勒索软件恐慌提示权力机构警报: 威胁是真实的

在去年Wannacry勒索软件攻击之后，中央电力局 (CEA) 警告说，该国的智能电网系统受到威胁，并且 “迫切” 需要开发网络安全框架来满足该国电力部门的安全需求。

2017年5月的Wannacry勒索软件攻击影响了包括印度在内的150个国家的计算机和系统，此后，电力部责成电力部门的最高政策咨询机构CEA组成一个委员会，讨论各种问题，包括 “电力部门的网络安全问题”。CEA提交了2017年7月19日报告。

CEA的警告是在2015年12月23日事件的背景下发出的，当时黑客成功攻击了乌克兰三家著名配电公司的信息系统，中断了约250,000名乌克兰人的电力供应。2016年12月在乌克兰首都基辅也发生了类似的小规模袭击，并导致停电约一个小时。乌克兰将袭击归咎于俄罗斯黑客。

智能电网-任何用于通过双向数字通信向消费者供电的电力网络-更容易受到网络攻击。“不幸的是，对高级计量基础设施 (智能电网) 的复杂网络攻击是一个明显和当前的危险。最具破坏性的情况涉及一种计算机蠕虫，该蠕虫遍历先进的计量基础设施，并永久禁用数百万个智能电表，”发表在去年9月国际基础设施保护杂志上的一项研究说。黑客不断扫描网络空间，以检测可能被利用来破坏网络的易受攻击的系统，特别是如果它可能导致开放，对国家电网等更大的支持基础设施产生级联影响。

鉴于这种系统性脆弱性，与传统电力部门不同，原子能部门已采取措施制止这种攻击。据政府官员称，印度核电站的控制系统和电子系统是使用 “定制硬件和软件” 在内部设计和开发的，这些软件经过监管验证和确认，从而使其相对不受网络安全威胁的影响。此外，印度核设施的关键基础设施与互联网隔离。原子能部 (DAE) 还设有计算机和信息安全咨询小组 (CISAG) 和仪表与控制安全工作队 (TAFICS) 等专家小组，以照顾DAE单位的网络安全/信息安全，其中包括该国所有的22个反应堆单元。

CEA建议为电力公用事业制定新的 “测试标准”，在中央电力研究所 (CpRI) 建立 “测试平台”，修改了用于电力公司的设备的采购指南，以及所有监督控制和数据采集 (SCADA) 系统和能源管理系统 (EMS) 的安全审计。“尽管印度在过去几年中已经制定了评估网络安全/网络攻击的技术标准，智能电网系统中缺乏安全性。此外，需要开发有关网络安全事件的信息共享机制。鉴于电力系统设备操作中的漏洞，包括目前遵循的实践，开发一种多重威胁入侵检测系统是当下的需要，“CEA报告的标题为“ 电力系统中的网络安全 ”。

“网络和物理安全威胁对电力公司构成了重大且日益增长的挑战。与传统的电网可靠性威胁 (例如极端天气) 不同，网络威胁的可预测性较低，因此更难预测和解决。这要求迫切需要制定网络安全框架和监管对策，以满足印度电力部门的特定安全需求，”CEA的报告指出。

提交此报告后，去年8月11日的CEA还向电力部介绍了网络安全。CEA通过其报告告知电力部，印度标准局 (BIS) 的两个小组委员会一直在研究 “标准草案”，以加强网络安全。

“一个小组正在研究电力系统网络安全手册，以便根据该标准对组织 (电力公用事业) 进行审计。第二组旨在引入IEC 62443草案，这是标准的一部分，其中正在处理工业控制系统产品的合规性要求，”CEA的报告指出。

国营的pSUs印度电网有限公司 (pGCIL)，NTpC Ltd是印度最大的发电机，电力部和印度标准局未回应印度快报发送的询问。

CEA报告的一章专门分析了是否有可能将招标仅限于国内公司以提高网络安全，因为印度受国际条约承诺的约束。报告建议对电力公司使用的设备的采购准则进行 “修改”。据一位政府高级官员称，电力部可能会修改法规，对所有进口电力设备进行多重检查。

“电力设备、智能电器和其他能源控制设备的智能控制机制的广泛连接将增加数字复杂性，并将招致更多的攻击点，因此需要更密集的网络安全保护…… 考虑到网络安全风险正在演变，网络安全不是一个时间点活动，CEA的报告指出，需要不时对其进行进一步的审查和增强。CEA表示关切，并补充说，该国的安全机构必须“ 掌握有关保护电力等关键基础设施的机制的完整信息，在由于网络安全威胁而发生紧急情况时，其危机管理计划，指挥结构和程序应遵循。”