Cyber- og IT-sikkerhed i energisektoren

Arbejdet med strategien og cybersikkerhed i fjernvarmesektoren

Dato: 9. april 2019

Sted: Fjernvarmens Hus, Kolding

Målgruppe: Tekniske medarbejdere i forsyningsvirksomheder

Praktiske eksempler med relation til fjernvarmeværker og forsyningsvirksomheder

Claus Amtrup Andersenadmin@trustanchor.dk

Introduktion

o S-557 (TC57 Dansk National komite)

• IEC TC57 WG17 (Distributed Energy Resources)

• Project leder for TR61850-90-8 (TC57 WG17)

• IEC TC57 WG15 (Security)

o S-454 (EV Dansk National komite)

• IEC TC69 WG4 (EV Power supplies and chargers)

• IEC/ISO JWG V2G Communication Interface (TF leader)

o CEN/CENELEC

• Project leader for CEN/CENELEC EV Focus Group for ’EV Communication’

• Raporteur between M468 and M490 (SG-CG steering group member)

• Chairman for the new ’EM-AhG-SmartCharge’ under CEN/CENELEC

Baggrund

Er et fjernvarmeværk en del af kritisk infrastruktur?

Delstrategien

https://efkm.dk/media/8283/baggrundsnotat-med-fakta-om-energisektoren-i-dag.pdf

Forudsætningerne for arbejdet i arbejdsgruppen

Målsætning: Cybersikkerhed i energisektorerne skal følge en teknologisk udvikling og

fremme en fortsat kommerciel udvikling. Derved kan den danske energisektor fortsat være

blandt verdens førende indenfor integration af vedvarende energikilder, fremme et fleksibelt

forbrug og sikre en stabil energiforsyning.

Ramme: Inddragelse af branche i udarbejdelsen af en delstrategi. Ingen konkret lovgivnings

tiltag, lancering i 2018. Skal bygge på eksisterende ramme for arbejdet.

Arbejdsopgave: Udarbejde en delstrategi, der bidrager til målsætningen og håndtere de

problemstillinger, der er relevante for branche og myndigheder.

Delstrategien skal indeholde konkrete initiativer for perioden 2019-2021

Baggrundsmateriale: Den nationale strategi for Cyber- og informationssikkerhed

Udgangspunktet fra Dansk Fjernvarmes side

▪ Sektorspecifik sikkerhedspolitik for store og små værker

▪ Beredskabsplaner med IT/OT genetableringsprocedure

▪ Hvem har adgang til hvad og hvorfor (underleverandører)

▪ Sektorspecifik GDPR håndtering

▪ ABC i Cybersikkerhed for kraftvarmeværker

Arbejdsprocessen i Ad-hoc arbejdsgruppen

Hvordan øges virksomhedernes og myndighedernes viden om

cybersikkerhed, således at det er muligt, at tage de rigtige tiltag

på det rigtige tidspunkt?

Hvordan sikres cybersikkerheden i integrationen af systemer i og

på tværs af energisektorer ved brug af digitale løsninger?

Hvordan kan energisektorerne håndtere planlægningen af og

indsatsen ved it-sikkerhedshændelser der truer forsyningen af

energi til samfundet på en effektiv og sikker måde, hvor synergi

og ressourcer udnyttes på tværs af organisationer.

Hvordan sikres at cyber- og informationssikkerheden i

energisektoren holdes opdateret til trusselsbilledet, de

teknologiske muligheder og de kommercielle forhold?

Arbejdsprocessen i Ad-hoc arbejdsgruppen

Beskrivelse af initiativet

Udfordring

Forhold

Initiativ

Hvem får noget ud af initiativet?

Strategiske og kommissorie spørgsmål

Strategiske spørgsmål

Kommissorie spørgsmål

Opdelt i 3

undergrupper

Arbejdsprocessen i Ad-hoc arbejdsgruppen

Arbejdsprocessen i Ad-hoc arbejdsgruppen

Workshop

De 10 initiativer

Krav til leverandørforhold

SektorCERT

Standarder og best practices

Krav til underleverandør

Krav til underleverandør

https://www.weforum.org/agenda/2017/11/cyber-security-at-civil-nuclear-facilities-understanding-the-risks/

IT udstyr(nyeste opdateringer, certificeret

udstyr!, korrekt opsætning)

OT udstyr(nyeste opdateringer, certificeret

udstyr!, korrekt opsætning)

Regler for brugen af udstyr?(USB-keys, patching, password)

Regler for ikke fysiske

adgangsforhold(hvem, hvad, hvor)

Regler for fysiske

adgangsforhold(hvem, hvad, hvor)

