Η ενεργειακή μετάβαση φέρνει ένα νέο μοντέλο κυβερνοκινδύνου

Η ενεργειακή μετάβαση δεν αλλάζει μόνο τον τρόπο παραγωγής ενέργειας. Αλλάζει και το μοντέλο κυβερνοκινδύνου των ενεργειακών υποδομών. Και αυτή η αλλαγή είναι βαθύτερη από ό,τι φαίνεται με την πρώτη ματιά.

Ένα σύγχρονο χαρτοφυλάκιο φωτοβολταϊκών ή αιολικών πάρκων μπορεί να περιλαμβάνει εκατοντάδες εγκαταστάσεις σε διαφορετικές γεωγραφικές περιοχές, πολλές από τις οποίες λειτουργούν χωρίς μόνιμη φυσική παρουσία προσωπικού. Η καθημερινή λειτουργία τους βασίζεται σε απομακρυσμένη πρόσβαση, συστήματα τηλεμετρίας, υπηρεσίες υπολογιστικού νέφους (cloud), κεντρικά κέντρα παρακολούθησης και συνεχή ανταλλαγή δεδομένων σε πραγματικό χρόνο. Αυτό είναι το νέο μοντέλο. Και φέρνει μαζί του μια νέα πραγματικότητα κυβερνοκινδύνου.

Η συνδεσιμότητα αυτή δημιουργεί σημαντικά επιχειρησιακά οφέλη. Επιτρέπει καλύτερη παρακολούθηση, ταχύτερη λήψη αποφάσεων, απομακρυσμένη διαχείριση και βελτιστοποίηση της παραγωγής. Ταυτόχρονα όμως, δημιουργεί και ένα εντελώς νέο τοπίο ψηφιακής έκθεσης. Αξίζει να σημειωθεί ότι μεγάλο μέρος αυτών των εγκαταστάσεων σχεδιάστηκε και κατασκευάστηκε σε εποχή που η ασφάλεια δεν ήταν μέρος του αρχικού σχεδιασμού. Η συνδεσιμότητα προστέθηκε αργότερα, ως επιχειρησιακή ανάγκη, χωρίς πάντα να συνοδεύεται από αντίστοιχη ωριμότητα στη διαχείριση του κινδύνου που τη συνοδεύει. Η λογική είναι απλή: κατανεμημένη αρχιτεκτονική σημαίνει κατανεμημένη ψηφιακή έκθεση. Κάθε απομακρυσμένη εγκατάσταση που συνδέεται με το κεντρικό σύστημα παρακολούθησης, κάθε εικονικό ιδιωτικό δίκτυο (VPN), κάθε πύλη επικοινωνίας (gateway) μεταξύ εξοπλισμού πεδίου και κεντρικών συστημάτων, προσθέτει πολυπλοκότητα και διευρύνει την επιφάνεια έκθεσης του οργανισμού.

Η πολυπλοκότητα αυξάνεται ακόμη περισσότερο λόγω του μεγάλου αριθμού διαφορετικών τεχνολογιών και κατασκευαστών που συνυπάρχουν σε ένα σύγχρονο περιβάλλον ανανεώσιμων πηγών ενέργειας. Αντιστροφείς (inverters), συστήματα αυτοματισμού και εποπτικού ελέγχου (SCADA), τηλεπικοινωνιακός εξοπλισμός, πύλες τηλεμετρίας (gateways), πλατφόρμες υπολογιστικού νέφους (cloud) και λογισμικά τρίτων κατασκευαστών, δημιουργούν ένα ιδιαίτερα σύνθετο οικοσύστημα. Κάθε νέα διασύνδεση είναι και ένα νέο δυνητικό σημείο έκθεσης.

Και εδώ εντοπίζεται ένα από τα πιο κρίσιμα ζητήματα: η διαχείριση της απομακρυσμένης πρόσβασης τρίτων. Στον χώρο των ανανεώσιμων πηγών ενέργειας, η απομακρυσμένη πρόσβαση από κατασκευαστές, εταιρείες ολοκλήρωσης συστημάτων (integrators) και συνεργάτες συντήρησης είναι καθημερινή πραγματικότητα. Ποιος έχει πρόσβαση σε τι; Πώς γίνεται ο έλεγχος ταυτοποίησης; Υπάρχει πλήρης εικόνα όλων των ενεργών συνδέσεων; Πολλές φορές, τα ερωτήματα αυτά παραμένουν δύσκολο να απαντηθούν με σαφήνεια, ιδιαίτερα σε περιβάλλοντα που αναπτύχθηκαν σταδιακά με διαφορετικές τεχνολογίες.

Παράλληλα, αρκετοί οργανισμοί εξακολουθούν να μην έχουν πλήρη ορατότητα των ίδιων των υποδομών τους. Δεν γνωρίζουν με ακρίβεια όλες τις συσκευές που είναι συνδεδεμένες στα δίκτυά τους, τις ενεργές εξωτερικές διασυνδέσεις ή τις εξαρτήσεις μεταξύ συστημάτων. Δεν μπορείς να προστατέψεις αυτό που δεν βλέπεις. Και σε ένα διασυνδεδεμένο περιβάλλον ανανεώσιμων πηγών ενέργειας, η ορατότητα αποτελεί βασική προϋπόθεση ανθεκτικότητας.

Το πραγματικό ερώτημα δεν είναι αν κάποιος μπορεί να κλέψει δεδομένα από ένα φωτοβολταϊκό πάρκο. Είναι τι συμβαίνει όταν ένας υπεύθυνος λειτουργίας χάσει την εποπτεία εγκαταστάσεων σε κρίσιμη στιγμή. Όταν δεν μπορεί να επιβεβαιώσει την κατάσταση του εξοπλισμού, να επέμβει εξ αποστάσεως ή να ανταποκριθεί έγκαιρα σε ένα λειτουργικό περιστατικό. Και σε έναν κλάδο όπου οι υποχρεώσεις απέναντι στο δίκτυο είναι συγκεκριμένες και χρονικά δεσμευτικές, αυτή η αδυναμία δεν αφορά μόνο τον ίδιο τον οργανισμό. Αυτή η απώλεια ορατότητας και λειτουργικής ικανότητας είναι ο πραγματικός κίνδυνος, όχι κάποιο θεωρητικό σενάριο κυβερνοεπίθεσης.

Η ψηφιοποίηση και η απομακρυσμένη διαχείριση είναι απαραίτητες για τον σύγχρονο ενεργειακό κλάδο. Αυτό που αλλάζει είναι η ανάγκη για μια πιο ώριμη προσέγγιση στη διαχείριση του κινδύνου που τη συνοδεύει. Η συζήτηση δεν αφορά πλέον μόνο την εγκατάσταση μεμονωμένων λύσεων ασφαλείας, αλλά συνολικά τη διαχείριση κινδύνου, την αρχιτεκτονική δικτύων, την ασφαλή απομακρυσμένη πρόσβαση και τη διαχείριση τρίτων συνεργατών.

Σε ένα ενεργειακό περιβάλλον που γίνεται ολοένα πιο ψηφιακό και κατανεμημένο, η κυβερνοασφάλεια δεν μπορεί πλέον να αντιμετωπίζεται ως ένα ακόμη θέμα πληροφορικής. Αποτελεί πλέον βασική προϋπόθεση ασφαλούς, αξιόπιστης και ανθεκτικής λειτουργίας των ίδιων των υποδομών παραγωγής ενέργειας.

___________

Μιχάλης Κούκος - Μηχανικός Αυτοματισμού

OT Security | ICS/SCADA | Critical Infrastructure

https://gr.linkedin.com/in/michalis-koukos-greece