Si stima che entro il 2050 i sistemi energetici globali si baseranno per il 70% sulle rinnovabili, fonti energetiche ampiamente distribuite, di scala relativamente ridotta e situate in zone remote.
Spesso, queste fonti vengono gestite e amministrate utilizzando tecnologie digitali poco sicure, che si collegano direttamente alle infrastrutture legacy delle reti elettriche nazionali, creando così una superficie d’attacco allargata che gli attori malevoli possono prendere di mira.
I sistemi per l'energia rinnovabile non sono diversi da altri apparati IoT. Gli hacker possono dunque individuare e prendere di mira componenti vulnerabili, software privi di patch, impostazioni di default non sicure e connessioni non sufficientemente protette.
Dal rischio alla resilienza
Ecco che per un’industria delle energie rinnovabili sostenibile e connessa servono sicurezza e cyber resilienza integrate nelle fondamenta e mantenute continuamente in ogni fase del percorso.
Ma per poter sviluppare una solida resilienza dei sistemi digitali per l’energia rinnovabile serve innanzitutto comprendere le aree di rischio. E gli esperti di Barracuda, tra i principali fornitori di soluzioni di sicurezza Cloud-first, ne hanno individuate dieci.
1. Vulnerabilità del codice e configurazioni errate nel software integrato
La domanda di energia rinnovabile comporta che le tecnologie e le applicazioni a supporto vengano spesso sviluppate e implementate in fretta, dedicando poco tempo a integrare o testare i controlli di sicurezza.
I vendor e gli sviluppatori di tali tecnologie sono esperti di ingegneria elettronica e potrebbero non avere le competenze necessarie in materia di sicurezza per farlo.
Il rischio si aggrava se il software non viene regolarmente riparato con patch e aggiornato dopo la segnalazione di eventuali bug.
2. API non sicure
Un altro rischio legato al software sono le applicazioni basate su API, che possono comunicare e condividere dati e funzionalità con altre applicazioni, anche di terze parti.
Sono componenti tipiche dei sistemi connessi o accessibili pubblicamente. La sicurezza delle applicazioni web e i firewall sono essenziali per impedire agli hacker di sfruttare le API per rubare dati, infettare dispositivi e creare botnet.
3. Sistemi di gestione, controllo, reporting e analisi
Un terzo rischio legato al software è rappresentato dai sistemi di controllo e gestione come gli Scada (Supervisory Control and Data Acquisition) o altri sistemi che importano, analizzano e visualizzano dati provenienti da fonti energetiche.
Questi sono bersagli primari per i cyber attacchi perché consentono di accedere all’intero sistema, manipolare dati e inviare istruzioni. I sistemi che integrano dati provenienti da terze parti, per esempio dalle stazioni meteorologiche, forniscono un’ulteriore esposizione alle minacce.
Rigorose misure di autenticazione - a più fattori o, ancora meglio, basate su un approccio zero-trust - abbinate a restrizioni dei diritti di accesso sono cruciali per garantire che solo gli utenti autorizzati possano entrare nel sistema.
4. Automazione
I sistemi per l’energia rinnovabile distribuiti e geograficamente dislocati, specie quelli di larga scala, hanno bisogno di monitoraggio e gestione 24/7, attività sempre più automatizzate.
Tuttavia, c’è il rischio che questi sistemi non siano monitorati attentamente per rilevare traffico sospetto che potrebbe suggerire la presenza di un intruso. In questi casi vengono in aiuto le soluzioni di sicurezza con rilevamento e risposta estesi e le funzionalità specifiche per la sicurezza dell’IoT.
5. Servizi di accesso remoto
Le fonti di energia rinnovabile si trovano spesso in località isolate e, per questo, hanno bisogno di una qualche modalità di accesso remoto per condividere dati e ricevere istruzioni e report, per esempio tramite servizi Cloud o Vpn.
I servizi di accesso remoto sono notoriamente vulnerabili agli attacchi informatici e, dunque, è fondamentale dotarsi di misure per l’autenticazione e l’accesso efficaci.
6. Ubicazione fisica dei sistemi
Un altro rischio connesso alle caratteristiche geografiche è legato all’ubicazione fisica dei sistemi, che può allungare i tempi di risposta e ripristino dopo un incidente.
La logistica relativa al raggiungimento di un impianto di turbine eoliche offshore per riparare o riconfigurare dei sensori, per esempio, può essere complessa e dispendiosa in termini di tempo e denaro.
Ed è improbabile che le persone inviate in siti remoti siano professionisti IT, quindi è essenziale avere una soluzione di sicurezza facile da distribuire e da sostituire, anche per personale non esperto di cybersicurezza.
7. Traffico di rete
Tutti i dati che attraversano la rete dovrebbero essere monitorati e cifrati. In tutti gli impianti energetici il traffico tra il dispositivo e l’applicazione centrale è spesso non cifrato e vulnerabile alle manomissioni.
I dati a riposo e quelli in movimento possono essere intercettati dagli hacker, oppure i sistemi di traffico possono essere subissati di attacchi DoS.
8. Connessione Internet
Le centrali elettriche tradizionali, come quelle a gas, solitamente non sono connesse a Internet e presentano un’infrastruttura isolata tramite una soluzione di air-gap, che riduce il rischio di cyber attacchi.
Al contrario, la natura interconnessa delle fonti di energia rinnovabile comporta, solitamente, l’assenza di tale protezione. Tuttavia, tutti gli asset esposti sul Web dovrebbero essere messi in sicurezza.
9. Infrastrutture legacy delle reti elettriche
In molti Paesi, le reti elettriche sono in larga parte obsolete, inadatte a ricevere aggiornamenti di sicurezza. Il miglior modo per proteggere questi sistemi è circondarli di misure di autenticazione e accesso affidabili.
10. Assenza di normative e coordinamento sulla security
Per una sicurezza a lungo termine, le Leggi e le Normative (come la NIS 2.0 in Europa) devono garantire l'esistenza di standard rigorosi per gli impianti di energia rinnovabile, anche quelli più piccoli.
Inoltre, la tecnologia per le rinnovabili si sta sviluppando rapidamente e presenta supply chain complesse: questo può creare confusione su chi sia responsabile della sicurezza.
Il modello della responsabilità condivisa, già applicato ai Cloud provider, potrebbe rappresentare un buon approccio.
