بررسی حکمرانی امنیت سایبری صنعتی شبکه برق

انرژی الکتریکی پیش نیاز مهمی در پیشرفت حوزه های اقتصادی، اجتماعی و رفاهی در کلیه جوامع و کشورها محسوب می شود. در کشورهای در حال توسعه یا کمتر توسعه یافته، در دسترس بودن برق با قابلیت اطمینان بالا همراه با قیمت های مناسب، نقش مهمی در توسعه اقتصادی و اجتماعی دارد. در صورت اختلال در کارکرد شبکه برق به دلیل وابستگی دیگر زیرساخت های حیاتی به آن (از جمله: شبکه آب رسانی، شبکه گاز، بانکداری، ترافیک و حمل و نقل، زیرساخت ارتباطات)، پیامدهای سیاسی، اجتماعی و اقتصادی را در پی خواهد داشت. از این رو یکی از مهم ترین و مخرب ترین نوع حملات که در سال های اخیر مورد توجه گروه ها و حتی کشورهای معاند حکومت ها قرار گرفته است، حملات سایبری به شبکه برق است.

ضرورت و اهداف پژوهش

امروزه حملات سایبری به شبکه برق با توجه به اتصالات جهانی اینترنت، می تواند از بیرون مرزهای جغرافیایی و به گونه ای برنامه ریزی شده انجام شود و کشورها را به مرز استیصال برساند. اتفاقاتی مانند حملات سایبری به نیروگاهی در اوکراین و اخلال در شبکه برق کشور ونزوئلا، نمونه هایی از این جریانات مخرب در گذشته بوده است. متاسفانه، مساله ضعف امنیت سایبری در شبکه برق از سوی شرکت های بهره بردار شبکه، با تصور اشتباه اینکه شبکه IT مجزا بوده، انکار می شود؛ ولی به دلایل زیادی در سالیان گذشته این دو شبکه در نقاط زیادی به هم متصل شده اند و هر تهدیدی که متوجه شبکه IT شرکت های برق است، متوجه شبکه صنعتی آن ها نیز به دلیل اتصال این دو شبکه خواهد بود. از این رو در این پژوهش به بررسی تجربه دو کشور ایالات متحده آمریکا و کشور هند در زمینه مقاوم سازی شبکه برق در مقابل حملات سایبری و ارائه پیشنهادهایی جهت بهبود وضعیت ساختار نظام حکمرانی امنیت صنعتی در داخل کشور پرداخته شده است.

بررسی تجربه دو کشور ایالات متحده آمریکا و کشور هند

از مهم ترین مسائل و چالش های مربوط به «مقاوم سازی شبکه در مقابل حملات سایبری»، چالش حکمرانی و نامتوازن بودن چینش نهادی است. تعداد و موازی کاری های سازمان های مقررات گذار این حوزه و برخی دیگر از بازیگران در این بخش، شرکت های برق را دچار سردرگمی کرده است. همچنین در ساختار سازمانی متولیان این حوزه، مسئولیت اختصاصی برای این موضوع به صورت دقیق مشخص نشده است. بنابراین ساختار حکمرانی سایر کشورهای پیشرو در این زمینه می تواند راهگشا باشد. از این رو در ادامه به بررسی تجربه دو کشور ایالات متحده آمریکا و هند در این زمینه پرداخته شده است.

تجربه ایالات متحده آمریکا

قانون Patriot Act در سال 2001 در واکنش به حمله یازده سپتامبر و برای محافظت زیرساخت های کشور امریکا در مقابل حملات تروریستی وضع گردید و به دنبال آن وزارت امنیت داخلی در سال 2002 با هدف حفاظت از زیرساخت های حیاتی داخلی تاسیس شد. در دهه ابتدایی فعالیت این وزارت خانه و همچنین پیدایش حملات سایبری به زیرساخت های حیاتی در امریکا مسئولیت حفاظت از زیرساخت های اساسی بر عهده وزارت امنیت داخلی گذاشته شد. پس از تجربه چند ساله و عدم تحقق اهداف و برنامه ریزی ها، در حوزه هایی از جمله حوزه انرژی وزارت خانه مربوطه به عنوان دستیار وزارت امنیت داخلی به امن سازی حوزه های زیرمجموعه خود پرداختند.

