Energia v digitálnom veku: Prečo je kybernetická bezpečnosť dôležitá

V októbri 2023 som mala česť prezentovať odborníkom na EPI konferencii ku kybernetickej bezpečnosti tému, ktorú som v tej dobe podrobnejšie skúmala a myslím, že je v dnešnej digitálnej dobe čoraz dôležitejšia: prepojenie energetickej bezpečnosti a kybernetickej bezpečnosti a ako tieto dve oblasti ovplyvňujú rôzne úrovne našej spoločnosti.

O čom je energetická bezpečnosť?

Energetická bezpečnosť sa často rieši na národnej úrovni. Medzinárodná Energetická Agentúra (IEA) ju definuje ako nepretržitú dostupnosť energetických zdrojov za prijateľnú cenu. Zabezpečenie energie je kľúčom k stabilite spoločnosti a hospodárstva. Pretože energia je dôležitá nielen pre fungovanie štátu, kritickej infraštruktúry, podnikov, ale i domácností a nás ako jednotlivcov. Len si spomeňte, ako ste sa cítili, keď vám naposledy mobilný telefón ohlásil, že výkon batérie klesol pod 20%? 😉

Koncept energetickej bezpečnosti by sa podľa môjho názoru mal rozšíriť z národnej úrovne aj nižšie – na iné podniky a domácnosti. Prečo?  Našou snahou o dosiahnutie nízkouhlíkového hospodárstva, technologickým pokrokom a digitalizáciou všetkého sa mení klasické usporiadanie systému. Štát, priemysel, iné podniky i jednotlivci čelia výzve dekarbonizácie, t.j. znižovaniu emisií uhlíka, ktoré sú uvoľňované najmä pri výrobe a spotrebe energie. Kladie sa dôraz na úspory energie a prechod na bez uhlíkové alebo nízko uhlíkové palivá, t.j. zmenu energetického mixu. Dochádza k zmenám v energetickom sektore – nárast využívania obnoviteľných zdrojov energie, alternatívnych palív v doprave, ale i k zmene v spôsobe, akým vyrábame a distribuujeme energiu (komunitná energetika, decentralizované systémy). Z podnikov, domácností a komunít sa stávajú výrobcovia energie. Modernizácia a technologický pokrok prispeli k digitalizácii energetického sektora, ale i našich životov. Aj to sú dáta, počítačové systémy, softvérové programy, vzájomné zosieťovanie, či cloudové prepojenia. A tu vstupuje do hry kybernetická bezpečnosť.

Kybernetická bezpečnosť, zjednodušene

Kybernetická bezpečnosť znamená zabezpečenie toho, aby počítače, siete a internet boli bezpečné a chránili dôležité informácie. Pomáha udržiavať údaje súkromné a zabezpečuje, že k nim majú prístup iba správni ľudia. Ešte viac zjednodušene: predstavte si to ako heslo na telefóne alebo počítači, ktorý udržiava Vaše informácie skryté pred zrakmi cudzích ľudí, aby ich nemohli vidieť, zmeniť alebo inak zneužiť.

Prepojenie energetickej bezpečnosti a kybernetickej bezpečnosti

V dnešnej dobe sú energetické systémy čoraz viac digitalizované a prepojené s IT infraštruktúrou. Toto prepojenie prináša výhody v efektivite a monitorovaní, ale zároveň otvára dvere kybernetickým hrozbám, ktoré môžu mať značné dôsledky na energetickú infraštruktúru a bezpečnosť.  A tiež preto, že sme od energie závislí, denne vďaka nej fungujeme. Skúste si predstaviť, že Vám klesla batéria v mobile na 10% a nemáte ho kde nabiť.  A čo iné zariadenia a “gadgets”, ak zostanú bez energie? Jedlo v chladničke alebo mrazničke sa rýchlo pokazí, nepôjde kúrenie ani keď vonku bude pod nulou, nefungujúce svetlo doma či v uliciach obmedzí Váš pocit bezpečnosti, nebudete mať kde nabiť elektromobil, ak jeden máte, alebo nebudete môcť načerpať benzín, a ak máte inteligentnú domácnosť, nemusia Vám fungovať systémy alebo výroba energie zo solárnych panelov, atď. A môžem pokračovať od domácností na úroveň podnikov a vyššie. Na týchto vyšších úrovniach sa tomu venujú odborníci, ktorých však podľa informácií Kompetenčného a certifikačného centra pre kybernetickú bezpečnosť máme stále málo (ak zvažujete zmenu kariéry).  Nechcem maľovať čierne scenáre. v iných krajinách sa už stali, takže len zdôrazňujem, že si treba uvedomovať našu závislosť na energii, digitalizácii a v žiadnom prípade nepodceňovať kybernetickú bezpečnosť.

