Τρεις βασικούς κινδύνους κυβερνοασφάλειας για τα φωτοβολταϊκά συστήματα που είναι συνδεδεμένα στο διαδίκτυο εντοπίζουν Ευρωπαίοι εμπειρογνώμονες, προειδοποιώντας ότι η ταχεία ανάπτυξη της ηλιακής ενέργειας αυξάνει την έκθεση του ηλεκτρικού δικτύου σε κυβερνοεπιθέσεις.

Σύμφωνα με νέα έκθεση της ομάδας εργασίας για την κυβερνοασφάλεια της Ομάδας Εμπειρογνωμόνων για την Έξυπνη Ενέργεια (Smart Energy Expert Group – SEEG), η εγκατεστημένη φωτοβολταϊκή ισχύς στην ΕΕ αυξήθηκε από 86 GW το 2015 σε 406 GW το 2025, ενώ εκτιμάται ότι θα μπορούσε να φτάσει τα 718 GWdc έως το 2030. Η αυξανόμενη σύνδεση φωτοβολταϊκών εγκαταστάσεων και αντιστροφέων (inverters) με ψηφιακές πλατφόρμες για την απομακρυσμένη παρακολούθηση, διαχείριση και αναβάθμισή τους διευρύνει τα περιθώρια εκδήλωσης συντονισμένων κυβερνοεπιθέσεων, οι οποίες θα μπορούσαν να επηρεάσουν ταυτόχρονα μεγάλο αριθμό εγκαταστάσεων. Όπως προειδοποιεί η έκθεση, μια τέτοια επίθεση θα μπορούσε να προκαλέσει ανισορροπίες μεταξύ παραγωγής και κατανάλωσης ηλεκτρικής ενέργειας, συμφόρηση στο δίκτυο και διαταραχές της τάσης, με πιθανό αποτέλεσμα ακόμη και εκτεταμένες διακοπές ηλεκτροδότησης.

Τρία σενάρια υψηλού κινδύνου

Η ανάλυση χωρίζει τις φωτοβολταϊκές εγκαταστάσεις σε τέσσερις κατηγορίες:

  • Μικρά οικιακά συστήματα τύπου plug-in, ισχύος κάτω από 0,8 kW.
  • Οικιακές εγκαταστάσεις ισχύος από 0,8 kW έως 10 kW.
  • Εμπορικά και βιομηχανικά έργα ισχύος από 10 kW έως 1 MW.
  • Φωτοβολταϊκά πάρκα μεγάλης κλίμακας, ισχύος άνω του 1 MW.

Η ομάδα εντοπίζει τρία σενάρια υψηλού κινδύνου.

  1. Επιθέσεις στις πλατφόρμες των κατασκευαστών: Το πρώτο σενάριο αφορά κυρίως οικιακές, εμπορικές και βιομηχανικές εγκαταστάσεις. Μια ευπάθεια σε κεντρική πλατφόρμα κατασκευαστή θα μπορούσε να επιτρέψει σε έναν επιτιθέμενο να αποκτήσει ταυτόχρονη πρόσβαση σε μεγάλο αριθμό συνδεδεμένων inverters.
  2. Σκόπιμη ενσωμάτωση backdoors: Το δεύτερο σενάριο αφορά τη σκόπιμη εισαγωγή backdoors σε πλατφόρμες, υλικό (hardware) ή λογισμικό συσκευών (firmware) από κατασκευαστή που ενεργεί υπό την επιρροή κρατικού παράγοντα απειλής. Η έκθεση θεωρεί ότι ο κίνδυνος αυτός αφορά όλες τις κατηγορίες εγκαταστάσεων που εξετάστηκαν.
  3. Επιθέσεις σε μεγάλα φωτοβολταϊκά πάρκα μέσω τοπικών δικτύων: Το τρίτο σενάριο αφορά επιθέσεις σε φωτοβολταϊκά πάρκα μεγάλης κλίμακας μέσω των τοπικών δικτύων τους, συμπεριλαμβανομένων των τειχών προστασίας (firewalls) που χρησιμοποιούνται για απομακρυσμένη πρόσβαση με σκοπό τη λειτουργία και τη συντήρηση.

