În ultimul an, FirstEnergy Pennsylvania a înregistrat un număr tot mai mare de tentative de malware și atacuri cibernetice în jurul infrastructurii lor critice.
„Sistemele noastre defensive blochează zeci de mii de încercări automate de conectare rău intenționată împotriva serviciilor destinate publicului în fiecare lună”, a declarat Brian Harrell, șeful de securitate al companiei care deservește 2,1 milioane de clienți electrici din 56 de județe din Pennsylvania. „Aceste statistici subliniază de ce securitatea cibernetică necesită atenție constantă și îmbunătățire continuă.”
El vorbea cu un grup de membri ai Casei Pennsylvania despre amenințările crescute la securitatea cibernetică cu care se confruntă utilitățile din stat.
În ultimii câțiva ani, actorii criminali și sponsorizați de stat au vizat din ce în ce mai mult infrastructura critică din America și Europa. Și pe măsură ce utilitățile și infrastructura de rețea se bazează din ce în ce mai mult pe conexiunile la internet pentru a funcționa, instrumentele actorilor răi au devenit mai sofisticate.
„Ei caută să manipuleze, să perturbe sau să dezactiveze însuși sistemele de control care oferă lumină, căldură și apă curată pentru comunitățile noastre”, a declarat reprezentantul Pat Gallagher (D-Philadelphia), președintele subcomisiei pentru utilități a Comitetului pentru Protecția Consumatorului, Tehnologie și Utilități a Casei. „Protejarea utilităților noastre publice necesită un front unificat, unul care să facă legătura între operatorii privați, autoritățile publice de reglementare, agențiile de stat și ambele partide politice.”
Directorii de utilități și experții în securitate cibernetică au fost de acord că, în acest moment, investițiile în securitate cibernetică au devenit aproape la fel de necesare ca și cheltuielile pentru infrastructură. Dar ei i-au avertizat pe parlamentari că au un cost pentru contribuabili și au cerut noi reglementări sau cerințe care să țină cont de asta.
„Aceste investiții sunt necesare, dar securitatea cibernetică concurează acum pentru aceleași resurse limitate necesare pentru conducte, pompe și îmbunătățiri de capital”, a declarat Craig Fahnestock, directorul de relații guvernamentale pentru Asociația Autorităților Municipale din Pennsylvania. „Solicităm cerințe care să fie realizabile.”
Grupul lui Fahnestock reprezintă aproape 700 de autorități municipale de apă. Mulți sunt pe partea mai mică, deservesc comunitățile rurale și nu au banii omologilor lor din orașele mai mari.
„Toți lucrează pentru a rezolva problema, dar resursele lor variază considerabil”, a spus el.
În timp ce parlamentarii nu discutau despre nicio legislație anume, Fahnestock a cerut ca orice nouă lege care implementează cerințele de securitate cibernetică să includă finanțare sau ca statul să ajute altfel să conecteze autoritățile mai mici cu experții tehnici.
Samit Nair, Chief Information Officer pentru Essential Utilities, compania-mamă a Aqua Pennsylvania și People’s Natural Gas, a declarat că compania sa a reușit să prevină orice atac cibernetic semnificativ, în parte prin finanțarea inițiativelor de securitate cibernetică.
„Tratăm cheltuielile cu securitatea cibernetică ca pe o parte normală, prudentă a desfășurării operațiunilor de utilități sigure și fiabile, în același mod în care tratăm investițiile în conducte, stații de epurare și infrastructură de distribuție”, a spus el.
În timp ce Nair a spus că compania nu a experimentat niciun incident care să fi perturbat operațiunile, să fi întrerupt serviciul către clienți sau să fi cauzat un „impact financiar material”, asta nu înseamnă că amenințările crescute la securitatea cibernetică nu i-au costat.
Compania necesită asigurare de securitate cibernetică. Și costurile pot varia în funcție de istoricul unei firme.
„Ratele de primă, multe depind de cât de solidă este practica dumneavoastră”, a spus el parlamentarilor. „Deci, există o grămadă de întrebări pe care asigurătorii ni le pun și ne validează, înainte chiar să ne ofere asigurare.”
