תפקיד Nrc בפיתוח תקני אבטחת סייבר עבור צמחים גרעיניים

תפקידה של ועדת הפיקוח הגרעינית בתקני אבטחת סייבר עבור צמחים גרעיניים

הפעולה הבטוחה של תחנות כוח גרעיניות תמיד תלויה בשליטה טכנית קפדנית ובשליטה חזקה.כמכשירים דיגיטליים, מערכות בקרה ותקשורת ברשת הפכו להיות חלק יותר ויותר מפעילות צמחית, הנוף האיום השתנה. בסביבה זו, ועדת הריגולציה הגרעינית (NRC) משמשת כסמכות פדרלית העיקרית האחראית לפיתוח ואכיפת תקני אבטחת סייבר המגינים על נכסים קריטיים אלה.

מדוע אבטחת סייבר חשובה לתשתית גרעינית

תחנות כוח גרעיניות מודרניות מסתמכות על מערכת אקולוגית מורכבת של מערכות דיגיטליות – מהגנת הכור ומבקרת מוטות ועד מערכות אבטחה ורשתות ניטור צמחיות. רבים מהמערכות הללו תוכננו במקור באמצעות גיבוי אנלוגי ובדידות פיזית בראש, אך שדרוגים והחלפת מחזור חיים הציגו רכיבים דיגיטליים המציעים הטבות ביצועים ופגיעות חדשות של סייבר על תשתיות קריטיות, עם קמפיינים ממוקדים נגד מגזרי אנרגיה, כלי מים, מערכות בקרה תעשייתיות, ובקרת אבטחה לא יכולה לכלול רק את הפחתת תפקוד גרעיני או מנגנוני אבטחה.

קרנות היסטוריות של תקנות אבטחת סייבר גרעינית

פוסט-9/11 אבטחה רפורמות

דרישות הסייבר המודרניות לתחנות כוח גרעיניות מתחלפות להשלכות הביטחוניות לאחר ה-11 בספטמבר 2001, ה-NRC הוציא פקודות ולאחר מכן ארגן מחדש דרישות של תכנון-basis (DBT) הכוללות הגנה פיזית.עם זאת, אבטחת דיגיטלית נותרה תחת הדרכה נפרדת עד שהתעשייה החלה לעבור למכשור דיגיטלי משולב יותר ובקרה (I&C) במערכות סביב 2005-2010.

לידה של 10 CFR חלק 73.54

בשנת 2009 הוציאה ה-NRC חוק סופי שהוספת דרישות אבטחת סייבר לתקנותיה.כלל זה, שהוגדר ב-10 CFR חלק 73.54, הפך לאפקטיבי ב-27 במרץ 2009. הרגולציה הנדרשת לכל רישיון של תחנת כוח גרעיני להגיש תוכנית אבטחת סייבר שפנתה להגנה על מערכות מחשב ותקשורת דיגיטליות ורשתות הקשורות לתקני בטיחות, אבטחה וחירום.

מסגרת השיקום: תקני אבטחת סייבר של NRC בפרט

10 CFR חלק 73.54: תקנה הליבה

תקנות אבטחת הסייבר של NRC העיקריות, 10 CFR חלק 73.54, חלות על כל תחנות הכוח הגרעיניות המסחריות בארצות הברית.

• (FLT:0) ,Conduct a Cyber Assessment הערכה 1OVA, המזההה ומערכת את הסיכון לנכסים דיגיטליים מאיומים מקוונים, כולל התקפות פיזיות ואלקטרוניות.
• (FLT:0)Develop והטמעת תוכנית אבטחת סייבר 1) הכוללת אסטרטגיות הגנה ספציפיות לנכסים דיגיטליים קריטיים (CDAs) – מערכות שכישלונן או ניצולן עלולים להשפיע באופן ישיר או עקיף על בטיחות, אבטחה או על מוכנות חירום.
• (FLT:0) צעדים ביטחוניים מעמיקים של הגנה על עומק: 1) הכוללים שכבות מרובות של בקרות אבטחה, כולל פלח רשת, חומות אש, מערכות זיהוי חדירה, בקרת גישה והצפנה.
• (FLT:0) יכולות התגובה לאירועי אירועים תגובה (FLT:1) כדי לזהות, לנתח ולהגיב למקרים של סייבר באופן זמני, כולל תיאום עם צוותי תגובה של אירוע הסייבר הלאומי.
• (ב) [13] תוצאות בדיקות תקופתיות וביקורתיות (FLT:1) כדי לאמת את יעילות הבקרה ולזהות פערים להפעלה מחדש.
• (FLT:0) ניהול תצורה חזק ניהול תצורה 1FLT תהליכי עבור כל המערכות הדיגיטליות הנופלות במסגרת תוכנית אבטחת הסייבר.

