Wprowadzenie do problemu / definicja
Administracja USA ogłosiła nowe działania mające ograniczyć ryzyko wynikające z wykorzystywania zagranicznych technologii w systemie elektroenergetycznym. Chodzi o urządzenia, oprogramowanie, firmware oraz usługi zdalne, które mogą wprowadzać podatności do infrastruktury krytycznej. To przykład podejścia, w którym cyberbezpieczeństwo sieci energetycznej przestaje być wyłącznie problemem operacyjnym i staje się także kwestią łańcucha dostaw, polityki przemysłowej oraz bezpieczeństwa narodowego.
W skrócie
Nowe amerykańskie rozporządzenie wykonawcze koncentruje się na ograniczaniu ryzyka związanego z zagranicznie projektowanym, produkowanym lub dostarczanym sprzętem dla systemu elektroenergetycznego wysokiego napięcia. Regulacja obejmuje nie tylko fizyczne urządzenia, ale również komponenty krytyczne, oprogramowanie, firmware, usługi utrzymaniowe i mechanizmy zdalnego dostępu.
- organ odpowiedzialny za energię może blokować lub warunkowo dopuszczać określone technologie,
- ocena ryzyka obejmuje także usługi serwisowe i kanały zdalnego dostępu,
- wymogi mogą dotyczyć zarówno nowych zakupów, jak i już wdrożonych elementów infrastruktury.
Kontekst / historia
Bezpieczeństwo łańcucha dostaw w sektorze energetycznym od lat pozostaje jednym z najtrudniejszych wyzwań dla operatorów infrastruktury krytycznej. Zagrożenie nie ogranicza się bowiem do klasycznego cyberataku po uzyskaniu dostępu do sieci. Coraz większe znaczenie mają scenariusze, w których podatność zostaje wprowadzona znacznie wcześniej — na etapie projektowania urządzenia, integracji firmware, procesu aktualizacji, zdalnego serwisu albo przez zależność od producenta i jego zaplecza technologicznego.
W przypadku systemów elektroenergetycznych stawka jest szczególnie wysoka. Zakłócenie pracy sieci przesyłowej może przełożyć się na dostępność energii, funkcjonowanie centrów danych, przemysłu, transportu, służb ratunkowych i innych elementów infrastruktury krytycznej. Z tego powodu amerykańskie podejście ewoluuje od reakcji na incydenty do modelu prewencyjnego, który analizuje ryzyko już na etapie dopuszczania technologii do użycia.
Analiza techniczna
Nowe podejście ma szeroki zakres i z perspektywy bezpieczeństwa OT jest bardzo istotne. Obejmuje wyposażenie systemu elektroenergetycznego wysokiego napięcia oraz powiązane z nim komponenty cyfrowe i usługi. W praktyce oznacza to, że analiza ryzyka nie kończy się na samym urządzeniu, takim jak transformator czy wyłącznik wysokiego napięcia, ale obejmuje również warstwę logiczną, kanały aktualizacji oraz procesy serwisowe.
Szczególnie istotne są następujące klasy technologii:
- sterowniki PLC,
- RTU,
- IED,
- systemy DCS,
- systemy bezpieczeństwa procesowego,
- przekaźniki zabezpieczeniowe,
- układy pomiarowe,
- inwertery, magazyny energii i inne elementy nowoczesnej infrastruktury elektroenergetycznej.
Z perspektywy cyberbezpieczeństwa kluczowe są cztery osie ryzyka. Pierwsza dotyczy ukrytych mechanizmów dostępu, czyli funkcji umożliwiających nieautoryzowaną komunikację, zdalne sterowanie albo obejście lokalnych zabezpieczeń. Druga wiąże się z aktualizacjami i utrzymaniem, ponieważ w środowiskach ICS/OT kanały aktualizacji i narzędzia diagnostyczne często stanowią uprzywilejowany wektor dostępu. Trzecia oś to zależności dostawcze, które mogą utrudnić pozyskanie części zamiennych, bezpiecznych aktualizacji lub wsparcia technicznego. Czwarta obejmuje ryzyko sabotażu i zakłócenia działania infrastruktury, w tym błędne pomiary, utratę widoczności operacyjnej, zakłócenie sterowania i wymuszenie pracy w trybach awaryjnych.
