När smarta elnät kom på tal för första gången blev många inom energiindustrin närmast euforiska. Och det med viss rätt. Det öppnades nästan oändliga möjligheter. Det rör sig om allt från realtidsövervakning, felanalyser, isolering, restaurering, kartläggning av nätet, automatisk mätaravläsning, automatiserad anslutning och avspärrning. Nätet är också en nationell tillgång. Därmed kan det även handla om liv och död. Nationer är beroende av nätet för elförsörjning, IT, värme, kyla, förvaring av livsmedel, belysning, järnvägssignaler, sjukhus och militära system.
Därför vore det ödesdigert att negligera nya hot i form av de ”gluggar” som har uppstått i flera nya kommunikationsnät, inom IT och även i smarta elnät. Därför är det nödvändigt att utvecklare, elproducenter, elnätsägare och andra användare av smarta elnät ges ett nytt perspektiv på hotbilder, säkerhetsmetoder och verkliga fallstudier.
Security Summit Smart Grid
Nyligen arrangerades en internationell säkerhetskonferens, under namnet, Security Summit Smart Grid, i Gdansk i Polen. På konferensens deltagarlista fanns ingenjörer, regulatorer, statliga tjänstemän, politiker, forskare och leverantörer.
Efter konferensen hade vi möjlighet att tala med Emil Gurevitch, som arbetar vid företaget Network Energy Services Corporation (NES), som expert för informationssäkerhet och projektledare för Smart Grid Security. Tidigare utvecklade han säkerhetssystem för IBM och utförde säkerhetsforskning vid Danmarks Tekniska Universitet.
På konferensen pratade Emil Gurevitch bland annat om NES nya säkerhetslösning för smarta nät, som har tagits fram i samarbete mellan NES och OSGP allians samt deras danska partner SEAS-NVE.
Enligt Emil Gurevitch finns det tre huvudsakliga typer av primära hot som kan störa eller förhindra elproducenter och elnätsägare från att leverera energi.
– De flesta av oss är beroende av tillgången på el för att kunna driva värmesystem, sjukhus, kommunikationssystem och transportsystem. Ett avbrott kan få allvarliga och även fatala konsekvenser för oss och för våra nätföretag. Det finns många hot som kan resultera i allvarliga störningar. Dessa kan även ha orsakats av länder, med syftet att genom cyberattacker skada dataprogram, vålla operativa misstag och verkliga katastrofer, förklarade Emil Gurevitch.
Han hänvisade till form av hot som härrör från kriminella organisationer som vill tjäna pengar på elproducenternas och elnätsägarnas bristande säkerhetsprofil.
– Under de senaste åren har vi sett en exponentiell ökning av skadliga program och avancerade attacker mot företag som exempelvis administrerar Advanced Metering Infrastructures (AMI) och smarta elnät.
Enligt Gurevitch betyder ”smart” i detta sammanhang nästan alltid, “utsatthet” vilket i sin tur innebär en chans för cyberkriminella kretsar.
En vanlig och dessvärre effektiv taktik är att kräva lösen i utbyte för att inte skada företagets nätverk eller anseende.
– Ett tredje hot kan äventyra vår integritet som energikund. Nätföretagen är ansvariga för hantering och lagring av privat information. Detta gör dataläckage och obehöriga åtkomster till två av de allvarligaste farorna mot den personliga integriteten. De utgör dock bara en del av hotbilden som måste granskas av experter när de utför riskbedömningar av vederbörliga nät, betonade Emil Gurevitch.
AMI och smarta nät bidrar, enligt honom, till att förändra hela branschen. Säkerheten och skyddsåtgärder utvecklats kontinuerligt, men hur kommer framtidens lösningar att se ut när det gäller cybersäkerhet?
– Innan det fanns AMI:s och smarta nät förlitade branschen sig på fysiska säkerhetsåtgärder. För att skydda kraft- och nätverk användes staket, dörrlås, vakter, videoövervakning och en rad fysiskt isolerade och självtillverkade styrsystem. Dessa åtgärder räckte för att hantera de hot som företagen tidigare stod inför, sade Emil Gurevitch.