Μια συντονισμένη επίθεση θα μπορούσε να ξεπεράσει τα διαθέσιμα αποθέματα εφεδρείας

Οι πιθανές επιπτώσεις μιας κυβερνοεπίθεσης εξαρτώνται άμεσα από το μέγεθος της εγκατεστημένης ισχύος που θα μπορούσε να ελέγξει ο επιτιθέμενος. Η έκθεση χρησιμοποιεί ως σημείο αναφοράς τη σύγχρονη ηπειρωτική ευρωπαϊκή περιοχή ηλεκτρικής ενέργειας, όπου τα αποθέματα εφεδρείας συγκράτησης της συχνότητας ανέρχονται σε περίπου 3.000 MW. Μια επίθεση που θα μπορούσε να ελέγξει μεγαλύτερη ισχύ από αυτήν θα ήταν δυνατό να προκαλέσει σοβαρές συνέπειες στη λειτουργία του ηλεκτρικού συστήματος.
Οι δυνητικές επιπτώσεις περιλαμβάνουν:

  • Ταυτόχρονη αποσύνδεση μεγάλου αριθμού μονάδων ηλεκτροπαραγωγής.
  • Συμφόρηση στις γραμμές μεταφοράς και στους μετασχηματιστές.
  • Διαταραχές της τάσης, οι οποίες θα μπορούσαν να αναγκάσουν τους διαχειριστές συστημάτων να αποσυνδέσουν μονάδες παραγωγής ή φορτία κατανάλωσης, προκειμένου να διατηρήσουν τη σταθερότητα του δικτύου.

Αυστηρότερες απαιτήσεις κυβερνοασφάλειας για τους φωτοβολταϊκούς αντιστροφείς

Μεταξύ των βασικών συστάσεων της έκθεσης είναι η θέσπιση ισχυρών διαδικασιών διαχείρισης ευπαθειών από τους κατασκευαστές συσκευών με σύνδεση στο διαδίκτυο που χρησιμοποιούνται σε φωτοβολταϊκές εγκαταστάσεις, με σαφή και δεσμευτικά χρονοδιαγράμματα για την έκδοση διορθώσεων ασφαλείας.

Παράλληλα, προτείνεται η ενθάρρυνση προγραμμάτων επιβράβευσης εντοπισμού σφαλμάτων (bug bounty programmes), ώστε ανεξάρτητοι ερευνητές κυβερνοασφάλειας να μπορούν να εντοπίζουν ευπάθειες πριν αυτές αξιοποιηθούν από κακόβουλους παράγοντες.

Για τις εγκαταστάσεις μεγάλης κλίμακας, η επικοινωνία των αντιστροφέων μέσω διαδικτύου θα πρέπει να ελέγχεται συστηματικά. Ειδικότερα:

  • Η δικτυακή κίνηση πρέπει να καταγράφεται, να κρυπτογραφείται και να επαληθεύεται ως προς την αυθεντικότητά της.
  • Οι εξερχόμενες συνδέσεις πρέπει να περιορίζονται σε εγκεκριμένους διακομιστές που βρίσκονται εντός της ΕΕ ή σε δικαιοδοσίες με ισοδύναμο επίπεδο ασφάλειας.
  • Οι εισερχόμενες επικοινωνίες από το εξωτερικό των τοπικών δικτύων πρέπει να αποκλείονται.
  • Οι απαιτήσεις ταυτοποίησης για την απομακρυσμένη πρόσβαση πρέπει να ενισχυθούν.

