Polska energetyka – jakie ryzyko cyberataków?

• Czy innowacje są niebezpieczne?
• Bezpieczeństwo instalacji to bezpieczeństwo ludzi
• Infrastruktura krytyczna stała się łakomym kąskiem dla cyberprzestępców
• Dlaczego uderzają akurat w energetykę? 

Czy innowacje są niebezpieczne?

Głównym powodem stałego wzrostu liczby cyberataków jest stosowanie coraz nowszych technologii. Przemysł w rosnącym tempie opiera się o zastosowanie chmur obliczeniowych, sztucznej inteligencji i internetu rzeczy. Sieci wewnętrzne powiększają się o nowe rozwiązania, z czasem skutkujące powstaniem technologicznej wieży Babel .

W plątaninie wielu systemów operacyjnych, sterowników, aktualizowanych w różnych momentach czasowych oprogramowań, wykrycie zaistniałego ataku staje się znacznie trudniejsze. 

W 2021 roku CERT przedstawił analizę unaoczniającą możliwość przejęcia całkowitej kontroli m.in. nad oczyszczalniami i przepompowniami ścieków, małymi elektrowniami wodnymi  czy choćby systemem centralnego ogrzewania w wieży kontroli lotów.

– Szczególnie narażone na cyberzagrożenia są inteligentne fabryki, gdzie cyber-fizyczne systemy produkcyjne znacząco zwiększają liczbę potencjalnych wektorów ataków.  Pamiętać jednak należy, że nawet mniej zaawansowane technologicznie zakłady są narażone na ataki, a tymczasem w wielu przypadkach strategia bezpieczeństwa pomija obszar przemysłowy; często brakuje podstawowej wiedzy w zakresie  liczby i rodzaju urządzeń podpiętych do sieci przemysłowej i czy w ogóle są one zabezpieczone –  mówi Katarzyna Berbeć, dyrektor ds. Strategii i Rozwoju w ICsec S.A.

– Co ciekawe coraz częściej słyszymy doniesienia o rosnącym trendzie wzrostu ataków typu ransomware na małe i średnie przedsiębiorstwa, dotąd pomijane przez cyberprzestępców. Niestety w tej grupie firm świadomość cyberzagrożeń w części przemysłowej jest najniższa. Na szczęście pojawiają się inicjatywy odgórne, które zwiększają świadomość przedsiębiorców w zakresie obrony infrastruktury przemysłowej, w tym też infrastruktury krytycznej. W USA jest to zestaw metodyk, dobrych praktyk opracowany przez NIST, u nas w Europie wysokopoziomowe wymogi i zalecenia określa Dyrektywa NIS/NIS2, a dobrymi praktykami dzieli się ENISA czy krajowe instytucje jak np. Rządowe Centrum Bezpieczeństwa, UDT. Pomagają one zarządzać ryzykiem cybernetycznym, zanim to ryzyko zacznie zarządzać naszymi firmami –  dodaje Katarzyna Berbeć.

Światowe Forum Ekonomiczne podkreśliło to w 2021 r.: „ponieważ jedna z najbardziej wyrafinowanych i złożonych branż na świecie dokonuje wielopłaszczyznowego przejścia – od analogowego do cyfrowego, od scentralizowanego do rozproszonego i od opartego na paliwach kopalnych do niskoemisyjnego – zarządzanie ryzykiem cybernetycznym a zapobieganie cyberzagrożeniom szybko staje się kluczowe dla łańcuchów wartości firmy”.

Bezpieczeństwo instalacji to bezpieczeństwo ludzi

Wspomniany wcześniej IoT koordynuje pracę maszyn w firmie. Sama konserwacja i zabezpieczenie IoT kosztuje firmy średnio 7% budżetu IT, choć jak dotychczas na jego ochronę przeznaczano zaledwie 1%. Jest to o tyle istotne, że w 2020 roku przemysłowe sieci łączyły ponad 180 mln urządzeń, prawie czterokrotnie więcej w porównaniu do roku 2014. Wzrost jest gwałtowny, co znacznie utrudnia prowadzenie stałej inwentaryzacji sprzętu.

-- Sytuacja jest dynamiczna, jeszcze z początkiem roku wiele firm uświadomiło sobie, że w swoich systemach obronnych ma spore braki. Największe firmy energetyczne natychmiastowo wdrożyło specjalne procedury i powołało sztaby kryzysowe, które pilnie zajmują się planowaniem bezpieczeństwa. Pojawienie się jasnych wytycznych proponowanych przez instytucje rządowe zdecydowanie ułatwia obmyślanie działań obronnych. To na co należy zwrócić szczególną uwagę chroniąc infrastrukturę krytyczną w tak niepewnym czasie, to ataki typu „zero-day” czyli ataki o nieznanej dziś sygnaturze. Hakerzy dysponują coraz nowszymi technologiami i technikami ataków, stąd czujność na wszelkie niestandardowe zachowania sieci powinna być wzmożona. Z pomocą przychodzą rozwiązania analizujące behawiorystykę sieci, wychwytujące wszelkie nietypowe zachowania urządzeń, sterowników, niestandardowe restarty, opóźnienia i zakłócenia w komunikacji, czy nawet nieadekwatne skoki parametrów fizycznych jak temperatura, stężenie substancji, ciśnienie. Cyberbezpieczeństwo infrastruktury krytycznej powinno być w kolejnych latach przedmiotem szczególnej uwagi rządzących i zarządców obiektów przemysłowych - komentuje Katarzyna Berbeć.

