ALERTĂ: Securitatea cibernetică a sectorului energetic din România e în prag de colaps DOCUMENT

Stadiul actual al securității cibernetice în sectorul energetic din România se află într-o situație alarmantă, fiind caracterizat de deficiențe majore care pun în pericol infrastructurile critice ale țării și, implicit, securitatea energetică națională.

Acest sector, esențial pentru funcționarea întregii economii și pentru securitatea națională, nu dispune în prezent de o infrastructură adecvată de protecție, iar vulnerabilitățile identificate trebuie adresate urgent, se arată într-un document guvernamental, consultat de PUTEREA.

Deficiențele din sectorul energetic

O analiză detaliată realizată după exercițiul național de securitate cibernetică „Energy CyberGuard T”, desfășurat între 15-16 aprilie 2024, a pus în evidență starea precară a competențelor cibernetice ale companiilor din sectorul energetic. Raportul dezvăluie o imagine clară a vulnerabilităților, precum și a capacităților limitate de a face față atacurilor cibernetice. Datele provenite din exercițiu arată că doar o parte din entitățile participante au reușit să facă față provocărilor tehnice complexe și să abordeze amenințările de tip avansat, cum ar fi atacurile de tip ransomware și exploatarea vulnerabilităților zero-day. De asemenea, nu există o structură coordonată și specializată, precum un Computer Security Incident Response Team (CSIRT) sectorial, care să centralizeze eforturile de răspuns la incidente.

Conform rapoartelor oficiale, doar aproximativ 30% dintre companiile din sectorul energetic din România sunt pregătite să răspundă adecvat în fața unui atac cibernetic major. Aceasta reprezintă o problemă deosebit de gravă, având în vedere că infrastructurile critice, inclusiv rețelele de distribuție de electricitate, gaze și energie termică, sunt tot mai expuse riscurilor informatice.

12:43, 30.11.2024 • ACTUALITATE

Probleme în justiția românească: Salarii nejustificate, inechități și instabilitate legislativă

Reglementările naționale și europene: O presiune legislativă pentru securitate cibernetică

Pe fondul acestor deficiențe, România este supusă unui cadru legislativ riguros care impune măsuri clare pentru protecția infrastructurilor critice. Legea nr. 362/2018 privind asigurarea unui nivel ridicat de securitate a rețelelor și sistemelor informatice și Legea nr. 58/2023 privind securitatea și apărarea cibernetică a României stipulează obligații clare pentru companiile din sectorul energetic, dar și pentru autoritățile responsabile de supravegherea acestora. La nivel european, Directiva NIS2 (2019/944) extinde cerințele de securitate pentru a include un număr mai mare de sectoare și entități esențiale, inclusiv sectorul energetic. În plus, Regulamentul UE 2019/881 (Cybersecurity Act) stabilește un cadru european de certificare a securității cibernetice pentru produsele și serviciile TIC, consolidând rolul Agenției Europene pentru Securitate Cibernetică (ENISA) și promovând colaborarea între statele membre.

În ciuda acestor reglementări, România se află într-un moment critic, având în vedere că majoritatea operatorilor din sectorul energetic nu îndeplinesc cerințele minime de protecție cibernetică. Lipsa unui CSIRT sectorial este una dintre cele mai mari vulnerabilități ale sistemului, iar acest lucru a fost confirmat de raportul privind exercițiul paneuropean „Cyber Europe 2024”. Acesta a arătat că, la nivelul Ministerului Energiei din România, există deficiențe semnificative în coordonarea și gestionarea crizelor cibernetice, iar absența unui CSIRT sectorial face imposibilă o reacție rapidă și coordonată în fața unui atac cibernetic la scară largă.

