Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

विद्युत ग्रिड आधुनिक जीवन को शक्ति प्रदान करने वाली एक विशाल, अदृश्य तंत्रिका प्रणाली है, लेकिन यह एक क्रांतिकारी परिवर्तन से गुजर रहा है। दशकों तक, बिजली एक ही दिशा में बहती थी: विशाल बिजली संयंत्रों से घरों और व्यवसायों तक। आज, वह प्रवाह बदल रहा है। छतों पर लगे लाखों सौर पैनल और गैरेज में रखी बैटरियां सिस्टम में जोड़ी जा रही हैं, जिससे उपभोक्ता छोटे स्तर के बिजली उत्पादक बन रहे हैं। यह बदलाव कार्बन-न्यूट्रल भविष्य के लिए आवश्यक है, फिर भी यह एक नई भेद्यता पैदा करता है। प्रत्येक नया सौर पैनल और बैटरी साइबर हमले के लिए एक संभावित प्रवेश बिंदु है। जैसे-जैसे ये उपकरण बढ़ते हैं, "अटैक सरफेस" (attack surface)—वह कुल स्थान जहाँ से एक हैकर घुसने की कोशिश कर सकता है—ग्रिड की सुरक्षा के लिए बनाए गए नियमों की तुलना में अधिक तेज़ी से बढ़ता है।

इस प्रणाली की सुरक्षा के लिए पैसा खर्च करने की आवश्यकता है, लेकिन उपयोगिता कंपनियाँ (utility companies) एक कठिन पहेली का सामना कर रही हैं। उन्हें सख्त संघीय नियमों का पालन करना होता है जो सुरक्षा का एक न्यूनतम स्तर निर्धारित करते हैं, जिसे "अनुपालन तल" (compliance floor) कहा जाता है। हालांकि, ये नियम छत पर लगे सौर पैनलों और बैटरियों के नए, तेजी से बढ़ते नेटवर्क को कवर नहीं करते हैं। उन हिस्सों के लिए, कंपनियों को स्वयं निर्णय लेना होता है कि उन्हें कितना खर्च करना चाहिए और कब। उनके पास कोई स्पष्ट मार्गदर्शक नहीं है कि क्या प्रस्तावित सुरक्षा अपग्रेड लागत के लायक है, या उन्हें तकनीक के विकसित होने का इंतजार करना चाहिए। बिना किसी पद्धति के, इन निर्णयों को तौलने के लिए, उपयोगिता कंपनियाँ या तो अनावश्यक सुरक्षा पर अत्यधिक खर्च करने का जोखिम उठाती हैं या कम निवेश करके ग्रिड को असुरक्षित छोड़ देती हैं।

ब्रैंडिस यूनिवर्सिटी, एमोरी यूनिवर्सिटी और जॉर्जिया स्टेट यूनिवर्सिटी के शोधकर्ताओं की एक टीम ने इस समस्या को हल करने का एक नया तरीका प्रस्तावित किया है। उन्होंने उपयोगिता कंपनियों को यह तय करने में मदद करने के लिए एक चार-चरणीय ढांचा (framework) विकसित किया है कि वे अपने साइबर सुरक्षा बजट का आवंटन कैसे करें। उनका कार्य किसी विशिष्ट बिजली कंपनी के नए डेटा या हैक के कंप्यूटर सिमुलेशन पर निर्भर नहीं है। इसके बजाय, यह एक पद्धतिगत मार्गदर्शिका है जो चार मौजूदा विचारों को एक साथ लाती है जिन्हें पहले कभी एक साथ उपयोग नहीं किया गया था: अनिवार्य नियम, आर्थिक सीमाएं, समय की लचीलापन, और वित्तीय प्रोत्साहन। लेखक तर्क देते हैं कि इन तत्वों को जोड़कर, उपयोगिता कंपनियाँ ग्रिड को सुरक्षित रखने के लिए अपना पैसा कहाँ खर्च करें, इसके बारे में स्मार्ट और अधिक बचाव योग्य निर्णय ले सकती हैं।

