Datasikkerhed i forbindelse med fjernaflæsning Hans Jørgen Jørgensen

Transkript

1 Datasikkerhed i forbindelse med fjernaflæsning Hans Jørgen Jørgensen

2 Der er flere sider af datasikkerhed i målersystemer Datakvalitet Sikring af, at det er de korrekte data, der når frem til hjemtagningssystemet, og at de har den rigtige kvalitet Cyber security Beskyttelse mod angreb på IT-systemer og de konsekvenser, de kan have Privacy Sikring af, at data, der kan relateres til personer, beskyttes og behandles korrekt side 44 Hans Jørgen Jørgensen

3 Datakvalitet I de første fjernaflæsningssystemer (til storkunder) var der fokus på Tilstrækkelig opløsning (antal pulser pr. kwh uden at overloade dataloggeren Kontrol af målerens fremgang over en given periode Korrekt identifikation af afsender af data Men rapporten fra 2000 kom også ind på Risiko for aflytning eller ændring af data Regler for registrering af data (registerloven) Rapporten indgår i håndbogen Elmåling, som kan hentes her side 45 Hans Jørgen Jørgensen

4 Introduktion af fjernaflæste elmålere til husholdninger Udrulning af fjernaflæste elmålere til alle kunder blev indledt i 2004 I perioden hen mod 2010 gik mange selskaber i gang Derved blev der skabt et enormt antal indgange til selskabernes ITsystemer på steder, der ikke var kontrolleret af netselskaberne side 46 Hans Jørgen Jørgensen

5 Datasikkerhed behandlet mere systematisk i rapport fra 2010 Datakvalitet i forbindelse med fjernaflæsning direkte fra målerens registre behandles Derudover beskrives en metode til at analysere et generelt fjernaflæsningssystem og ud fra den analyse nå frem til målet for sikkerheden og i sidste ende til en sikkerhedspolitik, der opfylder disse mål. Det giver mulighed for at udvælge de sikkerhedsmekanismer, der skal bruges til at håndhæve sikkerhedspolitikken. Rapporten indgår også i håndbogen Elmåling side 47 Hans Jørgen Jørgensen

6 Elementer i sikkerhedsanalysen 1. Aktiver - Identificér de aktiver, der skal beskyttes 2. Aktører - Identificér aktørerne i systemet 3. Resultat af angreb - Beskriv resultatet af et succesfuldt angreb på aktiverne 4. Trusselsvurdering - Analysér og prioritér truslerne mod aktiverne 5. Sikkerhedsmål - Beskriv målet med den sikkerhed, der skal implementeres 6. Sikkerhedspolitik - Beskriv hvad der skal til for at realisere sikkerhedsmålene side 48 Hans Jørgen Jørgensen

7 STRIDE-tilgangen til analyse af trusler Spoofing of user identity En aktør kan antage identiteten af en anden person eller enhed. Tampering En aktør kan ændre data i systemet. Repudiation En aktør kan afvise at have udført en bestemt handling, på trods af at han faktisk udførte den. Information disclosure En aktør får adgang til data, han ikke havde adgang til før angrebet. Denial of Service En tjeneste bliver utilgængelig for dens brugere. Elevation of privilege En aktør får adgang til systemet med højere privilegier, end han havde før angrebet side 49 Hans Jørgen Jørgensen

8 Vurdering af trusler Truslerne mod aktiverne skal analyseres og prioriteres. Det, man bør overveje, er fx: Risiko Hvad er risikoen for angrebet? Skade Hvor stor skade vil angrebet gøre? Antal brugere Hvor mange brugere vil angrebet påvirke? Herudfra formuleres sikkerhedsmål: Hvilke trusler skal forhindres eller reduceres? side 50 Hans Jørgen Jørgensen

9 Sikkerhedspolitikken angiver metoder til at nå sikkerhedsmålene Prevention Fysisk forsvar Administrativt forsvar (politikker, procedurer m.m.) Tekniske kontroller Detection Fysisk detektering Administrativt forsvar (fx audit-trails) Recovery Procedurer for restore af backup, udskiftning af fejlramte komponenter, system- og data-recovery efter angreb. Et eksempel på anvendelse af metodikken på et målersystem er vist i rapporten (som indgår i håndbogen Elmåling) side 51 Hans Jørgen Jørgensen

10 Dansk Energi og Branchefællesskabet Intelligent Energi er aktive på ITsikkerhedsområdet Dansk Energi har nedsat en ITberedskabsgruppe (for netselskaber) Intelligent Energi har en IT-sikkerhedssøjle, der også inddrager andre aktører på området Brochurer med råd vedr. IT-sikkerhed kan hentes her og her side 52 Hans Jørgen Jørgensen

