ESO nuotolinės prieigos reikalavimai elektrinėms ir kaupikliams: ką tai reiškia praktiškai

ESO audituoja elektrines ir kaupiklius virš tam tikros galios, tikrindama, kaip jie valdomi nuotoliniu būdu. Reikalavimus šiai prieigai nustato PETA (Pasinaudojimo elektros skirstomaisiais tinklais tvarkos aprašas) — dokumentas, kurį kiekvienas skirstomojo tinklo operatorius privalo parengti pagal Valstybinės energetikos reguliavimo tarybos nustatytą tvarką.

Šis straipsnis nėra teisės akto citata — tikslų PETA punktų tekstą rekomenduojame tikrinti tiesiogiai ESO šaltiniuose arba su savo teisininku. Čia paaiškiname, ką kiekvienas iš šešių dažniausiai minimų reikalavimų reiškia praktiškai, remdamiesi savo darbo su objektais patirtimi.

Atskyrimas nuo interneto ugniasiene. Valdymo sistema — inverteris, kaupiklio valdiklis ar SCADA — neturi turėti tiesioginio viešo IP adreso ir neturi būti tiesiogiai pasiekiama iš interneto. Visas srautas privalo eiti per vieną kontroliuojamą įėjimo tašką (ugniasienę), kuri filtruoja ir riboja, kas gali prisijungti. Tai pats dažniausiai auditų randamas trūkumas: inverteris, paliktas pasiekiamas tiesiai internete, kad rangovui būtų patogiau greitai prisijungti.

Šifruotas ryšys. Visas nuotolinės prieigos srautas tarp nuotolinio vartotojo ir objekto turi eiti šifruotu kanalu, dažniausiai IPSec VPN tuneliu, o ne atviru tekstu. Tai apsaugo duomenis net jei fizinis ryšio kanalas (pvz. mobiliojo ryšio APN) būtų kompromituotas tarpinėje grandyje.

MFA (daugiafaktorė autentifikacija). Vien slaptažodžio prisijungti prie valdymo sistemos nepakanka — reikalingas antras patvirtinimo faktorius, pvz. vienkartinis kodas iš aplikacijos ar aparatinis raktas. Tai ypač svarbu, nes praktikoje slaptažodžiai dažnai būna bendri keliems rangovams ir laikui bėgant nutenka.

Geografinis ribojimas. Prisijungimai prie valdymo sistemos turėtų būti leidžiami tik iš apibrėžtų, žinomų tinklų ar vietų, o ne iš bet kurios pasaulio vietos. Tai reikšmingai apsunkina užpuoliką net tuo atveju, jei jis kažkaip gautų teisingus prisijungimo duomenis.

Tinklo segmentavimas. Elektrinės ar kaupiklio valdymo tinklas turi būti atskirtas nuo kitų tinklų — pavyzdžiui, biuro IT tinklo ar kitų objektų valdymo tinklų. Jei vienas segmentas būtų kompromituotas, segmentavimas neleidžia užpuolikui automatiškai pasiekti kitų objektų ar sistemų.

Atsekami prisijungimai ir žurnalai. Kiekvienas prisijungimas — kas, kada, iš kur — turi būti registruojamas ir saugomas. Be žurnalų neįmanoma po fakto atsekyti, kas realiai vyko, ir tai yra vienas pirmųjų dalykų, kurių paprašo auditorius.

Svarbu suprasti ribas: šie šeši reikalavimai padengia nuotolinės prieigos ir tinklo dalį, bet nėra pilna ESO atitiktis. Papildomai reikalaujama fizinės objekto apsaugos priemonių, o pačią atitiktį patvirtina nepriklausomas auditorius — ne įrangos tiekėjas ir ne pats savininkas.