• Sektor energetyczny musi się liczyć z cyberatakami. - Musimy być zdolni do funkcjonowania w trakcie incydentu albo do bardzo szybkiego odzyskania zdolności biznesowych i technologicznych, które realizujemy dla klientów - zaznaczył Krzysztof Malik z PGE Systemy w trakcie sesji "Cyberbezpieczeństwo energetyki i infrastruktury krytycznej".
• Cyberodporność wymaga ćwiczeń. Dzięki nim łatwiej jest radzić sobie z incydentami. - Nie panikować, tylko sięgać po to, czego potrzebujemy, i spokojnie działać - wskazał Radosław Dumański z Polskich Sieci Elektroenergetycznych.
• Bezpieczeństwo liczników zdalnego odczytu, których w Polsce są miliony, zależy także od przejrzystości łańcuchów dostaw. - W przetargach składane są oświadczenia dotyczące pochodzenia, ale pojawia się kwestia badania ich prawidłowości - zauważyła Katarzyna Zalewska-Wojtuś (Polskie Towarzystwo Przesyłu i Rozdziału Energii Elektrycznej).
• Energetyka nie jest samotną wyspą. - Telekomunikacja, energetyka i sektor finansowy mogą zostać dotknięte w tym samym czasie, niekoniecznie tym samym incydentem, ale jego skutki pojawią się jednocześnie we wszystkich tych sektorach - stwierdził Jakub Teska z EY.

Certyfikat nie zapewni cyberodporności. Potrzeba ćwiczeń i sprawnych procedur

Podczas sesji "Cyberbezpieczeństwo energetyki i infrastruktury krytycznej" paneliści wskazywali na konieczność regularnych ćwiczeń w zakresie reagowania na cyberincydenty.

Radosław Dumański, dyrektor ds. bezpieczeństwa teleinformatycznego w Polskich Sieciach Elektroenergetycznych, podkreślił, że cyberodporność nie jest stanem, który organizacja osiąga raz na zawsze.

- Odporność trzeba ćwiczyć - stwierdził. - Trzeba ją ćwiczyć przez scenariusze, których możemy się spodziewać, żeby kiedy coś się stanie, mieć "pamięć mięśniową": wiedzieć, co robić, jak się zachować, nie panikować, tylko sięgać po to, czego potrzebujemy i spokojnie działać - dodał.

Radosław Dumański, dyrektor ds. bezpieczeństwa teleinformatycznego w Polskich Sieciach Elektroenergetycznych. Fot. PTWP

Krzysztof Malik, dyrektor departamentu cyberbezpieczeństwa w PGE Systemy, zwrócił uwagę na zmianę perspektywy.

Do tej pory traktowaliśmy cyberbezpieczeństwo jako gwarancję, że nikt się do nas nie włamie i "wszystko będzie dobrze". Taki syndrom zamku na wzgórzu - wskazał. Teraz przyjmujemy, że ktoś się jednak włamie, a my musimy być zdolni do funkcjonowania w trakcie incydentu albo do bardzo szybkiego odzyskania zdolności biznesowych i technologicznych, które realizujemy dla klientów - zaznaczył Krzysztof Malik.

- Cyberodporność można mierzyć, ale trudno ją mierzyć liczbą certyfikatów czy posiadanych systemów cyberbezpieczeństwa. Trzeba myśleć o innych wskaźnikach - powiedział też przedstawiciel PGE Systemy. - Menedżerowie muszą być w stanie zarządzić incydentem i sytuacją kryzysową, która prędzej czy później się pojawi - dodał.

Krzysztof Malik, dyrektor departamentu cyberbezpieczeństwa w PGE Systemy. Fot. PTWP

Kwestię budowy cyberodporności jako zdolności podnoszenia się po ataku rozwinął Jakub Teska, partner i członek zespołu cyberbezpieczeństwa w EY.

- To nie tylko kwestia zaprojektowania architektury i tego, co nazywamy operational resilience, czyli odpornością operacyjną, wykraczającą poza warstwę technologiczną - zastrzegł Jakub Teska. - Chodzi o to, czy jesteśmy w stanie odtworzyć nie tylko systemy, ale działające procesy. Niestety często testuje się odtwarzanie pojedynczych systemów, punktowo, a rzadko całych procesów: od pojedynczych systemów po ich połączenie w procesy kluczowe dla organizacji - wskazał.

Bezpieczeństwo liczników zdalnego odczytu. Trzeba sprawdzać łańcuchy dostaw

Katarzyna Zalewska-Wojtuś, dyrektorka biura Polskiego Towarzystwa Przesyłu i Rozdziału Energii Elektrycznej (PTPiREE), opowiedziała, jakie ćwiczenie wykonali operatorzy systemów dystrybucyjnych (OSD) zrzeszeni w tej organizacji.

