Πέτρος Αλεξανδρόπουλος
A-
Εκτεθειμένες σε ψηφιακούς κινδύνους είναι χιλιάδες αιολικές και ηλιακές εγκαταστάσεις στην Ευρώπη, ενώ εκατοντάδες εμφανίζουν διεπαφές που θα μπορούσαν να επιτρέπουν επιχειρησιακό έλεγχο, αναδεικνύοντας την ανάγκη αυστηρότερης προστασίας των κρίσιμων ενεργειακών υποδομών, καθώς η πράσινη μετάβαση συνοδεύεται από αυξανόμενη ψηφιοποίηση.
Ολλανδοί ερευνητές, σε συνεργασία με το Εθνικό Κέντρο Κυβερνοασφάλειας της Ολλανδίας, ανέφεραν ότι 8.547 συστήματα αιολικής και ηλιακής ενέργειας σε 35 ευρωπαϊκές χώρες παραμένει εκτεθειμένα στο διαδίκτυο. Και σύμφωνα με το Reuters, περίπου 181 τοποθεσίες φαίνεται να διέθεταν διεπαφές που θα μπορούσαν να επιτρέψουν ενέργειες επιχειρησιακού ελέγχου, όπως η ενεργοποίηση ή η απενεργοποίηση ανεμογεννητριών.
Τα στοιχεία αναδεικνύουν μια κρίσιμη διάσταση της ενεργειακής μετάβασης: η Ευρώπη δεν αυξάνει μόνο την παραγωγική της δυναμικότητα από ανανεώσιμες πηγές, αλλά και τον αριθμό των ψηφιακών σημείων μέσω των οποίων οι ενεργειακές υποδομές μπορούν να παρακολουθούνται ή να ελέγχονται εξ αποστάσεως.
Η έκθεση μιας διεπαφής στο διαδίκτυο δεν σημαίνει αυτομάτως ότι ένα σύστημα έχει παραβιαστεί ή ότι κάποιος μπορεί να αποκτήσει τον έλεγχό του. Ωστόσο, δημιουργεί δυνητικούς κινδύνους, ιδιαίτερα όταν η πρόσβαση συνδέεται με φυσικές λειτουργίες κρίσιμου εξοπλισμού.
Η ψηφιοποίηση δημιουργεί νέες προκλήσεις
Οι σύγχρονες εγκαταστάσεις ανανεώσιμων πηγών ενέργειας δεν αποτελούν πλέον απλώς μηχανικές κατασκευές. Οι ανεμογεννήτριες και τα φωτοβολταϊκά πάρκα βασίζονται σε ψηφιακούς ελεγκτές, πλατφόρμες παρακολούθησης, πύλες επικοινωνίας και συστήματα απομακρυσμένης συντήρησης.
Η συνδεσιμότητα επιτρέπει στους διαχειριστές να παρακολουθούν την παραγωγή, να εντοπίζουν βλάβες, να βελτιώνουν την απόδοση και να περιορίζουν το κόστος συντήρησης, χωρίς να απαιτείται η φυσική παρουσία τεχνικών σε κάθε εγκατάσταση.
Η ίδια δυνατότητα, ωστόσο, μπορεί να δημιουργήσει σημεία εισόδου για μη εξουσιοδοτημένη πρόσβαση, όταν οι σχετικές διεπαφές δεν προστατεύονται επαρκώς.
Το πρόβλημα γίνεται πιο σύνθετο όταν ένα σύστημα παρακολούθησης συνδέεται με λειτουργίες συντήρησης ή επιχειρησιακού ελέγχου. Ένας λογαριασμός που προορίζεται για τεχνική υποστήριξη ενδέχεται να διαθέτει περισσότερα δικαιώματα από όσα απαιτούνται για την εργασία του κατόχου του.
Για τον λόγο αυτό, η κυβερνοασφάλεια δεν πρέπει να περιορίζεται στο ερώτημα εάν μια συσκευή είναι ασφαλής. Οι διαχειριστές χρειάζεται να γνωρίζουν ποιος μπορεί να αποκτήσει πρόσβαση, ποιες ενέργειες επιτρέπονται μέσω αυτής της πρόσβασης και ποιες φυσικές συνέπειες μπορεί να προκύψουν.
Ένας δημόσια προσβάσιμος πίνακας δεδομένων που εμφανίζει την παραγωγή ηλεκτρικής ενέργειας δεν ενέχει τον ίδιο κίνδυνο με μια διοικητική διεπαφή που επιτρέπει αλλαγές στις ρυθμίσεις του εξοπλισμού ή με ένα σύστημα που μπορεί να αποστέλλει εντολές λειτουργίας.
