Bezpieczeństwo cybernetyczne w sektorze energetycznym: Ryzyko i strategie łagodzenia skutków

Zapotrzebowanie na cyberbezpieczeństwo w sektorze energetycznym jest często niedoceniane. Panuje błędne przekonanie, że w grę wchodzi bardzo mało IT, a wiele z nich nie ma wpływu na operacje. Jednak 97% badanych specjalistów ds. bezpieczeństwa ICS w sektorze energetycznym, naftowym i gazowym uważa, że cyberbezpieczeństwo jest coraz większym problemem.

Żadna branża nie została nietknięta przez transformację cyfrową. Wraz z przemysłowym Internetem rzeczy (IoT) oraz sztuczną inteligencją (AI) napędzającą bardziej wyrafinowane formy automatyzacji, wykorzystanie systemów cyberfizycznych będzie tylko rosło.

Nawet jeśli teraz nie uważasz, że postawa w zakresie bezpieczeństwa cybernetycznego jest pilnym problemem, to w przyszłości może nim być. Każda firma w końcu będzie musiała się zmodernizować. Musisz jednak zrozumieć implikacje, jakie transformacja cyfrowa może mieć na bezpieczeństwo cybernetyczne i bezpieczeństwo przemysłowych systemów sterowania (ICS).

Wyzwania związane z zarządzaniem bezpieczeństwem cybernetycznym w sektorze energetycznym
Infrastrukturę technologiczną większości firm z branży produkcyjnej i dostawczej (w tym zakładów energetycznych) można podzielić na dwie kategorie:

• Zakładowe Systemy Informatyczne
• ICS

Systemy IT zakładu odnoszą się do systemów biznesowych i danych, podczas gdy ICS ma większe zastosowanie w przypadku operacji i produkcji. Wymagania dotyczące cyberbezpieczeństwa są różne w obu przypadkach.

Cyberbezpieczeństwo IT zakładu obejmuje ustanowienie środków ochrony danych. Cyberbezpieczeństwo ICS skupia się na zapewnieniu, że nie ma przestojów lub utraty produkcji. Wielu uważa, że pierwszy z nich jest znacznie ważniejszy od drugiego; jednak oba są bardzo ważnymi elementami sektora energetycznego.

Cyberprzestępcy zazwyczaj mają inne podejście do tego, jak atakują każdy system, chociaż istnieją pewne cechy wspólne. Na przykład, cyberprzestępca może użyć oprogramowania ransomware do zapieczętowania lub kradzieży danych od ich właścicieli, aby szantażować ich przed przywróceniem dostępu. Podobnie cyberprzestępca może użyć ataku typu Distributed Denial Of Service (DDOS), aby zatrzymać operacje ICS i przywrócić je dopiero po uiszczeniu opłaty lub spełnieniu określonego warunku.

Ostatecznie, cele tych ataków są takie same, ale podejścia są różne.

Klasy cyberataków w sektorze energetycznym
Wpływ cyberataków inicjowanych na ICS i IT zakładu można podzielić na trzy kategorie:

• Utrata widoku: Gdzie system nadal funkcjonuje, ale nie można już zobaczyć, co robi.
• Utrata kontroli: Gdzie system zostaje porwany i nie reaguje już na Twoje instrukcje lub polecenia.
• Utrata bezpieczeństwa: Gdy system może stać się tak niestabilny, że wzrasta jego potencjał do wyrządzenia krzywdy lub zabicia.
• Utrata bezpieczeństwa to najgorsza sytuacja, w jakiej może znaleźć się przedsiębiorstwo energetyczne. Atak Triton z 2017 roku był jednym z pierwszych przypadków, w których złośliwe oprogramowanie zostało wysłane w celu próby wyrządzenia krzywdy lub utraty życia.

Przypadki takie jak te mogą splamić nastawienie ludzi do technologii cyberfizycznej, nawet jeśli ta technologia została zaprojektowana w celu zwiększenia efektywności energetycznej. Na przykład, ponad jedna trzecia Amerykanów, jak również ponad 70% Kanadyjczyków, rozważa zakup samochodu elektrycznego, ponieważ chce jeździć energooszczędnymi pojazdami, które są lepsze dla środowiska. Jednak wielu z tych samych ludzi wciąż niechętnie podchodzi do idei samojezdnych samochodów. Przecież gdyby coś poszło nie tak, skutki byłyby katastrofalne, a kierowca może nie być w stanie odzyskać kontroli nad pojazdem.

Ale jakich zagrożeń i ryzyk sektor energetyczny powinien się najbardziej obawiać? W końcu nie chodzi już tylko o utratę pieniędzy, ale także o utratę życia.

