Informacijska varnost kritične infrastrukture

Zimski izpad električne energije zaradi žledu in poplav nas je opomnil, kako ranljiv je elektroenergetski sistem in kako zelo smo od njega odvisni. Del Slovenije je bil brez električne energije skoraj dva tedna. Mnogi so bili brez gretja in komunikacijsko odrezani. Gospodarska škoda na kritični elektroenergetski in prometni infrastrukturi presega sto dvajset milijonov evrov. Popolna obnova bo trajala več let. Zaradi izpada električne energije je milijonsko škodo utrpelo tudi gospodarstvo na prizadetih območjih. 

Sistemski operaterji omrežij za prenos in distribucijo električne energije ter proizvajalci električne energije so dobro pripravljeni na naravne nesreče manjšega obsega, na izpade posameznih energetskih objektov ali povečano porabo električne energije. Na naravno nesrečo tako velikih razsežnosti, kot je Slovenijo prizadela po več desetletjih, pa niso bili.

Najslabše so jo odnesla distribucijska omrežja, kjer je bila največja škoda na srednje napetostnih in nizko napetostnih omrežjih. Velika škoda je bila tudi na železniškem energetskem omrežju. Naravna nesreča je odprla številna vprašanja, na katera pristojni še niso podali odgovorov — od tega, ali je bila infrastruktura pravilno grajena in vzdrževana, do tega, ali je bila ustrezno zavarovana. A naravne nesreče za kritično infrastrukturo predstavljajo le eno izmed groženj.

Kibernetski napadi, resna grožnja?

Vse bolj resna grožnja za ključno energetsko infrastrukturo, še zlasti elektroenergetski sistem, so kibernetski napadi, ki so vse pogostejši in vse bolj izpopolnjeni. V Sloveniji je bilo doslej obravnavanih le nekaj primerov varnostnih incidentov v elektroenergetskem sistemu, a sistematično poročanje ni vzpostavljeno. Država nima sprejete strategije kibernetske varnosti in vzpostavljenega centra na državni ravni, ki bi bdel nad varnostjo kritične infrastrukture.

Po podatkih ameriškega centra za obravnavo incidentov s področja kibernetske varnosti industrijskih nadzornih sistemov (ICS-CERT) se število kibernetskih napadov na kritično infrastrukturo povečuje. ICS-CERT se je v letu 2013 odzval na 257 kibernetskih incidentov s področja kritične infrastrukture, kar je 30 odstotkov več kot v letu 2012, ko je bilo 198 incidentov. To so incidenti, ki so jih lastniki infrastrukture prostovoljno prijavili.

V letu 2013 je bilo največ, kar 56 odstotkov, vseh incidentov s področja energetike, kar je občutno več kot v letu 2012 (41 odstotkov). Preračun pokaže, da se je število varnostnih incidentov v energetiki povečalo za dobre tri četrtine. Večina incidentov je povezanih z elektroenergetskim sistemom, ki je najbolj razprostranjen in tudi najbolj ranljiv.

Na videz majhno število varnostnih incidentov, ki jih je obravnaval ICS-CERT, nas ne sme zavesti. To so običajno večji varnostni incidenti, pri čemer lastniki infrastrukture o vseh morda niti ne poročajo. Kibernetskih napadov na elektroenergetske sisteme je v resnici mnogo več, kot je uradno zaznanih in prijavljenih. Podatki kažejo, da so tveganja za kibernetske napade večjih razsežnosti, ki so lahko kombinirani s fizičnimi napadi, vse večja.

Podjetja, odvisno od njihovega pomena in velikosti, so izpostavljena nenehnim kibernetskim napadom. Ameriški kongres je v anketi, opravljeni v letu 2013, med več kot 150 elektroenergetskimi podjetji ugotovil, da je bilo eno podjetje izpostavljeno celo deset tisoč kibernetskim napadom vsak mesec. Več podjetij je poročalo o nenehnih napadih in poskusih vdora v notranje sisteme.

Slovenski elektroenergetski sistem

Kibernetskim napadom je izpostavljen tudi slovenski elektroenergetski sistem, ki postaja vse bolj odvisen od informacijske in komunikacijske tehnologije (IKT). Podjetja uvajajo sisteme daljinskega odčitavanja merilnih mest in nove storitve, ki temeljijo na IKT. Poleg tega se z večanjem deleža razpršenih virov v elektroenergetskem sistemu povečujejo zahteve po uravnavanju in krmiljenju različnih elementov omrežja, ki prav tako zahteva uvajanje IKT za zagotavljanje ustrezne ravni kakovosti električne energije, uravnavanje pretokov moči ipd.

Uvajanje IKT in pametnih omrežij v prenosnem in distribucijskem delu elektroenergetskega sistema odpira nove možnosti za kibernetske napade in sabotaže. S tem se ne povečujejo le tveganja za kibernetske napade, ampak tudi tveganja za napade večjih razsežnosti.

V Sloveniji podjetja fizičnemu varovanju kritične infrastrukture posvečajo večjo pozornost, ker jih k temu zavezuje zakonodaja. To pa v enaki meri ne velja za informacijsko varnost, zato smo lahko nad informacijsko varnostjo kritične infrastrukture zaskrbljeni. Če so ekstremne vremenske razmere vsaj do določene mere predvidljive, za kibernetske napade to ne velja. Udarijo lahko kadar koli in kjer koli.

Slovenska podjetja o škodi zaradi kibernetskih napadov resda ne poročajo, a zavedati se moramo, da so lahko v primeru večjega kibernetskega napada, kombiniranega s fizičnim, posledice podobne kot v primeru naravne nesreče. Na večjem območju države lahko pride do izpada električne energije, kar bi povzročilo nevšečnosti tisočem prebivalcev. Moteni bi bili dobava nujnih storitev, kot so komunikacijske, ogrevanje in dobava vode, preskrba z živili pa tudi zdravstvene ter nujne medicinske in druge storitve.

Prvi ukrepi

Podjetja, ki se nevarnosti kibernetskih napadov v elektroenergetskem sistemu zavedajo, se najpogosteje zatekajo k nakupu strojne in programske opreme ali najemu svetovalcev. A ranljivosti v sistemih ostajajo. Prav tako ne moremo odstraniti groženj s kibernetskimi napadi. Podjetja lahko iščejo nove načine za preprečevanje napadov in odzivanje na napade. Pomembna sta sodelovanje in izmenjava informacij med podjetji in s pristojnimi državnimi organi. 

Več lahko preberete v reviji Monitor Pro. 

(Prva objava: Monitor Pro, julij 2014.)