Najważniejsza zmiana polega na przesunięciu granicy ochrony z klasycznej sieci korporacyjnej i segmentacji OT na cały cykl życia technologii. Ocenie podlega nie tylko to, czy urządzenie ma znaną podatność, lecz także kto je zaprojektował, kto kontroluje producenta, skąd pochodzi oprogramowanie, kto może uzyskać dostęp zdalny oraz jak wygląda serwisowanie i aktualizacja.
Konsekwencje / ryzyko
Dla operatorów infrastruktury energetycznej nowe regulacje oznaczają większe wymagania w obszarze due diligence dostawców, inwentaryzacji aktywów i dokumentowania zależności technologicznych. Organizacje mogą zostać zobowiązane do wskazania, które elementy środowiska pochodzą od podmiotów uznanych za podwyższonego ryzyka, jakie mają funkcje zdalne i czy istnieją dla nich bezpieczne zamienniki.
Ryzyko biznesowe i operacyjne jest dwojakie. Z jednej strony celem zmian jest ograniczenie prawdopodobieństwa kompromitacji infrastruktury krytycznej przez mechanizmy ukryte w łańcuchu dostaw. Z drugiej strony wdrożenie nowych wymagań może być kosztowne, czasochłonne i złożone, szczególnie tam, gdzie infrastruktura jest silnie zintegrowana z rozwiązaniami konkretnego producenta.
Szczególnie trudne będą przypadki, w których potencjalnie ryzykowne urządzenia są już zainstalowane. Ich natychmiastowa wymiana nie zawsze jest możliwa bez wpływu na ciągłość działania. W praktyce można więc spodziewać się podejścia etapowego: od identyfikacji i monitoringu, przez ograniczanie zdalnego dostępu i wdrażanie środków kompensacyjnych, po docelową wymianę sprzętu.
Rekomendacje
Operatorzy sektora energetycznego oraz organizacje utrzymujące środowiska ICS/OT powinny potraktować tę zmianę jako impuls do przeglądu strategii bezpieczeństwa dostawców i technologii. Najważniejsze działania obejmują:
- pełną inwentaryzację urządzeń OT wraz z informacją o producencie, modelu, wersji firmware, kanałach aktualizacji i mechanizmach zdalnego dostępu,
- klasyfikację dostawców pod kątem ryzyka geopolitycznego, własnościowego i operacyjnego,
- weryfikację zasadności zdalnego serwisu oraz kontrolę i rejestrowanie takich połączeń,
- walidację integralności firmware i aktualizacji,
- segmentację sieci oraz ograniczenie komunikacji między strefami IT, OT i kanałami serwisowymi dostawców,
- opracowanie planu zastępowania komponentów wysokiego ryzyka,
- rozszerzenie threat modelingu o scenariusze kompromitacji łańcucha dostaw,
- przygotowanie procedur reagowania na incydenty specyficznych dla środowisk ICS.
Podsumowanie
Nowe działania USA wobec zagranicznych technologii w sieci elektroenergetycznej pokazują, że bezpieczeństwo infrastruktury krytycznej coraz mocniej opiera się na kontroli pochodzenia technologii i zależności dostawczych. Nie chodzi już wyłącznie o obronę przed klasycznym cyberatakiem, ale również o ograniczanie ryzyka ukrytych funkcji, niekontrolowanego dostępu zdalnego i strategicznej zależności od dostawców. Dla sektora energetycznego oznacza to konieczność połączenia cyberbezpieczeństwa, zarządzania aktywami OT oraz oceny łańcucha dostaw w jeden spójny model obrony.
Źródła
- Security Affairs — https://securityaffairs.com/198025/security/trump-targets-foreign-technology-in-new-u-s-power-grid-security-order.html
- Executive Order 14420, as referenced in public reporting — https://www.whitehouse.gov/