מדריך רישום 5.71: יישום נדר

כדי לסייע לרישיונות לציית ל-10 CFR חלק 73.54, ה-NRC פרסם מדריך רגולטורי 5.71, "תכניות אבטחה Cyber למתקנים גרעיניים" מדריך זה מספק המלצות טכניות מפורטות על איך לעצב, ליישם, ולשמור על תוכנית אבטחת סייבר.זה תואם את המכון הלאומי לתקנים וטכנולוגיה (NIST) לשיפור תשתיות אבטחת סייבר קריטיות ומשלב מושגים מהמידע של הסוכנות לביטחון לאומי (NSA) כולל 571 עקרונות אבטחת מידע של RGI.

• מלאי נכסים וסיווג לכל הנכסים הדיגיטליים.
• מתודולוגיית הערכת סיכונים המבוססת על משטח התקפה, על הסבירות של איומים ועל חומרת לוואי.
• אמצעים מוגנים כגון בקרת גבולות, גישה לפחות פרטית, ושיטות פיתוח תוכנה מאובטחות.
• ניטור רציף וזיהוי אנומלי באמצעות מידע אבטחה וניהול אירועים (SIEM) כלים.
• נהלי תגובה ושיקום הכוללים גיבויים לא מקוונים ויכולות נפילה ידנית.
• תכנית הכשרה מקיפה ומודעות לכל אדם עם גישה למערכת דיגיטלית קריטית.

NEARG-1801 ו- Updating the Design Basis Threat

תקני אבטחת סייבר אינם סטטיים.ה-NRC מחזר את האיום על בסיס העיצוב (DBT) כדי לשקף שינויים ביכולות הקידודיות.DBT, הכלול ב- NUREG-1801, "איום העיצוב של אזהרות על בסיס רדיולוגי סאבוטאז'", מודיע הן דרישות פיזיות ואבטחת סייבר.ב-2022, ה-NRC עדכן את ה-DBT כדי לכלול פיגועים מתוחכמות, כגון תוכנות זדוניות, כופר, תוכנות מתקדמות ואיומים מתקדמים (APT) כדי לשלב את התקני אבטחה חדשים ואיומים חדשים ואיומים מתקדמים (APT) או תוכניות אבטחה, או למערכות אבטחה, או למערכות אבטחה, או למערכות אבטחה, או למערכות אבטחה, או למערכות אבטחה, יכולות לתקנות אבטחה, או סודיות) כדי לשלב מחדש, או למערכות אבטחה, או סודיות, או למערכות אבטחה, או מנגנוני אבטחה, כדי לכלול למערכות אבטחה מרחוק, או למערכות אבטחה, או למערכות אבטחה, או למערכות אבטחה, כדי לכלול למערכות אבטחה, כדי לכלול מנגנוני אבטחה, כדי לכלול מנגנוני אבטחה, או מנגנוני אבטחה, כדי לכלול מנגנוני אבטחה, כדי לכלול מנגנוני אבטחה, כדי לכלול מנגנוני אבטחה, כדי לכלול מנגנוני אבטחה, וכן מנגנוני

יסודות מרכזיים של תקני אבטחת סייבר של NRC: A Deeper Dive

הערכת סיכונים והערכה דיגיטלית קריטית

הבסיס של כל תוכנית אבטחת סייבר מבוססת NRC הוא זיהוי של נכסים דיגיטליים קריטיים (CDAs) מערכות אשר פשרה יכולה להוביל ישירות או בעקיפין לשחרור רדיולוגי או לאירוע אבטחה משמעותי.דוגמאות כוללות את מערכת הגנת הכור, מחשב תהליכים, מערכת בקרת טורבינות עיקרית, ואת רשת בקרת הגישה הביטחונית.רישיונות חייבים לבצע ניתוח פער בין היציבה הקיימת שלהם לבין דרישות של 10FR חלק 7354, ולאחר מכן, יש להדגיש את הסיכונים הבסיסיים של NCR.

