Absolutne varnosti ni

Varnost informacijskih sistemov in z njim povezanih elementov v elektroenergetskem sektorju postaja vsak dan bolj pomembno področje. Zato so se v združenju odločili, da s strokovnim posvetom širši elektroenergetski javnosti predstavijo vsakdanje grožnje, s katerimi se srečujejo elektroenergetska podjetja, nove tehnologije na tem področju, prakse uporabnikov, vzpostavitve elementov kibernetske varnosti in še mnogo več. Strokovnjaki iz elektroenergetskega sektorja so predstavili uveljavljene prakse in novosti o vzdrževanju elektroenergetskih naprav na nivoju prenosa, distribucije in proizvodnje električne energije.

Predsednik slovenskega združenja CIGRE CIRED mag. Marko Hrast je v uvodnem nagovoru dejal, da področje informatike v elektroenergetiko prodira že dalj časa in prišli smo že tako daleč, da danes praktično v elektroenergetskem sistemu ni več elementa, ki ne bi potreboval nekega prenosa podatkov. Brez informacijsko komunikacijske tehnologije (IKT) danes z omrežjem ne upravljamo več, zato je informacijska varnost še toliko bolj pomembna. Kot je poudaril, se je treba zavedati, da grožnje obstajajo in tako kot tehnologije na tem področju napredujejo, tako napredujejo tudi tveganja, česar se morajo strokovnjaki ves čas zavedati.

Videti je treba širšo sliko in biti pazljiv pri razkrivanju informacij

Gorazd Božič iz nacionalnega odzivnega centra za obravnavo incidentov s področja varnosti elektronskih omrežij in informacij (SI CERT) je podal pogled, kaj vidijo na SI CERT kot pomembne zadeve v zakonu o informacijski varnosti, ki je bil sprejet 4. aprila in prinaša določene obveznosti. Med incidenti, ki jih obravnavajo, so najpogostejše spletne goljufije, kjer so tarča predvsem manjša podjetja. V zadnjih letih pa je močno narastel izsiljevalski virus. Država, kot regulator na področju informacijske varnosti, je v letu 2016 izdelala strategijo o kibernetski varnosti, aprila letos pa je bil, zaradi nove evropske direktive, sprejet še zakon o informacijski varnosti, ki za zavezance iz sedmih sektorjev, med njimi tudi iz energetike, določa poročanje o incidentih. Prav tako določa pristojni nacionalni program za kibernetsko varnost in inšpekcijski nadzor. SI CERT bo sprejemal prijave vseh zavezancev in izvajalcev storitev iz teh sedmih sektorjev. Dodatno direktiva uvaja mrežo odzivnih centrov EU, kjer se bodo redno izmenjevali podatki in s tem dobili neko jasno sliko. Pojavlja se vprašanje, zakaj morajo zavezanci sploh poročati, ko pride do incidenta. Kot pojasnjuje Gorazd Božič, so razlogi za to situacijsko zavedanje, analiza zlonamerne kode in mednarodno sodelovanje. Zato bi bila zanj pot naprej nadgradnja infrastrukture, nadgradnja znanja in krepitev sodelovalnega modela.

Andrej Matko iz Elesa je spregovoril o konceptih zagotavljanja kibernetske varnosti v procesnih sistemih, ki je bilo usmerjeno v predstavitev ključnih konceptov delovanja procesnih sistemov in njihove kibernetske varnosti v informacijski dobi. Uvodoma je predstavil nekaj dejanskih napadov, ki so se zgodili pred kratkim, kot so škodljiva koda Stuxnet ter kibernetska napada na operaterje v Ukrajini leta 2015 in 2016 ter izsiljevalski virus, ki pa se načeloma ne uporablja tako usmerjeno za elektroenergetska podjetja. S tem v zvezi je pojasnil mehanizme, ki so bili uporabljeni v napadih, ter povzel, kaj se je kibernetska skupnost iz njih naučila in katere koncepte varovanja je dorekla. Povečati je treba varnost procesnega omrežja in biti pazljiv pri razkrivanju informacij. Treba je narediti popis opreme in definirati varnostne cone, ki jih moramo skrbno varovati. Pametno je uporabiti nadzor dostopov in narediti strategijo dostopov, imeti kvaliteten sistem za izdelavo varnostnih kopij. Pomemben je tudi dvig zavesti zaposlenih o potencialnih kibernetskih grožnjah. Kot je poudaril ob zaključku, absolutne varnosti ni, kibernetska in fizična varnost pa gresta z roko v roki. Varnost in udobje sta obratno sorazmerna, nekje pa je razumna meja, ki je ločnica, ki lahko naredi vsak sistem popolnoma neuporaben. Kot njemu najpomembnejšo točko pa je izpostavil, da mora zavest vedeti, da kibernetske nevarnosti so, in da je dvigovanje varnosti veliko cenejše, kot odpravljanje posledic napada.