Exercițiile de securitate: O privire asupra vulnerabilităților

În cadrul exercițiului „Cyber Europe 2024”, desfășurat în iunie 2024, au fost testate capacitățile sectorului energetic din România de a răspunde unui atac cibernetic major. Exercițiul a relevat faptul că nu există o structură responsabilă de securitatea cibernetică la nivelul Ministerului Energiei, iar acest deficit afectează în mod direct reziliența întregului sector energetic. Potrivit concluziilor exercițiului, sectorul energetic românesc nu dispune de proceduri clare pentru gestionarea crizelor cibernetice și nu are capacitatea de a coordona eficient echipele implicate în combaterea atacurilor. De asemenea, s-a constatat o lipsă de expertiză și de resurse umane specializate, iar răspunsul la incidentele cibernetice a fost fragmentat și ineficient.

În absența unui CSIRT sectorial, activitățile de răspuns au fost gestionate de echipele tehnice ale DNSC (Directoratul Național de Securitate Cibernetică), care au fost nevoite să coordoneze activitățile de protecție cibernetică din locațiile de lucru ale participanților, iar comunicarea a avut loc într-un format mixt. Această situație a subliniat importanța creării unui CSIRT sectorial dedicat, care să monitorizeze constant infrastructurile critice și să coordoneze acțiunile de protecție în fața amenințărilor cibernetice.

Fondul pentru Modernizare și riscurile asociate

Un alt aspect care ridică mari semne de întrebare este securitatea infrastructurilor finanțate prin Fondul pentru Modernizare. Cu o alocare de peste 15 miliarde de euro, acest fond vizează tranziția către un sistem energetic cu emisii reduse de carbon, prin investiții în surse regenerabile de energie, rețele de transport și distribuție, interconectări între rețelele de electricitate și gaze naturale, și capacități de stocare a energiei. Aceste proiecte utilizează tehnologii avansate și rețele interconectate, dar nu sunt prevăzute măsuri de protecție cibernetică adecvate. În acest context, infrastructurile noi sunt expuse unor riscuri cibernetice majore, care pot periclita întreaga infrastructură energetică a României. Securitatea cibernetică ar trebui să fie o prioritate în proiectele finanțate prin acest fond, dar, din păcate, protecția acestor investiții nu este acoperită în cheltuielile eligibile ale proiectelor.

Astfel, România riscă să investească masiv în modernizarea infrastructurii energetice, fără a implementa măsuri de securitate cibernetică adecvate pentru a proteja aceste investiții de atacuri externe. Aceasta reprezintă o vulnerabilitate critică, având în vedere interconectivitatea tot mai mare a rețelelor energetice din Uniunea Europeană, care face ca un atac cibernetic asupra unui sistem național să poată avea efecte în cascadă asupra altor state membre.

Necesitatea înființării unui CSIRT sectorial

În fața riscurilor majore identificate, autoritățile române sunt obligate să adopte măsuri ferme pentru a întări securitatea cibernetică în sectorul energetic. Crearea unui CSIRT sectorial în domeniul energetic este absolut necesară pentru a asigura protecția infrastructurilor critice și a asigura continuitatea serviciilor esențiale. Acesta ar trebui să centralizeze eforturile de protecție cibernetică, să furnizeze suport tehnic și să coordoneze răspunsurile la incidente, contribuind astfel la protejarea infrastructurilor critice împotriva atacurilor cibernetice.

CSIRT-ul sectorial ar putea să coordoneze activitățile de protecție a rețelelor SCADA, care controlează procesele industriale din sectorul energetic, și să monitorizeze vulnerabilitățile cibernetice ale echipamentelor critice. De asemenea, un astfel de centru ar putea facilita schimbul de informații și bune practici între entitățile din sectorul energetic, autoritățile naționale și internaționale, consolidând astfel răspunsul la atacurile cibernetice.

Schimbări preconizate

Având în vedere cele de mai sus, autoritățile române  au elaborat un proiect de ORDONANȚĂ DE URGENȚĂ privind înființarea și operaționalizarea Centrului de Răspuns la Incidente de Securitate Cibernetică în Energie, precum și pentru modificarea și completarea unor acte normative.