Ο διαχωρισμός αυτών των λειτουργιών μπορεί να περιορίσει την πιθανότητα μια αδυναμία σε ένα ψηφιακό σύστημα να επηρεάσει ολόκληρη την εγκατάσταση.
Η περίμετρος ασφαλείας
Σε αντίθεση με τους παραδοσιακούς σταθμούς ηλεκτροπαραγωγής, όπου ο εξοπλισμός και τα μέτρα ασφαλείας συγκεντρώνονται συνήθως σε έναν συγκεκριμένο χώρο, οι ανανεώσιμες πηγές ενέργειας κατανέμονται σε μεγάλες γεωγραφικές περιοχές.
Αιολικά πάρκα, φωτοβολταϊκές εγκαταστάσεις, συστήματα σε βιομηχανικές μονάδες και εξοπλισμός σε απομακρυσμένες τοποθεσίες δημιουργούν ένα εκτεταμένο δίκτυο ψηφιακά συνδεδεμένων υποδομών.
Κάθε εγκατάσταση μπορεί να περιλαμβάνει διαφορετικούς ελεγκτές, συστήματα λογισμικού, λογαριασμούς εργολάβων και μηχανισμούς απομακρυσμένης πρόσβασης. Κατά συνέπεια, η περίμετρος ασφαλείας δεν περιορίζεται πλέον στον φυσικό χώρο της εγκατάστασης, αλλά επεκτείνεται σε όλες τις ψηφιακές συνδέσεις με διαχειριστές, κατασκευαστές και παρόχους συντήρησης.
Η αποκεντρωμένη παραγωγή προσφέρει σημαντικά ενεργειακά πλεονεκτήματα, αλλά παράλληλα κατανέμει την ευθύνη της ασφάλειας σε περισσότερα συστήματα και φορείς.
Αυτό δεν σημαίνει ότι κάθε εκτεθειμένη εγκατάσταση απειλεί άμεσα την εθνική ηλεκτροδότηση. Ο πραγματικός κίνδυνος εξαρτάται από τον τύπο του εξοπλισμού, τα διαθέσιμα δικαιώματα πρόσβασης, τις υφιστάμενες δικλίδες ασφαλείας και τον ρόλο της εγκατάστασης στο ενεργειακό σύστημα. Η έκθεση στο διαδίκτυο, ωστόσο, πρέπει να αξιολογείται με βάση τις πιθανές επιχειρησιακές συνέπειες και όχι αποκλειστικά ως τεχνικό πρόβλημα πληροφορικής.
Περιορισμός των δικαιωμάτων πρόσβασης
Μία από τις βασικότερες αρχές της κυβερνοασφάλειας είναι η ελάχιστη εξουσιοδότηση, γνωστή ως «least privilege». Σύμφωνα με αυτήν, κάθε χρήστης, εφαρμογή ή συνδεδεμένη υπηρεσία πρέπει να διαθέτει μόνο τα δικαιώματα που είναι απαραίτητα για την εκτέλεση της συγκεκριμένης εργασίας και μόνο για όσο χρονικό διάστημα χρειάζεται.
Στην πράξη, ένας τεχνικός που εξετάζει δεδομένα απόδοσης δεν θα πρέπει να μπορεί αυτομάτως να σταματήσει μια ανεμογεννήτρια. Ένας εργολάβος που συντηρεί έναν μετατροπέα ισχύος δεν θα πρέπει να έχει απεριόριστη πρόσβαση σε άλλα συστήματα. Τα δικαιώματα παρακολούθησης πρέπει να διαχωρίζονται από εκείνα που επιτρέπουν αλλαγές ρυθμίσεων ή αποστολή εντολών.
Οι διαχειριστές μπορούν να ξεκινήσουν καταγράφοντας όλες τις επιχειρησιακές διεπαφές που είναι προσβάσιμες μέσω του διαδικτύου και καταργώντας την περιττή δημόσια έκθεση. Παράλληλα, χρειάζεται να διαχωρίσουν τα συστήματα παρακολούθησης από τις λειτουργίες ελέγχου, να ενισχύσουν την ταυτοποίηση των χρηστών, να επανεξετάσουν τους λογαριασμούς εξωτερικών συνεργατών και να διασφαλίσουν ότι η απομακρυσμένη πρόσβαση μπορεί να ανακληθεί άμεσα.
