Noile tehnologii bazate pe IT schimbă deja nevoile și comportamentul tuturor actorilor din piața energetică. Totodată, ele impun noi abordări din partea autorităților și ridică noi riscuri, precum cele de securitate cibernetică. Continuăm să prezentăm concluziile lucrărilor Energy Strategy Summit 2018, cu o selecție a ideilor din intervenția domnului Cătălin Aramă, directorul general al CERT-RO.
Bună ziua! Participarea mea la acest eveniment este o oportunitate pentru Centrul Național de Răspuns la Incidente de Securitate Cibernetică CERT-RO de a fi nou aproape, de a mai face un pas către sectorul energetic, unul dintre sectoarele prioritare pentru noi.
Aș vrea să încep prin a vă prezenta scenariul unui exercițiu NATO care s-a desfășurat recent la București. Acesta presupunea un atac cibernetic asupra infrastructurii de explorare și exploatare a resurselor din platoul continental românesc al Mării Negre. Scenariul avea o componentă importantă de sabotare a rețelelor industriale offshore, iar atacul cibernetic presupunea scoaterea din funcțiune a sistemelor de comandă și control la bordul unei nave petroliere având ca rezultat un accident. Ulterior, prin tehnici mediatice, susținute de un întreg instrumentar cibernetic – pentru că știm că 85% din conținutul care circulă online este generat de roboți – se inducea o anumită decizie strategică și politică. Am început cu acest exemplu, relevant în contextul discuției de astăzi, pentru că securitatea cibernetică este omniprezentă. Exercițiul pe care l-am evocat s-a desfășurat sub egida NATO, ceea ce arată cu evidență că Alianța apreciază că se poate invoca articolul numărul 5 în cazul unui atac cibernetic asupra unui stat membru; spațiul cibernetic este considerat ca teatru de operațiuni la fel cum sunt cele clasice – cel terestru, cel maritim și cel aerian.
Securitatea cibernetică este omniprezentă mai ales în domeniul energetic, un domeniu prioritar pentru toate companiile și pentru toți actorii naționali și internaționali, la orice nivel.
Directiva Europeană NIS presupune asigurarea unui nivel comun ridicat de securitate în toate statele membre pentru sectoarele economice vizate; energia este pe primul loc, alături de sectoare precum transporturi, financiar-bancar, sănătate, distribuția de apă și platformele digitale. Directiva europeană reprezintă primul cadru legislativ orizontal în domeniul securității cibernetice și un pas înainte în consolidarea capacităților naționale în domeniul securității cibernetice. Directiva întărește cooperarea la nivel european și, foarte important, promovează o politică de management al riscului la nivelul operatorilor de servicii esențiale și a furnizorilor de servicii digitale. Directiva are un profund caracter economic, are în vedere impactul pe care îl poate avea un atac cibernetic asupra factorilor economici, la nivelul companiilor, la nivelul administrației și la nivelul cetățenilor, precum și disfuncționalitățile care pot apărea în cadrul celor ce operează servicii esențiale și pot afecta mai multe state membre simultan.
Directiva impune obligații, atât statelor membre – pentru a se asigura că au capacitatea de a asigura securitatea necesară rețelelor și echipamentelor informatice, dar și operatorilor și furnizorilor de servicii esențiale – pentru a se asigura că respectă un set de reguli de securitate cibernetică.
România a făcut pași importanți în acest domeniu, mai exact transpunerea Directivei NIS s-a făcut printr-o lege care a fost aprobată de Parlament acum două săptămâni, urmând să fie promulgată în scurt timp.
Este un început în care vedem o oportunitate de a lansa un dialog și salut oportunitatea de lansa un dialog cu toți actorii din sectorul energetic – ministerul Energiei, ANRE, ANRM, organizații profesionale și companii, într-un prim pas de cooperare între societatea civilă și mediul de afaceri.
Colaborare pentru securitate cibernetică
Încă din 2017 avem protocoale de colaborare cu Enel, Teletrans, Transelectrica, E.ON și suntem în curs de a semna astfel de documente cu Electrica, CONPET și OMV Petrom. Ce reprezintă aceste protocoale? Ele reprezintă o apropiere între Centrul Național de Răspuns la Incidente de Securitate Cibernetică și actorii care operează sisteme.
În prezent, rețelele industriale care sunt operate în sectorul energetic sunt rețele proiectate având în vedere perioade lungi de utilizare, de 20 sau chiar 30 de ani. Aceste rețele sunt acum insulare și nu prezintă riscuri importante, atâta vreme cât nu sunt conectate la internet. Pe măsură ce se fac investiții în modernizare, odată cu conectarea la internet, apar și vulnerabilități. Trebuie să insist asupra unei diferențe importante. Dacă în mediul enterprise integritatea și confidențialitatea datelor sunt cele care contează, în zona industrială contează în principal durabilitatea și continuitatea serviciilor. De aceea, este necesară o colaborare între specialiștii de securitate cibernetică și inginerii care proiectează rețelele pentru a realiza sisteme viabile și structuri informatice sigure în industria energetică. Ne dorim ca, împreună cu dumneavoastră, să ajungem la conceptul de security by design.
Lucrăm deci în aceste proiecte care vizează creșterea capacității operaționale a CERT-RO, proiecte prin care punem la dispoziție o platformă de interconectare și un sistem de alertă timpurie. În aceeași idee, am lansat și proiectul unei platforme de testare pentru sistemele de control industriale. Pentru aceasta ne bucurăm să avem nu doar sprijin la nivel național, ci și susținere regională, pentru că mai multe state din zona balcanică au anunțat că sunt de acord să folosească această platformă. Sigur că un astfel de proiect devine viabil numai dacă vom reuși să cooptăm alături de noi și producătorii de echipamente, iar primul pas a fost făcut, în sensul că avem deja acceptul unuia din producătorii care acoperă probabil cele mai multe sisteme de control industriale utilizate în sistemul energetic național.
Această colaborare cu operatorii de servicii esențiale se va materializa în mod pragmatic, prin Platforma Național de Servicii de Securitate Cibernetică dezvoltată prin intermediul proiectului eCSI – Enhance National Capabilities for Interoperability. În această platformă, operatorii vor putea să facă schimb de informații în timp real cu CERT-RO, iar Centrul se va conecta mai departe, prin aceeași platformă, cu omologii noștri de pe teritoriul Uniunii Europene.