Necesitate, obligație, sperietoare, dar înainte de toate un mare teren de investigat și de înțeles – astfel pare să se contureze securitatea cibernetică pentru companiile din industria energetică. Situația este, de altfel, similară pentru toate organizațiile care au legătură cu sectoarele critice, precum transporturile, sectorul financiar-bancar, sănătate, furnizarea și distribuția de apă potabilă sau infrastructura digitală.

Enevo Group și Phoenix Contact au fost companiile care, alături de CERT-RO, au lansat dialogul și au dinamizat schimbul de idei cu considerații generale și precizări tehnice solicitate de cei peste 55 de participanți în asistență la a doua ediție a Energy Breakfast Club din acest an, dedicată tematicilor legate de securitate cibernetică: riscuri, prevenție, recuperare.

“Mă bucur să constat că energia, spre deosebire de alte sectoare de activitate, înțelege riscurile privind securitatea cibernetică la adevărata proporție și magnitudine “, a afirmat Cătălin Aramă, director general al CERT-RO.

Apare obligația funcționării unui centru de operațiuni de securitate

“Este nevoie de reglementări pentru o modificare de conduită în această privință, dar mai mult decât atât, adoptarea Directivei NIS vine cu o serie de obligații”, a precizat oficialul CERT-RO. “Deocamdată vorbim despre un proiect de lege, e adevărat, dar dacă despre criterii sau praguri mai putem discuta, există în directive o serie de principii care vor apărea cu siguranță în forma adoptată a legii”, a avertizat domnia sa. “Operatorii de servicii esențiale vor trebui să introducă, pe de parte, măsuri tehnice, care vin cu costuri, și pe de altă parte, măsuri organizatorice. Vor trebui să fie pregătiți pentru a raporta orice incident de natură informatică, la CERT-RO și pentru a interveni pentru a elimina impactul unui asemenea incident”.

Operatorii vor avea libertatea de a crea CERT-uri sectoriale, pentru a putea răspunde unor nevoi specifice fiecărui sector, dar vor putea și să achiziționeze servicii de tip CERT. Extrem de important, însă, este că fiecare operator de servicii esențiale va trebui să dispună de propriul SOC (Security Operation Center), propriul centru de operațiuni de securitate, adică o unitate centralizată care se ocupă de probleme de securitate la nivel organizațional și tehnic. Acesta va fi responsabil de implementarea măsurilor și politicilor legate de securitate cibernetică. CERT-RO are un rol de coordonare, dar și unul de autorizare a centrelor sectoriale, a auditorilor de securitate cibernetică.

Particularități ale sistemului energetic

În intervenția domniei sale, Cristian Pîrvulescu, director general, Enevo Group, a expus principalele elemente specifice sistemelor energetice care introduc un plus de complexitate în înțelegerea și abordarea securității cibernetice.

• Criticalitate
• Inerție tehnologică și echipamente legacy
• Schimbări de structură pe aceeași infrastructură: operare centralizată – rețea extinsă – operare descentralizată
• Obiective izolate și securizate fizică vs obiective online
• IoT introduce noi vectori de atac și noi variabile în formulele de fiabilitate

“În România, vorbim despre un sistem energetic pus în funcțiune undeva în anii ’80, construit prin anii ‘70, cu tehnologia anilor ’60, după filozofia anilor ‘50”, a sintetizat Cristian Pîrvulescu ideea că în domeniul energetic nivelul tehnologic îngheață pentru zeci de ani la nivelul din perioada în care a fost realizată construcția. De aceea, nenumărate echipamente folosite în prezent în rețelele electrică nu au fost gândite pentru a răspunde unor nevoi de securitate cibernetică.

„Sistemele de control industrial (SCI) nu sunt, de obicei, prevăzute cu soluții de protecție împotriva amenințărilor cibernetice, iar lipsa acestora generează și o lipsă de informații vitale pentru a înțelege atât expunerea (numărul și tipul de echipamente infectate), cât și noile tehnici de atac folosite”, a explicat reprezentantul Enevo Group. “Fără această bază, reacția defensivă este puternic îngreunată, incidentele sunt descoperite greu și târziu.”