Kibernetska varnost je kompleksna zgodba

Značilnosti pristopov pri uvajanju informacijske varnosti v IT okoljih ter v OT okoljih elektrodistribucijskih podjetij  je na primeru Elektro Ljubljana podala vodja tamkajšnje Službe informacijsko- komunikacijskih tehnologij dr. Alenka Kolar. Ob tem je spregovorila tudi o izzivih pri zagotavljanju varnosti v obeh segmentih ter, kako se z vidika kibernetske varnosti odzvati pri povezovanju obeh segmentov. Izzive združevanja IT in OT okolij v Elektru Ljubljana vidijo predvsem na področju kibernetske varnosti. V zadnjih letih se je število napadov začelo močno povečevati. Temu je botrovala ogromna lakota po podatkih. Pri tem ne gre brez komunikacije, kar pa pomeni nevarnost kibernetskih napadov in s tem nevarnost za procesno omrežje. Pri tem pa smo omejeni s strokovnjaki, ki bi se s tem ukvarjali. Zavedati se je treba, da so ogromne količine podatkov danes realnost. Internet se danes povezuje s svetom, procesno omrežje pa je bilo do sedaj otok zase. Prav tako se je pojavil svet strojev. Zavedati se moramo, da je energetika temelj gospodarstva, zato moramo najti mejo med IT in OT, saj danes vse deluje s pomočjo programske opreme. Sami so leta 2016 na nivoju optičnih vlaken ločili procesno in poslovno omrežje in umaknili poslovno mrežo iz elektroenergetskih objektov. Če gre nekaj narobe v IT, se lahko ustavijo poslovne aplikacije, se zaklenejo datoteke, onemogočeno je sodelovanje z državo, lahko so ogroženi osebni podatki in podobno. Kaj vse pa se lahko zgodi, ko gre kaj narobe na procesni mreži, pa je marsikdo lahko občutil ob žledolomu leta 2014. Konec koncev so lahko ogrožena tudi življenja.

V nadaljevanju so udeleženci lahko prisluhnili specifikam kibernetske varnosti v elektroenergetskih podjetjih, kjer so predavatelji podali ključne značilnosti zagotavljanja kibernetske varnosti. Predstavili so, kako zagotoviti doseganje zaželenega nivoja varnosti in metodologije pristopa pri izgradnji varnostno operativnega centra za sektor energetike na Informatiki. Ključno je povezovanje in sodelovanje ter poenotenje energetike o konceptu energetske varnosti. Ob tem so poudarili, da tehnologija ni dovolj, ampak so pomembni tudi ljudje in procesi, saj le pravo razmerje med njimi prinese uspeh pri zaznavanju in reagiranju na incidente. Zato sta dve ključni storitvi, ki jih zagotavlja varnostno operativni center, aktivna zaznava varnostnega incidenta in forenzična analiza le-tega. Metod Platiše iz Telekoma Slovenije je predstavil operativni center kibernetske varnosti in izkušnje ki so jih po letu dni pridobili. Kot je dejal, se te lahko s pridom prenesejo tudi na področje zagotavljanja kibernetske varnosti v elektroenergetiki, ki pa jih je treba postaviti v kontekst tega sektorja. Kot je dejal, je kibernetska varnost kompleksna, zato samo tehnološke rešitve niso zadosti. Da lahko znižamo tveganje, je treba zagotavljati operativne zmogljivosti in pri tem ne pozabiti, da si morajo ljudje izmenjevati izkušnje.

Sogovorniki na okrogli mizi so se strinjali, da kibernetska varnost v elektroenergetiki ni samo stvar IKT, kar dokazuje tudi razvoj pametnih omrežij. Kot je dejala dr. Alenka Kolar, se je v Elektru Ljubljana izkazalo, da je najcenejši način zagotavljanja kibernetske varnosti ozaveščanje ljudi o tem problemu. Izobraževanje zaposlenih tudi še vedno poteka, saj se napadi na mobilne telefone šele začenjajo. Na to se je navezal tudi dr. Janez Stergar iz Agencije za energijo in dejal, da je ena od nalog regulatorja sledenje trendom na področju kibernetske varnosti. Zato so vzpostavili odnos z deležniki v obliki srečanja, na katerem jih informirajo o stvareh, ki prihajajo na tem področju ter skupaj iščejo rešitve. Dr. Ciril Kofol je izpostavil problem pomanjkanja strokovnega in usposobljenega kadra. Dr. Miran Rošer iz Elektra Celje, kjer so na tem področju zelo inovativni, je dejal, da obstaja še veliko možnosti za izboljšave, ki jih bo v prihodnosti treba izpeljati, saj bo v verigi končni odjemalec tisti, ki bo postal pomemben. Zato morajo vsi igralci v elektroenergetiki strniti vrste in najti kompromis med njimi in IKT. Pri kibernetski varnosti smo namreč močni toliko, kot smo močni skupaj.