Zagrożenia bezpieczeństwa cybernetycznego w sektorze energetycznym
Sektor energetyczny ma kluczowe znaczenie dla gospodarki i dobrobytu społeczeństwa. Naruszenie bezpieczeństwa cybernetycznego w przedsiębiorstwie energetycznym może spowodować przerwy w dostawie prądu i utratę zaufania klientów. Ci użytkownicy końcowi mogą poszukiwać alternatywnych źródeł energii, a wielu z nich już to robi ze względu na zachęty finansowe oferowane przez rząd.

W szczególności, rząd wprowadził już programy mające na celu wspieranie osób i organizacji, które zwracają się ku alternatywnym źródłom energii, takim jak energia słoneczna. Energia słoneczna Investment Tax Credit (ITC), na przykład, jest jednym z największych polityk federalnych mających na celu pomoc w zachęcaniu do wdrażania energooszczędnych systemów opartych na energii słonecznej w Stanach Zjednoczonych. ITC oferuje do 30% ulgi dla osób i firm, które kupują i instalują kwalifikujące się produkty oparte na energii słonecznej w swoich domach lub budynkach.

Zachęty finansowe takie jak ITC, wraz z rosnącymi zagrożeniami cybernetycznymi w sektorze energetycznym, oznaczają, że możemy zobaczyć więcej użytkowników końcowych, którzy są znudzeni przedsiębiorstwami energetycznymi, którzy przyjmują alternatywne źródła energii, takie jak energia słoneczna. Aby odzyskać zaufanie klientów, zakłady energetyczne i przedsiębiorstwa energetyczne muszą zająć się następującymi zagrożeniami:

Ataki wielostopniowe
Jak wspomniano, organizacje produkcyjne i przemysłowe zazwyczaj posiadają dwa główne systemy technologiczne. To sprawia, że są jeszcze bardziej narażone na ataki wieloetapowe. Atak wieloetapowy opisuje metodyczną strategię włamania, która często składa się z wielu cyberataków.

Na przykład, pierwszym etapem może być atak phishingowy mający na celu wydobycie danych uwierzytelniających pracowników lub informacji. Następnie może nastąpić atak typu ransomware lub DDoS. Jednym z najbardziej znanych przykładów jest naruszenie Colonial Pipeline w 2021 roku.

Wieloetapowe cyberataki mogą pozostawić całą infrastrukturę technologiczną (zarówno ICS, jak i IT) na łasce złych aktorów.

Ataki złośliwego oprogramowania ICS
Ostatecznie ICS to systemy komputerowe, które często mają takie same podatności jak zwykłe systemy komputerowe. Wiele zakładów nadal korzysta z kilkudziesięcioletnich systemów ICS i systemów technologii operacyjnej (OT), które działają na przestarzałym oprogramowaniu i sprzęcie.

Systemy te mają jedną zaletę. Mogą nie być podłączone do większej sieci lub Internetu. W związku z tym mogą być podatne na cyberataki tylko z komponentem fizycznym, takim jak włożenie dysku lub napędu USB.

Ponieważ więcej firm w branży energetycznej zaczyna przyjmować systemy cyberfizyczne, mogą one nie mieć już takiej ochrony. W przypadku ICS i OT, złośliwe oprogramowanie zaprojektowane specjalnie do penetracji tych systemów staje się namacalnym problemem. Systemy te stają się częścią innych zwykłych systemów komputerowych i podlegają tym samym zagrożeniom, takim jak robaki, trojany i wipery.

Stuxnet jest przykładem potężnego złośliwego oprogramowania, które zostało specjalnie napisane w celu wyłączenia technologii operacyjnej. Ponieważ granica między systemami ICS/OT zmniejsza się, organizacje nie mogą już polegać na lukach powietrznych, które są używane do ich oddzielenia. Cyberprzestępcy mogą teraz uzyskać dostęp do ICS z Zakładu IT i odwrotnie.

Nieodłączne, niezabezpieczone komponenty
Większość systemów OT i ICS nie została stworzona z myślą o bezpieczeństwie cybernetycznym, zwłaszcza starsze technologie i sprzęt. Celem końcowym osób odpowiedzialnych za wdrożenie systemów ICS jest ich jak najbardziej efektywna praca.

Często cyberbezpieczeństwo może stać w miejscu lub przeszkadzać w realizacji tego celu, pozostawiając wiele komponentów podatnych na cyberataki. W miarę wprowadzania przez organizacje transformacji cyfrowej, komponenty te będą integrowane z nowym systemem, a nie całkowicie wymieniane.