उनके ढांचे का पहला चरण गैर-परक्राम्य (non-negotiable) खर्च की पहचान करना है। संघीय नियामकों ने अनिवार्य मानक स्थापित किए हैं जिनका उपयोग कंपनियों को पूरा करना होता है, जैसे कि कंप्यूटर पुर्जों की आपूर्ति श्रृंखला (supply chain) से जुड़े जोखिमों का प्रबंधन करना और अपने आंतरिक कंप्यूटर नेटवर्क की निगरानी करना। शोधकर्ता इसे "अनुपालन तल" कहते हैं। यह वह आधारभूत राशि है जिसे एक उपयोगिता कंपनी को खर्च करना ही होगा, चाहे उन्हें हैक से कितना भी नुकसान होने की आशंका क्यों न हो। यह पैसा वैकल्पिक नहीं है; यह व्यवसाय करने की कीमत है। हालांकि, यह तल मुख्य बिजली लाइनों के किनारे पर समाप्त हो जाता है। यह उन लाखों वितरित सौर पैनलों और बैटरियों को कवर नहीं करता है जो अब ग्रिड से जुड़ रहे हैं। इन नई संपत्तियों की सुरक्षा करना एक विवेकाधीन विकल्प है, और यहीं से असली चुनौती शुरू होती है।

अनिवार्य नियमों से परे जाने वाले खर्च के लिए, शोधकर्ता दूसरा चरण लागू करने का सुझाव देते हैं: एक आर्थिक छत (economic ceiling)। वे एक प्रसिद्ध आर्थिक मॉडल का उपयोग करते हैं जो तर्क देता है कि संगठनों को सुरक्षा पर उतना अधिक खर्च नहीं करना चाहिए जितना कि वे उल्लंघन (breach) होने पर होने वाले नुकसान की उम्मीद करते हैं। यदि कोई संभावित सुरक्षा अपग्रेड उस नुकसान से अधिक महंगा है जिसे वह रोकता है, तो वह निवेश तर्कसंगजनक नहीं है। यह चरण एक सुरक्षा कवच के रूप में कार्य करता है, जो कंपनियों को डर या आदत के कारण सुरक्षा पर अत्यधिक खर्च करने से रोकता है। यह योजनाकारों को एक कठिन प्रश्न पूछने के लिए मजबूर करता है: क्या यह विशिष्ट निवेश वास्तव में उस वित्तीय हानि को कम करता है जो इसके सुधार की लागत से अधिक है?

तीसरा चरण समय के तत्व को पेश करता है। साइबर खतरों और नवीकरणीय ऊर्जा तकनीक की दुनिया तेजी से बदल रही है। आज लिया गया निर्णय दो साल में पुराना हो सकता है। शोधकर्ता अनिश्चितता को संभालने के लिए "रियल ऑप्शंस" (real options) नामक विधि का उपयोग करने का प्रस्ताव देते हैं। सारा पैसा एक साथ लगाने के बजाय, एक उपयोगिता कंपनी चरणों में खर्च करने का विकल्प चुन सकती है। वे तकनीक का परीक्षण करने के लिए एक छोटा पायलट प्रोजेक्ट शुरू कर सकते हैं। यदि खतरे का परिदृश्य बदलता है या तकनीक में सुधार होता है, तो वे निवेश का विस्तार कर सकते हैं। यदि स्थिति किसी अन्य दिशा में बदलती है, तो वे रुक सकते हैं या रोक सकते हैं। यह लचीलापन मूल्य जोड़ता है, जिससे कंपनियों को बड़ी धनराशि को लॉक करने से पहले अधिक जानकारी प्राप्त करने का अवसर मिलता है।

अंतिम चरण हालिया संघीय नियमों द्वारा बनाए गए वित्तीय प्रोत्साहनों पर विचार करता है। फेडरल एनर्जी रेगुलेटरी कमीशन का एक नया आदेश उपयोगिता कंपनियों को कुछ उन्नत साइबर सुरक्षा निवेशों की लागत को अन्य परियोजनाओं की तुलना में अधिक आसानी से वसूल करने की अनुमति देता है। यह न्यूनतम आवश्यकताओं से परे सुरक्षा पर खर्च करने के लिए एक वित्तीय लाभ पैदा करता है। शोधकर्ता सुझाव देते हैं कि उपयोगities को इस लाभ को अपनी गणनाओं में शामिल करना चाहिए। अन्य जरूरतों, जैसे बिजली लाइनों को अपग्रेड करने या नए सबस्टेशन बनाने के साथ तुलना करते समय, सुरक्षा परियोजना का मूल्यांकन इसकी कम प्रभावी लागत के साथ किया जाना चाहिए। यह सुनिश्चित करता है कि मूल्यवान सुरक्षा अपग्रेड केवल इसलिए अनदेखा न रह जाएं क्योंकि वे कागजों पर महंगे दिखते हैं।