הגנה-in-Depth ו- Network Segmentation

הגנה-במעמיק היא אבן הפינה של תקני אבטחת המידע של NRC.רישיונות חייבים להקים מספר רב של שכבות של אבטחה, כך שאם שליטה אחת נכשלת, אחרים ממשיכים להגן על המאגר.רשת היא קריטית במיוחד: מערכות קריטיות בטיחות צריכות להיות מבודדות מרשתות עסקיות ומאינטרנט אלא אם כן יש צורך מוחלט.אם נדרשת קישוריות, בקרה קפדנית כגון שערים חד-צדדיים, חומת אש של יישומים, ו ניטור חייב להיות מופקדים על ידי שימוש גם על ידי רשתות אבטחה דיגיטליות (או-מתאים).

גילוי אירועים ותגובה

NRC מצפה לרישיונות להיות מסוגל לזהות אירועי סייבר במשרה מלאה.זה אומר פריסת מערכות זיהוי חדירה (IDS) ומערכות למניעת חדירה (IPS) הן על רשתות הבטיחות והעסקים, עם מתאם של יומני המולדת ברישיונות מרכזיים של SIEM.רישיונות חייב גם להקים תוכנית תגובה אירוע כי הוא לא מוגדר, איך האירוע הוא הכלול, וכיצד ראיות ישמרו על פוטנציאל לבדיקות משפטיות של משרד הביטחון כולל כמה תרגילים של מחלקת הבקרה של ה-RC.

התאוששות והמשך עסקי

תוכניות שיקום חייבות להבטיח כי תחנות כוח גרעיניות יכולות לחזור לפעולה בטוחה לאחר אירוע סייבר.זה כולל שמירה על עותקים לא מקוון של נתוני תצורה ותוכנה, שיש להם עקפי פעולה ידניים עבור מערכות אוטומטיות, ועריכת בדיקות שיקום תקופתיות.ה-NRC מייעץ כי רישיונות לפתח אסטרטגיות "דהדרגה והישרדות" - פרושים המאפשרים למפעל לפעול בבטחה גם אם חלק מהבקרות דיגיטליות אינן זמינות.

תהליך האכיפה וההערכה של NRC

תובנות סייבר-ביטחון והערכה

NRC מבצעת בדיקות שגרתיות ובדיקות מיוחדות של תחנות כוח גרעיניות כדי לאמת עמידה בסטנדרטים של אבטחת סייבר.מפקחים במשרד לביטחון גרעיני ואירועי ה-NRC מעריכים את תוכנית אבטחת הסייבר, לבחון את יישום הפקדים, ואת יכולות התגובה של אירוע הבדיקה.הם גם מעריכים את רשומות ההכשרה של אנשי אבטחת סייבר.ה- NRC משתמש בגישה מודעת לקביעת בדיקות: צמחים בעלי הסתמכות רבה יותר על מערכות דיגיטליות או כאלה שקיבלו פעולות בדיקה מחדש, כולל מקרים קיצוניים, כולל פעולות אבטחה, עלולות למקרים של פעולות מיידיות, או פעולות מרפאות, כולל פעולות מרפאות, כולל פעולות מרפאות, או מרפאות, או מרפאות, כולל פעולות מרפאות, כולל פעולות מרפאות, כולל פעולות מרפאות, או מרפאות, עלולות יותר, עלולות למקרים חמורים יותר, כולל פעולות מרפאות, או מרפאות, או מרפאות, או מרפאות, כגון מרפאות, או מרפאות, או מרפאות מרפאות, עלולות להוביל למקרים חמורים יותר, או מרפאות, או מרפאות, כגון מרפאות, כגון מרפאות, או מרפאות, או מרפאות, ייתכן שגורמות למקרים חמורים יותר, כגון מרפאות, כגון מרפאות מרפאות מרפאות מרפאות מרפאות מרפאות מרפאות מרפאות מרפאות

דרישות דיווח

רישיונות חייבים לדווח על אירועים מסוימים של אבטחת סייבר ל-NRC במסגרת קווי זמן מוגדרים:

• התקפות סייבר מורשות שמפשרות על CDA או משפילות את תפקודו.
• פעילות חשודה המעידה על איום פנימי פוטנציאלי.
• כשלים משמעותיים של בקרת אבטחה - למשל, עיוות אש אשר חושף רשת בטיחות למשך יותר מ-24 שעות.

דוחות אלה נשמרים בסוד כדי להגן על מידע רגיש לביטחון.ה-NRC אוסף נתונים מצטברים על אירועי אבטחת סייבר כדי לזהות מגמות בתעשייה ולתאם את הנחיה הרגולטורית בהתאם.

שיתוף פעולה עם חברות תעשייה וממשלות

עובד עם המכון לאנרגיה גרעינית (NEI)

NRC שותף באופן שגרתי עם המכון לאנרגיה גרעינית (NEI), ארגון המדיניות של תעשיית הגרעין, לפתח ולחדד את תקני אבטחת הסייבר. מסמך ההכוונה של NEI 08-09 אושרה באופן רשמי על ידי ה-NRC במדריך לרישום 5.71 כאמצעי מקובל לציית ל- 10 CFR חלק 73.54.

תיאום עם סוכנויות ביטחון לאומי

ה-NRC מתאמת הדוקה עם המחלקה לביטחון סייבר וביטוח תשתיות של משרד האוצר (CISA) ותוכנית אבטחת סייבר של אנרגיה לתגובה חירום של אנרגיה (CEER) CISA מספקת משככי איומים והערכות פגיעות כי רישיונות NRC יכולים לגשת באמצעות תוכנית שיתוף אבטחת המידע של אבטחת סייבר (CRISP) NRC משתתף גם ב- Subsectorordinords (מועצת אבטחה מתקדמת) עם יכולות ספציפיות של הסוכנות לביטחון סייבר (USRC) תמיכה ב-NSA) בנוסף ל-NSA) יש תמיכה ב-NSA.

שיתוף פעולה בינלאומי

אבטחת סייבר היא נושא גלובלי.ה-NRC פועל עם הסוכנות הבינלאומית לאנרגיה אטומית (IAEA) וחברותיה החברות בחקיקה ושיעורי שיתוף של ה-IEA בנושא ביטחון גרעיני – במיוחד ב-(FLT:0Objective and Essentials of a State's Security Force FLT:1), כמו גם דרישות NRC רבות, כמו גם, בגישות התפעוליות של ממשלת יפן ו-I, ובמיוחד ב-C, ובמיוחד, בנוגע לחילופי אבטחה ו-I, ובמיוחד ל-I, ובמיוחד למדינות התפעוליות התפעוליות של מדינות תפעוליות בינלאומיות, כמו גם ב-CRC, ובמיוחד ל-ICC, ובמיוחד ל-IFLT:1.

אתגרים בפיתוח וקידום תקני אבטחת סייבר

ביטחון בנוגע ליעילות

אתגר מתמשך אחד עבור NRC הוא תכנון תקני אבטחת סייבר שאינם מונעים באופן בלתי חד-משמעי פעולות צמחיות. תחנות כוח גרעיניות הן סביבות מוסדרות מאוד שבו כל שינוי בתוכנה או תצורה חייב להיות מחוספס בזהירות. דרישות סייבר מחמירות יתר עלולות להאט תחזוקה לגיטימית או שדרוגים.ה- NRC כתובות זה על ידי מתן רישיונות להציע גישות חלופיות באמצעות תהליך "ההגדרה", בתנאי שהאלטרנטיבה תשיג רמה שווה ערך של אבטחה וספקית עבור ספקי אבטחה, הדורשים, עם צורך פעיל, עם צורך בגמישות עבור מערכות אבטחה, עם צורך בשרירים, עם צורך בגמישות, עם מערכת אבטחה, עם צורך אבטחה, עם צורך בבטיחות, עם צורך בגמישות, דורש רישיונות כדי להציע חלופות, עם צורך במנגנוני אבטחה, עם צורך בגמישות, עם צורך במנגנוני אבטחה, עם מערכת אבטחה, עם צורך בגמישות, עם צורך במנגנוני אבטחה.

כתובת: Legacy and Prorietary Systems

צמחים גרעיניים רבים עדיין פועלים מערכות דיגיטליות מורשת אשר תוכננו זמן רב לפני שאיומים מודרניים בתחום אבטחת סייבר הופיעו.מערכות אלה עשויות להיות משאבים מחשוב מוגבלים (למשל, בקרים משובצים עם 8 סיביות מעבדים) שאינם יכולים לתמוך בפרסומות אנטי-מודעות או ניטור רשת.ה-NRC דורשות מפחתת סיכונים עבור מערכות כאלה, כולל בידוד רשת קפדני, ניטור ידני ואמצעי כפי שיפור אבטחה פיזית בנוסף, מערכות קנייניות של ספקים שאינם מהווים יותר לתיים עבור בעיות של פעילות גופנית ופעולות לא סדירות לפיתוח מותאמות לטווח ארוך.

איומים פנימיים וגורמי שרשרת אספקה

ה-NRC דורש במפורש רישיונות כדי להתמודד עם איומים פנימיים הן בתוכניות אבטחת סייבר והן בתוכניות האבטחה הרחבות שלהם.איומים פנימיים קשים להגן מפני שפרטים מהימנים יש גישה לגיטימית.ה-NRC מצפה לרישיונות ליישם ניטור התנהגותי, שני כללים של יושרה אדם, ובדיקות רקע תקופתיות עבור גורמי אבטחת סייבר.

דרישות עתידיות לתקני אבטחת סייבר NRC

תגובות מתקדמות ותאומים דיגיטליים

בעוד תעשיית הגרעין נעה לכיוון כורים מתקדמים - כולל כורים מודולריים קטנים (SMRs) ומיקרולוגיים - NRC מפתחת תקני אבטחת סייבר שעולים לעיצובים חדשים אלה. כורים מתקדמים לעתים קרובות מסתמכים על אוטומציה דיגיטלית, ניטור מרחוק ואפילו שליטה אוטונומית.ה- NRC חייב להבטיח כי האבטחה בנויה בשלב העיצוב ולא רטרוfed מושגים כגון תאומים דיגיטליים - וטכנולוגיות אבטחה לשימוש בתקני אבטחה חדשים עבור צמיגים.

שילוב של בינה מלאכותית ואוטומציה

אינטליגנציה מלאכותית (AI) ולמידה מכונה (ML) מתחילים לשמש בפעולות צמחיות גרעיניות לגילוי אנומלי, ניתוח חיזוי, ואפילו תמיכה בקבלת החלטות המפעילה.ה-NRC מזהה הן את היתרונות הפוטנציאליים ואת הסיכונים של אבטחת סייבר של AI. לדוגמה, מודלים AI יכולים להיות מניפולציות באמצעות קלטות יריבות, או שהם עשויים לייצר תוצאות מוטות אם הם מאומנים על נתונים חשופים.

דגש על עמידות ושיקום

בעוד שמניעה נותרה חיונית, ה-NRC מדגיש יותר ויותר את עמידות הסייבר – היכולת לפעול בבטחה גם במהלך מתקפת סייבר מתמשכת.תקני עתיד עשויים לדרוש רישיונות לבדיקת "התחלה שחורה" ותרחישים של נפילה אנלוגית יותר קפדניים.ה- NRC חוקרת גם דרכים להאיץ את שיתוף המודיעין של איומים בין רישיונות ללא הפרת סודיות או חששות קנייניים.יצירת מרכז שיתוף מידע גרעיני (NCSC) היא גם בכיוון אחד אירגן על פני כדור הארץ.

מסקנה

התפקיד של NRC בפיתוח תקני אבטחת סייבר עבור תחנות כוח גרעיני הוא הכרחי.מתקנות היסוד של 10 CFR חלק 73.54 להנחיית יישום מפורטת במדריך מילואים 5.71, NRC בנתה מסגרת אשר מאזן הגנה קפדנית עם אמינות מעשית.באמצעות שיתוף פעולה מתמשך עם התעשייה, סוכנויות הביטחון הלאומי וגופים בינלאומיים, ה-NRC מבטיח כי תחנות גרעיניות להישאר גמישים נגד זרם מהיר, כמו גם שמירה על בטיחות ציבורית, לא תוסיף להבטיח את הסטנדרטים של אבטחה, כמו גם שמירה על בטיחות תפעוליים.