Αυστηρότερος έλεγχος στις αυτόματες ενημερώσεις firmware

Η διαχείριση του firmware αποτελεί ακόμη ένα κεντρικό ζήτημα της έκθεσης. Για τις εμπορικές, βιομηχανικές και μεγάλης κλίμακας φωτοβολταϊκές εγκαταστάσεις, η ομάδα προτείνει να αντικατασταθούν οι αυτόματες ενημερώσεις firmware που ξεκινούν απευθείας από τους κατασκευαστές από ελεγχόμενες, χειροκίνητες ενημερώσεις, οι οποίες θα πραγματοποιούνται από εξειδικευμένους παρόχους συντήρησης.
Για τις κρίσιμες υποδομές, προτείνεται επίσης να εξετάζεται το ενδεχόμενο ελέγχου του πηγαίου κώδικα ή αντίστροφης μηχανικής του firmware, ώστε να εντοπίζονται πιθανές κερκόπορτες πριν από την εγκατάσταση των ενημερώσεων.

Πιθανοί περιορισμοί σε προμηθευτές υψηλού κινδύνου

Η έκθεση εισηγείται επίσης να εξεταστούν περιορισμοί στη χρήση συγκεκριμένων εξαρτημάτων ή λογισμικού, όταν υπάρχει σοβαρός κίνδυνος ένας προμηθευτής να εισαγάγει σκόπιμα κερκόπορτες. Ωστόσο, οι εμπειρογνώμονες προειδοποιούν ότι τέτοια μέτρα θα μπορούσαν να επηρεάσουν σημαντικά την αγορά, εάν δεν υπάρχουν επαρκείς εναλλακτικές πηγές προμήθειας. Για τον λόγο αυτό, κάθε περιορισμός θα πρέπει να βασίζεται σε ενδελεχή αξιολόγηση κινδύνου. Η ίδια η έκθεση δεν χαρακτηρίζει μεμονωμένους κατασκευαστές ή προμηθευτές ως υψηλού κινδύνου.

Τα ευρωπαϊκά πλαίσια κυβερνοασφάλειας εξακολουθούν να παρουσιάζουν κενά

Η έκθεση αξιολογεί επίσης κατά πόσο η υφιστάμενη ευρωπαϊκή νομοθεσία μπορεί να αντιμετωπίσει τους κινδύνους αυτούς. Στο επίκεντρο βρίσκονται:

  • Ο Cyber Resilience Act (CRA), δηλαδή ο Κανονισμός για την Κυβερνοανθεκτικότητα.
  • Η οδηγία NIS2.
  • Ο Κώδικας Δικτύου για την Κυβερνοασφάλεια.
  • Ο Κώδικας Δικτύου για τις Απαιτήσεις των Γεννητριών.

Οι εμπειρογνώμονες καταλήγουν στο συμπέρασμα ότι ο Cyber Resilience Act καλύπτει ήδη τους φωτοβολταϊκούς αντιστροφείς, αλλά το υφιστάμενο πλαίσιο επαλήθευσης δεν είναι αρκετά ισχυρό ώστε να διασφαλίζει την εφαρμογή όλων των προτεινόμενων μέτρων προστασίας.
Ως εκ τούτου, προτείνουν την ανάπτυξη ενός εναρμονισμένου ευρωπαϊκού προτύπου κυβερνοασφάλειας για τους φωτοβολταϊκούς αντιστροφείς και την κατάταξή τους στην Κατηγορία II των σημαντικών προϊόντων, ώστε να απαιτείται ανεξάρτητη αξιολόγηση συμμόρφωσης από κοινοποιημένο οργανισμό.

Επιπλέον, προτείνουν:

  • Εναρμόνιση των ορίων εφαρμογής της NIS2 και του Κώδικα Δικτύου για την Κυβερνοασφάλεια.
  • Ενίσχυση της κάλυψης των εγκαταστατών φωτοβολταϊκών συστημάτων από τις σχετικές απαιτήσεις.
  • Καθιέρωση επαληθεύσιμων ελάχιστων προσόντων κυβερνοασφάλειας για τους επαγγελματίες που εργάζονται σε φωτοβολταϊκές εγκαταστάσεις.

Ένα από τα σημαντικότερα κενά αφορά τις σκόπιμα ενσωματωμένες κερκόπορτες στην εφοδιαστική αλυσίδα, τις οποίες, σύμφωνα με τους εμπειρογνώμονες, η ισχύουσα νομοθεσία δεν αντιμετωπίζει επαρκώς.

Διαβάστε ακόμα