Provedores de rede não devem dissociar a cibersegurança ao considerar investir na confiabilidade e resiliência da rede. Na verdade, as três áreas trabalham juntas. O impacto de ataques cibernéticos não se limita à perda potencial de informações de identificação pessoal (PII) ou de propriedade intelectual, mas também dos níveis de serviço de operações.
A título de exemplo, considere o ataque de ransomware à Colonial Pipeline, em 2021, que roubou 100 gigabytes de dados em apenas algumas horas. O incidente interrompeu os sistemas de TI da Colonial por vários dias. Deixando de lado o vetor e o motivo do ataque, o ponto é que esse hack resultou em um impacto significativo nas operações de TI da rede e para os clientes da empresa, principalmente as transportadoras aéreas que dependiam do combustível da Colonial Pipeline. Igualmente afetados foram as centenas de postos de gasolina do sudeste dos Estados Unidos que, em vários casos, ficaram sem combustível. Dessa maneira, não é de surpreender que os consumidores não ficaram satisfeitos.
Um setor que está emergindo rapidamente e no qual a interseção entre cibersegurança, confiabilidade e resiliência é evidente é o de recursos energéticos distribuídos (DER, na sigla em inglês), um exemplo de IoT industrial para a rede. DERs são tecnologias de geração ou armazenamento de energia elétrica, localizados dentro dos limites da área de uma determinada concessionária de distribuição, normalmente junto a unidades consumidoras.
Como a rede elétrica depende cada vez mais de DERs, como estações de carregamento rápido EV (veículos elétricos), unidades de geração solar e eólica, a rede se torna cada vez mais vulnerável a hackers, especialmente quando se leva em consideração que a superfície de vetor de ataque total é desconhecida. Dado o crescimento explosivo envolvendo uma gama de provedores do ecossistema, que variam desde fornecedores de hardware, de nuvem e de fontes de energia — muitos sendo startups —, a confiabilidade e resiliência dessas empresas também são vistas pelas lentes da cibersegurança.
Conforme destacado na publicação especial NIST 1800-32A de fevereiro de 2022, do Centro Nacional de Excelência em Cibersegurança (NCCoE) dos EUA, “qualquer ataque que possa negar, interromper ou adulterar as comunicações DER pode impedir que um utilitário execute as ações de controle necessárias e pode diminuir a resiliência da rede”. Com a rápida mudança de concessionárias de rede controladas centralmente para servidores de borda da rede, surgem desafios únicos que, se não forem resolvidos, podem ter um impacto devastador na integridade, privacidade e acesso dos dados de clientes e provedores, bem como na confiabilidade e resiliência.
Dada essa interdependência, uma concessão — especialmente negação de serviço (DoS) — para qualquer um desses componentes/players poderia causar grandes danos para a disponibilidade ou desempenho de todo o ecossistema.
Outro item que merece atenção é o Guia de Proteção da Distribuição de Recursos de Energia do NIST, que os participantes do DER são fortemente encorajados a seguir. Além disso, um relatório de julho de 2022 (SAND2022-9315) do Sandia National Laboratories dos EUA destaca a crescente preocupação com o impacto das vulnerabilidades cibernéticas nas estações de carregamento EV caso ocorra um grande incidente. O relatório também examina os efeitos em cadeia que podem ocorrer nos setores críticos da infraestrutura, como sistemas de energia e manufatura, devido a equipamentos de abastecimento de veículos elétricos (EVSE), estações de carregamento EV ou sistemas de comunicação da operadora da rede mal implementados. No momento da publicação, o Sandia declarou que havia poucas práticas recomendadas adotadas pela indústria de EV/EVSE.
NCCOE avançando com o cyberSecurity framework
Uma área em particular que vem sendo observada de perto pelo NCCoE é a Infraestrutura de Carregamento Rápido EV Extreme. O NCCoE reconhece a natureza distribuída, a necessidade de escala, a conectividade instável — bem como as novas oportunidades —que o Carregamento EV Extreme Fast apresenta. Dessa maneira, o NCCoE reuniu uma comunidade de interessados e especialistas para contribuir com a criação de um framework (estrutura-base de desenvolvimento de aplicações) que os fabricantes de estações de carregamento e veículos elétricos, redes de carregamento conectadas à nuvem e concessionárias de energia elétrica possam utilizar para obter as melhores práticas na implementação de segurança desde o design.
Embora os conceitos sejam tradicionais — autenticação, controle de acesso, confidencialidade, integridade de dados, monitoramento, etc. — a implementação deles nesse ecossistema emergente traz novos desafios, além de oportunidades de inovação. Um exemplo disso é a existência de dados em repouso e em trânsito entre os principais subsistemas conectados como estações de carregamento EVSE, EV, cloud/redes de carregamento de terceiros e concessionárias de energia elétrica. Esses subsistemas, por sua vez, exigem um método de transação interoperável, altamente confiável e seguro, uma vez que os vetores de ataque são numerosos, expondo operadoras de rede e clientes a todos os tipos de vulnerabilidades.
Como dito anteriormente, muitos dos endpoints que precisam ser protegidos são categorizados como IoT industrial e, por isso, podem contar com proteções tradicionais que estão em vigor nas redes de TI há décadas.
O momento atual não poderia ser mais adequado para que haja o alinhamento do crescente ecossistema EV com as melhores práticas de cibersegurança. Encorajo todas as partes interessadas a participar desse processo ou, ao menos, seguir os conselhos do próximo produto de trabalho que provavelmente será repleto das melhores e mais funcionais práticas apresentadas em um framework, além de incluir um conjunto de cenários que abordam casos de uso comuns e específicos, necessidades de confiabilidade e resiliência.
*Lila Kee é chief product officer (CPO) da GlobalSign, autoridade certificadora e fornecedora de soluções de identidade e segurança para internet das coisas (IoT).