27. Februar 2017
Das North American Electric Reliability Corporation (NERC) Releases berichten Austausch von Erkenntnissen und Tipps, um Fachleuten der Versorgungsbranche dabei zu helfen, Bedrohungen für das Bulk Power System (BPS) zu erkennen, zu verhindern oder zumindest zu mindern.
Risikokategorien
NERK, die für Nordamerika zuständige Organisation für elektrische Zuverlässigkeit (ERO), kategorisiert Risiken in drei Kategorien:
- Hohes Risiko: Schwachstellen in der Cybersicherheit, veränderter Ressourcenmix, BPS-Planung und Ressourcenangemessenheit.
- Moderates Risiko: Verlust des Situationsbewusstseins, physische Sicherheitslücken und extreme Naturereignisse.
- Low Risk: Anlagenverwaltung und -wartung, menschliche Leistung und qualifizierte Arbeitskräfte.
Wetterbedingte Ereignisse stellen zwar nach wie vor die häufigsten Bedrohungen dar, doch ist es nicht verwunderlich, dass NERC Cybersicherheitsprobleme ganz oben auf der Bedrohungspyramide platziert. Cyberbedrohungen werden immer raffinierter und zahlreicher.
Cybersicherheitsbedrohungen können schwerwiegend sein
Die Ausnutzung von Schwachstellen in der Cybersicherheit kann zu einem Kontrollverlust oder einer Beschädigung des BPS, der Sprachkommunikation, der Daten, der Überwachungs-, Schutz- und Kontrollsysteme usw. führen, sodass die Menschen über längere Zeit im Dunkeln sitzen.
NERC bittet die Industrie um Hilfe
NERC ruft die Branche dazu auf, mit ihm zusammenzuarbeiten und einen flexiblen, mehrgleisigen Ansatz zur Bewältigung der sich ständig weiterentwickelnden Cybersicherheitsbedrohungen zu entwickeln. Das Gremium nennt mehrere Beispiele. So fordert es beispielsweise eine verstärkte Beteiligung von Informationsaustausch- und Analysezentren (E-ISAC) und deren Produkte, Peer-Reviews und Unterstützungsbesuche, um zu einem sogenannten „Best-Practice“-Modell zu gelangen. NERC fordert außerdem Empfehlungen zum Umgang mit neuen und weniger klar definierten Bedrohungen.
Bedeutung der BPS-Planung und des Risikomanagements
Die BPS-Planung ist auch entscheidend für RisikomanagementLaut NERC sollte das ERO-Unternehmen mit der Industrie, Herstellern und Entwicklern asynchroner Ressourcen zusammenarbeiten, um präzise dynamische Modelle zu entwickeln und bereitzustellen. Das ERO sollte außerdem mit der Industrie zusammenarbeiten, um:
- Identifizieren Sie Art und Häufigkeit der benötigten Informationen aus verteilten Energiequellen.
- Erstellen Sie Richtlinien und bewährte Verfahren für die Entwicklung und Pflege präziser System-, dynamischer und elektromagnetischer Modelle, die Übertragung, Ressourcen, Last und steuerbare Geräte für die Verwendung in der langfristigen und betrieblichen Planung umfassen.
- Bewerten Sie weiterhin die ERS-Leistung, um die erforderlichen Richtlinien zu entwickeln und festzustellen, ob Zuverlässigkeitsstandards erforderlich sind.
- NERC sollte außerdem weiterhin mit Planungskoordinatoren zusammenarbeiten, um die Entwicklung netzweiter Modelle entsprechend den erwarteten Einsätzen voranzutreiben. Diese Zusammenarbeit wird dazu beitragen, effektivere langfristige Planungsbewertungen durchzuführen.
So erkennen Sie Ressourcenfallen
Der Bericht betonte auch die Bedeutung angemessener Ressourcen und Leistung. Das ERO-Unternehmen sollte:
- Verbessern Sie gemeinsam mit der Industrie weiterhin die Modellierung und Wahrscheinlichkeitsmethoden, um die Ressourcenangemessenheit zu bewerten und die Auswirkungen von ERS, Stilllegungen von Einheiten sowie Last- und Ressourcenschwankungen in verschiedenen Zeiträumen, einschließlich der Nebenmonate, zu berücksichtigen.
- Bewerten und entwickeln Sie Minderungsempfehlungen, um einzelne Störungspunkte zu beheben, die zu großen Ressourcenausfällen führen können, wie z. B. Treibstoffengpässe.
- Entwickeln Sie neue Zuverlässigkeitsmaßstäbe, die über die Reservemargen hinausgehen, einschließlich der Angemessenheit des ERS.
- Bewerten Sie weiterhin Schwachstellen in Bezug auf die Kraftstoffverfügbarkeit als Teil der Beurteilung der Ressourcenangemessenheit und der Betriebsfähigkeit.
Zusätzliche Analyse erforderlich
Auch die Versorgungswirtschaft müsse ihren Beitrag leisten, betont der Bericht. Sie solle Möglichkeiten zur Entwicklung präziserer Modelle für kurzfristige Lastprognosen prüfen.
Die Industrie sollte außerdem den Datenbedarf analysieren, um ausreichende Details zur Leistungsfähigkeit und Leistung des BPS im Hinblick auf die Auswirkungen verteilter Energieressourcen sicherzustellen. Sie sollte zudem Daten sammeln, die über einfache Bedarfsprognosen hinausgehen und die Ressourcenkapazität, den Standort und die ERS-Fähigkeit ermitteln.
Leistungsstarke NERC-Compliance-Management-Lösungen erforderlich
Angesichts des Ausmaßes und der Intensität dieser immer komplexeren Bedrohungen müssen Compliance-Beauftragte von Versorgungsunternehmen ein leistungsstarkes, automatisiertes NERC-Compliance-Managementsystem einführen. AssurX hat eng mit einem großen Versorgungsunternehmen an der umfassenden Implementierung des Energy & Utilities Enterprise Management Systems von AssurX zusammengearbeitet.
Die Implementierung führte zu hochautomatisierten und integrierten Workflows, die die neuen NERC CIP-Compliance-Vorschriften erfüllen. Insbesondere wurden NERC Cyber CIP-002-5.1 und CIP-007-6 berücksichtigt. Die AssurX-Workflows umfassen Asset Management, Software-/Firmware-Patchmanagement, Änderungsmanagement und Kontrollen.
Die Lösungen bieten einen vollständigen Echtzeit-Audit-Trail aller Änderungen und Modifikationen an einem Asset während seiner Lebensdauer. Dies umfasst auch den Patch-Verlauf der installierten Software/Firmware. Die AssurX-Workflows umfassen kalendergesteuerte, wiederkehrende Überprüfungsaufgaben, Erinnerungen, Eskalationen, E-Mail-Benachrichtigungen und elektronische Signaturen von Compliance- und Betriebsmanagern.