وزارت انرژی برای انجام وظیفه محوله خود دفتری را تحت عنوان “دفتر امنیت سایبری، امنیت انرژی و واکنش سریع” ایجاد کرد. علاوه بر تغییرات وزارت انرژی، دفتر امنیت سایبری در وزارت امنیت داخلی در سال 2018 به “سازمان امنیت سایبری و امنیت زیرساخت” ارتقا یافت که در ذیل آن اداره امنیت زیرساخت از اداره امنیت سایبری تفکیک شده است. در حال حاضر، سطوح نظام حکمرانی امنیت سایبری زیرساخت های اساسی در کشور امریکا را به بخش های زیر می توان تقسیم کرد:

• سیاست گذاری و برنامه ریزی: مسئولیت سیاست گذاری و برنامه ریزی کلان در حوزه امنیت سایبری زیرساخت های اساسی بر عهده وزارت امنیت داخلی امریکا است. سازمان امنیت سایبری و امنیت زیرساخت از طریق شورای مشورتی که در ذیل خود تشکیل داده، از طریق دو شورای هماهنگی بخش دولتی و شورای هماهنگی بخش خصوصی نظرات مشورتی ذی نفعان را دریافت می کند.
• مقررات گذاری و تنظیم گری و استاندارد: در خصوص تنظیم گری فنی حوزه برق شرکت غیرانتفاعی پایداری شبکه برق امریکای شمالی که ذیل تنظیم گر اقتصادی بخش انرژی فعالیت می کند. در کنار این شرکت سازمان استاندارد و فناوری نیز دستورالعمل هایی بصورت کلی در همه زمینه های سایبری و هم چنین بخش صنعتی تهیه می کند.
• نظام اشتراک گذاری تهدیدهای سایبری: در کشور امریکا در شانزده حوزه زیرساخت حیاتی، مراکزی تحت عنوان اشتراک گذاری و تحلیل حوادث سایبری تشکیل شده اند. این مراکز با بخش خصوصی و سازمان های حاکمیتی ارتباط داشته و به تحلیل حوادث سایبری و اشتراک تجربه حاصل از آن با سایر ذی نفعان آن بخش می پردازند.
• شرکت های عملیاتی: حدود هشتاد درصد از شرکت های برق در کشور ایالات متحده امریکا خصوصی هستند و براساس مقرراتی که شرکت غیر انتفاعی پایداری شبکه برق امریکای شمالی وضع می کند، فعالیت می کنند.

تجربه هند

در کشور هند برخلاف مساله امنیت سایبری زیرساخت های حیاتی سبقه طولانی ندارد. مرتبط ترین فعالیت ها در این خصوص به قانون فناوری اطلاعات مصوب سال 2000 برمی گردد و طبق آن از سال 2011 سازمان ها موظف به ایجاد اداره امنیت سایبری می شوند و این اداره نقطه تماس با سازمان های مقررات گذار حوزه امنیت سایبری اداری و صنعتی می شود. دو نهاد مرکز ملی آموزش قدرت و مرکز تحقیقات برق در وزارت نیرو و مرکز توسعه و محاسبات پیشرفته کامپیوتری در ذیل وزرات الکترونیک و فناوری اطلاعات خدمات تست و آزمایشگاه را ارائه می دهند.

