Нидерландская инспекция цифровой инфраструктуры, Rijksinspectie Digitale Infrastructuur, обсудила в своей недавно опубликованной позиции риски, связанные с кибербезопасностью для платформ управления домашними батареями, инверторами и зарядными устройствами для электромобилей. В документе подчеркивается, что сбой в обновлении или кибератака на производственные и агрегаторные платформы могут одновременно отключить достаточно инверторов и других устройств, что приведет к дестабилизации электросети. Инспекция указывает, что наибольший риск исходит не от отдельных устройств, а от бэкенд-систем производителей и поставщиков систем управления энергией, использующих общие облачные платформы. Если большая группа устройств подключена к одной бэкенд-системе, то единственная точка доступа может контролировать много устройств одновременно. Для восстановления баланса может потребоваться устранение внезапного дисбаланса в 3 гигаватта или более, как указывает инспекция, ссылаясь на исследование SolarPower Europe. С 2019 по 2024 год количество тепловых насосов и зарядных устройств для электромобилей в Нидерландах увеличилось в пять раз.
Среди способов, с помощью которых большое количество устройств может быть затронуто одновременно, выделяются: удаленное обновление или изменение настроек производителем, использование уязвимостей в устройствах или их контрольных платформах, или вмешательство государства в работу производителей и поставщиков услуг под его юрисдикцией. Согласно Европейскому акту о киберустойчивости, такие устройства сталкиваются только с общими требованиями к кибербезопасности, а соблюдение требований осуществляется самими производителями. Требования применимы только к продуктам, которые будут выпущены на рынок ЕС с 11 декабря 2027 года. Положения NIS2 применяются, в основном, по размеру компании, поэтому более мелкие компании не подпадают под его действие, если не назначены национальными властями. Это также касается энергетических компаний и производителей без юрисдикции в ЕС. Временный список сущностей, обязательств которых вступает в силу в середине 2028 года, не включает производителей или поставщиков систем управления энергией. Инспекция предложила три решения, включая разработку гармонизированных стандартов ЕС для конкретных устройств и добавление категорий этих устройств в список важных продукций класса II Акту о киберустойчивости. Это требовало бы независимой оценки перед продажей в Европейском Союзе. Также предлагается подвести компании, которые могут удаленно контролировать достаточную мощность для угрозы стабильности сети, под действие NIS2, независимо от их размера или местоположения, а также усилить цифровую автономию сети, ограничив зависимость от компаний вне ЕС, которые могут влиять на устройства в большом масштабе.
Изабель ван дер Лей, менеджер инспекции по цифровой устойчивости в энергетическом секторе, отметила, что устройства делают электрическую систему более умной и устойчивой, но в то же время создают новые риски, требующие как безопасных устройств, так и устойчивости всей энергетической системы. Кроме того, экспертная группа Европейской комиссии в этом месяце рекомендовала классифицировать солнечные инверторы как важные продукты класса II в рамках Акту о киберустойчивости, отмечая, что анализ не охватывает зарядные устройства для электромобилей, тепловые насосы или системы хранения батарей, которые могут быть оценены позже. На форуме по кибербезопасности в Брюсселе 8 октября исследователи из Европейской сети кибербезопасности показали, как скомпрометированное устройство умного дома может быть использовано для отправки команд к домашнему инвертору или батарее на одной сети. «Более мощные IoT-устройства внедряются каждый день, и уязвимости в некоторых из этих устройств уже были использованы и могут быть использованы снова для разрушения электросети», - заявил Харм ван ден Бринк, исследователь кибербезопасности в ENCS. Он добавил: «В краткосрочной перспективе нам необходимо независимое тестирование безопасности, приоритезированное в зависимости от количества мощности, потенциально затронутой с управлением уязвимостями со стороны производителей.» Инспекция представила свой документ на Конференции ONE в Гааге, где исследователи из Modat и Нидерландского национального центра кибербезопасности также сообщили о 8 547 системах, находящихся под интернет-доступом в европейских солнечных и ветровых установках, которые не должны быть доступны онлайн.
Материал подготовлен исключительно в ознакомительно-информационных целях и не является финансовым советом и рекомендацией.