Între soluțiile de prevenție propuse de Cristian Pîrvulescu se numără dezvoltarea competențelor interdisciplinare, dar mai ales modificarea modului de înțelegere și abordare a riscurilor pentru a include securitatea cibernetică încă din fazele de proiectare, inginerie și licitație/ofertare.

DESCARCĂ PREZENTAREA LUI CRISTIAN PÎRVULESCU

Securitate „Made in Germany”

Adrian Vlăduț prezentat câteva produse și soluții pentru securitate cibernetică de la grupul german Phoenix Contact, înființat în anul 1923, lider în domeniul producției de componente pentru conexiuni electrice și pentru tehnologia automatizărilor industriale. În cadrul grupului, Phoenix Contact Cyber Security este specializată în soluții hardware și software pentru securitate cibernetică la nivelul echipamentelor industriale.

Domnia sa a expus succint măsurile uzuale pentru protejarea rețelelor împotriva atacurilor cibernetice, menționând între altele sisteme de firewall, echipamente industriale de securitate la punctul final, sisteme IDS/IPS pentru detectarea sau prevenirea intruziunilor, SIEM – informații securitate și gestiunea evenimentelor.

Între elementele care fac din Phoenix Contact un partener solid, Adrian Vlăduț a enumerat:

• dezvoltare și producție proprie (hardware + firmware, securitate ‘Made in Germany’)
• gestionarea pe termen lung a produselor
• procedee speciale de gestionare a răspunsului la incidente privind securitatea produsului (PSIRT) și la vulnerabilități și expuneri comune (CVE)

Un accent special a fost pus pe sistemele mGuard Secure Cloud – VPN industrial pentru acces securizat la distanță.

DESCARCĂ PREZENTAREA LUI ADRIAN VLĂDUȚ

Prezentările, dar mai ales discuțiile care au urmat au scos în evidență necesitatea implicării ANRE pentru recunoașterea costurilor impuse de obligațiile de securitate cibernetică pe care le au marii operatori de sisteme critice din domeniul energetic. Totodată, se impune flexibilizarea sistemelor de achiziții publice pentru adoptarea celor mai sigure soluții de securitate, de la echipamente industriale, la platforme software și componente hardware de tehnologia informației.

Au asistat la prezentări și au participat la discuții peste 55 de experți, reprezentanți de la Academia Română, ACROPO, Ambasada Federației Ruse, Ambasada Israel, Ambasada SUA, Ambasada Ungaria, ANAF, ANRE, AON România, ARASEC, CERT-RO, Compania de detectivi NEI, Conpet, Deloitte Consultanță, Efon Soft, Elux Rodit, Enevo Group, Flash Group, General Investigation, GrECo JLT România GmbH Viena – Sucursala București, Jereh, Kaspersky Lab, MET România Energy Marketing, Money Corp, MORN, Ordinul Marilor Industriași Români, OMV Petrom, Phoenix Contact, Safetech, Șerban&Musneci, Sixt – Rent a Car, Transelectrica.

Energy Breakfast Club a fost organizat de energynomics.ro și susținut de partenerii noștri: Aon România, Enevo Group, General Investigations, Phoenix Contact.

Participare

În 2018, energynomics.ro va organiza 10 ediţii de Energy Breakfast Club. Calendarul şi temele propuse sunt disponibile în pagina dedicată Energy Breakfast Club.

Participarea la Energy Breakfast Club este deschisă tuturor profesioniștilor din industria energetică românească, precum și din sectoarele conexe, pe baza invitației personalizate lansate de energynomics.ro. Ne puteți scrie la office at energynomics.ro pentru a solicita o invitație!

Energy Breakfast Club este o întâlnire de 2-3 ore în care specialiștii din energie se pun la curent cu cele mai noi informații și cele mai influente opinii pe una dintre temele fierbinți ale momentului.

Din postura de gazdă, începând cu ora 09.00, energynomics.ro pune la dispoziție moderatorul și cafeaua, propune tema și lansează invitațiile către speakeri. Aceștia sunt selectați dintre cei mai buni cunoscători ai tematicii și devin responsabili cu provocările intelectuale și organizarea ideilor. Prezentările nu depășesc 20 de minute și se doresc a fi puncte de pornire pentru dinamice schimburi de idei și perspective.

Clubul se închide la ora 13.