Avances en Gestión de Riesgos de Ciberseguridad en el Sector Eléctrico Colombiano Diciembre 2016

Taxonomía del Sector

Identificación de Activos Críticos

Ciberseguridad Consejo Nacional de Operación GUIAS CIBERSEGURIDAD SECTOR ELÉCTRICO EN COLOMBIA Ciberseguridad Consejo Nacional de Operación Identificación de activos críticos Gestión de la seguridad de ciberactivos críticos Seguridad física de ciberactivos críticos Plan de recuperación de ciberactivos críticos Criterios para definir los activos críticos para el SIN *Acuerdo CNO 788 de 2015

Identificación de Activos y Ciberactivos Criterios para definir los activos críticos para el SIN Identificación de activos críticos *Acuerdo CNO 788 de 2015

Activos Críticos Cada grupo de unidades de generación en una localización de planta simple con capacidad máxima de potencia real neta mayor o igual 100 MW. Cada recurso o grupo de recursos de reactiva (excepto generadores) con una capacidad de en una localización simple mayor o igual a 100 Mvars. Cada planta de generación que a criterio del operador del sistema, es considerada critica para garantizar la confiabilidad del sistema, considerado generación de seguridad. Cada recurso identificado como importante por parte del operador del sistema en el plan de restauración desde Blackstart. Instalaciones que se encuentran en sitios particulares y cumplen con los requerimientos de suicheo iniciales desde el Blackstart al primer punto de interconexión de las unidades de generación a ser arrancadas o llevadas al camino donde existen más de una alternativa y que es identificado como importante en el plan de recuperación. *Acuerdo CNO 788 de 2015

Activos Críticos Instalaciones de transmisión operadas a 220 KV o mayor, es decir, que pertenezcan al STN (Sistema de Transmisión Nacional). Instalaciones de transmisión operadas a 110 kV o más y que contengan más de una instalación con otros niveles de tensión. Instalaciones de transmisión que, a criterio del operador del sistema, pertenezcan a cortes críticos desde el punto de vista de confiabilidad. Flexible AC Transmission Systems (FACTS), que, a criterio del operador del sistema, pertenezcan a cortes críticos desde el punto de vista de confiabilidad. Instalaciones de transmisión que conectan generación al sistema y que su indisponibilidad podría indisponer equipos de generación como los considerados en los ítems 1.1. y 1.3. *Acuerdo CNO 788 de 2015

Activos Críticos Esquemas especiales de protección como los Esquemas Suplementarios, que operan de tal manera que garantizan la confiabilidad del sistema. Cada sistema que ejecuta desconexión automática de carga por bajo voltaje o baja frecuencia. Cada centro de control o centro de control de respaldo usado para ejecutar las obligaciones funcionales del operador del sistema, Generador, Transmisor o Distribuidor. Cualquier activo adicional que soporte la operación confiable de interconexiones internacionales. Cualquier activo adicional que soporte la operación confiable del SIN que la entidad responsable estime adecuado incluir en su evaluación. *Acuerdo CNO 788 de 2015

Ciberactivos Críticos Identificación de Ciberactivos Críticos

Ciberactivos Ciberactivos Ciberactivo: Dispositivo electrónico programable y elementos de las redes de comunicaciones incluyendo hardware, software, datos e información. Así como aquellos elementos con protocolos de comunicación enrutables, que permitan el acceso al mismo de forma local o remota. Ciberactivo crítico: Dispositivo para la operación confiable de activos críticos que cumple los atributos descritos: El ciberactivo usa un protocolo enrutable con un centro de control El ciberactivo usa un protocolo enrutable para comunicarse afuera del perímetro de seguridad electrónica El ciberactivo es accesible por marcación. *Acuerdo CNO 788 de 2015

Agrupación de Ciberactivos Infraestructura Estratégica Cibernética Tecnología de Información Centro Cómputo/Procesamiento Centro de Almacenamiento Comunicaciones Locales Metropolitanas Remotas Tecnología de Operación Centros de Cómputo de TO Centros de Operación Tableros de Control *Guía para la Identificación, clasificación y catalogación de Infraestructura Crítica Cibernética (ICC) del país. V 1.0

Ej. Agrupación Centro de Computo de TO Centros de Operación Servidores de proceso Sistemas de Intercambio de Información entre redes TO/TI Sistemas de Sincronización de Tiempo Centros de Operación Estaciones de operación Estaciones de ingenieria Tableros de Control RTU IHM PLC

