区域电力提供商:改善你的网络安全态势与PKI

去年11月,科罗拉多合作Delta-Montrose电气协会(处)的受害者“恶意”的网络攻击。留下一个痕迹。处无法处理付款和阻碍其计费功能。虽然数据泄露敏感信息并没有发生,有“一个重要数据丢失”。

一个月后,仍然无法支付他们的账单。幸运的是,在付款方面进展2月份当处开始处理一遍。但请记住,花了三个月发生。

事件后,全国农村电力合作社协会(那么)表示,它正与联邦政府和电力合作社”提供网络安全培训,帮助合作社现代化他们的系统和使用技术保持领先。”

所有关键基础设施在最前线

图片来源:GlobalSign

当然,这不仅仅是电网目标。不管它是一个城市的供水,一个主要石油和天然气管道或石油运输和存储公司,没有人幸免。所有关键基础设施是一个目标。

帮助区域电力和天然气公用事业供应商和所有球员关键基础设施,美国网络安全安全机构和基础设施,更好的被称为中钢协,是做最好的水平来跟上最新的威胁。在Russia-Ukraine危机之前,二月初机构发布了关键基础设施指南组织准备和减轻外国影响操作指令。中钢协今年关于也发出警告Log4j脆弱性和它对关键基础设施提供者的影响。

NIST和NERC扮演重要角色在确保关键基础设施的安全。

指南NIST网络安全框架创建的所有组织视为我们国家关键基础设施和提供了一个框架,用于组织基线网络安全态势与他们期望的成熟状态。框架是不规范的,但更多的导游决定一个组织的自我评估所需的结果。评估在执行多种功能,识别、保护、检测、响应和恢复但是没有描述如何弥补。

而自2008年以来,北美公司(NERC)、可靠性提供了关键基础设施保护(CIP)规则,具体地说,为了解决独特的安全需要北美大部分电力系统的绝大多数需求解决网络安全问题。NERC CIP更详细地概述了根据BES资产分类,以及如何保障应该实现。在所有情况下,这些BES提供者由NERC CIP必须符合要求

结合,NIST框架和NERC CIP需求可以而且应该携手工作。有伟大的NIST网络安全框架之间的映射,NERC CIP对于现有的公用事业公司,帮助简化这个过程。一个这样的例子,NERC指定“如何”“地址NIST框架”功能领域的远程访问。在这个例子NIST的简单标识经过身份验证的用户和设备使用方法符合交易的风险,NERC指定组织,操作,和过程控制所需的BES分类和在这种情况下,多因素身份验证是特定于安全的所有远程交易。

图片来源:GlobalSign

网络钓鱼是变得更糟

图片来源:GlobalSign

尽可能多的知道,钓鱼是一种最重要的方法是网络罪犯肆虐。他们这样做的时候通过发送虚假邮件,与欺骗的目标接收者分享个人信息,比如密码和信用卡号码或传播恶意软件/ ransomware。

根据跨越(Kaseya的一个部门)和思科2021年网络安全威胁趋势报告,大约90%的数据泄露发生由于钓鱼。构建的2022年网络钓鱼的状态报告发现,83%的组织报道经历成功的基于邮件钓鱼攻击,2021年和2020年的57%。此外,去年86%的组织面临大量钓鱼攻击,高于前一年的77%。BEC攻击和鱼叉式网络钓鱼攻击在2021年也增加了。

确保区域电网

有这么多糟糕的演员,网络安全不能再被第二个想法。当你看可以造成的破坏,你认为,我们不能让这种事情发生。

但是区域电力供应商很可能在更小的预算,和没有资源,也没有更大的组织的网络专业知识——比如ISOs和RTOS。要做什么吗?看SaaS技术提供者,可以帮助保护你的组织没有打破银行。

五个步骤对增加网络安全保护而资源约束

图片来源:GlobalSign

帮助保护您的组织内外的数字资产的保护网络和在运输和其他损失或违反数据使用PKI SaaS供应商可以提供易于使用,成本效益,和高度可靠的网络安全解决方案,可以减轻对网络黑客,这往往会导致服务中断,昂贵的取证和监管罚款,PKI管理数字证书发行和用于保护敏感数据,识别用户和“事物”,提供安全使用加密传输。

1. 通过钓鱼攻击防止恶意软件的传播,从一个受信任的CA提供数字签名的电子邮件收据的电子邮件,特别是他们的领域之外的保证发送者或者在某些情况下国旗寻求之前建议点击任何链接。
2. 使用证书颁发机构,了解独特的安全和电力行业的监管需要。是否操作在能源发电、输电、或代理/细分市场,确保您使用的是北美能源标准委员会(NAESB)兼容的数字证书,使合规及安全人员轻松地问题和管理证书授权内部和外部用户。

3. 不要相信下载,除非他们已经进行数字签名(甚至在内部)使用受信任的代码签名证书。下载看似无害的从外部和内部应用程序和可执行文件托管网站是自找麻烦如果代码没有与受信任的代码签名签署或扩展代码签名证书识别软件的发布者。

换句话说,onlydownload来自受信任来源的文件从软件出版商。

4. 满足cip - 005 - 5 -网络安全-电子安全周长2.3 - (s) -部分交互式远程访问管理需求定向高和中等BES网络系统及其相关使用PKI PCA。数字证书是高度可伸缩的方法来满足多因素身份验证的要求需要保障所有交互式远程访问会话。实用程序可以很容易地利用活动目录自动化的完整生命周期管理各种各样的证书类型为用户在无摩擦的方法利用广告的静默安装证书。通过使用一个SaaS证书权威,密钥管理的复杂性可以承担,同时仍然保持完全控制用户身份和访问策略。

5. 未来证明你的智能电网。随着越来越多的网格系统IP连接到不安全的网络,保证这些设备与机器的证书与SSL会话在运输过程中保护您的私人数据。

通过利用SaaS PKI服务,理想情况下一个NAESB认证,多个用例可以遇见下一个平台。