Eksperter i team 16.01.2013 Smart Grids og personvern Maria B. Line Forsker og stipendiat SINTEF NTNU maria.b.line@sintef.no 1
Om SINTEF og NTNU/ITEM SINTEF Skandinavias største uavhengige forskningsorganisasjon Drøyt 2000 ansatte Oppdragsforskning og rådgivning Foto: SINTEF Teknologi for et bedre samfunn NTNU Institutt for telematikk Tilbyr kommunikasjonsteknologi-linja Informasjonssikkerhet 26 fast ansatte, 41 stipendiater Foto: Roger Midtstraum 2
Smart Grids in brief Modernization of the distribution grid (low voltage) Monitoring and control Smart Meters: two-way communication Automatic reading every hour more correct invoicing Consumers will also be producers prosumers: Solar panels, wind mills, water heaters, electric cars 3
AMS Avanserte måle- og styringssystemer Av Hanne Sæle, SINTEF Energi 4
Aktuelle prosjekter DeVID Demonstrasjon og verifikasjon av intelligente distribusjonsnett Egen wp: Informasjonssikkerhet og personvern Utvikle metode og tilhørende verktøy for risikovurdering ifm innføring og drift av AMS Identifisere god praksis og anbefalinger for å sikre sluttbrukernes personvern Utvikle grunnleggende informasjonssikkerhetskrav som skal gjelde for alle ITsystemer som benyttes i det norske kraftnettet http://www.sintef.no/projectweb/devid/ (se nyhetsbrev okt. 2012 om info.sikkerhet) PhD: Managing information security incidents in smart grid environments Hvilke faktorer inngår i hendelseshåndtering i kraftbransjen i dag? Hvilke avvik er det mellom dagens praksis og gjeldende standarder/anbefalinger? Hvordan kan gjeldende standarder/anbefalinger tilpasses smart grid? 5
Store datamengder Smarte strømmålere vil samle svært mye informasjon om hver enkelt husstand Hjemme og borte, hvilke apparater som finnes, forbruksmønster, døgnrytme Måledata går til nettselskapene Må lagres en viss tid AMS-forskriften sier: Timesverdier: 3-15 mnd (fakturering) Måneds- og årsverdier: 3 år (pga lastprofiler, sesongvariasjoner, energimerking) Sentrale spørsmål: Hvem har tilgang? Hva kan opplysningene rettmessig benyttes til? Hva kan uvedkommende benytte opplysningene til? Hvordan sikres opplysningene? 6
AMS-tilpasset veiledning til personopplysningsloven Nettselskapet vil normalt være dataansvarlig og er pliktig til å se til at personopplysningsloven etterleves Databehandling kan outsources, men ansvaret er fortsatt hos nettselskapet Kun fakturering anses å kreve personidentifiserbare data Nettselskapet er pålagt å slette personopplysninger når de ikke lenger behøves for fakturering Internkontroll og tilfredsstillende sikkerhetsmekanismer må være på plass Kunden har rett på tilgang til all data om seg selv, inkludert Hensikt med innsamlet data Om data er gitt til andre, og til hvem Hvordan opplysningene er sikret 7
Er kundene opptatt av personvern? www.stopsmartmeters.org www.infowars.com/woman-pulls-gun-to-prevent-smart-meter-installation/ 8
NISTIR 7628 Guidelines for Smart Grid Cyber Security v1.0 9
10 Dagens IT
Godt(?) sikrede målere i Mexico Foto: Marianne Gullvåg 11
12
Relevante problemstillinger Hvordan innføre AMS på en sluttbrukervennlig måte? Nasjonal måledatahub; datahub eller kommunikasjonshub? Tredjepartstjenester (f.eks apps); tilgjengeliggjøring av data for tilbydere? Overvåkingsaspektet vs forbrukernytte Misbruk av måledata Ref. Lisovich 2010: Inferring Personal Information from Demand-Response Systems Hva gjøres i andre land, finnes det god praksis? Personopplysningsloven vs nettselskapenes ønsker og behov Innsamling, anonymisering, bruk, sletting 13
Hva er personvern? Saklig begrunnet behandling av personopplysninger Frivillig samtykke Opplysningsplikt om formål og mottakere Rett til innsyn Korrekt registrering Feilaktige opplysninger skal rettes Unødvendige opplysninger skal slettes Informasjonssikkerhet skal ivaretas Strengere regler ved følsomme opplysninger Retten til å være anonym Rett til manuell vurdering 14
Mer informasjon PhD-prosjekt Maria B. Line www.item.ntnu.no/people/personalpages/phd/maria.b.line/start The Norwegian Smartgrid Centre www.smartgrids.no Film: Hva er smart strøm (Smartgrid-senteret) http://youtu.be/vkfbe-gy31y Hvordan oppfatter kraftbransjen risikoen for angrep på driftskontrollsystemene; Masteroppgave av Marie Røyksund, UiS, 2011: http://brage.bibsys.no/uis/bitstream/urn:nbn:no-bibsys_brage_19637/1/master%202011%20marie%20r%c3%b8yksund.pdf NVE: Risikovurdering av AMS v/sintef: www.nve.no//no/nyhetsarkiv-/nyheter/god-sikkerhet-grunnleggende-for-vellykket-ams-utrulling/ Risikovurdering av Demo Steinkjer v/sintef: www.sintef.no/publikasjoner-sintef/publikasjon/?pubid=sintef+a23351 NVE: Veileder til sikkerhet i AMS www.nve.no/no/nyhetsarkiv-/nyheter/veileder-til-sikkerhet-i-ams/ Datatilsynet: Håndtering av personopplysninger fra AMS www.datatilsynet.no/global/english/automatiske_maalesystemer_eng.pdf 15
@SINTEF_Infosec @mariabline Besøk bloggen vår: infosec.sintef.no 16