Čo si predstaviť pod pojmom kybernetické útoky?

Kybernetické útoky, ktoré majú potenciál obmedziť dodávky energie, môžu byť realizované rôznymi spôsobmi, pričom každý z nich má potenciál narušiť prevádzku a bezpečnosť systémov.

1. Ransomvér: Útočníci šifrujú kritické súbory a systémy, čím blokujú prístup k nim, kým nie je zaplatené výkupné. Napr. útok na Colonial Pipeline (2021) ochromil dodávku benzínu po celom východnom pobreží USA​ ​.

2. DDoS (Distribuované odmietnutie služby): Útočníci zahltia sieť alebo systém veľkým množstvom prenosov, čo spôsobí nedostupnosť služby. Útoky DDoS môžu narušiť komunikáciu medzi kontrolnými systémami a zariadeniami v energetickej sieti, čo môže viesť k výpadkom.

3. Malvér (škodlivý softvér): Škodlivý softvér, ktorý môže byť použitý na sabotáž systémov, krádež dát alebo získanie kontroly nad zariadeniami. Napr. Trisis/Triton malvér bol zameraný na priemyselné bezpečnostné systémy​​.

4. Phishing: Útočníci využívajú falošné e-maily alebo webové stránky na získanie citlivých informácií od zamestnancov, ako sú prihlasovacie údaje. Phishing môže viesť k získaniu prístupu do kritických systémov, čo umožní ďalšie útoky, ako je inštalácia malvéru.

5. Útoky na SCADA systémy (Supervisory Control and Data Acquisition): SCADA systémy sú používané na monitorovanie a kontrolu infraštruktúry, ako sú elektrárne a rozvodné siete. Útoky môžu narušiť prevádzku týchto systémov. Napr. Útok na ukrajinskú elektrickú sieť v rokoch 2015 a 2016 bol realizovaný cez SCADA systémy, čo spôsobilo výpadky elektriny​.

6. APT (Advanced Persistent Threats): Dlhodobé útoky, pri ktorých útočníci získajú prístup do systému a zostávajú nepozorovaní, aby mohli vykonávať špionáž alebo pripravovať veľké útoky. Napr. Útoky Night Dragon v roku 2011 boli zamerané na dlhodobú špionáž a krádež dát v energetickom sektore​​.

7. Insider Threats (Hrozby zvnútra): Zamestnanci alebo osoby s prístupom k systémom môžu úmyselne alebo neúmyselne spôsobiť bezpečnostné incidenty. Napr. Nespokojný zamestnanec môže nainštalovať škodlivý softvér alebo zdieľať citlivé informácie s útočníkmi.

8. Manipulácia dát: Útočníci môžu manipulovať s dátami v systémoch, čo môže viesť k nesprávnym rozhodnutiam alebo poškodeniu zariadení. Napr. Zmena údajov o spotrebe energie môže viesť k nesprávnemu riadeniu energetických zdrojov alebo fakturácii zvýšených nákladov.

9. Zraniteľnosti v softvéri:  Využitie zraniteľností v softvéri, ktorý riadi energetické systémy, môže umožniť útočníkom prístup k týmto systémom. Napr. Útok Stuxnet v roku 2010 využil zraniteľnosti v softvéri na narušenie iránskych jadrových centrifúg​.

10. Sabotáž hardvéru: Fyzické narušenie alebo manipulácia so zariadeniami môže spôsobiť výpadky a poškodenie. Útoky na transformátory alebo iné kritické komponenty elektrickej siete môžu viesť k rozsiahlym výpadkom.

Príklady kybernetických incidentov

Ak si k tomu chcete naštudovať viac, vybrala som nižšie niektoré medzinárodné kybernetické incidenty, ktoré ohrozili dodávky energie v iných krajinách.

