Одити за 2026 г. установяват забавена оценка на киберсистеми при нови енергийни мощности, подценяване на риска от общо управление чрез външни изпълнители и нови предизвикателства при използването на инструменти със свръхинтелигентност.

Федералната комисия за енергийно регулиране на САЩ (FERC) публикува анализ на резултатите от одитите за финансовата 2026 г. на организации, регистрирани към Северноамериканската корпорация за надеждност на електроенергийната система (NERC). Въпреки че повечето проверени процедури са отговаряли на задължителните стандарти за защита на критичната инфраструктура (CIP), одиторите са установили пропуски, които могат да изложат на риск надеждната работа на електроенергийната система за пренос на едро.

Докладът откроява три основни проблема: забавена регистрация и оценка на нови производствени мощности, непълно отчитане на системите за управление, използвани от свързани дружества и външни изпълнители, и рискове за контрола на достъпа при навлизането на инструменти със свръхинтелигентност (SI) в среди, свързани със защитата на електроенергийната инфраструктура.

Новите енергийни мощности не винаги се оценяват навреме

Според FERC някои собственици на генериращи мощности не са регистрирали своевременно новите си ресурси в NERC или не са идентифицирали и категоризирали навреме свързаните с тях киберсистеми на електроенергийната система за пренос на едро (BES). Това е изискване на стандарта CIP-002-5.1a, който определя кои системи подлежат на съответните мерки за защита.

Проблемът е бил особено видим при ресурси, базирани на инвертори (IBR). В отделни случаи съоръженията вече са били синхронизирани с електроенергийната система, преминали са отвъд първоначалните изпитвания и са започнали търговска експлоатация, но свързаните с тях киберсистеми все още не са били оценени.

Причина за забавянията е неправилното тълкуване на датата на започване на търговска експлоатация (Commercial Operation Date, COD). Някои собственици са изчаквали достигането на пълния номинален капацитет или приключването на всички етапи от процеса на присъединяване, преди да започнат регистрацията и оценката за съответствие. В един от случаите забавянето е надхвърлило година след достигането на приложимия праг.

FERC подчертава, че регистрацията и оценката трябва да се извършват според действителното начало на търговската експлоатация и приложимите критерии, а не да се отлагат до приключването на всички планирани етапи на проекта. Забавянето може да остави системи без необходимите мерки за защита или да доведе до неправилно прилагане на стандартите.

Общото управление може да създаде по-висок риск

Вторият проблем е свързан с киберсистеми, чрез които свързани дружества или външни изпълнители наблюдават и управляват множество производствени мощности. При оценката на риска някои организации са разглеждали системите си поотделно, без да отчетат общия ефект от съвместното им управление.

Одиторите са установили два подобни случая. В първия дружество майка, което не е било регистрирано за съответната дейност, е управлявало мониторинга и контрола на мощности на няколко свързани компании чрез един общ контролен център. Всяка от компаниите е категоризирала собствените си киберсистеми като такива с ниско въздействие, но общите възможности за управление са отговаряли на критерии за средно въздействие.

Във втория случай няколко независими оператори са използвали един и същ външен доставчик за наблюдение и управление на генериращите си мощности. Отново отделните системи са били оценени като нискорискови, въпреки че съвкупната функция е имала по-голямо значение за надеждността на електроенергийната система.

Това разграничение е съществено. Ако киберсистемите се категоризират само поотделно, без да се отчита общият обхват на управлението, реалното им въздействие може да бъде подценено. Системи, които би трябвало да подлежат на по-строги изисквания, могат да останат защитени с недостатъчни мерки.

FERC посочва, че отговорността за правилната идентификация и категоризация остава на регистрираните оператори, включително когато функции се изпълняват от свързани дружества или външни доставчици. Комисията също така отбелязва, че NERC може да обмисли допълнителни указания или промени в стандартите и процедурите за регистрация, за да изясни подобни ситуации.

Инструментите със свръхинтелигентност усложняват контрола на достъпа

Третият акцент в доклада е нарастващото използване на инструменти със свръхинтелигентност (SI) в мрежи, свързани със защитата на критичната електроенергийна инфраструктура. В тази категория FERC включва чатботове, персонални асистенти и автоматизирани аналитични системи.

Тези технологии могат да ускорят анализа и да автоматизират рутинни задачи, но същевременно могат да взаимодействат със системи, да изпълняват действия от името на потребители и да проявяват поведение, което затруднява разграничаването между легитимна и злонамерена активност. Ако достъпът им не е правилно ограничен и наблюдаван, те могат да създадат допълнителни пътища за неоторизиран достъп и придвижване между системите.

Одиторите са установили, че организациите като цяло отчитат присъствието на подобни инструменти и прилагат мерки за контрол, но подходите се различават. Допълнително усложнение е, че доставчиците все по-често вграждат функции със свръхинтелигентност в продукти и услуги, докато вътрешните програми за съответствие не винаги се адаптират със същата скорост.

Рискът може да се окаже труден за оценка предварително, ако организацията не познава пълните възможности на инструмента до момента, в който той вече работи в нейната среда. Инструмент с прекомерни права може да бъде използван за картографиране на мрежата, откриване на пътища към критични системи и автоматизиране на действия, които улесняват атака.

Какви мерки препоръчва FERC?

Докладът насочва организациите към по-строго прилагане на съществуващите стандарти, вместо към приемането на SI инструментите като изключение от утвърдените правила за достъп.

По CIP-004-7 организациите трябва да разрешават електронния достъп до киберсистеми на BES и до информация за тях само при обоснована необходимост, периодично да проверяват дали този достъп продължава да е необходим и своевременно да го отнемат, когато основанието отпадне. Това се отнася и за достъпа, осигуряван чрез инструменти със свръхинтелигентност.

FERC препоръчва още:

• Да се обосновава необходимостта от внедряване на SI инструменти в среди, свързани с CIP.
• Да се инвентаризират инструментите и да се отчитат като общи служебни акаунти съгласно CIP-007, включително чрез смяна на паролите по подразбиране.
• Да се ограничава достъпът до чувствителна информация за киберсистемите съгласно CIP-011.
• Да се наблюдават външните комуникации на тези инструменти, включително връзките извън електронния периметър за сигурност по CIP-005.
• Да се оценяват рисковете от доставчиците и техните продукти като част от управлението на риска по веригата на доставки съгласно CIP-013.
• Да се използват рамки за управление на риска, например NIST AI RMF 1.0, при внедряване на такива технологии.

Основният извод на FERC е, че съответствието с правилата не може да се свежда до формална регистрация или оценка на отделни устройства. То изисква своевременно идентифициране на системите, отчитане на реалните възможности за управление – включително когато са споделени между няколко организации – и контрол на достъпа, съобразен с действителния риск.

За енергийния сектор това е особено важно в среда, в която нови производствени мощности, външни услуги и автоматизирани инструменти все по-често участват в управлението на критични процеси. Пропуск в категоризацията или прекомерно предоставени права могат да създадат риск не само за една организация, но и за надеждността на по-широката електроенергийна система.