Införandet av AMIs och smarta nät och därmed även den nya informationstekniken ändrade allt. Nu krävdes ny specialkunskap inom branschen och om informationssäkerhet. Trots att industrin anammade idén om AMI:s och smarta nät, saknade de enligt Emil Gurevitch, säkerhetsrelaterad expertis med kunskaper om dessa nya och avancerade system.
Följden blev, konstaterade han, i bästa fall en djup eftertanke. Resultaten blev instabila och osäkra nätförbindelser på grund av missriktad säkerhetsrådgivning.
– Vi ser idag hur industrin och nationella regeringar vaknar upp till verkligheten efter senaste tidens förödande cyberattacker på företag. Som ett resultat av dessa attacker, pågår det för närvarande en process som ska leda till skapandet av rikstäckande säkerhetskrav och -förordningar. Dessa regler kommer möjligtvis för sent och kan även minska säkerheten om de inte följs, sade Gurevitch.
Enligt honom har lärdomarna från andra branscher visat att det är en skadlig metod.
– Smarta nät kommer fortsätta att öka i komplexitet och attackerna kommer att fortsätta att öka, både när det gäller verkningsgrad och i antal. Det behövs adaptiva, samverkande och övergripande strategier för säkra smarta nät för att hålla jämna steg med utvecklingen. För det behövs ett samspel mellan expertis och politiker, betonade Gurevitch.
På frågan om hur elproducenter, kunder och elnätsägare ska kunna garantera säkerheten i smarta nätsystem, svarade han genom att påpeka att det inte räcker med att ”enbart göra det nödvändiga”.
– Informationssäkerhet måste bli en beståndsdel av företagens kärnverksamhet. Följaktligen ska de inte enbart inrikta sig på att investera i skyddsåtgärder, utan även i identifiering och incidenthantering. De ska genomföra regelbundna kontroller oavsett riskerna i samarbete med deras teknikleverantörer. Det gäller att inhämta så mycket sakkunskap som möjligt för att kunna avgöra exakt hur och var exakt man bör investera i säkerhet, konstaterade Emil Gurevitch.
En missuppfattning som han har hört ofta är antagandet att internet och smarta nät har identiska systemegenskaper. Smarta elnät skiljer sig, enligt honom, påtagligt från internet när det gäller kommunikationsteknik, nätverkssäkerhet och smarta mätapparat eller servrar.
– En konsekvens av att tillämpa ett säkerhetskoncept som baseras på Internet även för smarta elnät kan leda till en försämring av prestandan som i sin tur tvingar företaget till att kompromissa med säkerheten för att kunna uppfylla avtalet om servicenivån, (SLA).
Det är nödvändigt att förstå tekniska skillnader för att kunna omsätta lämpliga åtgärder i praktiken, förklarade Gurevitch.
På frågan om vilken roll certifieringen spelar för säkerhetslösningar och deras tillämpningar, hänvisade säkerhetsexpert till det faktum att företagen använder olika certifieringsmetoder för att garantera tillträde till varierande processer med avvikande standarder.
– Dels ställer certifieringen ett praktiskt minimikrav, men sätter samtidigt högre krav på alla. Den bidrar också till öppenhet, säkerhet och ansvarsskyldighet när det gäller att uppfylla certifieringens föresatser. Den hjälper företagen när de vill övertyga lagstiftare att stifta säkerhetsrelaterade lagar, sade Gurewitch.
Om certifieringen blir en del av regleringen, tvingas också företagen till att spendera pengar på säkerhet. Dessa är certifieringens positiva sidor. Regleringen kan å andra sidan också avskräcka företagen att sträcka sig utöver minimikrav, vilket enligt Gurewitch är kontraproduktivt.
Certifieringen har, enligt honom, också ett långvarigt rykte om att vara störande och kostnadsintensiv. Han kallar certifieringen för ”ett instrument utan verkliga säkerhetsgarantier”.