1. Ransomvérový útok na Holding Slovinských elektrární (Slovnisko, 2023). Útok kompromitoval niektoré systémy, ale neprerušil dodávku elektrickej energie. Zdroj: Slovenia Times
2. Výpadok veterných turbín nemeckej firmy Enercon (krajiny strednej Európy, 2022). Pravdepodobný kybernetický incident v čase vojenskej agresie Ruska voči Ukrajine, porucha satelitného spojenia s vetrnými elektrárňami, ktorých celkový výkon je porovnateľný s vyše dvadsiatimi blokmi atómovej elektrárne v Mochovciach. Zdroj: Denník N
3. Ransomvérový útok na Colonial Pipeline (USA, 2021). Útok narušil dodávku paliva, čo spôsobilo nedostatky po celom východnom pobreží USA. Firma zaplatila výkupné vo výške 4,4 milióna dolárov. Zdroj: Time
4. Ransomvérový útok na Norsk Hydro (Nórsko, 2019). Útok ochromil takmer celú spoločnosť, ktorá dodáva energiu viac ako pol milióna domácnostiam. Zdroj: Time, Norsk Hydro
5. Ransomvérový útok na City Power v Johannesburgu (Južná Afrika, 2019). Narušenie predaja predplatených elektrických kreditov a zasiahnutie IT systémov. Zdroj: BBC
6. Útok malvérom Trisis/Triton na Saudi Aramco (Saudská Arábia, 2017). Malvér cielený na priemyselné bezpečnostné systémy, ktorý mohol spôsobiť fyzické škody. Zdroj: Industrial cyber security pulse
7. Útok malvérom Industroyer na ukrajinskú elektrickú sieť (2016). Spôsobil výpadok elektriny v Kyjeve; malvér špeciálne navrhnutý na narušenie elektrických sietí. Zdroj: ESET/SME
8. Kybernetický útok na ukrajinskú elektrickú sieť (2015). Výpadok elektriny, ktorý postihol 230 000 ľudí. Zdroj: CISA
9. Kybernetický útok na Saudi Aramco (2012, 2017). Malvér Shamoon vymazal údaje na viac ako 30 000 počítačoch, čo významne narušilo prevádzku. Zdroj: CSO Online
10. Útoky Night Dragon (2011). Krádež dát a špionáž zameraná na ropné a energetické spoločnosti. Zdroj: McAfee
11. Útok červom Stuxnet na iránske jadrové zariadenia (2010). Poškodenie centrifúg v jadrovom zariadení v Natanz. Zdroj: BBC
12. Útoky na americkú elektrickú sieť (2009).  Hackeri prenikli do americkej elektrickej siete a zanechali softvér, ktorý by mohol byť použitý na narušenie systému. Zdroj: Wall Street Journal
13. Výbuch ropovodu Baku-Tbilisi-Ceyhan (2008). Kybernetický útok spôsobil výbuch, ktorý narušil tok ropy. Zdroj: Bloomberg
14. Aurora Generator Test (2007). Ukázal, že kybernetický útok môže fyzicky zničiť generátor. Zdroj: WIRED

Príklady klimatických “incidentov”

Dodávky energie môžu ohroziť aj “nehody” ako napríklad preseknutý kábel pri zemných prácach, ale čoraz častejšie budeme vnímať i vplyv klimatickej zmeny. Klimatické zmeny prinášajú čoraz častejšie a intenzívnejšie extrémne poveternostné javy, ktoré môžu mať významný vplyv na energetické systémy.

• Silné búrky môžu poškodiť energetickú infraštruktúru, vrátane prenosových vedení a elektrární, čo vedie k rozsiahlym výpadkom elektriny. Napr. Hurikán Maria v roku 2017 spôsobil rozsiahle škody na elektrickej sieti v Portoriku, čo viedlo k dlhodobým výpadkom elektriny.
• Záplavy môžu poškodiť infraštruktúru, ako sú elektrárne, rozvodne a podzemné káble, čo vedie k prerušeniu dodávok energie. Napr.: Záplavy v Nemecku v roku 2021 zasiahli energetické zariadenia a viedli k rozsiahlym výpadkom elektriny.
• Vysoké teploty môžu preťažiť elektrické siete, najmä počas letných vĺn horúčav, čo môže viesť k výpadkom energie. Napr. : Vlna horúčav v Kalifornii v roku 2020 spôsobila preťaženie elektrickej siete a výpadky energie.

Energetické systémy, najmä tie, ktoré sú závislé na vodných zdrojoch, môžu byť ohrozené suchom a nedostatkom vody.