Regler for koblede netværk(DMZ, jump host, logging, IDS/IPS)Netværk og adgangskontrol

(segmentering, roller og rettigheder)

Sikkerhedspolitik og

brancheregler(Audit, SektorCERT/CFCS anbefalinger)

Krav til underleverandør

Børsen 13. Marts 2019

The Cybersecurity Act also creates a framework for European

Cybersecurity Certificates for products, processes and services that

will be valid throughout the EU. This is a ground breaking

development as it is the first internal market law that takes up the

challenge of enhancing the security of connected products, Internet

of Things devices as well as critical infrastructure through such

certificates. The creation of such a cybersecurity certification

framework incorporates security features in the early stages of their

technical design and development (security by design). It also

enables their users to ascertain the level of security assurance, and

ensures that these security features are independently verified.

http://europa.eu/rapid/attachment/IP-17-3193/en/Cybersecurity.en.pdf

SektorCERT

SektorCERT

https://cert.europa.eu

Målgruppen?

Informationsdeling (ulven kommer)

‘Operativ’ CERT?

Hvad kan forsyningsbranchen bruge en SektorCERT til?

RFC 2350 Deutsche Telekom CERT (udvalgte eksempler)

SektorCERT

http://www.telekom.com/security/cert

Mission statement

Protect Deutsche Telekom and its constituents from attacks, using state-of-the-art detection

methods. Professionally manage cyber incidents and ensure the timely and sustainable

resolution and recovery.

Incident response

Deutsche Telekom CERT is able to perform operative incident handling in several different

environments. The tasks include large-scale hunting and detection of security incidents,

artifact collection, artifact analysis and reverse engineering.

Incident coordination

Deutsche Telekom CERT ensures it has operational capabilities to coordinate large-scale

cyber security incidents and emergencies.

Proactive activities

Deutsche Telekom CERT offers up-to-date information about security vulnerabilities to its

internal constituents. Besides, the team continuously develops new tools for incident

detection and investigation.

Info vedr. cyberangreb med relevans

for energi- og forsyningsvirksomheder

inkl. hjælp til genetablering

Fokus også på OT netværk og produkter som

oftest benyttes af værkernes systemintegratorer

Koordinering af nationale angreb med andre

CERT’er (f.eks. Telesektor og andre energi CERT’er)

Aktivt samarbejde med også mindre

energi- og forsyningsvirksomheder

Standarder og best practices

Standarder og best practices

IEEE 1686

The standard defines the functions and features to be provided in intelligent electronic devices (IEDs) to

accommodate critical infrastructure protection (CIP) programs. The standard addresses security regarding the

access, operation, configuration, firmware revision, and data retrieval from an IED. Encryption of communications

to and from the IED is also addressed.

Standard for Intelligent Electronic Devices Cyber Security Capabilities

Vendors/suppliers who are claiming compliance with this standard shall be required to provide a TOC.

The implementation of a security posture for IEDs and their configuration software is a combination of technology

and procedures. Technology alone will not produce the desired results without the implementation and

enforcement of a set of complementary security procedures. Additionally, security procedures and technology are

often developed in conjunction with one another with considerations given to such things as operational costs,

user practices, manpower constraints, and communications capabilities.

Standarder og best practices

Password construction

At least eight characters shall be used, and the password shall be case

sensitive. When encoding passwords in plain text, the password characters

shall contain the following:

• At least one uppercase and one lower case letter

• At least one number

• At least one non-alphanumeric character (e.g., @, %, &, *)

Authorization using role-based access control (RBAC)

The IED shall have the capability of defining at least four user-defined roles.

Each role shall have the capability of having any combination of functions listed

in 5.1.6 a) through 5.1.6 g) assigned to that role.

A role shall be assignable to each user/password combination, thereby

conveying the permissions of that role to the user upon log in.

Audit trail event types

The following events shall cause an entry into the Audit Trail record:

a) Log in: Successful log in (locally or remotely) of a user to the device

b) Manual log out: User-initiated log out

c) Timed log out: Log out of user after a predefined period of inactivity elapses

d) Value forcing: Action of a logged in user which overrides real data with manual

entry and/or causes a control operation

e) Configuration access: Downloading of a configuration file from the IED to an

external device or memory location (e.g., computer, memory stick, compact disk

f) …

Cyber- og IT-sikkerhed i energisektoren

Arbejdet med strategien og cybersikkerhed i fjernvarmesektoren

Praktiske eksempler med relation til fjernvarmeværker og forsyningsvirksomheder

Tak for opmærksomheden

Claus Amtrup Andersenadmin@trustanchor.dk

Hvem skal så betale?

Børsen 8. Januar 2019