Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

La rete elettrica è il vasto e invisibile sistema nervoso che alimenta la vita moderna, ma sta attraversando una trasformazione radicale. Per decenni, l'elettricità è fluita in una sola direzione: dalle grandi centrali elettriche verso case e attività commerciali. Oggi, quel flusso sta cambiando. Milioni di pannelli solari sui tetti e batterie nei garage vengono aggiunti al sistema, trasformando i consumatori in piccoli produttori di energia. Questo cambiamento è essenziale per un futuro a zero emissioni di carbonio, ma crea una nuova vulnerabilità. Ogni nuovo pannello solare e ogni batteria è un potenziale punto di ingresso per un attacco informatico. Man mano che questi dispositivi si moltiplicano, la "superficie di attacco" — il numero totale di punti in cui un hacker potrebbe tentare di infiltrarsi — cresce più velocemente delle regole progettate per proteggere la rete.

Proteggere questo sistema richiede investimenti, ma le società di servizi pubblici si trovano di fronte a un difficile enigma. Devono seguire rigide norme federali che stabiliscono un livello minimo di sicurezza, noto come "pavimento di conformità". Tuttavia, queste regole non coprono la nuova e rapidamente crescente rete di pannelli solari e batterie domestiche. Per quelle parti della rete, le aziende devono decidere autonomamente quanto spendere e quando. Non hanno una guida chiara per capire se un proposto aggiornamento di sicurezza valga il costo, o se debbano attendere che la tecnologia si evolva. Senza un metodo per valutare queste decisioni, le utility rischiano o di spendere eccessivamente in protezioni superflue o di sottoinvestire, lasciando la rete esposta.

Un team di ricercatori della Brandeis University, della Emory University e della Georgia State University ha proposto un nuovo modo per risolvere questo problema. Hanno sviluppato un framework in quattro fasi per aiutare le società di servizi pubblici a decidere come allocare i loro budget per la cybersicurezza. Il loro lavoro non si basa su nuovi dati provenienti da una specifica società elettrica o su una simulazione informatica di un attacco. Si tratta di una guida metodologica che unisce quattro idee esistenti che non sono mai state utilizzate insieme prima d'ora: regole obbligatorie, limiti economici, flessibilità temporale e incentivi finanziari. Gli autori sostengono che, combinando questi elementi, le utility possano prendere decisioni più intelligenti e difendibili su dove destinare i fondi per mantenere sicura la rete durante la transizione verso le energie rinnovabili.

Il primo passo del loro framework consiste nell'identificare la spesa non negoziabile. I regolatori federali hanno stabilito standard obbligatori che le utility devono rispettare, come la gestione dei rischi derivanti dalla catena di approvvigionamento dei componenti informatici e il monitoraggio delle proprie reti informatiche interne. I ricercatori chiamano questo il "pavimento di conformità". È la quantità base che un'utility deve spendere, indipendentmente da quanto ritiene che potrebbe perdere in seguito a un attacco. Questi soldi non sono opzionali; sono il prezzo per operare. Tuttavia, questo pavimento si ferma al limite delle principali linee elettriche. Non copre i milioni di pannelli solari distribuiti e le batterie che ora si collegano alla rete. Proteggere questi nuovi asset è una scelta discrezionale, ed è qui che inizia la vera sfida.

Per la spesa che va oltre le regole obbligatorie, i ricercatori suggeriscono di applicare un secondo passaggio: un tetto economico. Essi attingono a un noto modello economico che sostiene che le organizzazioni non dovrebbero mai spendere in sicurezza più dell'importo che prevedono di perdere in caso di violazione. Se un potenziale aggiornamento di sicurezza costa più del danno che previene, l'investimento non ha senso. Questo passaggio funge da guardrail, impedendo alle aziende di spendere eccessivamente nella sicurezza per paura o abitudine. Costringe i pianificatori a porsi una domanda difficile: questo specifico investimento riduce effettivamente il rischio di una perdita finanziaria superiore al costo della riparazione?

