به گزارش کارگروه بین‌الملل سایبربان؛ پس از مقررات جدید سازمان مرکزی برق هند (CEA)، الزامات امنیت سایبری رسماً از دستورالعمل‌های مشاوره‌ای به تعهدات قانونی در سراسر بخش انرژی پاک این کشور تغییر یافته است.
برای محافظت از زیرساخت‌های حیاتی شبکه در برابر تهدیدات دیجیتال، این چارچوب، حفاظت‌های اجباری فناوری عملیاتی را برای تأسیسات تولید انرژی تجدیدپذیر و سیستم‌های ذخیره‌سازی انرژی باتری (BESS) با توان ۵۰ مگاوات و بالاتر اعمال می‌کند.
این قوانین که قرار است از اول آوریل ۲۰۲۷ اجرایی شوند، مجموعه‌ای از حفاظت‌های فناوری عملیاتی (OT) را اعمال می‌کنند. به نهادهایی که زیر حد ۵۰ مگاوات فعالیت می‌کنند، توصیه شده تا استانداردهای دفاع سایبری پایه را اجرا کنند که برای اپراتورهای کوچک‌تر طراحی شده‌اند.
چارچوب حاکمیت سایبری
طبق دستورالعمل‌های جدید، توسعه‌دهندگان انرژی پاک باید امنیت سایبری را در حاکمیت شرکتی اصلی ادغام کنند. شرکت‌ها موظف هستند یک مدیر ارشد امنیت اطلاعات (CISO) اختصاصی را در کنار یک مدیر ارشد امنیت اطلاعات جایگزین، که هر دو از بین مدیران ارشد انتخاب می‌شوند، منصوب کنند.
سازمان‌ها باید یک بخش امنیت اطلاعات شبانه‌روزی در هند ایجاد کنند تا به طور مداوم سیستم‌های عملیاتی را رصد کنند. علاوه بر این، توسعه‌دهندگان باید یک طرح مدیریت بحران سایبری را اجرا کنند، فهرست دارایی‌ها را به‌روز نگه دارند و ارزیابی‌های منظم آسیب‌پذیری سایبری را انجام دهند.
تیم واکنش به حوادث امنیت رایانه‌ای - برق (CSIRT-Power) به عنوان آژانس مرکزی برای تجزیه و تحلیل حوادث، هشدارها، ممیزی‌های امنیتی و نظارت امنیتی زنجیره تأمین در کل اکوسیستم برق ملی عمل خواهد کرد.
گسترش سریع هند به سمت انرژی تجدیدپذیر متغیر به شدت به رابط‌های دیجیتال متکی است. نیروگاه‌های خورشیدی مدرن، مزارع بادی و سیستم‌های باتری به نظارت از راه دور، کنترل‌های خودکار و تعادل پویای شبکه متکی هستند.
سیستم‌های ذخیره‌سازی انرژی باتری از سامانه‌های کنترل دیجیتال متصل استفاده می‌کند. سیستم‌های مدیریت باتری (BMS)، سیستم‌های مدیریت انرژی (EMS) و سیستم‌های تبدیل برق (PCS) از طریق پلتفرم‌های ابری و پروتکل‌های شبکه ارتباط برقرار می‌کنند. محیط دیجیتال اهداف بالقوه‌ای را برای بهره‌برداری سایبری ایجاد می‌کند. یک سیستم کنترل در معرض خطر می‌تواند پایداری شبکه را مختل کند یا باعث آسیب فیزیکی به تجهیزات شود.
دستورالعمل‌های زنجیره تأمین و عملیاتی
• فناوری عملیاتی: اپراتورها باید شبکه‌های فناوری عملیاتی کنترل‌کننده تجهیزات فیزیکی را از شبکه‌های عمومی فناوری اطلاعات شرکت‌ها و اتصالات مستقیم اینترنت با استفاده از دروازه‌های امن جدا کنند.
• تعهدات فروشنده و سازندگان تجهیزات اصلی (OEM): تأمین‌کنندگان اینورترها، سخت‌افزار و نرم‌افزارهای مدیریتی باید با استانداردهای امنیت ملی مطابقت داشته باشند. تولیدکنندگان تجهیزات باید به‌روزرسانی‌های نرم‌افزاری قابل تأیید و امضا شده دیجیتالی ارائه دهند.
• داده‌ها: تمام داده‌های کاربردی، کنترلی و عملیاتی تاریخی، از جمله تله‌متری میزبانی‌شده توسط ابر، باید رمزگذاری و منحصراً در داخل خاک هند ذخیره شوند.
• جدول زمانی تشدید حادثه: نقض‌های امنیت سایبری باید ظرف 6 ساعت به تیم واکنش به حوادث امنیتی کامپیوتری و تیم واکنش به حوادث سایبری گزارش شوند. خرابکاری سایبری تأیید شده که بر دارایی‌های حیاتی تأثیر می‌گذارد باید ظرف 24 ساعت گزارش شود.
• ممیزی‌ها: ممیزی‌های پیش از راه‌اندازی و سالانه امنیت سایبری اجباری هستند. آسیب‌پذیری‌های حیاتی یا پرخطر شناسایی‌شده باید ظرف 30 روز برطرف شوند.
مقررات 2026 سازمان مرکزی برق هند نشان‌دهنده تغییر تعیین‌کننده‌ای در گذار انرژی این کشور است و رسماً امنیت سایبری را به عنوان یک ستون اساسی ثبات شبکه ملی به جای یک الزام اداری فناوری اطلاعات در نظر می‌گیرد. با اجرای فاصله‌گذاری هوایی شبکه، اقامت اجباری داده‌های داخلی و جدول زمانی افشای نقض 6 ساعته برای دارایی‌های بالای 50 مگاوات، این چارچوب، پنجره آسیب‌پذیری را بر سیستم‌های ذخیره‌سازی انرژی تجدیدپذیر و انرژی‌های تجدیدپذیر متصل می‌بندد. با نزدیک شدن به مهلت انطباق با قوانین در اول آوریل ۲۰۲۷، موفقیت به این بستگی دارد که توسعه‌دهندگان کنترل‌های سایبری عملیاتی را مستقیماً در ترازنامه‌های خود بگنجانند و بین گسترش سریع انرژی سبز و یک محیط دفاعی بی‌عیب و نقص تعادل برقرار کنند.