यह परीक्षण करने के लिए कि यह ढांचा वास्तविक दुनिया में कैसे काम कर सकता है, लेखकों ने कैलिफोर्निया के एक ऐतिहासिक उदाहरण को देखा। 2010 के दशक की शुरुआत में, CES-21 नामक एक कार्यक्रम ने ग्रिड साइबर सुरक्षा और नवीकरणीय ऊर्जा एकीकरण में अनुसंधान को वित्तपोषित किया था। जब विधायकों ने निर्णय लिया कि मूल अनुरोध में आकार का स्पष्ट औचित्य नहीं था, तो कार्यक्रम का बजट लगभग 77 प्रतिशत कम कर दिया गया था। शोधकर्ता इस घटना का उपयोग यह समझाने के लिए करते हैं कि बिना एक संरचित तरीके के बड़े सुरक्षा निवेश करने का खतरा क्या है। वे तर्क देते हैं कि यदि उनका प्रस्तावित ढांचा तब उपलब्ध होता, तो उपयोगिता कंपनी खर्च को अधिक स्पष्ट रूप से उचित ठहरा पाती, या शायद यह महसूस कर पाती कि एक छोटा, चरणबद्ध दृष्टिकोण अधिक उपयुक्त था।

यह शोध पत्र स्पष्ट करता है कि यह ढांचा सोचने का एक उपकरण है, न कि तत्काल उपयोग के लिए तैयार एक पूर्ण उत्पाद। लेखक उन डेटा अंतराल की ओर इशारा करते हैं जिनकी इस प्रणाली को पूरी तरह से काम करने के लिए आवश्यकता है। उदाहरण के लिए, इस बात का सटीक अनुमान नहीं है कि सौर फार्म या बैटरी एग्रीगेटर पर साइबर हमले की वास्तविक लागत कितनी होगी। उपयोगिता कंपनियाँ अपने जोखिमों के बारे में संवेदनशील जानकारी साझा करने में भी संघर्ष करती हैं, जिससे "अपेक्षित हानि" की गणना करना कठिन हो जाता है जो उनके ढांचे के दूसरे चरण को संचालित करती है। इसके अलावा, अभी तक किसी भी उपयोगिता कंपनी ने नए संघीय प्रोत्साहन कार्यक्रम का लाभ नहीं उठाया है, इसलिए इस समीकरण के उस हिस्से के परिणाम के बारे में कोई वास्तविक दुनिया का डेटा नहीं है।

इन सीमाओं के बावजूद, शोधकर्ताओं का मानना है कि उनका कार्य एक महत्वपूर्ण रिक्त स्थान को भरता है। वर्षों से, ग्रिड सुरक्षा के इर्द-गिर्द की चर्चा उन लोगों के बीच विभाजित रही है जो नियमों का पालन करने पर ध्यान केंद्रित करते हैं और जो जोखिम के अर्थशास्त्र पर ध्यान केंद्रित करते हैं। यह पत्र सुझाव देता है कि एक सुरक्षित, कार्बन-न्यूट्रल ग्रिड का भविष्य इन धागों को एक साथ बुनने पर निर्भर है। अनिवार्य नियमों, आर्थिक सीमाओं, समय के लचीलेपन और वित्तीय प्रोत्साहनों को एक साथ जोड़ने के लिए एक संरचित तरीका प्रदान करके, यह ढांचा उपयोगिता योजनाकारों के लिए एक मार्ग प्रशस्त करता है। यह साइबर खतरों को खत्म करने का वादा नहीं करता है, बल्कि यह तय करने के लिए कि उन्हें लड़ने के लिए आवश्यक धन कैसे खर्च किया जाए, एक स्पष्ट और अधिक तार्किक तरीका प्रदान करता है। जैसे-जैसे ग्रिड बदल रहा है, इन जटिल विकल्पों को नेविगेट करने के लिए एक पद्धति होना उतना ही महत्वपूर्ण हो सकता है जितनी कि स्वयं तकनीक।