能源系统数字组件的供应链风险

Original 白广轩中国保密协会科学技术分会 2022-10-02

导

语

所有数字组件的网络安全供应链漏洞将继续成为能源部门系统的高度优先问题，因为这些系统变得越来越数字化、同质化和远程化操作。

能源部门与工业基础（ESIB）的传统系统和现代系统都将继续面临网络供应链受损的风险，网络空间中的各种恶意攻击者将继续发觉能源系统是一个有吸引力的目标。与整个ESIB的合作伙伴合作，确保这些及未来系统的数字供应链的安全，是当前持续的优先事项。

美国能源部（DOE）与整个能源行业的利益关系者合作，领导一系列正在进行的计划，以识别、优先处理和解决能源系统中数字组件的网络供应链风险。

本文重点介绍未来重点关注的领域其存在的一些问题及解决网络供应链风险的一些举措和战略机遇。

未来重点关注的领域

壹

/ 遗留系统

能源部门的遗留系统和新系统都有很长的生命周期，在许多情况下长达几十年。遗留系统的更换周期也较慢，许多因素导致了时间范围的延长。例如，具备执行遗留系统升级所需技能的劳动力供应有限；安排遗留系统更换所需的交付周期（例如，大型输配电公司的SCADA/能源管理系统套件更换）需要多年的规划和准备才能进行实际切换；变更受到严格的监管治理，并且在升级的资金投资方面经常存在挑战等。因此遗留系统即使在存在高风险网络漏洞，许多漏洞仍将无法弥补，并在很长一段时间内依赖隔离缓解措施。

贰

/ 可再生能源、分布式能源和分布式能源管理系统

可再生能源、分布式能源和分布式能源管理系统（用于管理分布式能源的软件平台）正越来越多地被引入电网。这种新技术的注入预计将会加快，重点关注脱碳以应对气候变化。

从操作技术的角度来看，这代表了网络技术架构的一个重大变化，因为能源系统正在向一个融合了传统集中式架构（中心辐射式）和具有数百万个端点的新的分散式网状架构的模型发展。

从网络安全的角度来看，新技术架构的引入和架构间的集成改变了网络的整体风险模型。总的来说，需要从关注传统资产所有者的网络安全方法发展到更加重视终端设备制造商和第三方集成商的方法。消费终端设备制造商全球数字供应链的网络安全（如用于光伏等仪表后应用的逆变器）对电网未来的网络健康至关重要。

叁

/ 远程操作

互联能源部门系统的远程操作将继续并增加。资产所有者和向他们提供数字组件的制造商多年来一直在建设连接系统和远程系统的能力。这一趋势在很大程度上降低持续现场系统运营商的成本。大型投资者拥有的公用事业一直在稳步增长，将并购活动中收购的实物资产的软件和操作技术同质化，以实现多个物理位置的远程操作。

在过去的一年中，全球疫情大大加速了远程操作趋势。工人安全的必要性增加了资产所有者对远程操作技术的投资。制造商通过扩大技术创新做出回应，如提供基于云的工业控制系统以实现操作灵活性。从第三方托管的虚拟平台上运行工业控制系统（ICS）并非不安全。然而，从云互联网运行ICS会显著改变其风险状况，如果没有安全地设计、构建、调试、运行和维护，会使更大一部分关键系统面临网络风险。

能源网络感知计划

2021年基础设施投资和就业法案第40122条指示DOE与相关联邦机构合作，制定了一项自愿计划，以测试用于能源领域的产品和技术的网络安全性，包括在大容量系统中使用的产品和技术，包括与工业控制系统和操作技术相关的产品。该自愿测试计划的战略意图是改善能源行业系统中关键组件（包括数字组件）供应链的风险管理。

工业控制系统的网络脆弱性测试

在过去三年中，正在开发和初步实施的弹性工业网络测试控制系统 (CyTRICS)是DOE用于OT和ICS的网络安全漏洞测试和数字子组件枚举的程序。该自愿测试计划的战略意图还在于为能源部门系统中关键组件的供应链风险管理提供信息。CyTRICS计划的主要活动、发现和经验教训正在被纳入新能源网络感知计划，以整合、发展和推动ESIB的优先网络安全成果。

确保能源基础设施执行特别工作组

2020财年国防授权法案第5726条指示DOE与相关联邦机构、学术合作伙伴、能源部门资产所有者和运营商以及关键部件制造商合作，在国家实验室建立一个为期两年的试点计划，以识别能源部门新的安全漏洞类别，并评估隔离和保护工业控制系统不受最关键的能源部门系统安全漏洞和攻击的技术和标准。该工作组的交付成果代表了将用于改进ESIB中的网络供应链风险管理的基础研究和分析。

能源部门软硬件材料清单概念验证

2021年1月，CyTRICS与DHS、DOE国家实验室、行业和学术合作伙伴合作，启动了能源行业试点项目，以展示数字子组件的发现共享和分析，从而揭示与次级供应商相关的风险。该试点项目旨在加速解决导致网络安全管理软件产品妥协的根本原因，并支持执行第14028号行政命令“改善国家网络安全”。这种持续合作努力的战略成果展示一个更好的经验性答案，以解决软件供应链可见性和次级供应商可见性的长期挑战。

