Новата регулаторна рамка на Индия обхваща производството, преноса и разпределението на електроенергия, като налага конкретни изисквания за защита на ИТ и индустриалните системи (OT). Според Nozomi Networks организациите трябва да започнат подготовката предварително, защото формалното приемане на политики няма да е достатъчно без видимост върху активите, постоянно наблюдение и доказуема оперативна готовност.
От препоръки към задължителни изисквания
Новите правила на Централното управление по електроенергетика на Индия (CEA) – Central Electricity Authority (Cyber Security in Power Sector) Regulations, 2026 – бяха обявени през юли и трябва да влязат в сила на 1 април 2027 г. Те заменят насоките от 2021 г. и създават задължителна рамка за киберзащита на електроенергийната инфраструктура.
Обхватът включва производствени мощности, преносни и разпределителни мрежи, центрове за управление на натоварването, съоръжения за съхранение на енергия, енергийни борси и други определени организации. Изискванията засягат също доставчици и външни изпълнители, които предоставят продукти или услуги на сектора.
Според Nozomi Networks регулацията превръща редица практики, прилагани досега неравномерно, в задължителни организационни и технически мерки. Сред тях са управлението на активите, оценката на риска, наблюдението на инфраструктурата, реакцията при инциденти и контролът върху веригата на доставки.
Малкълм Бейли, старши мениджър по внедряване на решения и проекти за Азиатско-тихоокеанския регион в Nozomi Networks, определя периода преди влизането на правилата в сила като стратегическа възможност за изграждане на устойчиви способности, а не просто за покриване на регулаторните изисквания.
Нови отговорности за ръководството и екипите по сигурността
Организациите в обхвата на регулацията трябва да назначат ръководител по информационна сигурност (CISO) и негов заместник. Изисква се и специализирано звено по информационна сигурност, което да функционира на територията на Индия.
Всяка организация трябва да разработи политика за киберсигурност и да я преразглежда ежегодно. Задължителни са също план за управление на киберкризи, ежегодни одити на критичните системи, регистри на киберактивите и процедури за оценка и ограничаване на риска.
Регулацията изисква непрекъснато наблюдение на ИТ и OT средите, структурирани процеси за докладване и реакция при инциденти и контрол върху достъпа до критични системи. Това предполага координация между ръководството, ИТ екипите, специалистите по индустриална автоматизация и отговорните за експлоатацията на електроенергийните съоръжения.
Защо индустриалните системи изискват отделен подход
Една от съществените особености на рамката е изричното признаване на специфичния риск за оперативните технологии (OT). Докато традиционните програми за информационна сигурност често се съсредоточават върху корпоративните ИТ системи, атаките срещу индустриални контролери, подстанции, производствени съоръжения и комуникационни мрежи могат непосредствено да засегнат физическите процеси.
Регулацията изисква OT системите да бъдат физически изолирани от интернет и, когато е възможно, от корпоративните ИТ мрежи. Когато оперативните потребности налагат свързаност, трябва да се прилагат надеждно логическо разделяне, оценки на риска, процедури за одобрение и постоянно наблюдение.
Предвидени са още:
- специализирани комуникационни канали за оперативни данни;
- наблюдение на специфичните за OT протоколи и мрежовия трафик;
- сегментиране на индустриалните мрежи според различните нива на доверие;
- защита на комуникациите между оперативните организации;
- строг контрол върху дистанционното управление и отдалечения достъп;
- оценки на сигурността преди въвеждането в експлоатация на критични системи.
Целта е да се изгради многослойна защита, която позволява откриване на подозрителна активност, без да се застрашават наличността и безопасността на индустриалните процеси.
Видимостта върху активите е основа на съответствието
Според Nozomi Networks една от основните трудности ще бъде поддържането на пълна и актуална информация за индустриалните активи. Много енергийни организации използват оборудване, натрупвано в продължение на години и разположено на различни обекти. В подобна среда често липсва единна картина за устройствата, версиите на фърмуера, комуникационните пътища и външните връзки.
Без такава информация е трудно да се оцени реалният риск, да се управляват уязвимостите или да се докаже изпълнението на регулаторните изисквания.
Затова организациите трябва да поддържат подробни регистри на киберактивите, да класифицират критичните системи, да документират мрежовата архитектура и да идентифицират използваните комуникационни протоколи. Оценките на риска и плановете за ограничаването му трябва периодично да се актуализират.
Тези процеси имат и непосредствена оперативна стойност: помагат за приоритизиране на уязвимостите, правилно сегментиране на мрежите и по-бързо разследване на инциденти.
Доставчиците също попадат под контрол
Новата рамка разширява отговорността за сигурността отвъд самите енергийни оператори. Доставчиците трябва да предоставят софтуерни актуализации, корекции за сигурност, процедури за възстановяване, списъци на компонентите в продуктите (SBOM), информация за жизнения цикъл, процеси за разкриване на уязвимости и доказателства за сигурна конфигурация преди внедряване.
Енергийните организации трябва да включват изисквания за киберзащита в договорите за услуги и да оценяват риска при доставчици, които имат достъп до критични системи.
Това превръща управлението на риска от трети страни в част от оперативната устойчивост. Сигурността вече не може да се разглежда единствено след закупуването на оборудване или софтуер – тя трябва да присъства още при избора на доставчик и през целия жизнен цикъл на продукта.
Пет етапа за подготовка до април 2027 г.
Nozomi Networks предлага подготовката да се организира в пет последователни етапа:
- Оценка на текущото състояние – определяне на приложимите изисквания, идентифициране на критичните системи, инвентаризация на ИТ и OT активите и анализ на несъответствията.
- Управление и отговорности – назначаване на изискваните ръководители, актуализиране на политиките и определяне на отговорностите за риска и докладването.
- Повишаване на видимостта – внедряване на откриване и наблюдение на активи, документиране на комуникационните пътища и проверка на мрежовото сегментиране.
- Укрепване на оперативната готовност – разработване на планове за киберкризи, подобряване на реакцията при инциденти, провеждане на симулации и осигуряване на непрекъснато наблюдение.
- Проверка на съответствието – оценки на уязвимостите, одити, преглед на доставчиците и отдалечения достъп и подготовка на необходимите документи и доказателства.
Преди 1 април 2027 г. операторите трябва да могат да докажат, че имат определено ръководство по сигурността, идентифицирани и класифицирани критични системи, подходящо разделяне на OT средата и пълен регистър на активите. Необходими са също постоянно наблюдение, документирани планове за реакция и формализиран контрол върху доставчиците.
Основният извод е, че съответствието не може да бъде постигнато само с документи и политики. То изисква актуална техническа информация, ясно разпределени отговорности и доказуема способност за откриване, ограничаване и преодоляване на инциденти. За енергийния сектор това е не само регулаторно задължение, но и условие за запазване на непрекъсваемостта и безопасността на критичните услуги.