Jeremy Young, președinte și CEO al Federal Resources Corporation, o organizație care oferă expertiză în securitate cibernetică organizațiilor guvernamentale și din sectorul public, a avertizat parlamentarii că inteligența artificială nu a făcut decât să crească nevoile de securitate cibernetică ale utilităților.
„Atacatorii au acum acces la automatizare și inteligență artificială care pot accelera recunoașterea, phishingul, vulnerabilitatea, descoperirea și exploatarea”, a spus el. „Un utilitar poate avea de protejat mii de angajați, dispozitive, aplicații, identități, furnizori, sisteme și vulnerabilități. Un atacator are nevoie doar de o singură cale de succes.”
Deși a subliniat că apărarea împotriva atacurilor cibernetice necesită acțiuni, el a avertizat și împotriva legislației prea prescriptive într-un mediu în schimbare rapidă.
„Un control de securitate care a funcționat când a fost auditat în urmă cu șase luni poate să nu funcționeze astăzi”, a spus el. „De aceea cred că securitatea cibernetică trebuie să devină o disciplină continuă de management al riscului, mai degrabă decât un exercițiu periodic de conformitate.”
El a încurajat parlamentarii și autoritățile de reglementare de stat să se concentreze asupra reglementărilor care necesită monitorizarea riscurilor și luarea de măsuri proactive de securitate cibernetică, dar care permit utilităților să decidă ce funcționează cel mai bine pentru ei și pentru contribuabilii lor, care plătesc adesea factura pentru noile cerințe de cheltuieli.
„Cred că ar trebui să oferim utilităților flexibilitate în ceea ce privește modul în care obțin rezultate în domeniul securității cibernetice, solicitând în același timp dovezi că acele rezultate sunt atinse”, a spus el. „Pentru că în cele din urmă întrebarea pentru acest comitet și contribuabilii PA nu ar trebui să fie pur și simplu: „Cât am cheltuit pentru securitatea cibernetică?” Ar trebui să fie: „Sunt Pennsylvanianii mai în siguranță din cauza asta?””
Young a remarcat, de asemenea, că o mai bună securitate cibernetică nu necesită întotdeauna cheltuieli mari. El a spus că marea majoritate a incidentelor de securitate cibernetică pot fi evitate prin educarea personalului despre cum să detecteze și să evite amenințările, cum ar fi phishingul.
Steve McElwee, șeful de securitate la PJM, care operează o rețea electrică masivă în Pennsylvania și în alte 12 state, i-a avertizat, de asemenea, pe parlamentari că schimbările în utilizarea energiei din lucruri precum centrele de date au deschis companiile electrice la amenințări mai mari de atacuri cibernetice.
„Pe măsură ce cererea de energie electrică crește și oferta devine mai rară, rețeaua electrică are mai puțină flexibilitate pentru a absorbi impactul evenimentelor perturbatoare”, a spus el. „În plus, creșterea sarcinilor de calcul mari a schimbat condițiile de funcționare a rețelei, creând provocări precum supratensiune, suprafrecvență și condiții oscilante.”
Harrell, ofițerul șef de securitate la FirstEnergy a cerut, de asemenea, parlamentarilor să ia în considerare un anumit punct slab atunci când elaborează proiecte de lege sau reglementări.
Utilitățile electrice, a spus el, sunt supuse reglementărilor federale de securitate cibernetică și un control sporit pe măsură ce atacurile cibernetice asupra infrastructurii critice au devenit mai frecvente. Dar companiile cu care fac afaceri, care pot avea date despre sistemele și clienții lor, sunt la fel de vulnerabile la atac.
„Deși am făcut o treabă foarte bună în a ne apăra, este lanțul de aprovizionare terță parte, furnizorii noștri, care pot avea datele dumneavoastră, datele noastre și datele clienților”, a spus el. „Trebuie să fim la fel de clari cu ei pentru a ne asigura că fac ceea ce spun că au făcut.”