清洁能源网络安全加速器

DOE和国家可再生能源实验室于2021年10月启动了清洁能源网络安全加速器(CECA)，为各种规模和类型的资产所有者提供具有世界一流测试设施的第三方环境，以开发和部署可再生的现代电网技术，不仅具有成本竞争力，而且通过设计展示了最高级别的安全性。在该计划下进行的测试和分析将支持加强能源部门系统中新兴技术的数字供应链。

持续的差距

美国能源部将继续建立和发展这些计划和其他计划，以提高能源部门系统中关键数字组件的供应链安全。尽管如此，仍然存在许多阻碍整体进展的结构性差距。关键差距如下所述。

壹

/ 界定能源部门工业基础（ESIB）

能源行业及其所依赖的供应链非常多样化。能源部门系统的日益数字化、一体化和互联化需要一种更全面的方法来识别网络供应链风险共担的利益相关者。采用整体方法是有效解决数字供应链中共享风险的基础。国防工业基地提供了一些可利用的概念，可能有助于为能源部门制定整体方法。

贰

/ 数据和分析能力

缺乏对ESIB的全面定义并且各组成部分的格式和要求不一致，导致当前的信息和分析工具支离破碎、不一致且不完整。因此，在构建和维护弹性数字供应链时，了解当前和新出现的供应链威胁、风险、漏洞和机遇，访问供应链数据和分析工具以提供决策支持非常重要。例如，可用于进行有效数字供应链分析的数据包括关键软件的流行度和重要性、软件材料清单和市场份额。全面和规范化的数据对于阐明、分析和确定系统性数字供应链风险以及跟踪进度至关重要。

叁

/ 战略方法

DOE目前还没有一个覆盖ESIB的策略，能完全解决相互依赖的数字供应链的安全问题，需要一种更全面的方法来有效提高弹性和数字供应链安全性。一个安全的数字原件供应链策略可以有效地确定关键数字元件供应链安全的行动，这些关键数字元件由ESIB的关键子行业和公司使用，对美国的能源安全至关重要。战略方法将启用关键的 ESIB 范围功能，包括：定义和优先考虑关键的数字供应链；基线和定义目标；随着电网现代化和去碳化趋势的加速，对预期变化进行有效规划。

肆

/ 更加一致的指导方针

对关键能源系统中的数字组件的供应链风险的分散和不一致的监督仍然是一个空白。管理ESIB共同网络安全风险的政策凝聚力和更一致的指导方针、标准和流程可以弥补这一差距。提高ESIB范围一致性的一个关键部分将包括与主要政府和ESIB利益相关方合作，利用和建立现有的标准和新兴规则，如第14028号行政命令“提高国家网络安全”中确定的准则。

战略机遇

美国能源部将继续根据行政和立法指示，优先考虑项目和倡议，以管理ESIB的网络供应链风险。此外，还存在一个制定政策来管理未来新出现的风险的战略机遇。新的优先事项可以优先处理以下要素。

壹

/ 保护分布式能源管理系统和终端设备

随着电网的现代化和去碳化，越来越多的终端设备——如消费类电动车（EV）充电器——将接入电网。用于在传统公用事业和资产所有者、第三方聚合商和消费者之间管理和聚合这些设备的软件——分布式能源管理系统(DERMS)——在安全管理这些日益复杂的互连系统方面将变得越来越重要。因此，必须进行主动的安全投资，以确保连接设备上的固件和用于连接和管理它们的软件系统的网络供应链的完整性。开发支持能源部门的新兴技术时，应注意阐明次级供应商风险的方法。

贰

/ 保护虚拟平台

更灵活运作ICS的效率驱动趋势将继续下去，因此，由ESIC向能源部门提供的第三方虚拟平台和虚拟服务的安全性将成为越来越重要的网络供应链风险，需要加以管理。现代技术架构应该遵循设计安全的原则，不仅在系统本身，而且在支持它们的数字供应链中。

叁

/ 确保数据供应链的完整性

AI/ML的使用将继续朝着人工智能的方向发展，并应用于越来越多的复杂的日常应用，包括管理电网的安全和高效运行。因此，建议我国相关组织积极投资，确保数据集、人工智能模型和人工智能培训的商业全球供应链的完整性，以防止这些关键能力因美国对其的依赖而受到恶意损害。

参考文献

[1] https://www.congress.gov/bill/117th-congress/house-bill/3684/text

[2] https://inLgov/cytrics/

[3] Section 40122 of the 2021 Infrastructure Investment and Jobs Act(Pub.L.117-58)

[4] https://www.energy.gov/ceser/national-defense-authorization-act-fiscal-year-2020-ndaa#:%7E:text=National%20Defense%20Authorization%20Act%20for%20Fiscal%20Year%202020%20(NDAA)%2C,owners%20and%20operators%20and%20critical

[5] https://docs.house.gov/billsthisweek/20191209/CRPT-116hrpt333.pdf

[6] https://inl.gov/sbom-poc/

[7]https://www.federalregister.gov/documents/2021/05/17/2021-10460/improving-the-nations-cybersecurity

[8] https://www.nrel.gov/innovate/cybersecurity-accelerator.html

[9] Congressional Research Service (2021). “Defense Primer: U.S. Defense Industrial Base.”

https://crsreports.congress.gov/product/pdf/IF/IF10548

[10]Congressional Research Service (2021). “Defense Primer: The National Technology and Industrial Base.”

https://crsreports.congress.gov/product/pdf/IF/IF11311

[11]https://www.dni.gov/index.php/gt2040-home/gt2040-structural-forces/technology

中国保密协会

科学技术分会

长按扫码关注我们