1. Sucho môže znížiť hladiny vody v priehradách a riekach, čo vedie k poklesu výroby vodných elektrární. Napr. Suchá v Brazílii v roku 2021 viedli k zníženiu výroby vodných elektrární, čo spôsobilo energetickú krízu.
2. Tepelné elektrárne potrebujú veľké množstvo vody na chladenie. Nedostatok vody môže zvýšiť náklady na chladiace systémy alebo dokonca spôsobiť odstavenie elektrární. Napr.: Elektrárne vo Francúzsku museli obmedziť výrobu kvôli nedostatku vody počas sucha v roku 2019.

Zhrnutie kľúčových bodov

1. Zraniteľnosť kritickej infraštruktúry: Kybernetické útoky môžu narušiť základné služby ako dodávku energie, tepla, vody.
2. Energetická bezpečnosť: Kontinuálna dostupnosť energie za prijateľnú cenu je kľúčová pre národnú bezpečnosť.
3. Prepojenosť energetiky a kybernetickej bezpečnosti: Technologický pokrok zvyšuje vzájomnú prepojenosť, čo si vyžaduje vhodné kybernetické opatrenia.
4. Dopad kybernetických útokov: Kybernetické útoky môžu mať rôzne dôsledky, ovplyvňujúce rôzne sektory a základné služby.
5. Zmena energetických systémov a riziká: Novinky, ako napr. decentralizovaná výroba energie, prosumers, energetické komunity musia byť chránené pred kybernetickým rizikom.
6. Potreba spolupráce: Efektívna kybernetická a energetická bezpečnosť potrebuje spoluprácu medzi sektormi a zdieľanie informácií.
7. Vzdelávanie a povedomie: Potreba zvýšenia vzdelávania a povedomia o kybernetickej bezpečnosti a energetickej bezpečnosti, alebo zabezpečení dodávok energie.

Odporúčania pre Vás ako jednotlivcov:

1. Používanie silných hesiel a dvojfaktorovej autentifikácie: Zabezpečte všetky domáce zariadenia a aplikácie silnými heslami a aktivujte dvojfaktorovú autentifikáciu tam, kde je to možné.
2. Pravidelná aktualizácia softvéru: Pravidelne aktualizujte všetky zariadenia a softvér, aby boli zabezpečené proti známym zraniteľnostiam.
3. Bezpečné používanie internetu: Vzdelávajte všetkých členov Vašej domácnosti o bezpečnom používaní internetu, vrátane rozpoznávania phishingových e-mailov a bezpečného sťahovania aplikácií.
4. Záložné zdroje energie: Inštalujte aj solárne panely, napríklad aj s batériovým úložiskom na zaistenie dodávky energie v prípade akéhokoľvek výpadku, avšak dodržte zásady kybernetickej bezpečnosti.
5. Energetická efektívnosť budov: Zvýšte energetickú účinnosť svojej domácností a zvážte svoju spotrebu energie. Cieľom by malo byť zníženie spotreby energie a tým pádom aj závislosti na externých dodávkach energie.

Záver

Máte sa báť? Netreba panikáriť. Na úrovni štátu a podnikov kritickej infraštruktúry sa na zabezpečenie dohliada. Podľa môjho názoru však treba udržiavať povedomie o prepojení energetickej a kybernetickej bezpečnosti, či už na národnej, podnikovej úrovni alebo v domácnostiach, pretože dôsledky kybernetických útokov ohrozujúce dodávky energie môžu byť ďalekosiahle. Okrem dodávok energie môžu byť ešte viac ohrozené Vaše dáta, čísla kreditných kariet alebo mobilný telefón. Preto sa vždy zaujímajte o digitálnu bezpečnosť, či už kvôli aplikácii, ktorú si inštalujete, online pripojeniu do zariadenia, ktoré Vám firma ponúka, alebo kvôli podozrivému emailu či sms, ktoré sa snažia vylákať z vás citlivé údaje.

Odkazy

Prezentácia EPI konferencia, 2023 

Následne som sa na podobnú tému zhovárala aj v decembri 2023, no článok nakoniec vyšiel až oveľa neskôr.

Poďakovanie

Za obe príležitosti rozprávať o tejto téme ďakujem. Bolo pre mňa ťažké pri takejto odbornej téme nepoužívať odbornú terminológiu. Dúfam, že zjednodušeniami moc neutrpel kontext pre odborníkov.