Entro il 2050 i sistemi energetici globali si baseranno per il 70% sulle rinnovabili, principalmente derivate da sole, vento, maree, pioggia e sorgenti geotermiche. Si tratta di fonti energetiche ampiamente distribuite, di scala relativamente ridotta e situate in zone remote. Ma spesso, secondo un’analisi di Barracuda, vengono gestite e amministrate utilizzando tecnologie digitali poco sicure, che si collegano direttamente alle infrastrutture legacy delle reti elettriche nazionali, creando così una superficie d’attacco allargata che gli attori malevoli possono prendere di mira.
Le 10 aree a rischio
Secondo gli esperti di Barracuda, fornitore di soluzioni di sicurezza cloud-first, sviluppare una solida resilienza dei sistemi digitali per l’energia rinnovabile significa innanzitutto comprendere le aree di rischio:
- Vulnerabilità del codice e configurazioni errate nel software integrato – La domanda di energia rinnovabile comporta che le tecnologie e le applicazioni a supporto vengano spesso sviluppate e implementate in fretta, dedicando poco tempo a integrare o testare i controlli di sicurezza. I vendor e gli sviluppatori di tali tecnologie sono esperti di ingegneria elettronica e potrebbero non avere le competenze necessarie in materia di sicurezza per farlo. Il rischio si aggrava se il software non viene regolarmente riparato con patch e aggiornato dopo la segnalazione di eventuali bug.
- Api non sicure – Un altro rischio legato al software sono le applicazioni basate su Api, che possono comunicare e condividere dati e funzionalità con altre applicazioni, anche di terze parti. Sono componenti tipiche dei sistemi connessi o accessibili pubblicamente. La sicurezza delle applicazioni web e i firewall sono essenziali per impedire agli hacker di sfruttare le Api per rubare dati, infettare dispositivi e creare botnet.
- Sistemi di gestione, controllo, reporting e analisi – Un terzo rischio legato al software è rappresentato dai sistemi di controllo e gestione come gli Scada (Supervisory Control and Data Acquisition) o altri sistemi che importano, analizzano e visualizzano dati provenienti da fonti energetiche. Questi sono bersagli primari per i cyber attacchi perché consentono di accedere all’intero sistema, manipolare dati e inviare istruzioni. I sistemi che integrano dati provenienti da terze parti, per esempio dalle stazioni meteorologiche, forniscono un’ulteriore esposizione alle minacce. Rigorose misure di autenticazione – a più fattori o, ancora meglio, basate su un approccio zero-trust – abbinate a restrizioni dei diritti di accesso sono cruciali per garantire che solo gli utenti autorizzati possano entrare nel sistema.
- Automazione – I sistemi per l’energia rinnovabile distribuiti e geograficamente dislocati, specie quelli di larga scala, hanno bisogno di monitoraggio e gestione 24/7, attività sempre più automatizzate. Tuttavia, c’è il rischio che questi sistemi non siano monitorati attentamente per rilevare traffico sospetto che potrebbe suggerire la presenza di un intruso. In questi casi vengono in aiuto le soluzioni di sicurezza con rilevamento e risposta estesi e le funzionalità specifiche per la sicurezza dell’IoT.
- Servizi di accesso remoto – Le fonti di energia rinnovabile si trovano spesso in località isolate e, per questo, hanno bisogno di una qualche modalità di accesso remoto per condividere dati e ricevere istruzioni e report, per esempio tramite servizi cloud o Vpn. I servizi di accesso remoto sono notoriamente vulnerabili agli attacchi informatici e, dunque, è fondamentale dotarsi di misure per l’autenticazione e l’accesso efficaci.
- Ubicazione fisica dei sistemi – Un altro rischio connesso alle caratteristiche geografiche è legato all’ubicazione fisica dei sistemi, che può allungare i tempi di risposta e ripristino dopo un incidente. La logistica relativa al raggiungimento di un impianto di turbine eoliche offshore per riparare o riconfigurare dei sensori, per esempio, può essere complessa e dispendiosa in termini di tempo e denaro. Ed è improbabile che le persone inviate in siti remoti siano professionisti IT, quindi è essenziale avere una soluzione di sicurezza facile da distribuire e da sostituire, anche per personale non esperto di cybersicurezza.
- Traffico di rete – Tutti i dati che attraversano la rete dovrebbero essere monitorati e cifrati. In tutti gli impianti energetici il traffico tra il dispositivo e l’applicazione centrale è spesso non cifrato e vulnerabile alle manomissioni. I dati a riposo e quelli in movimento possono essere intercettati dagli hacker, oppure i sistemi di traffico possono essere subissati di attacchi DoS.
- Connessione Internet – Le centrali elettriche tradizionali, come quelle a gas, solitamente non sono connesse a Internet e presentano un’infrastruttura isolata tramite una soluzione di air-gap, che riduce il rischio di cyber attacchi. Al contrario, la natura interconnessa delle fonti di energia rinnovabile comporta, solitamente, l’assenza di tale protezione. Tuttavia, tutti gli asset esposti sul Web dovrebbero essere messi in sicurezza.
- Infrastrutture legacy delle reti elettriche – In molti Paesi, le reti elettriche sono in larga parte obsolete, inadatte a ricevere aggiornamenti di sicurezza. Il miglior modo per proteggere questi sistemi è circondarli di misure di autenticazione e accesso affidabili.
- Assenza di normative e coordinamento sulla security – Per una sicurezza a lungo termine, le leggi e le normative (come la Nis 2.0 in Europa) devono garantire l’esistenza di standard rigorosi per gli impianti di energia rinnovabile, anche quelli più piccoli. Inoltre, la tecnologia per le rinnovabili si sta sviluppando rapidamente e presenta supply chain complesse: questo può creare confusione su chi sia responsabile della sicurezza. Il modello della responsabilità condivisa, già applicato ai cloud provider, potrebbe rappresentare un buon approccio.
Una sicurezza sostenibile
Per certi versi, si legge in una nota di Barracuda, “i sistemi per l’energia rinnovabile non sono diversi da altri apparati IoT. Gli hacker possono individuare e prendere di mira componenti vulnerabili, software privi di patch, impostazioni di default non sicure e connessioni non sufficientemente protette. Per un’industria delle energie rinnovabili sostenibile e connessa servono sicurezza e cyber resilienza integrate nelle fondamenta e mantenute continuamente in ogni fase del percorso”.
“Mettere in sicurezza un ambiente complesso non deve per forza essere altrettanto complesso – commenta Stefan Schachinger, senior product manager, network security di Barracuda -. Vale la pena prendere in considerazione il Secure Access Service Edge, una soluzione integrata che connette in modo sicuro persone, dispositivi e oggetti alle loro applicazioni, ovunque si trovino. Se a questo si aggiungono segmentazione della rete e formazione degli utenti, allora si ottengono basi solide per la cyber resilienza, non solo per prevenire un attacco, ma anche per contenere l’impatto di un incidente se si viene colpiti”.
