信息来源：安全内参

北美能源可靠性公司(North American Energy Reliability Corporation, NERC)的年度报告显示，去年，在许多类别的事件中，上报给北美电力行业信息共享中心的网络安全相关事件数量增加了一倍以上。当地时间8月17日发布的2021年可靠性状况报告称，NERC再次没有收到导致电力负荷损失的网络安全事件报告。NERC对加拿大和美国的大型电力供应商实施强制性可靠性标准。

然而，报告还指出，公用事业公司向电力信息共享和分析中心(E-ISAC)发送的事故报告数量比2019年增加了96%。网络安全事件被定义为可能对组织产生负面影响的事件，即使没有中断或可靠性影响，该事件也值得注意，应向E-ISAC报告。

报告的主要发现：

A.尽管2020年面临前所未有的挑战，该系统在全年仍然是可靠的。

B.在德克萨斯州和西部互联的部分地区，能源和资源充足保障问题在2020年有所升级。为保证可靠性，当地的能源保证发电仍然是必要的。

C.2020年，网络安全攻击和漏洞仍是一个重大问题。

D.2020年，天气相关大型事件恢复支持了BPS在衡量极端天气后恢复情况时的弹性。

E.2020年，保护系统误操作率继续下降。

F.2020年是五年分析期内由于极端天气导致交流电路无法使用的最高年份。

G.2020年，经EAP认证的导致负荷损失的输电相关事件数量大于前一年和五年的中值。

另一组关键数字包括:

A.与漏洞相关的事件增加了156%(从2020年的128起增加到328起);

B.可疑活动增加111%(从453起增至956起);

C.与勒索软件相关的事件增加了170%(73起，从27起)。

此外，该报告补充说，“由于远程工作的增加，前所未有的COVID-19大流行给行业带来了更多的远程网络安全攻击面。”这“需要E-ISAC与电力行业各级、美国和加拿大政府以及合作伙伴进行比以往任何时候都更大的分享和合作”。

该报告还指出，典型的能源供应商每天都会经历数千或数百万次事件，“而这些事件中很少有真正的事件。”

在向记者介绍该报告的情况时，NERC可靠性主管约翰•莫拉(John Moura)表示，去年披露的通过SolarWinds的Orion网络监控平台发生的供应链攻击事件(应用程序的更新机制遭到破坏)给业界敲响了警钟。

他表示:“我们最近看到的(攻击者的)持久性和复杂程度——尤其是去年底的SolarWinds——突显了威胁行动者的能力。”“这提高了安全态势的必要性，我认为，特别是考虑到全球所有的变化，攻击和未来供应链的威胁，使整个行业更希望提高安全态势。”

事实上，该报告指出，“随着SolarWinds的成功攻击，一种新的单一攻击载体将有效地模拟协同攻击，这引起了人们对任何和所有外部可路由设备的保护的重大担忧，而不管它们的个体规模或影响。”报告称，因此，应审查NERC对高、中、低影响资产的网络评级标准。

报告没有提到任何受到太阳风攻击影响的公用事业公司。然而，一家名为TrueSec的威胁情报公司表示，一家美国市政公用事业公司的系统显示出了与该漏洞相关的后门。

他说，网络和物理安全是北美大型电力供应商最优先考虑的问题。他说:“我们在过去一年看到的，以及多年来的趋势是，我们看到的(网络)威胁的类型、威胁的持久性、攻击载体的数量、(电力)系统的更分布式性质增加了攻击载体，所有这些都增加了。与其他风险不同，这些风险更难管理，因为我们谈论的是威胁行为体。”

可靠性风险优先级

NERC还发布了《2021年可靠性风险优先报告》，该报告着眼于北美电网未来的风险。报告称，接受调查的NERC成员将网络安全漏洞列为第二大威胁。首先是不断变化的资源结构，包括不断变化的发电机供电结构，如天然气、太阳能、风能和其他能源。

莫拉说，网络威胁是与能源行业、政府和监管机构举行的能源会议的“首要”议程。

该报告发现，2020年网络安全攻击和漏洞仍然是一个重大关切，称“随着有能力的民族国家和网络犯罪分子实施的涉及勒索软件和供应链破坏的网络事件增加，威胁格局继续扩大。”NERC发布了两个二级NERC警报，涉及来自民族国家对手的特定网络和供应链相关威胁，以帮助行业了解情况的程度。从警报中收集到的信息表明了威胁的复杂性，并表明了可靠性和安全生态系统的必要性，包括美国和加拿大的政府合作伙伴，重新思考如何确保行业供应链的安全。”

该报告还指出，E-ISAC已经启动了新的试点项目，旨在提高关键操作技术(OT)系统的可见性，如监督控制和数据采集(SCADA)和能源管理系统。

该报告建议，行业和政府“应该大幅提高网络和物理安全威胁信息共享的速度和细节，以应对有能力的民族国家对手和犯罪分子对关键基础设施的日益复杂和有针对性的攻击”。“除此之外，还应审查网络安全标准、供应链采购和风险评估。”

北美电网大致分为六个南北方向的区域实体，它们共享电网以增强恢复力。例如，不列颠哥伦比亚省和阿尔伯塔省就属于一个包括11个西部州的电网。