Grudniowe cyberataki na polską infrastrukturę energetyczną – farmy wiatrowe, fotowoltaiczne i elektrociepłownię – ujawniły nową rzeczywistość: zagrożenie nie musi uderzać w centrum systemu. Coraz częściej wystarczy słabszy punkt na obrzeżach, by sparaliżować dostawy prądu. Eksperci z CYBERSEC EXPO & FORUM wskazują, że kluczowe staje się bezpieczeństwo rozproszonych źródeł, inteligentnych liczników i łańcucha dostaw.
Cyberbezpieczeństwo w energetyce przestało być dodatkiem do inwestycji. Dziś jest warunkiem stabilnej pracy operatorów i bezpiecznych dostaw energii. Uczestnicy debaty „Cyberbezpieczeństwo sektora energetycznego” podczas CYBERSEC EXPO & FORUM zwracali uwagę, że ryzyko zaczyna się już na etapie wyboru technologii: pochodzenie urządzeń, certyfikacja komponentów, sposób aktualizacji i realna kontrola nad dostawcami mają znaczenie.
Minister energii Miłosz Motyka w liście odczytanym przez Aleksandrę Walter, dyrektor Departamentu Cyfryzacji i Bezpieczeństwa w resorcie energii, podkreślił, że transformacja energetyczna, rozwój OZE i cyfryzacja sieci otwierają nowe możliwości, ale jednocześnie generują nowe wektory zagrożeń. Grudniowe ataki potwierdziły, że atak nie musi uderzać w samo centrum – wystarczy farma OZE, inteligentny licznik czy element łańcucha dostaw.
Rozproszona energetyka – nowe pole walki
Polska energetyka, przez dekady oparta na dużych aktywach, staje się rozproszoną, cyfrową siecią zależności. Przybywa farm fotowoltaicznych, instalacji wiatrowych, inteligentnych liczników, punktów ładowania i systemów zdalnego sterowania. Każdy z tych elementów zwiększa elastyczność systemu, ale też powierzchnię ataku.
– Gra jest inna. Nie trzeba już atakować jednostek centralnych, największej generacji. Grudniowe ataki dotyczyły obrzeży systemu, czyli farm wiatrowych, farm fotowoltaicznych – mówił Radosław Dumański, ekspert w CERT PSE. Dla PSE kluczowe jest to, czy incydent może zagrozić stabilności pracy krajowej sieci, czyli wywołać efekt kaskadowy. Grudniowe incydenty nie wywołały poważnych skutków dla sieci przesyłowej, ale pokazały znaczenie czasu reakcji, procedur odtworzeniowych i łączności. – Bez łączności jesteśmy ślepi i niemocni. Nie możemy wtedy nic zrobić – dodał przedstawiciel PSE.
Jednym z najbardziej wrażliwych miejsc jest energetyka rozproszona. Polska zbudowała fotowoltaikę w szybkim tempie, ale wraz z mocami pojawiły się setki tysięcy urządzeń: inwerterów, modułów komunikacyjnych, sterowników i systemów zdalnego nadzoru. Problem leży nie tylko w liczbie, ale też w pochodzeniu komponentów i wiedzy operatorów o podatnościach.
– Przez lata dopuszczano do pracy urządzenia, które nie spełniały większości certyfikacji. Dziś widzimy tego skutki – ocenił Tomasz Małecki, wiceprezes PGE Dystrybucja, wskazując m.in. na chińskie inwertery. Podkreślił, że paradygmat, iż cyberbezpieczeństwo to koszt, odszedł już do przeszłości. – Cyberbezpieczeństwo jest częścią normalnego funkcjonowania – stwierdził.
Inteligentne liczniki i łańcuch dostaw – nowe ryzyka
Do 2030 r. zdalne liczniki mają trafić do wszystkich odbiorców energii, co oznacza blisko 20 mln urządzeń komunikujących się z systemem. Mariusz Jurczyk, prezes Tauron Dystrybucja Pomiary, zwrócił uwagę, że licznik przeszedł dużą transformację – dziś ma znacznie więcej funkcji niż tylko pomiar. – Operator ma możliwość zarządzać urządzeniem, szybko reagować na potrzeby klienta. To dobre, proklienckie rozwiązanie. Ale to niesie ogromną odpowiedzialność – mówił. Przy takiej skali operatorzy muszą znać budowę urządzenia, sposób szyfrowania, aktualizacji i odpowiedzialności za cały cykl życia licznika.
Marek Pisarczyk z Victor Energy podkreślił, że rola wykonawcy w energetyce coraz częściej obejmuje odpowiedzialność za cyberbezpieczeństwo obiektu. – Staramy się integrować systemy na obiekcie, nie tylko stawiać transformator, ale implementować systemy bezpieczeństwa, by komunikacja z systemami nadzorczymi była bezpieczna – wyjaśniał. Zagrożeniem bywa nie tylko zaawansowany atak, ale też banalne zaniedbanie: domyślne hasło, fabryczna konfiguracja, źle zabezpieczony dostęp zdalny.
Państwo próbuje dostosować przepisy do zmieniającej się energetyki. Aleksandra Walter z Ministerstwa Energii wskazała, że przy wdrażaniu dyrektywy CER i nowelizacji ustawy o krajowym systemie cyberbezpieczeństwa chodzi o przejście od ochrony konkretnych obiektów do ochrony ciągłości usług kluczowych. – Obecna ustawa skupia się na urządzeniach, obiektach, systemach, sieciach, usługach. Nowa ustawa skupia się na usługach kluczowych i pojęciu podmiotu krytycznego, który musi zapewnić ciągłość świadczenia usługi kluczowej bez względu na lokalizację – mówiła. Podkreśliła, że regulacje dotyczą całego łańcucha dostaw – od dostawców technologii po serwis.
Nowym polem ryzyka jest sztuczna inteligencja. Tomasz Małecki zaznaczył, że PGE Dystrybucja testuje rozwiązania AI, ale dane i modele muszą pozostawać pod kontrolą operatora. – AI musi być wykorzystywana z głową, zawsze on premise na naszych serwerach, nie dawać innym do wykorzystania – mówił. Z kolei Radosław Dumański ostrzegł, że napastnicy również używają AI – jeden z wiperów użytych w grudniowych atakach został wygenerowany z pomocą modelu językowego. To pokazuje, że cyberprzestępcy sięgają po coraz bardziej zaawansowane narzędzia, a sektor odpowiedzialny za bezpieczeństwo infrastruktury krytycznej nie może pozostawać w tyle.
Źródło: WNP.PL, Fot. PTWP