Il terzo passaggio introduce l'elemento del tempo. Il mondo delle minacce informatiche e della tecnologia delle energie rinnovabili sta cambiando rapidamente. Una decisione presa oggi potrebbe essere obsoleta tra due anni. I ricercatori propongono di utilizzare un metodo chiamato "real options" (opzioni reali) per gestire questa incertezza. Inveve di impegnare tutto il denaro in una volta sola, un'utility potrebbe scegliere di spendere a tappe. Potrebbero iniziare con un piccolo progetto pilota per testare la tecnologia. Se il panorama delle minacce cambia o la tecnologia migliora, possono espandere l'investimento. Se la situazione cambia in una direzione diversa, possono interrompere o fermarsi. Questa flessibilità aggiunge valore, permettendo alle aziende di attendere maggiori informazioni prima di vincolare ingenti somme di denaro.

L'ultimo passaggio nel framework esamina gli incentivi finanziari creati dalle recenti normative federali. Un nuovo ordine della Federal Energy Regulatory Commission permette alle utility di recuperare i costi di certi investimenti avanzati in cybersicurezza più facilmente rispetto ad altri progetti. Ciò crea un vantaggio finanziario per la spesa che va oltre i requisiti minimi. I ricercatori suggeriscono che le utility debbano integrare questo vantaggio nei loro calcoli. Quando confrontano un progetto di sicurezza con altre necessità, come l'ammodernamento delle linee elettriche o la costruzione di nuove sottostazioni, il progetto di sicurezza dovrebbe essere valutato tenendo conto di questo costo effettivo inferiore. Ciò assicura che importanti aggiornamenti di sicurezza non vengano trascurati solo perché appaiono costosi sulla carta.

Per testare come questo framework possa funzionare nel mondo reale, gli autori hanno esaminato un esempio storico della California. Nei primi anni 2010, un programma chiamato CES-21 ha finanziato la ricerca sull'integrazione tra cybersicurezza della rete e energie rinnovabili. Il budget del programma è stato infine tagliato di circa il 77 percento dopo che i legislatori hanno deciso che la richiesta originale mancava di una chiara giustificazione per le sue dimensioni. I ricercatori utilizzano questo evento per illustrare il pericolo di effettuare grandi investimenti nella sicurezza senza un modo strutturato per determinare l'importo corretto. Sostengono che, se il framework da loro proposto fosse stato disponibile allora, l'utility avrebbe potuto giustificare la spesa in modo più chiaro, o forse avrebbe compreso che un approccio più piccolo e graduale sarebbe stato più appropriato.

Il documento chiarisce che questo framework è uno strumento di riflessione, non un prodotto finito pronto per l'uso immediato. Gli autori evidenziano significativi vuoti nei dati necessari per far funzionare perfettamente il sistema. Ad esempio, non esistono stime precise su quanto costerebbe effettivamente un attacco informatico a un parco solare o a un aggregatore di batterie. Le utility faticano anche a condividere informazioni sensibili sui propri rischi, il che rende difficile calcolare la "perdita attesa" che guida il secondo passaggio del framework. Inoltre, nessuna utility ha ancora approfittato del nuovo programma di incentivi federali, quindi non ci sono dati reali su come si sviluppi quella parte dell'equazione.

Nonostante queste limitazioni, i ricercatori credono che il loro lavoro colmi un vuoto critico. Per anni, la conversazione sulla sicurezza della rete è stata divisa tra chi si concentra sul rispetto delle regole e chi si concentra sull'economia del rischio. Questo articolo suggerisce che il futuro di una rete sicura e a zero emissioni dipenda dall'intrecciare questi fili. Fornendo un modo strutturato per combinare regole obbligatorie, limiti economici, flessibilità temporale e incentivi finanziari, il framework offre una strada da seguire per i pianificatori delle utility. Non promette di eliminare le minacce informatiche, ma offre un modo più chiaro e logico per decidere come spendere il denaro necessario per combatterle. Mentre la rete continua a cambiare, avere un metodo per navigare in queste scelte complesse può essere importante quanto la tecnologia stessa.