نقاط قوت و ضعف ساختار موجود در ایران

از نقاط قوت نظام حکمرانی موجود برای امنیت سایبری زیرساخت های حیاتی در کشور وجود نهادهای سیاست گذار (شورا و مرکز ملی فضای مجازی) و مقررات گذار عمومی حوزه امنیت سایبری (دو نهاد مقررات گذار مرکز راهبردی افتا و پدافند غیرعامل)، کمیته ها و کارگروه های امنیت سایبری در سطح وزارت نیرو، شرکت های مادر تخصصی و همچنین شرکت های عملیاتی و همچنین مشخص بودن مقام پاسخگو در قبال حملات سایبری (بالاترین مقام هر دستگاه) هستند. از نقاط ضعف و چالش هایی که کشور با آن مواجه هست، می توان به عدم مشخص بودن مسئولیت امنیت سایبری شبکه صنعتی در چارت سازمانی شرکت ها، موازی کاری نهادهای تنظیم گر عمومی که شرکت ها را با چالش مواجه کرده است و عدم شفاف بودن بودجه امنیت سایبری و همچنین سنجیدن عملکرد فناوری های نوین، تکمیل نشده اند. همچنین آموزش های مورد نیاز برای متخصصین در دانشگاه ها و محیط های صنعتی به اندازه نیاز کشور توسعه پیدا نکرده است.

ارائه پیشنهاد

با توجه به بررسی تجربه نظام حکمرانی امنیت سایبری زیرساخت صنعتی برق در کشور امریکا و هند و همچنین وضعیت کنونی کشور در این خصوص جهت رفع نقایص ساختار موجود در کشور پیشنهادهای زیر قابل طرح است:

• در خصوص اصلاح چارت سازمانی پیشنهاد می شود که مسئولیت ها در حوزه IT و حوزه QT از یکدیگر مجزا گردند. حوزه شبکه اداری به دفاتر فناوری اطلاعات و حوزه صنعتی به دفاتر فنی مرتبط به هر بخش اختصاص یابد.
• پیشنهاد می شود نظام اشتراک گذاری تهدیدهای امنیت سایبری صنعتی با الگو از کشور امریکا ایجاد شود، این اتفاق سطح آمادگی زیرساخت ها در مقابل آسیب پذیری های سایبری را بالا می برد.
• آموزش های مرتبط با امنیت سایبری صنعتی با کمک دانشگاه ها و موسسات آموزشی و همچنین مراکز معتبر بین المللی برای برگزاری دوره های تخصصی این حوزه و تربیت نیروی متخصص یکی دیگر از نیازمندی های کشور است.
• زیرساخت های آزمایشگاهی برای ارزیابی آسیب پذیری های نرم افزاری و سخت افزاری تجهیزات صنعتی در کشور بایستی ایجاد گردد.
• پیشنهاد می شود موضوع توسعه فناوری های امنیت سایبری صنعتی با توجه به اهمیت زیرساخت های حیاتی در اولویت توسعه فناوری های کشور قرار گیرد.

جمع بندی

امروزه حملات سایبری به شبکه برق با توجه به اتصالات جهانی اینترنت، می تواند از بیرون مرزهای جغرافیایی و به گونه ای برنامه ریزی شده انجام شود و کشورها را به مرز استیصال برساند. در صورت اختلال در کارکرد شبکه برق به دلیل وابستگی دیگر زیرساخت های حیاتی به آن (از جمله: شبکه آب رسانی، شبکه گاز، بانکداری، ترافیک و …)، پیامدهای سیاسی، اجتماعی و اقتصادی را در پی خواهد داشت. در ایران عدم مشخص بودن مسئولیت امنیت سایبری شبکه صنعتی در چارت سازمانی شرکت ها و عدم شفاف بودن بودجه امنیت سایبری کشور را با چالش هایی در جهش شبکه برق رو به رو کرده است. از این رو در این پژوهش به بررسی تجربه دو کشور ایالات متحده آمریکا و هند در زمینه مقاوم سازی شبکه برق در مقابل حملات سایبری و ارائه پیشنهادهایی جهت بهبود وضعیت ساختار نظام حکمرانی امنیت صنعتی در داخل کشور پرداخته شد.

این مطالعه در اندیشکده حکمرانی انرژی و منابع ایران با همکاری معین احمدی و امیر محمدی دوست در سال 1403 انجام شده است.