Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

A rede elétrica é o vasto e invisível sistema nervoso que alimenta a vida moderna, mas está passando por uma transformação radical. Durante décadas, a eletricidade fluía em uma única direção: das grandes usinas de energia para casas e empresas. Hoje, esse fluxo está mudando. Milhões de painéis solares em telhados e baterias em garagens estão sendo adicionados ao sistema, transformando consumidores em pequenos geradores de energia. Essa mudança é essencial para um futuro de carbono neutro, mas cria uma nova vulnerabilidade. Cada novo painel solar e bateria é um potencial ponto de entrada para um ataque cibernético. À medida que esses dispositivos se multiplicam, a "superfície de ataque" — o número total de lugares onde um hacker poderia tentar invadir — cresce mais rápido do que as regras desenhadas para proteger a rede.

Proteger este sistema exige gastos, mas as empresas de serviços públicos enfrentam um quebra-cabeça difícil. Elas devem seguir regras federais rigorosas que estabelecem um nível mínimo de segurança, conhecido como piso de conformidade. No entanto, essas regras não cobrem a nova e rapidamente crescente rede de energia solar residencial e baterias. Para essas partes da rede, as empresas devem decidir por conta própria quanto gastar e quando. Elas não têm um guia claro sobre se um upgrade de segurança proposto vale o custo, ou se devem esperar para ver como a tecnologia evolui. Sem um método para pesar essas decisões, as concessionárias correm o risco de gastar excessivamente em proteções desnecessárias ou de investir pouco e deixar a rede exposta.

Uma equipe de pesquisadores da Universidade Brandeis, da Universidade Emory e da Universidade Estadual de Geórgia propôs uma nova maneira de resolver este problema. Eles desenvolveram um framework de quatro etapas para ajudar as empresas de serviços públicos a decidir como alocar seus orçamentos de cibersegurança. O trabalho deles não depende de novos dados de uma empresa de energia específica ou de uma simulação de computador de um ataque. Em vez disso, é um guia metodológico que reúne quatro ideias existentes que nunca foram usadas juntas antes: regras obrigatórias, limites econômicos, flexibilidade de tempo e incentivos financeiros. Os autores argumentam que, ao combinar esses elementos, as concessionárias podem tomar decisões mais inteligentes e defensáveis sobre onde gastar seu dinheiro para manter a rede segura enquanto ela transita para a energia renovável.

A primeira etapa do framework deles é identificar o gasto não negociável. Reguladores federais estabeleceram padrões obrigatórios que as concessionárias devem cumprir, como gerenciar riscos da cadeia de suprimentos de componentes de computador e monitorar suas redes de computadores internas. Os pesquisadores chamam isso de "piso de conformidade". É o valor base que uma concessionária deve gastar, independentemente de quanto ela estime que possa perder em um ataque. Esse dinheiro não é opcional; é o preço para fazer negócios. No entanto, esse piso termina na borda das principais linhas de transmissão. Ele não cobre os milhões de painéis solares distribuídos e baterias que agora se conectam à rede. Proteger esses novos ativos é uma escolha discricionária, e é aí que o verdadeiro desafio começa.

Para os gastos que vão além das regras obrigatórias, os pesquisadores sugerem aplicar uma segunda etapa: um teto econômico. Eles utilizam um modelo econômico bem conhecido que argumenta que as organizações nunca devem gastar em segurança mais do que o valor que esperam perder se ocorrer uma violação. Se um upgrade de segurança potencial custa mais do que o dano que ele evitaria, o investimento não faz sentido. Esta etapa atua como um guarda-corpo, impedindo que as empresas gastem excessivamente em segurança por medo ou hábito. Ela força os planejadores a fazer uma pergunta difícil: este investimento específico realmente reduz o risco de uma perda financeira que seja maior que o custo do conserto?

A terceira etapa introduz o elemento do tempo. O mundo das ameaças cibernéticas e da tecnologia de energia renovável está mudando rapidamente. Uma decisão tomada hoje pode estar obsoleta em dois anos. Os pesquisadores propõem o uso de um método chamado "opções reais" para lidar com essa incerteza. Em vez de comprometer todo o dinheiro de uma só vez, uma concessionária pode optar por gastar em etapas. Eles podem começar com um pequeno projeto piloto para testar a tecnologia. Se o cenário de ameaças mudar ou a tecnologia melhorar, eles podem expandir o investimento. Se a situação mudar em uma direção diferente, eles podem pausar ou interromper. Essa flexibilidade agrega valor, permitindo que as empresas esperem por mais informações antes de travar grandes somas de dinheiro.

A etapa final do framework analisa os incentivos financeiros criados por regulamentações fedis recentes. Uma nova ordem da Comissão Federal de Regulamentação de Energia permite que as concessionárias recuperem os custos de certos investimentos avançados de cibersegurança mais facilmente do que outros projetos. Isso cria uma vantagem financeira para gastar em segurança que vai além dos requisitos mínimos. Os pesquisadores sugerem que as concessionárias devem incluir essa vantagem em seus cálculos. Ao comparar um projeto de segurança com outras necessidades, como a atualização de linhas de transmissão ou a construção de novas subestações, o projeto de segurança deve ser avaliado com esse custo efetivo menor em mente. Isso garante que atualizações de segurança valiosas não sejam negligenciadas apenas porque parecem caras no papel.

Para testar como este framework poderia funcionar no mundo real, os autores analisaram um exemplo histórico da Califórnia. No início da década de 2010, um programa chamado CES-21 financiou pesquisas sobre integração de energia renovável e cibersegurança da rede. O orçamento do programa foi eventualmente cortado em cerca de 77% depois que os legisladores decidiram que o pedido original carecia de uma justificativa clara para o seu tamanho. Os pesquisadores usam este evento para ilustrar o perigo de fazer grandes investimentos em segurança sem uma forma estruturada de determinar o montante correto. Eles argumentam que, se o framework proposto estivesse disponível naquela época, a concessionária poderia ter sido capaz de justificar o gasto de forma mais clara, ou talvez percebido que uma abordagem menor e em etapas seria mais apropriada.

O artigo deixa claro que este framework é uma ferramenta de pensamento, não um produto acabado pronto para uso imediato. Os autores apontam lacunas significativas nos dados necessários para fazer o sistema funcionar perfeitamente. Por exemplo, não existem estimativas precisas de quanto dinheiro um ataque cibernético a uma fazenda solar ou a um agregador de baterias realmente custaria. As concessionárias também têm dificuldade em compartilhar informações sensíveis sobre seus riscos, o que torna difícil calcular a "perda esperada" que impulsiona a segunda etapa do framework. Além disso, nenhuma concessionária aproveitou ainda o novo programa de incentivo federal, portanto, não há dados do mundo real sobre como essa parte da equação se desenrola.

Apesar dessas limitações, os pesquisadores acreditam que seu trabalho preenche um vazio crítico. Durante anos, a conversa em torno da segurança da rede foi dividida entre aqueles que focam em seguir as regras e aqueles que focam na economia do risco. Este artigo sugere que o futuro de uma rede segura e de baixo carbono depende de tecer esses fios juntos. Ao fornecer uma maneira estruturada de combinar regras obrigatórias, limites econômicos, flexibilidade de tempo e incentivos financeiros, o framework oferece um caminho a seguir para os planejadores de utilidades. Ele não promete eliminar as ameaças cibernéticas, mas oferece uma maneira mais clara e lógica de decidir como gastar o dinheiro necessário para combatê-las. À medida que a rede continua a mudar, ter um método para navegar por essas escolhas complexas pode ser tão importante quanto a própria tecnologia.