Sikkerhet innen kraftforsyningen

Transkript

1 Sikkerhet innen kraftforsyningen Dataforeningen, Arthur Gjengstø, NVE

2 Strømmen fram til «stikkontakten» Færrest mulig avbrudd Raskest mulig gjenoppretting

3 Verdien av strøm før og under strømbrudd

4 Vannkraftbasert system - Dam Grimsoset ved Høyanger

5

6 Et sammenhengende system Sikkerhet i hele forsyningskjeden Redundans i systemet

7 Ansvar, nærhet, likhet, samvirke 200 selskaper - selvstendig sikkerhets- og beredskapsansvar Samarbeid i bransjen og eksterne entreprenører Ansvar for samordning med andre, f. eks. kommunene Regional koordinering (Kraftforsyningens distriktssjefer) Statnett, og NVE som tilsyns- og beredskapsmyndighet

8 Gjennomregulert sektor Kartlegging av risiko og sårbarhet Forebyggende sikkerhet Beredskap og krisehåndtering Redundans

9 Helhetlig risikostyring Alle former for ekstraordinære hendelser Naturgitte påkjenninger Teknisk havari Tilsiktede handlinger Fysisk eller elektronisk

10 Leveringspålitelighet for Norge ,000 99,990 99,980 99,970 99,960 99,950 99,940 99,930 99,920 99,910 99,900 Leveringspålitelighet [%]

11 Teknisk infrastruktur Foto: Svein Olav Arnesen, NVE

12 km nett - værutsatt 420 kv Kvilldal-Rjukan Foto: Statnett

13 Påkjenninger fra vær og vind

14 Foto: Tussa Nett AS

15 Kunder uten strøm på grunn av uvær Ekstremværene HILDE (nov13) og IVAR (des13) < 1 time 1 time 12 timer 24 timer 2 døgn 3 døgn

16 Strømbrudd etter hendelser Handlekraft Ressursene finner hverandre Gode på gjenoppretting Smartere på forebygging Utnytte digitale muligheter Foto: Tussa Nett og Hanne Bakke (NVE)

17 Virkemidler for sikkerhet og beredskap Tydelige funksjonelle krav Lokal handlefrihet Spesifikke krav innen enkeltområder Forsterket tilsynsvirksomhet Kunnskap og samvirke Økonomisk regulering

18 Egen forskrift om sikkerhet og beredskap sikre at energiforsyningen opprettholdes og at normal forsyning gjenopprettes på en effektiv og sikker måte i og etter ekstraordinære situasjoner

19 Investeringer i mer nett og mer IKT

20 og så SMART-GRID 20 Kilde: peidian.com

21 Nye muligheter kontroll på risiko Ny teknologi gir nye muligheter Sikkerhetshensyn viktig

22 Møte ulike trusler Sikre ulike verdier

23

24 E-POST SOM UTGAV SEG Å KOMME FRA POSTEN 24 NASJONAL SIKKERHETSMYNDIGHET

25 Case Havex Mapping the traffic 25

26 Krisehåndtering/KBO

27 Kraftforsyningen raskt mobilisert Statnett varslet NVE 13. juni. Første melding fra NVE til KBO samme dag. Dialog med NorCERT også fra første dag. Ni oppfølgende meldinger til KBO Fokus på patching, utsjekk med leverandører og søking i logger. 27

28 Samhandling med NorCERT NVE formidlet kontakt til NorCERT for de selskapene som ønsket bistand. NorCERT analyserte materialet de fikk inn. 28

29 Funn og konklusjoner To selskap (hvorav ett var Statnett) mottok e-poster som inneholdt skadevare. Ingen ble infisert. Ytterligere syv selskap meldte inn funn om mistenkelig trafikk. Ingen fikk påvist at trafikken hadde sammenheng med denne spesifikke hendelsen. Det var ALDRI fare for at man gjennom denne hendelsen kunne true styringssystemene i kraftforsyningen. NVE har ikke grunnlag for å si at kraftforsyningen har vært utsatt for et målrettet angrep. 29

30 På alerten Man blir stadig utsatt for forsøk på infisering av ulike typer skadevare. Trusselnivået er høyt, krevende og uviss. Selskapene tar trusselen alvorlig Økt bevissthet og prioritering NVE har kontinuerlig dialog med bransjen Driftskontrollsystemene er svært ulik administrative system, noe som krever at ting må gjøres på en annen måte. Utvikler hele tide dette gjennom samspill. NVE må hele tiden vurdere justering av regelverket for å ta høyde for endret trusselnivå. Veilederen revideres erfaringer fra denne hendelsen tas med. 30

31 Driftskontrollsystem kritisk Driftskontrollsystemene er kritisk og SKAL beskyttes Mentalitet: «sikkerhet først». Mye dialog om hvordan ny teknologi skal tilpasses kravene i forskriften. AMS og SmartGrid. 31

32 Digital sårbarhetsvurdering - og sikker driftskontroll 7-1. Generell plikt til å beskytte driftskontrollsystemet 7-2. Overordnede sikkerhetsregler 7-3. Dokumentasjon av driftskontrollsystemet 7-4. Kontroll med brukertilgang 7-5. Kontroll ved endringer i driftskontrollsystemet 7-6. Kontroll med utstyr i driftskontrollsystemet 7-7. Håndtering av feil, sårbarheter og sikkerhetsbrudd 7-8. Beredskap ved svikt i driftskontrollsystemet 7-9. Bemanning av driftssentral Ekstern tilkobling til driftskontrollsystem Systemredundans i driftskontrollsystemet Sammenkobling mellom avanserte måle- og styringssystem (AMS) og driftskontrollsystem Beskyttelse mot elektromagnetisk puls og interferens Særskilte krav til driftskontrollsystem klasse Særskilte krav til driftskontrollsystem klasse Vern av kraftsystem i regional- og sentralnett Mobile radionett driftsradio

33 NVE regulations- DEFENCE IN DEPTH Possible attacks SCADA protection or malfunktion!

34 NVE regulations- DEFENCE IN DEPTH Possible attacks or malfunktion! Risk assessment, preparedness SCADA protection

35 Ja, forskriften er god nok for fremtiden, men risikoanalysene blir viktigere og viktigere.

36 Det handler om risikostyring Strategisk risiko Operasjonell risiko Valg av teknologi Valg av leverandør Forretningsmuligheter Driftsløsninger Hva MÅ vi beskytte? Beredskap Økonomi Hva aksepterer vi av risiko?? Gjennomførbarhet Leveransekvalitet Leverandørsikkerhet Driftssikkerhet Sikkerhet i løsning Tilgangskontroll Sikkerhet i kommunikasjon Kontinuitet Etc, etc 36

37

38 Hva vil vi gjøre videre? Loggene er viktige. Prinsippene og praksis rundt logger må gjennomgås (hvilke logger som skal tas vare på, hvor lang tid de skal oppbevares og hvordan man skal gå frem for å søke i loggene). Evnen til behandling av logger bør gjennomgås. Bruk av leverandører kan være et forsinkende ledd. NVE følger dette opp i veiledning og tilsyn. Det kan også være aktuelt å utvide kravene til logging ved planlagt revisjon av beredskapsforskriften i 2015.

39 MÅ regne med å måtte håndtere flere hendelser fremover 39

40 Informasjonsdeling og samhandling

41 Takk for oppmerksomheten!