Infrastruktura krytyczna stała się łakomym kąskiem dla cyberprzestępców

Informacje o cyberatakach na infrastrukturę krytyczną (w tym również w energetyce) są często pilnie strzeżoną tajemnicą przedsiębiorstwa. Firmy nieszczególnie kwapią się z ujawnianiem tego typu przypadków w obawie przed utratą wiarygodności i wysłaniem sygnału: nasze zabezpieczenia nie są szczelne. Do informacji publicznej podawane są zazwyczaj ogólniki, takie jak liczba ataków. W 2020 r. w tzw. sektorach krytycznych zanotowano ok. 300 "istotnych incydentów".

7 maja 2021 r. US Colonial Pipeline stał się ofiarą cyberataku ransomware w wyniku wycieku zaledwie jednego hasła. Był to najpoważniejszy przypadek naruszenia infrastruktury krytycznej w wyniku działań sieciowych w całej historii Stanów Zjednoczonych.  Skłoniło to władze federalne do ogłoszenia stanu wyjątkowego w 17 stanach na wschodnim wybrzeżu i Dystrykcie Federalnym USA, co poskutkowało poważnymi niedoborami paliwa i długimi kolejkami na stacjach benzynowych w dotkniętych stanach.

Na początku lutego 2022 r. seria kolejnych cyberataków uderzyła w obiekty naftowe i gazowe w całej Europie, zakłócając działalność wielu firm zajmujących się transportem i magazynowaniem ropy w Niemczech, Belgii i Holandii, oraz zagrażając produkcji i dystrybucji w całym sektorze.

Dlaczego uderzają akurat w energetykę? 

Do ataków zachęcają cyberprzestępców newralgiczne podatności globalnego ekosystemu energetycznego.

Po pierwsze, wspomniany ekosystem opiera się na naturalnie złożonej infrastrukturze. Firmy użyteczności publicznej są narażone na stosunkowo wysokie ryzyko, ponieważ ich sieci zarówno infrastruktury fizycznej, jak i infrastruktury cybernetycznej – w tym dystrybutorów, dostawców, magazynów i innych aktywów – często nakładają się na siebie i są rozproszone w wielu krajach.

Po drugie, infrastruktura cyfrowa obsługująca globalny sektor energetyczny działa przez dwadzieścia cztery godziny na dobę, trzysta sześćdziesiąt pięć dni w roku, praktycznie bez przestojów. Jakiekolwiek okna serwisowe są skrupulatnie planowane i stosunkowo rzadkie, co utrudnia aktualizację zabezpieczeń, modernizację, czy złożone działania inwestycyjne.

Po trzecie, wrażliwość światowego sektora energetycznego wynika z rozmaitych motywacji „uzasadniających” ataki na tę branżę. Jak zauważono w raporcie przeprowadzonym przez Canadian Centre for Cyber Security, inicjatorami ataków są zarówno państwa próbujące osiągnąć cele geopolityczne, grupy przestępców próbujące wyłudzić pieniądze od postawionych pod ścianą podmiotów, jak również hacktywiści, starający się nagłośnić swoje programy lub sprzeciwić się konkretnym projektom. Bez wątpienia przerwane w skutek cyberataków dostawy energii są największym ciosem dla gospodarki i tym samym obywateli.

Słabości europejskiego bezpieczeństwa cyfrowego i globalnych połączeń energetycznych mogą mieć znaczący wpływ na życie obywateli, dlatego też, biorąc pod uwagę częstotliwość ataków na te struktury i ich znaczenie dla gospodarki, sektor energetyczny jest kluczowym polem bitwy geopolitycznej.

- Operatorzy infrastruktury krytycznej przeszli z fazy audytów i wdrażania systemów jakości do fazy cyberzbrojeń w odpowiednie środki techniczne. Pojawia się coraz więcej zapytań, zamówień i realizacji projektów w tej dziedzinie. Rok 2022 rozpoczął czas inwestycji w budowanie świadomości sytuacyjnej, uszczelnianie instalacji przemysłowych, a to cieszy nie tylko producentów rozwiązań do cyberbezpieczeństwa takich jak my, ale przede wszystkim nas jako obywateli – podkreśla Katarzyna Berbeć.