Elnäten måste cybersäkras reaktivt och proaktivt – samtidigt

För några år sedan talade experter på cybersäkerhet och energichefer helt olika språk. Idag står säkerheten i de framväxande smarta elnäten på företagsledarnas agendor. Men det proaktiva säkerhetsarbetet prioriteras fortfarande inte, skriver Robert Lagerström och Arshad Saleem.

Ett digitalt smart elnät finns inom räckhåll, men vi kan inte implementera det på utan robust säkerhet. Cybersäkerhetsbranschen har av förståeliga skäl inte hunnit skapa säkerhetslösningar för ett digitalt nät som ännu inte existerar. Vi väntar på att hönan ska lägga ägget och på att kycklingen ska kläckas ur ägget. Vi tänker reaktivt när vi egentligen behöver proaktiv säkerhet för att våga bygga smartare elnät.

Fördelarna med smarta elnät är väl kända. Ett digitalt sammankopplat elnät som stöds av smarta analyser kommer att hjälpa energibranschen att matcha tillgång och efterfrågan bättre, integrera mer förnybar energi och lansera smarta nya tjänster till hushåll och företag. Detta leder till ett energieffektivare och miljövänligare elnät.

Samtidigt medför detta stora säkerhetsproblem. En hel del av den fysiska driftstekniken ute i fält är rejält ålderstigen. Och när mer och mer infrastruktur kopplas ihop i nätverk skapas allt större potential för hackare, samtidigt som många nätverk saknar ett bra skydd. Få människor har översikt över alla dessa kopplingar. Olika grupper pushar ivrigt på, kopplar ihop det ena och samlar data från det andra för att skapa nya funktioner, endast vagt medvetna om säkerhetskonsekvenserna.
Allt eftersom våra energisystem blir mer sammanflätade ökar riskerna. Plötsligt pratar vi inte om avbrott i en transformatorstation utan kanske om en attack som slår ut hela elnätet.

Anledningen till att det ser ut så här är att de allra flesta av dagens lösningar bygger på att skapa verktyg som skyddar befintliga system. Men el-, vatten- och gasbolag är ovilliga att skapa sådana system innan säkerheten är på plats. Återigen hönan och ägget.

För att bryta dödläget behövs bland annat proaktiv säkerhetssimulering. För om du till exempel vore en ingenjör som skulle konstruera en bro skulle du först bygga den digitalt i ett CAD-verktyg. Då kan du testa olika variabler och justera konstruktionen efterhand. Naturligtvis behöver du göra verkliga tester när brobygget väl är klart, men det digitala grundarbetet är också av yttersta vikt.

Exakt samma modell kan tillämpas på cybersäkerhet. Genom detaljerade attackträd (flödesdiagram som kartlägger olika attackvägar) kan man utforma ett digitalt system och stresstesta det mot potentiella hot.

Tidigare sådana försök har dock misslyckats, för att de har förlitat sig på att någon med kunskap om systemet ska bygga in säkerheten manuellt i programvaran och för att det varit upp till användaren att fantisera fram och testa attackerna i modellen. Det är dock knappast systematiskt, och som upplagt för mänskliga missar.

Källa: Computerworld

Kommentarer

kommentarer