- Wraz z zewnętrzną firmą doradczą przeprowadziliśmy kompleksowy projekt: zbadaliśmy otoczenie prawne dotyczące bezpieczeństwa, w tym cyberbezpieczeństwa liczników zdalnego odczytu, i określiliśmy wymagania wynikające z przepisów unijnych i krajowych - powiedziała Katarzyna Zalewska-Wojtuś. - Projekt obejmował część teoretyczną, dotyczącą prawa, ale też niemal ćwiczenia wojskowe - dodała.

W tych ostatnich uczestniczyła grupa osób z OSD, zajmujących się bezpieczeństwem i licznikami.

- Na podstawie doświadczeń wskazano siedem głównych wymogów dotyczących komunikacji, szyfrowania i bezpieczeństwa fizycznego. O takie wymogi powinny zostać uzupełnione przepisy, choćby rozporządzenie pomiarowe tam, gdzie trzeba je doprecyzować - poinformowała Zalewska-Wojtuś.

Jak zaznaczyła, wnioski z ćwiczeń były dość dobre. Do fizycznego bezpieczeństwa liczników właściwie nie było zastrzeżeń. Natomiast transparentność łańcucha dostaw wymaga poprawy i doprecyzowania.

W przetargach składane są oświadczenia dotyczące pochodzenia, ale pojawia się kwestia badania ich prawidłowości - wyjaśniła przedstawicielka PTPiREE. - Co w sytuacji, gdy oświadczenie jest składane pod odpowiednimi rygorami, a intuicja podpowiada, że komponenty lub podzespoły wcale nie są produkowane we wskazanym państwie? Chodzi także o ścieżkę badania local contentu. Po stronie producentów i dostawców do nadrobienia pozostają audytowalność oprogramowania i dodatkowe testy bezpieczeństwa - wyliczała Katarzyna Zalewska-Wojtuś.

Dodała, że w badaniu wzięli udział również dostawcy liczników, którzy w ankiecie zaznaczali poszczególne elementy bezpieczeństwa. - Otrzymaliśmy od nich pozytywną informację zwrotną, że pytania trafiają we właściwe obszary - stwierdziła Zalewska-Wojtuś.

Katarzyna Zalewska-Wojtuś, dyrektorka biura Polskiego Towarzystwa Przesyłu i Rozdziału Energii Elektrycznej (PTPiREE). Fot. PTWPGrudniowy cyberatak na energetykę. Dlaczego nie doszło do blackoutu?

Zdarzeniem, o którym wciąż dyskutują specjaliści od cyberbezpieczeństwa w branży energetycznej, są skoordynowane ataki na ten sektor z 29 grudnia ubiegłego roku. Objęły one co najmniej 30 farm wiatrowych i fotowoltaicznych, przedsiębiorstwo produkcyjne oraz dużą elektrociepłownię zaopatrującą prawie pół miliona odbiorców. CERT Polska określił te działania jako pierwszy cyberatak na polski sektor energii, którego cel był wyłącznie destrukcyjny. Ponadto w sierpniu CERT Polska ujawnił, że atak dotknął też mniejszą elektrociepłownię, obsługującą około 50 tys. mieszkańców.

Krzysztof Malik podkreślał sprawne działanie atakujących w OT, czyli środowisku sterowania przemysłowego. Wejście umożliwiły im nieaktualizowane urządzenia i firewalle, powtarzane hasła i brak uwierzytelniania wieloskładnikowego.

Wydarzenia z 29 grudnia nie doprowadziły jednak do blackoutu ani przerw w dostawach ciepła - choć nie ma pewności, czy to bardziej sukces obrońców, czy zaniechanie ze strony napastników. Jakub Teska zwrócił uwagę, że w dużej elektrociepłowni próbę uruchomienia oprogramowania niszczącego dane (wipera) zatrzymał EDR - system chroniący urządzenia końcowe w sieci firmy. Ograniczyło to skutki ataku.

Natomiast Radosław Dumański przywołał tezę, że taki finał wynikał z decyzji atakujących.

Cieszymy się, że EDR zadziałał, ale z takimi dostępami, jakie uzyskali, wydaje się aż niemożliwe, żeby napastnicy nie zrobili więcej złego. Cytuję tu spekulację kolegi z branży: tak miało być. Nie my coś ograniczyliśmy, tylko tak to zaplanowano - powiedział Radosław Dumański.

Domowy falownik może się stać problemem całego systemu energetycznego

Katarzyna Zalewska-Wojtuś wskazała też na ryzyka cyberbezpieczeństwa w instalacjach prosumenckich. To zagrożenia, które dotyczą zarówno odbiorców, jak i całej sieci elektroenergetycznej.