Zagrożenie wewnętrzne
Wielu operatorów, użytkowników i administratorów systemów ICS i OT może nie być w pełni świadomych zagrożeń cybernetycznych związanych z tymi systemami. Nie tylko dział ICS powinien być przedmiotem troski organizacji.

Osoby pracujące po stronie IT mogą wprowadzać niepotrzebne luki w zabezpieczeniach poprzez brak cybergeniczności. Obejmuje to ponowne użycie haseł, brak wylogowania lub zablokowania komputerów oraz niewłaściwą konfigurację ustawień. Organizacje w sektorze energetycznym są bardziej narażone na zagrożenia wewnętrzne, ponieważ mają wiele działów technologicznych, o które muszą się martwić.

Komponenty ICS ze słabym wsparciem producenta lub jego brakiem
Centra danych i inne systemy IT otrzymują częste poprawki i aktualizacje. Nigdy nie było tak w przypadku ich odpowiedników ICS/OT. Komponenty te mogą działać nieprzerwanie przez lata bez aktualizacji oprogramowania lub firmware.

Wiele z tych systemów i komponentów nie jest już wspieranych przez swoich dostawców. W niektórych przypadkach, dostawcy nawet już nie istnieją. Problem w tym, że jeśli coś pójdzie nie tak, nie ma nikogo, kto mógłby uzyskać wsparcie lub pomóc załatać luki w systemie.

Strategie łagodzenia skutków cyberataków
Firmy z sektora energetycznego muszą się teraz martwić o bezpieczeństwo cybernetyczne. Na szczęście istnieje kilka sposobów na załatanie wszelkich dziur w ich bezpieczeństwie.

Przeprowadzenie oceny OT i ICS
Przeprowadzenie inwentaryzacji i oceny stanu systemów jest pierwszym krokiem do ich zabezpieczenia, ponieważ pomoże określić aktualny stan bezpieczeństwa cybernetycznego. Jest to szczególnie ważne dla tych zakładów, które mają starzejący się sprzęt i technologię operacyjną w środowisku. Oceny OT i ICS mogą pomóc w zidentyfikowaniu ryzyka związanego z prowadzeniem takich systemów i określeniu, jaki wpływ będzie miała integracja IT z ICS/OT. Są to rozwiązania cyber-fizyczne.

Rozwiązywanie problemów związanych z zagrożeniami wewnętrznymi
Wieloetapowemu cyberatakowi na Colonial Pipeline można było zapobiec. Na przykład, wiele osób ponownie używa tych samych haseł do wielu kont. Wszystko, co musi zrobić zły aktor, aby uzyskać dostęp, to odkryć pojedyncze hasło pracownika o wysokim poziomie dostępu do firmy. Firmy mogą temu zapobiec poprzez wdrożenie granularnej kontroli dostępu i budowanie kultury cyberbezpieczeństwa w miejscu pracy.

Opracuj proces wykrywania i analizy
Firmy z sektora energetycznego muszą mieć wdrożone solidne procesy wykrywania i analizy cyberataków. Musi to obejmować monitorowanie ICS skoncentrowane na wykrywaniu wszelkich nieprawidłowości, w tym błędów, drobnych usterek lub, co najważniejsze, cyberinwazji.

Tworzenie planów reagowania na incydenty
Ta kwestia jest nieco powiązana z poprzednimi strategiami. Kiedy dojdzie do naruszenia, organizacja musi wiedzieć, jak je opanować, aby złagodzić jego skutki. Obejmuje to również strategie polowania, gdzie źli aktorzy, którzy przeniknęli do sieci, mogą być znalezieni i wyrzuceni tak szybko, jak to możliwe. Dodatkowo pracownicy muszą wiedzieć, z kim się skontaktować i do kogo zgłosić, gdy system wykryje cyberatak.

Wnioski
Liderzy w sektorze energetycznym mają wystarczająco dużo zmartwień, aby utrzymać przepływ energii. Cybersecurity również nie powinno znaleźć się na tej liście. Ostatecznym celem cyberbezpieczeństwa w sektorze energetycznym jest zapewnienie, że ataki nie spowodują skutków w świecie rzeczywistym. Ponownie należy zauważyć, że cele końcowe cyberprzestępców nie zawsze są motywowane finansowo, zwłaszcza tych, których celem jest sektor energetyczny. Ataki mogą być motywowane przez wiele czynników. Niezależnie od przyczyny, istnieją sposoby zapobiegania cyberatakom.

Autor: Gary Stevens