Ejemplo de Taxonomía critica Cibernética Propuesta para Generación de Energía Eléctrica para Hidráulicas Servidores de Procesos Estaciones de Operación RTU / PMU / SCC Equipos de Comunicaciones con el CND Servicios de comunicaciones de voz operativa Subsistemas de Safety Equipos de ciberseguridad del proceso Sistema de Alertas tempranas Sistema de Información Hidrometeorológico Esquemas de protecciones Actuadores y sensores PLC de Control de procesos Controladores de unidad Interfaz Humano Máquina Centro de Control de Generación Equipos de comunicación en Campo Subsistema de Vibraciones Sistemas Para recuperación desde BlackStart

Escalas de impacto

Escala Propuesta Impacto Social

Escala Propuesta Económico

Escala Propuesta Medioambiental

Escala Propuesta Imagen

Identificación de Escenarios

ESCENARIO? Describe el evento causa y consecuencia que puede materializar la ocurrencia de un ciberataque contra ciberactivos críticos como se describen en el acuerdo 788.

Definiciones para Escenarios de Riesgo Seguridad: Ciberactivo que habilita la seguridad y protecciones del sistema. Safety: Ciberactivos que faciliten la protección de las personas y el medioambiente Recuperación: Ciberactivos que permiten recuperación del sistema incluido Black Start.

Escenarios de Riesgos del Sector Apagón generado por ciberataques a Centrales de Generación incluyan o no afectación a los mecanismos de Seguridad, Safety y Recuperación Apagón generado por ciberataques a la Transmisión o Distribución incluyan o no afectación a los mecanismos de Seguridad, Safety y Recuperación Apagones generados por ciberataques a Centros de Control incluyan o no afectación a los mecanismos de Seguridad, Safety y Recuperación Ciberataques orientados a manipulación no autorizada o destrucción de equipos u obras civiles. Cada agente identificará los subescenarios relacionados

Atributos de seguridad Confidencialidad Integridad Disponibilidad

Definiciones para Subescenarios de Riesgos Causa: Amenaza que explota una vulnerabilidad y da origen a un evento de Riesgo. Evento: Situación con el potencial de materializar la afectación de los atributos de seguridad del ciberactivo. Consecuencia: Resultado de un evento que materializa los Escenarios de Riesgo del sector. Cada agente identificara los subescenarios relacionados

“Una amenaza es la causa potencial de un incidente no deseado, que puede provocar daños a un sistema o a la organización” ISO 27000

Aentes de Amenaza Agentes de Amenaza Terroristas Organizaciones criminales Hackers Trabajadores y ex trabajadores descontentos Contratistas y ex contratistas descontentos

“Una vulnerabilidad es una debilidad del activo o control que puede ser explotada por una o más amenazas.”* Se entiende “activo o control” en el sentido amplio tanto de tecnología como de las personas y los procesos. *ISO 27000

Ejemplos de Vulnerabilidades en Tecnología Sistemas no parchados Uso de protocolos inseguros Sistemas vulnerables por defecto Falta de protección contra amenazas de día cero Falta de protección del Malware Sistemas no actualizados Configuración inadecuada de sistemas de control de Acceso Puertos de acceso no disponibles o no controlados Contraseñas por defecto Faltas de controles de acceso a la red Separación inadecuada de redes Autenticación débil o inexistente Imposibilidad de configurar medidas de control Acceso remoto no controlado Acceso no autorizado a redes externas

Ejemplos de Vulnerabilidades en Personas Susceptibilidad a la Ingeniería Social Falta de Capacitación Desconocimiento de Amenazas Desconocimiento de Procesos Desinterés en las medidas y el seguimiento de procedimientos Inadecuado manejo de la información Falta de conciencia situacional

Ejemplos de Vulnerabilidades en Procesos Procesos inadecuados de seguridad física y lógica. Falta de escenarios y procedimientos de prueba. Administración inadecuada de puertos USB. Manejo inadecuado de contraseñas (selección y administración) Políticas y procedimientos inadecuados. Inadecuada asignación de roles. Topología de red inadecuada. Arquitectura de red inadecuada. Falta de controles sobre la información del sistema de control. Falta de seguridad física. Procesos inadecuados de respaldo, recuperación y resiliencia. Automatización inadecuada. Auditorías inadecuadas. Falta de controles a dispositivos móviles. Falta de vigilancia a terceros.

Que sigue Los agentes deberán realizar las siguientes etapas: PROXIMOS PASOS Los agentes deberán realizar las siguientes etapas: Etapa de Análisis y Evaluación Implementación de Controles de la Guía de Ciberseguridad Tabla de probabilidad y consecuencia teniendo en cuenta los lineamientos

PREGUNTAS Y COMENTARIOS

GRACIAS

Afectaciones Mayores Evento que afecta mas del 5% de la oferta o demanda Activos de transmisión que