- Do obsługi instalacji i monitorowania ilości wytworzonej energii służą aplikacje. Typowo u osoby, która zainstalowała panele fotowoltaiczne, domowe zasoby są połączone przez domowe łącze internetowe. Jak często zmieniamy hasła i aktualizujemy oprogramowanie? Często korzystamy z haseł domyślnych lub powtarzalnych. Łączymy te urządzenia z innymi w domu, nie izolujemy ich od pozostałych połączeń. To naraża prosumenta i odbiorcę na ryzyko wtargnięcia złośliwego oprogramowania lub ingerencji w inne systemy, z którymi łączymy się przez to samo łącze - analizowała Katarzyna Zalewska-Wojtuś.

W rezultacie po stronie operatora pojawia się ryzyko zaniku napięcia i potencjalnego blackoutu. - Operator systemu dystrybucyjnego nie ma wpływu na zachowania odbiorców ani na urządzenia montowane przez dostawców instalacji. Jeżeli wszystkie wymagania zostały spełnione, instalator jest certyfikowany i formalnie wszystko się zgadza, nie ma takiej weryfikacji - wyjaśniła przedstawicielka PTPiREE.

Incydent bezpieczeństwa dotyczący jednego z prosumenckich urządzeń końcowych może się stać problemem dla całego systemu energetycznego.

Wystarczy przełamać zabezpieczenia jednego urządzenia i jednocześnie przełamujemy je w milionach. Moc pojedynczego urządzenia nie jest duża, ale skumulowana może przekroczyć próg stabilności całego systemu - ostrzegał Radosław Dumański. Dlatego PSE wydały poradnik dla prosumentów OZE.

- Nie mamy dziś mocniejszego argumentu niż podpowiadać i edukować prosumentów - stwierdził Radosław Dumański.

Konieczna jest współpraca. Jak się sprawdza dyrektywa NIS2?

Jakub Teska podkreślił znaczenie międzysektorowej współpracy w cyberbezpieczeństwie i wspólnych ćwiczeń.

- Potencjalna niedostępność energii i to, jak długo będzie działało zasilanie podtrzymujące, są kluczowe. Ważne jest, jak zachowa się każdy sektor, gdy incydent dotknie więcej niż jednego z nich - powiedział.

- Telekomunikacja, energetyka i sektor finansowy mogą zostać dotknięte w tym samym czasie, niekoniecznie tym samym incydentem, ale jego skutki pojawią się jednocześnie we wszystkich tych sektorach - dodał Jakub Teska.

Radosław Dumański przywołał przykład blackoutu w Hiszpanii. - Odtwarzanie trwało kilkanaście godzin, relatywnie długo. Wyzwaniem jest wtedy komunikacja i skoordynowanie odtwarzania systemu. A trudno to skoordynować, gdy nie ma łączności - stwierdził.

Przypomniał też o przygotowaniach PSE do uruchomienia sektorowego CSIRT Energia - zespołu reagowania na incydenty bezpieczeństwa komputerowego (Computer Security Incident Response Team). 

Ma on wspierać firmy z branży w reagowaniu na ataki i ułatwić wymianę informacji o zagrożeniach.

Sektorowe CSIRT-y powstają na podstawie znowelizowanej ustawy o krajowym systemie cyberbezpieczeństwa (KSC), która wdrożyła w Polsce unijną dyrektywę w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa (NIS2). 

Jakub Teska, partner i członek zespołu cyberbezpieczeństwa w EY. Fot. PTWP

Czy NIS2 rzeczywiście poprawia poziom ochrony przed cyberatakami i zdolność firm do radzenia sobie z ich skutkami?

Jakub Teska zaznaczył, że dowiodą tego tylko mierzalne efekty.

Nie liczba projektów, ale zmieniające się parametry w poszczególnych organizacjach. Patrząc też na ostatni rok i grudniowy incydent, powiedziałbym: kiedy liczba dostępów bez wieloskładnikowego uwierzytelniania wyniesie zero - stwierdził Jakub Teska.

Katarzyna Zalewska-Wojtuś oceniła, że duże spółki energetyczne są przygotowane do nowych obowiązków, m.in. wykrywania i szybkiego zgłaszania incydentów.

Egzekwowanie wymogów ustawy o KSC w energetyce należy do ministra energii, który jest organem ds. cyberbezpieczeństwa dla tego sektora. Będzie on też mógł nakładać kary pieniężne za takie naruszenia, jak brak oceny ryzyka, niewdrożenie wymaganych zabezpieczeń czy niewykonanie zaleceń pokontrolnych.

- Pierwsze kary mogą pojawić się w kwietniu 2028 roku. Ale prawo obowiązuje od 3 kwietnia tego roku, już od kilku miesięcy - podsumował Radosław Dumański.

Obejrzyj pełny zapis relacji z panelu: