Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

تُعد شبكة الكهرباء بمثابة الجهاز العصبي الواسع وغير المرئي الذي يغذي الحياة الحديثة، لكنها تمر بتحول جذري. لعقود من الزمن، كانت الكهرباء تتدفق في اتجاه واحد: من محطات الطاقة الضخمة إلى المنازل والشركات. واليوم، يتغير هذا التدفق؛ حيث يتم إضافة ملايين الألواح الشمسية على الأسطح والبطاريات في المرائب إلى النظام، مما يحول المستهلكين إلى منتجين صغيري النطاق للطاقة. هذا التحول ضروري لمستقبل خالٍ من الكربون، ومع ذلك فإنه يخلق ثغرة أمنية جديدة. فكل لوح شمسي وبطارية جديد يمثل نقطة دخول محتملة لهجوم سيبراني. ومع تضاعف هذه الأجهزة، ينمو "سطح الهجوم" — وهو إجمالي عدد الأماكن التي قد يحاول المخترق الاختراق منها — بسرعة تفوق القواعد المصممة لحماية الشبكة.

تتطلب حماية هذا النظام إنفاق الأموال، لكن شركات المرافق تواجه لغزاً صعباً. إذ يتعين عليها اتباع قواعد فدرالية صارمة تضع حداً أدنى للأمن، يُعرف باسم "أرضية الامتثال". ومع ذلك، فإن هذه القواعد لا تغطي الشبكة الجديدة والمتنامية بسرعة من الألواح الشمسية والبطاريات الموجودة على الأسطح. وبالنسبة لتلك الأجزاء من الشبكة، يجب على الشركات أن تقرر بنفسها مقدار ما ستنفقه ومتى. وليس لديهم دليل واضح حول ما إذا كان التحديث الأمني المقترح يستحق التكلفة، أو ما إذا كان ينبغي عليهم الانتظار لرؤية كيف ستتطور التكنولوجيا. وبدون وسيلة لوزن هذه القرارات، تخاطر شركات المرافق إما بالإفراط في الإنفاق على حمايات غير ضرورية، أو بالاستثمار المنخفض الذي يترك الشبكة مكشوفة.

قام فريق من الباحثين من جامعة برانديز، وجامعة إيموري، وجامعة ولاية جورجيا، باقتراح طريقة جديدة لحل هذه المشكلة. فقد طوروا إطار عمل مكوناً من أربع خطوات لمساعدة شركات المرافق في تحديد كيفية تخصيص ميزانيات الأمن السيبراني الخاصة بها. لا يعتمد عملهم على بيانات جديدة من شركة طاقة معينة أو محاكاة حاسوبية لعملية اختراق، بل هو دليل منهجي يجمع بين أربعة أفكار موجودة لم تُستخدم معاً من قبل: القواعد الإلزامية، والحدود الاقتصادية، ومرونة التوقيت، والحوافز المالية. ويرى المؤلفون أنه من خلال الجمع بين هذه العناصر، يمكن لشركات المرافق اتخاذ قرارات أكثر ذكاءً وقابلية للدفاع عنها بشأن مكان إنفاق أموالها للحفاظ على سلامة الشبكة مع انتقالها نحو الطاقة المتجددة.

الخطوة الأولى في إطار عملهم هي تحديد الإنفاق غير القابل للتفاوض. فقد وضعت الجهات التنظيمية الفدرالية معايير إلزامية يجب على شركات المرافق الوفاء بها، مثل إدارة المخاطر المتعلقة بسلسلة توريد أجزاء الكمبيوتر ومراقبة شبكات الكمبيوتر الداخلية لديها. ويطلق الباحثون على هذا اسم "أرضية الامتثال". وهي الحد الأدنى من المبلغ الذي يجب أن تنفقه الشركة بغض النظر عن مدى الخسارة التي قد تتكبدها جراء هجوم ما. هذا المال ليس اختيارياً؛ بل هو ثمن ممارسة العمل. ومع ذلك، تتوقف هذه الأرضية عند حافة خطوط الطاقة الرئيسية، فهي لا تغطي ملايين الألواح الشمسية والبطاريات الموزعة التي تتصل بالشبكة الآن. وحماية هذه الأصول الجديدة هي خيار تقديري، وهنا يبدأ التحدي الحقيقي.

بالنسبة للإنفاق الذي يتجاوز القواعد الإلزامية، يقترح الباحثون تطبيق خطوة ثانية: "سقف اقتصادي". وهم يستندون في ذلك إلى نموذج اقتصادي معروف يجادل بأن المؤسسات لا ينبغي أبداً أن تنفق على الأمن أكثر من مبلغ المال الذي تتوقع خسارته في حال حدوث خرق. فإذا كانت الترقية الأمنية المحتملة تكلف أكثر من الضرر الذي ستمنعه، فإن الاستثمار لا يعقل. تعمل هذه الخطوة كحاجز حماية، مما يمنع الشركات من الإفراط في الإنفاق على الأمن بدافع الخوف أو العادة. وهي تجبر المخططين على طرح سؤال صعب: هل يقلل هذا الاستثمار المحدد فعلياً من خطر وقوع خسارة مالية أكبر من تكلفة الإصلاح؟

وتقدم الخطوة الثالثة عنصر الوقت. إن عالم التهديدات السيبرانية وتكنولوجيا الطاقة المتجددة يتغير بسرعة. فالقرار الذي يُتخذ اليوم قد يصبح قديماً بعد عامين. ويقترح الباحثون استخدام طريقة تسمى "الخيارات الحقيقية" للتعامل مع عدم اليقين هذا. فبدلاً من الالتزام بكل الأموال دفعة واحدة، يمكن لشركة المرافق أن تختار الإنفاق على مراحل. فقد يبدأون بمشروع تجريبي صغير لاختبار التكنولوجيا. وإذا تغير مشهد التهديدات أو تحسنت التكنولوجيا، يمكنهم توسيع الاستثمار. وإذا تغير الوضع في اتجاه مختلف، يمكنهم التوقف أو التمهل. تضيف هذه المرونة قيمة، مما يسمح للشركات بالانتظار للحصول على مزيد من المعلومات قبل حجز مبالغ كبيرة من المال.

أما الخطوة الأخيرة في إطار العمل، فتنظر في الحوافز المالية التي خلقتها اللوائح الفدرالية الأخيرة. إذ يسمح أمر جديد من لجنة تنظيم الطاقة الفدرالية لشركات المرافق باسترداد تكاليف بعض استثمارات الأمن السيبراني المتقدمة بسهولة أكبر من المشاريع الأخرى. وهذا يخلق ميزة مالية للإنفاق على الأمن بما يتجاوز المتطلبات الدنيا. ويقترح الباحثون أن تقوم شركات المرافق بإدراج هذه الميزة في حساباتها. فعند مقارنة مشروع أمني باحتياجات أخرى، مثل ترقية خطوط الطاقة أو بناء محطات فرعية جديدة، يجب تقييم المشروع الأمني مع وضع التكلفة الفعلية المنخفضة في الاعتبار. وهذا يضمن عدم إغفال الترقيات الأمنية القيمة لمجرد أنها تبدو مكلفة على الورق.

لاختبار كيفية عمل إطار العمل هذا في العالم الحقيقي، نظر المؤلفون في مثال تاريخي من كاليفورنيا. ففي أوائل العقد الأول من القرن الحادي والعشرين، قام برنامج يسمى (CES-21) بتمويل الأبحاث في مجال الأمن السيبراني للشبكة وتكامل الطاقة المتجددة. وفي النهاية، تم خفض ميزانية البرنامج بنحو 77 بالمائة بعد أن قرر المشرعون أن الطلب الأصلي افتقر إلى تبرير واضح لحجمه. ويستخدم الباحثون هذا الحدث لتوضيح خطر القيام باستثمارات أمنية كبيرة دون وجود طريقة مهيكلة لتحديد القدر الصحيح. ويجادلون بأنه لو كان إطار العمل الذي اقترحوه متاحاً آنذاك، لربما تمكنت شركة المرافق من تبرير الإنفاق بشكل أكثر وضوحاً، أو ربما أدركت أن نهجاً أصغر ومرحلياً كان أكثر ملاءمة.

يؤكد البحث أن إطار العمل هذا هو أداة للتفكير، وليس منتجاً نهائياً جاهزاً للاستخدام الفوري. ويشير المؤلفون إلى وجود فجوات كبيرة في البيانات اللازمة لجعل النظام يعمل بشكل مثالي. فعلى سبيل المثال، لا توجد تقديرات دقيقة لمقدار المال الذي قد يكلفه هجوم سيبراني على مزرعة شمسية أو مجمع بطاريات. كما تعاني شركات المرافق أيضاً في مشاركة المعلومات الحساسة حول مخاطرها، مما يجعل من الصعب حساب "الخسارة المتوقعة" التي تحرك الخطوة الثانية من إطار العمل. علاوة على ذلك، لم تستفد أي شركة مرافق بعد من برنامج الحوافز الفدرالي الجديد، لذا لا توجد بيانات من العالم الحقيقي حول كيفية سير ذلك الجزء من المعادلة.

وعلى الرغم من هذه القيود، يعتقد الباحثون أن عملهم يسد فجوة حرجة. فمنذ سنوات، انقسم النقاش حول أمن الشبكة بين أولئك الذين يركزون على اتباع القواعد وأولئك الذين يركزون على اقتصاديات المخاطر. وتقترح هذه الورقة أن مستقبل شبكة آمنة وخالية من الكربون يعتمد على نسج هذه الخيوط معاً. ومن خلال توفير طريقة مهيكلة للجمع بين القواعد الإلزامية، والحدود الاقتصادية، ومرونة التوقيت، والحوافز المالية، يقدم إطار العمل مساراً للمضي قدماً. إنه لا يعد بالقضاء على التهديدات السيبرانية، ولكنه يقدم طريقة أكثر وضوحاً ومنطقية لتحديد كيفية إنفاق الأموال اللازمة لمحاربتها. ومع استمرار تغير الشبكة، فإن امتلاك وسيلة للتنقل عبر هذه الخيارات المعقدة قد يكون بنفس أهمية التكنولوجيا نفسها.