Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

Het elektriciteitsnet is het enorme, onzichtbare zenuwstelsel dat het moderne leven van stroom voorziet, maar het ondergaat een radicale transformatie. Decennialang stroomde elektriciteit in één richting: van enorme elektriciteitscentrales naar huizen en bedrijven. Vandaag de dag verandert die stroom. Miljoenen zonnepanelen op daken en batterijen in garages worden aan het systeem toegevoegd, waardoor consumenten veranderen in kleinschalige energieproducenten. Deze verschuiving is essentieel voor een koolstofarme toekomst, maar creëert tegelijkertijd een nieuwe kwetsbaarheid. Elk nieuw zonnepaneel en elke batterij is een potentiële toegangspoort voor een cyberaanval. Naarmate deze apparaten toenemen in aantal, groeit het "aanvalsoppervlak"—het totale aantal plaatsen waar een hacker probeert binnen te dringen—sneller dan de regels die ontworpen zijn om het net te beschermen.

Het beschermen van dit systeem vereist investeringen, maar nutsbedrijven staan voor een moeilijke puzzel. Ze moeten zich houden aan strikte federale regels die een minimaal beveiligingsniveau vaststellen, bekend als een "compliance floor" (voldoen aan de regelgeving). Deze regels dekken echter niet het nieuwe, snelgroeiende netwerk van zonnepanelen op daken en batterijen. Voor die delen van het net moeten bedrijven zelf beslissen hoeveel ze uitgeven en wanneer. Ze hebben geen duidelijke richtlijn over de vraag of een voorgestelde beveiligingsupgrade de kosten waard is, of dat ze moeten wachten tot de technologie zich verder ontwikkelt. Zonder een methode om deze beslissingen af te wegen, riskeren nutsbedrijven ofwel te veel uit te geven aan onnodige bescherming, ofwel te weinig te investeren en het net bloot te stellen aan gevaren.

Een team onderzoekers van de Brandeis University, Emory University en Georgia State University heeft een nieuwe manier voorgesteld om dit probleem op te lossen. Zij ontwikkelden een vierstaps-framework om nutsbedrijven te helpen beslissen hoe zij hun budgetten voor cybersecurity kunnen toewijzen. Hun werk rust niet op nieuwe gegevens van een specifiek energiebedrijf of een computersimulatie van een hack. In plaats daarvan is het een methodologische gids die vier bestaande ideeën samenbrengt die nooit eerder samen zijn gebruikt: verplichte regels, economische grenzen, tijdsflexibiliteit en financiële prikkels. De auteurs stellen dat nutsbedrijven door deze elementen te combineren, slimmere en beter verdedigbare beslissingen kunnen nemen over waar zij hun geld aan besteden om het net veilig te houden tijdens de transitie naar hernieuwbare energie.

De eerste stap in hun framework is het identificeren van de niet-onderhandelbare uitgaven. Federale toezichthouders hebben verplichte standaarden vastgesteld die nutsbedrijven moeten naleven, zoals het beheren van risico's in de toeleveringsketen van computeronderdelen en het monitoren van hun interne computernetwerken. De onderzoekers noemen dit de "compliance floor". Het is het basisbedrag dat een nutsbedrijf moet uitgeven, ongeacht hoeveel zij verwachten te verliezen door een hack. Dit geld is niet optioneel; het is de prijs voor het doen van zaken. Echter, deze vloer stopt bij de rand van de hoofdlijnen. Het dekt niet de miljoenen gedistribueerde zonnepanelen en batterijen die nu met het net verbonden worden. Het beschermen van deze nieuwe activa is een discretionaire keuze, en dat is waar de echte uitdaging begint.

Voor de uitgaven die verder gaan dan de verplichte regels, stellen de onderzoekers een tweede stap voor: een economisch plafond. Zij putten uit een bekend economisch model dat stelt dat organisaties nooit meer aan beveiliging moeten uitgeven dan het bedrag dat zij verwachten te verliezen als er een inbreuk plaatsvindt. Als een potentiële beveiligingsupgrade meer kost dan de schade die het voorkomt, is de investering niet zinvol. Deze stap fungeert als een vangrail, die voorkomt dat bedrijven uit angst of gewoonte te veel uitgeven aan beveiliging. Het dwingt planners tot de harde vraag: vermindert deze specifieke investering daadwerkelijk het risico op een financieel verlies dat groter is dan de kosten van de oplossing?