Proiectul de Ordonanță de Urgență pentill înființarea și operaționalizarea Centrului de Răspuns Ia Incidente de Securitate Cibernetică în Energie (CRISCE) introduce o serie de schimbări esențiale și aduce inovații semnificative în gestionarea securității cibernetice în sectorul energetic din România. Prin intermediul acestei ordonanțe, se urmărește consolidarea protecției infrastructurilor critice energetice împotriva amenințărilor cibernetice, având în vedere vulnerabilitățile actuale și cerințele stricte impuse de reglementările naționale și europene.

În conformitate cu reglementările naționale și europene, precum Legea nr. 362/2018 și Legea nr. 58/2023, care impun măsuri clare pentru protejarea infrastructurilor critice, proiectul de OUG aduce inovații semnificative. Acesta include crearea unei structuri de tip CSIRT sectorial, care va fi responsabilă de monitorizarea continuă, răspunsul la incidente, investigațiile forensice și coordonarea măsurilor de securitate cibernetică la nivel național și internațional.

CRISCE va avea în componența sa 34 de posturi de specialiști, structurate pentru a asigura o aco erire com Ietă a functiilor necesare. Aceste osturi includ functii de conducere, cum ar fi manager superior securitate cibernetică și coordonator superior securitate cibernetică, precum și funcții de execuție pentru experți în diverse domenii ale securității cibernetice. Această structură organizatorică este esențială pentru a răspunde eficient la amenințările cibernetice și pentru a implementa măsurile de securitate necesare.

CRISCE acționează:

• ca o umbrelă pentru entitățile din sectorul energiei, contribuind prin:

integrarea eforturilor de management al incidentelor de securitate cibernetică de la nivelul întregului sector (în caz de incidente corelate sau prezente în mai multe entități); o sprijin și facilitarea managementului incidentelor cibernetice din cadrul entităților din sector; o coordonarea strategică a măsurilor de prevenție și răspuns la incidente cibernetice la nivel de sector; o facilitarea construirii mecanismelor tehnice de securitate cibernetică (ex. macro sisteme de management integrat al securității cibernetice) care protejează în mod unitar întregul sector;

• sprijin către entități pentru recuperarea în caz de pagube produse de incidentele cibernetice, raportarea și cooperarea cu CSIRT-ul național în caz de incidente cibemetice.

Însă, CRISCE nu asigură răspunderea juridică pentru entități; fiecare entitate își păstrează răspunderea juridică pentru implementarea mecanismelor și a măsurilor de securitate cibernetică. CSIRT Energy vine doar ca un sprijin extern, cu viziune integrată, independent, obiectiv și echidistant față de entitătile din sector.

–  ca structură responsabilă de managementul intern al securității cibernetice din Ministerul Energiei.

– ca structură de politici și proceduri interne de securitate cibernetică, în Ministerul Energiei.

– ca structură de punere în implementare a cerințelor legislative și de standardizare în domeniul securității cibernetice, cu aplicabilitate în domeniul energetic.

Analistul tehnic monitorizează SIEM și asigură detecția incidentelor.

Administratorul gestionează incidentele și asigură reacția rapidă.

Activitatea se desfășoară în ture (l tură = 12 ore). Într-o echipă de 4 persoane, fac cu schimbul doi câte doi. Pentru menținerea unui randament ridicat al echipelor din CSIRT, este necesar lucrul în reprize de max 2*3 ore per pereche de analist + administrator, urmat de perioadă de odiłmă. Astfel, se asigură permanența 24/7 cu câte 2 specialiști activi (analist + administrator) apți fizic și intelectual să reacționeze prompt.

Calculele din practică, arată că pentru asigurarea funcționării de ture de 12 ore în acest ritm, este nevoie de minim 18 specialiști + I rezervă. Având în vedere că echipele sunt formate din 4 specialiști, prin urmare numărul minim este 20, care înseamnă 5 echipe.