– Certifieringen kan också skrämma bort nya metoder och ny teknologi ifall det exempelvis behövs ett helt nytt certifikat. Därmed handlar det om långsamma processer som står i direkt kontrast till den snabbt växande hotbilden som många instanser nu försöker hålla levande, sade Gurewitch.
Enligt honom kan ett reglerat säkerhetsprogram gynna industrin om det kan lösa de problem som nämnts tidigare, nämligen att hjälpa till att hålla företagen finansiellt ansvariga för kraftnätens säkerhet som vi alla är beroende av och för att använda programmet som ett verktyg för att främja övergripande och riskbaserad säkerhetsstrategi.
Företagen bör, enligt Gurewitch, ständigt sträva efter att upprätthålla en säker och motståndskraftigt nätsystem.
– Därför måste tre nyckelområden försäkras. Skyddet, som bör prioriteras, handlar om att försöka förhindra brott mot säkerheten. Kryptering och autentisering är två exempel på förebyggande säkerhetsåtgärder. Sekretess och integritet av information är ytterligare två viktiga aspekter, betonade Gurewitch.
Han erinrade sig om en sak som han hade lärt sig inom säkerhetsbranschen, nämligen att de högutbildade och fokuserade angriparna och hackarna alltid kommer hitta ett sätt att antingen bryta igenom eller helt kringgå de skyddsåtgärder som egentligen skulle upptäcka attacken.
Att detektera är enligt Gurewitch ett sätt att upptäcka säkerhetsöverträdelser före, efter, eller när de händer.
– Det är viktigt att vara beredd på att övervaka både inkommande och utgående incidenter. Det finns många attacker som inte upptäcks innan de en gång för alla har trängt sig in i systemet. NES:s smarta mätares skyddsprofil har förbättrats avsevärt och nya detektionsfunktioner har införts för att hjälpa företagen att bemöta och återhämta sig från skadliga attacker, berättade Emil Gurewitch.
Elproducenter och elnätsägare använder AMI och smarta nät för att lagra, distribuera och hantera energi med hjälp av informationsteknik. Därmed utnyttjar de gemensamma tillgångar och är utsatta för liknande hot som andra enheter som också förlitar sig på informationstekniska system.
– I en krissituation, är det viktigt att ha en handlingsplan till hands för att kunna återta kontrollen över situationen så fort som möjligt, underströk Gurewitch.
"Omfattande säkerhet" är enligt honom ett späckat begrepp. Det betyder att säkerheten går igenom en kontinuerlig cykel av tre steg: Identifiering, lokalisering av problemområden och riskbedömning.
– När det gäller heltäckande riskbedömning gäller det att hålla sig uppdaterad om alla tänkbara hot. Sedan följer utformningen och genomförandet av de säkerhetsåtgärder som används för att ta itu med identifiering av vederbörande områden. Samtliga säkerhetsåtgärder bör utvärderas. Detta måste göras internt såväl som av en opartisk expert, som garanterar ett nytt perspektiv, förklarade Emil Gurewitch.
Det yttersta målet för en riskbedömning är, enligt denna säkerhetsexpert, att bland annat svara på frågan om var företaget ska investera i säkerhet.
– De måste även kalkylera alla möjliga hot mot företagets egendomar. Slutligen måste de bedöma och rangordna varje hot allt efter deras inverkan och sannolikhet. Baserat på rankingen, kan sedan ett beslut fattas om vilka risker som måste åtgärdas. Detta är den klassiska metoden för en riskanalys. Den besvärligare delen döljs i detaljer, sade Emil Gurewitch.
Säkerhetsåtgärder och riskanalyser kan utgöra en avsevärd ekonomisk belastning för elproducenter och elnätsägare. Det kan utgöra ett hinder för adekvata säkerhetsåtgärder. Enligt Gurewitch bör det vara regeringarnas intresse att stödja mindre och medelstora nätföretag finansiellt i deras säkerhetsarbete.