De derde stap introduceert het element van tijd. De wereld van cyberdreigingen en technologie voor hernieuwbare energie verandert snel. Een beslissing die vandaag wordt genomen, kan over twee jaar verouderd zijn. De onderzoekers stellen het gebruik van een methte die "real options" (reële opties) wordt genoemd om met deze onzekerheid om te gaan. In plaats van al het geld in één keer vast te leggen, kan een nutsbedrijf ervoor kiezen om in fasen uit te geven. Ze kunnen beginnen met een klein pilotproject om de technologie te testen. Als het dreigingslandschap verandert of de technologie verbetert, kunnen ze de investering uitbreiden. Als de situatie in een andere richting verandert, kunnen ze de investering pauzeren of stoppen. Deze flexibiliteit voegt waarde toe, omdat het bedrijven in staat stelt te wachten op meer informatie voordat ze grote sommen geld vastleggen.

De laatste stap in het framework kijkt naar de financiële prikkels die zijn gecreëerd door recente federale regelgeving. Een nieuwe beschikking van de Federal Energy Regulatory Commission staat nutsbedrijven toe om de kosten van bepaalde geavanceerde cybersecurity-investeringen gemakkelijker terug te verdienen dan andere projecten. Dit creëert een financieel voordeel voor het uitgeven aan beveiliging die verder gaat dan de minimale vereisten. De onderzoekers suggereren dat nutsbedrijven dit voordeel mee moeten nemen in hun berekeningen. Bij het vergelijken van een beveiligingsproject met andere behoeften, zoals het upgraden van elektriciteitskabels of het bouwen van nieuwe onderstations, moet het beveiligingsproject worden geëvalueerd met deze lagere effectieve kosten in het achterhoofd. Dit zorgt ervoor dat waardevolle beveiligingsupgrades niet worden overgeslagen simpelweg omdat ze op papier duur lijken.

Om te testen hoe dit framework in de praktijk zou werken, keken de auteurs naar een historisch voorbeeld uit Californië. In het begin van de jaren 2010 financierde een programma genaamd CES-21 onderzoek naar de beveiliging van het elektriciteitsnet en de integratie van hernieuwbare energie. Het budget van het programma werd uiteindelijk met ongeveer 77 procent gekort nadat wetgevers besloten dat de oorspronkelijke aanvraag een duidelijke rechtvaardiging voor de omvang ervan miste. De onderzoekers gebruiken dit evenement om het gevaar te illustreren van het doen van grote beveiligingsinvesteringen zonder een gestructureerde manier om de juiste hoeveelheid te bepalen. Zij betogen dat als het door hen voorgestelde framework destijds beschikbaar was geweest, het nutsbedrijf de uitgaven duidelijker had kunnen rechtvaardigen, of misschien had ingezien dat een kleinere, gefaseerde aanpak meer gepast was geweest.

Het artikel maakt duidelijk dat dit framework een hulpmiddel is om over na te denken, en geen afgewerkt product dat direct klaar is voor gebruik. De auteurs wijzen op aanzienlijke hiaten in de gegevens die nodig zijn om het systeem perfect te laten werken. Er zijn bijvoorbeeld geen nauwkeurige schattingen voor hoeveel geld een cyberaanval op een zonnepark of een batterij-aggregator daadwerkelijk zou kosten. Nutsbedrijven worstelen ook met het delen van gevoelige informatie over hun risico's, wat het moeilijk maakt om de "verwachte verliezen" te berekenen die de tweede stap van het framework aansturen. Bov�s staat er nog geen enkel nutsbedrijf bekend dat gebruik heeft gemaakt van het nieuwe federale prikkelprogramma, dus er zijn geen gegevens uit de praktijk over hoe dat deel van de vergelijking uitpakt.

Ondanks deze beperkingen geloven de onderzoekers dat hun werk een cruciaal gat opvult. Jarenlang was het gesprek over de beveiliging van het elektriciteitsnet verdeeld tussen degenen die zich richten op het volgen van de regels en degenen die zich richten op de economie van risico's. Dit artikel suggereert dat de toekomst van een veilig, koolstofarm elektriciteitsnet afhangt van het samenweven van deze draden. Door een gestructureerde manier te bieden om verplichte regels, economische grenzen, tijdsflexibiliteit en financiële prikkels te combineren, biedt het framework een pad vooruit voor planners van nutsbedrijven. Het belooft niet de cyberdreigingen te elimineren, maar het biedt een duidelijkere, meer logische manier om te beslissen hoe het geld moet worden uitgegeven om ze te bestrijden. Terwijl het elektriciteitsnet blijft veranderen, kan het hebben van een methode om deze complexe keuzes te navigeren net zo belangrijk zijn als de technologie zelf.