Η χαρτογράφηση των ψηφιακών δικαιωμάτων σε σχέση με τις πιθανές φυσικές συνέπειες είναι εξίσου σημαντική. Ένας λογαριασμός που επιτρέπει μόνο την ανάγνωση δεδομένων δεν παρουσιάζει τον ίδιο κίνδυνο με έναν λογαριασμό που μπορεί να διακόψει τη λειτουργία εξοπλισμού.
Το παράδειγμα των Ηνωμένων Αραβικών Εμιράτων
Η ανάγκη δοκιμών σε πραγματικές συνθήκες συνδέεται και με μια πρωτοβουλία των Ηνωμένων Αραβικών Εμιράτων. Στις 6 Οκτωβρίου, το Συμβούλιο Κυβερνοασφάλειας των ΗΑΕ και η SCC Middle East ανακοίνωσαν σχέδια για τη δημιουργία Κέντρου Αριστείας για την Κυβερνοανθεκτικότητα και την Αξιόπιστη Τεχνολογία.
Στόχος είναι η συνεργασία κυβερνητικών φορέων, επιχειρήσεων και ειδικών για τη δοκιμή πραγματικών σεναρίων χρήσης και την ασφαλή υιοθέτηση τεχνολογιών σε μεγάλη κλίμακα.
Η πρωτοβουλία αναδεικνύει τη σημασία της πρακτικής αξιολόγησης. Οι τεχνικές προδιαγραφές ενός προϊόντος μπορεί να επιβεβαιώνουν ότι υποστηρίζει κρυπτογράφηση, ταυτοποίηση και καταγραφή δραστηριοτήτων, αλλά δεν αποδεικνύουν από μόνες τους ότι η εγκατάστασή του είναι ασφαλής.
Οι οργανισμοί πρέπει να εξετάζουν τι συμβαίνει όταν παραβιάζονται τα διαπιστευτήρια ενός εργολάβου, εάν μια απομακρυσμένη εντολή μπορεί να παρακάμψει τοπικές δικλίδες ασφαλείας και πόσο γρήγορα ένα κέντρο ελέγχου μπορεί να απομονώσει μια σύνδεση χωρίς να διακόψει κρίσιμες υπηρεσίες.
Αυτό απαιτεί ασκήσεις, κατάλληλα περιβάλλοντα δοκιμών και συνεργασία μεταξύ ειδικών κυβερνοασφάλειας, μηχανικών και επιχειρησιακού προσωπικού.
Αποφυγή υπερβολών
Τα ευρήματα για τα 8.547 εκτεθειμένα συστήματα και τις περίπου 181 τοποθεσίες με δυνητικά επιχειρησιακές διεπαφές πρέπει να αντιμετωπιστούν σοβαρά, χωρίς να παρουσιάζονται ως απόδειξη γενικευμένης κυβερνοεπίθεσης.
Η έκθεση στο διαδίκτυο δεν ισοδυναμεί με επιβεβαιωμένη παραβίαση, ούτε η ύπαρξη μιας διεπαφής ελέγχου αποδεικνύει ότι κάθε εντολή μπορεί να εκτελεστεί χωρίς πρόσθετους περιορισμούς. Η ακριβής αποτίμηση των ευρημάτων επιτρέπει στις αρμόδιες αρχές να ιεραρχούν τους κινδύνους και να αποφεύγουν αδικαιολόγητες υπερβολές.
Την ίδια στιγμή, η υποτίμηση της έκθεσης μπορεί να οδηγήσει σε καθυστερημένη αντιμετώπιση αδυναμιών που θα μπορούσαν να είχαν περιοριστεί εγκαίρως.
Η πράσινη μετάβαση θα συνεχίσει να αυξάνει τον αριθμό των έξυπνων συσκευών και των συστημάτων απομακρυσμένης διαχείρισης. Η εξέλιξη αυτή δεν χρειάζεται να ανακοπεί, καθώς η συνδεσιμότητα συμβάλλει στην αποδοτικότητα και την ευελιξία των ενεργειακών συστημάτων.
Ένα συνδεδεμένο ενεργειακό σύστημα δεν πρέπει ποτέ να διαθέτει περισσότερα δικαιώματα από όσα χρειάζεται. Η εφαρμογή αυτής της αρχής μπορεί να συμβάλει ώστε η ψηφιοποίηση να ενισχύει την ανθεκτικότητα των ενεργειακών υποδομών και να περιορίζει τις ευπάθειες που θα μπορούσαν να είχαν αποφευχθεί.
Πηγή: https://energypress.gr/