能源公司比以往任何时候都更依赖于IT基础设施。潜在的网络恐怖分子。一个叫做EnergySec希望准备可能是什么。
我们最近的文章中美能源公司的推动更好的代码安全带回家的危险能源公司面临在数字时代。另一个最近的文章坏人可以做嵌入式系统的损害在更广泛的范围内说明同样的危险。
wiki被称为SecurityFAIL.com最近设置问题。也有一个组织叫做EnergySec希望建立一个绝对可靠的防御任何可能。
在接下来的问答,EnergySec导演赛斯布姆透露和史蒂芬·帕克描述组织如何形成,谁是它的一部分,他们已经发展到什么样的最佳实践保持我们的力量流动。
也看到霍华德•施密特:网络安全战斗“不同”和如果智能电网有愚蠢的安全吗?
描述组织的起源,成员的数量,参与包括什么样的活动,等等。布姆透露:EnergySec进化作为一个非盈利的公司小的步骤,通过基层工作。E-SEC NW,其前身组织是安全专业人士的一个非正式组织为电力公司在太平洋西北地区工作。这群偶尔吃午餐会面,讨论安全问题相关的工作。随着时间的推移,文字传播和会员增加,它不再是一个地区性组织。当组SANS国家网络安全领导奖2007年,很明显,我们的行业渴望国家组织交换安全信息。
今天,EnergySec有超过300的会员代表近100能源公司,政府机构、学术机构和国家实验室。会员代表超过46%的发电能力在美国,和将近60%的电子分布。
EnergySec的主要目标是为其成员提供获得及时的、可操作的信息在一个开放、信任论坛。我们所有的成员都充分审查,我们有严格的资格标准。每天,成员讨论电力和能源领域的安全的各个方面——从最佳实践,对即将产生的法案进行实时态势感知。在过去的五年里,我们举行了年度会议,让我们可以面对面交流更详细地讨论特定主题。
是最高优先级物理威胁能源基础设施或你的任务明确基于网络的危险?布姆透露:我们的成员主要来自网络安全在他们的组织和风险领域,但我们确实讨论人身威胁,尤其是在混合网络环境中/动攻击。
有哪些常见的安全最佳实践开发组织通过大家的合作?布姆透露:三个最近的例子应该成为突出交换信息的好处在我们的组织。工业控制系统联合工作组(ICSJWG)是一个公共/私人财团的安全专家从多个行业——制造业、化工、能源和电力等——他们试图确定最好的方式为这些行业当前和下一代的安全控制系统。私人的一部分ICSJWG是由北美电力可靠性公司(NERC)。我们的安全信息共享门户被ICSJWG之间的协调和交换信息和几个子组。因为几个EnergySec成员ICSJWG子组也做志愿者,这是一个很好的合作机会。
第二,几年前NERC决定,这将是一个好主意利用行业专长在评估新的威胁和脆弱性警报之前正式传播他们的选民。Hydra项目旨在召集技术专长在片刻的通知提供快速的技术评估这些新的威胁和漏洞。EnergySec看见一个机会帮助,现在主持一个九头蛇以及信息共享门户提供超过115志愿者的努力。
最后,我们的一个成员最近开发了一个框架,信息安全在公用事业部门,代表了一种最佳的方法来定义和组织能力需要在关键基础设施提供信息安全服务。而不是保持对自己这方面的知识,他决定与他的同事们分享EnergySec门户。得到的反馈和互动对涉及的所有人都带来了好处。这是我们要实现的本质。
有什么误解威胁和防御有关能源部门吗?帕克:有一种倾向在媒体将对电力系统大部分是迫在眉睫的威胁。虽然攻击可以尝试在任何时候,长期的担忧是真的而不是近期。目前计算机犯罪几乎完全经济动机。攻击电力部门将不会那么积极,因为没有简单的盈利之路,和攻击重要能源基础设施可能会见了政府极其积极的回应。这个领域的安全是至关重要的长期以防范可能的恐怖或发起的攻击,不是小罪。
在国防方面,实际的大部分电力系统脆弱性往往mischaracterized。这是不正确的,大多数控制系统连接到互联网。现在为控制中心位于受保护的网络标准实践在一个大公司内部网络。这地方最关键系统背后的两个截然不同的周长。这并不是说,这种系统是令人费解的,或者没有电力部门网络系统暴露在互联网或无担保调制解调器,但情况不像有时可怕的描绘。
一些被忽视的方面是什么?帕克:内幕的威胁是被低估了。电力行业作为一个合作努力,必然依赖于相互信任。这将创建一个文化,渎职被内部人士折扣的可能性。
潜在的威胁是低估了。因为网络犯罪所受如此多的媒体的关注,许多人简单地测量电力部门安全对常见的攻击场景。事实是,任何最终攻击电力基础设施可能是更复杂的比是常见的。保护需要设计时考虑到了这一点。例如,它可能是,私人通信基础设施(下标ip级别,非互联网)将是一个目标。混合攻击,部分网络,部分身体、也很有可能。安全保护需要考虑复杂,动机,和资源的潜在攻击者。
保密不是电力行业的一个问题。而当前金融犯罪都围绕着机密信息的采集和滥用,电力行业的大多数攻击场景围绕失去控制或失去数据的完整性。虽然有法律和经济驱动程序的保密信息,主要市场相关的实际操作大部分电力系统的完整性取决于控制系统用于操作它,和决策过程中使用的数据。
阅读更多关于数据保护CSOonline数据保护的部分。
这个故事,“数据保护:EnergySec关键基础设施”的计划最初发表的方案 。