarka.
- Vertinimas – pokalbiai su eksploatacijos ir priežiūros specialistais, konfigūracijų peržiūra, prireikus apžiūra vietoje.
- Ataskaita – neatitiktys, rizikos, prioritetinis planas ir informacija, reikalinga deklaracijai.
Dažniausiai užduodami klausimai
Elektrinė maža ir veikia be personalo. Ar vis tiek reikia audito? Jei jos galia viršija 100 kW, saugumo atitikties deklaravimo reikalavimai jums taikomi nepriklausomai nuo to, ar objekte yra darbuotojų. Būtent nuotoliniu būdu valdomuose objektuose prieigų kontrolė svarbiausia.
Įrangą prižiūri rangovas. Kas atsako už saugumą? Atsakomybė už atitiktį tenka elektrinės valdytojui. Rangovo vaidmuo ir pareigos turi būti aiškiai aprašyti sutartyje – audito metu tai patikriname ir pasiūlome, ką patikslinti.
Ar auditą galima atlikti nuotoliniu būdu? Didelę dalį – taip: dokumentų analizė, pokalbiai ir konfigūracijų peržiūra vyksta nuotoliu. Fizinės apsaugos vertinimui ir architektūros patikslinimui kartais reikalingas apsilankymas objekte.
Pasirūpinkite atitiktimi laiku
Kuo anksčiau pradėsite, tuo daugiau laiko liks spragoms ištaisyti su rangovais – o tai paprastai užtrunka ilgiau, nei tikimasi.