11 Teknikker til at beskytte systemerne Smart Meter Coordination Group har givet anbefalinger til, hvordan målersystemer bør være beskyttet. Rapporterne kan hentes her En Part IV til sikkerhedsrapporterne er under udarbejdelse En ekspertgruppe under EU-kommissionens Smart Grid Task Force vil komme med anbefalinger til teknikker, der kan beskytte de enkelte funktioner i et målersystem. En metodik til evaluering af teknikkerne er beskrevet Information om anvendte teknikker er indsamlet via spørgeskema Anbefalingen forventes at foreligge i slutningen af 2016 Der bliver ingen obligatoriske teknikker side 53 Hans Jørgen Jørgensen

12 Let overskuelig model for et målersystem anvendt af ekspertgruppen side 54 Hans Jørgen Jørgensen

13 Privacy - Regler for lovlig anvendelse af data Persondataloven (Lov nr. 429 af 31/5/2000) giver rammerne for indsamling og anvendelse af data, der kan henføres til enkeltpersoner. Loven er baseret på et EU-direktiv fra 1995 Disse regler blev understreget af EU Kommissionen i en anbefaling vedr. udrulning af smart meters. Særskilt dokument om Data protection impact assessment (DPIA) Skabelon for gennemførelse af DPIA side 55 Hans Jørgen Jørgensen

14 Eksempler på informationer som EU-kommissionen vurderer er omfattet af Persondataloven Husholdningers og organisationers forbrug Den tidsmæssige fordeling af forbruget Prognoser for kundens forbrug Alarmer for forsøg på fusk med måleren (tamper alarm) Kundens forbrugsprofil (kundetype) Information om, hvor mange personer der opholder sig i en bygning Regningsinformation Følgende informationer vurderes derimod ikke at være omfattet Netfrekvens, leveringsspænding etc. Aggregerede forbrug (fx alle kunder under en netstation) side 56 Hans Jørgen Jørgensen

15 Ny EU-forordning om persondatasikkerhed Forordningen er blevet vedtaget i 2016 efter 4 års behandling i EUsystemet. Den kan hentes her Reglerne vil formentlig træde i kraft medio 2018 Forinden skal lovændringer i Danmark og eventuelle danske særregler være på plads side 57 Hans Jørgen Jørgensen

16 Punkter i forordningen, der påvirker forsyningsvirksomheder Hjemmel for indsamling af data (artikel 6) Kontrakt (måling af energiforbrug) Accept fra kunder skal være tydelig for kunden, må ikke stilles som krav og kan trækkes tilbage fra kundens side (artikel 7) Legitime interesser hvad omfatter det for et forsyningsselskab? Hvor længe må data gemmes, og skal de pseudonymiseres? (artikel 5) Informationskrav (artikel 12-14) Databeskyttelse gennem design og gennem standardindstillinger (artikel 25) Aftaler med databehandler (fx måleoperatør) (artikel 26) side 58 Hans Jørgen Jørgensen

17 Punkter i forordningen, der påvirker forsyningsvirksomheder, fortsat Registrering af behandlinger af data (artikel 30) Behandlingssikkerhed (artikel 32) Rapportering af sikkerhedsbrist (artikel 33-34) Konsekvensanalyse vedrørende databeskyttelse (DPIA) (artikel 35-36) Databeskyttelsesrådgiver (Data Protection Officer) (artikel 37-39) Adfærdskodekser (artikel 40-41) Certificering (42-43) Høje bødestørrelser op til 20 mio. EUR eller 4 % af den globale omsætning for en virksomhed side 59 Hans Jørgen Jørgensen

18 Tekniske udfordringer for forsyningsvirksomheder Det vil være svært at forudse, hvad data præcist kan tænkes anvendt til Det er uklart, hvor generel en beskrivelse af anvendelsen må være Det er også uklart, om visse tekniske målinger er undtaget fra reglerne (som angivet af EUkommissionen) Mange kunder vil blive skræmt af informationen og undlade at give samtykke Andre kunder vil senere fortryde samtykket og kræve data slettet Det medfører huller i datagrundlaget side 60 Hans Jørgen Jørgensen

19 Økonomiske konsekvenser for virksomhederne Sikkerhedsprocedurer og dokumentation heraf vil fordyre anvendelsen af data Databeskyttelsesrådgiver krævet, hvis et stort antal registrerede er omfattet Risikoanalyser skal gennemføres (og eventuelt revideres) Der kan komme klager over manglende sikkerhed eller ulovlig anvendelse af data De maksimale sanktioner for ulovlig databehandling er voldsomme Bøde på 150 mio. kr. eller 4 % af årsomsætningen, men mildere sanktioner i form af advarsler og regelmæssige sikkerheds-audits er også mulige Til sammenligning er den største bøde, givet efter Persondataloven på kr side 61 Hans Jørgen Jørgensen

20 Sammenfatning Kvaliteten af data skal sikres ved etablering af fjernaflæsning Beskyttelse mod cyberangreb kræver en analyse af trusler og indførelse af sikkerhedsmål og sikkerhedspolitik Ny EU-forordning vil afløse Persondataloven og stille skærpede krav Ulemperne i den kommende forordning for forsyningsselskaberne ligger bl.a. i Øget informationspligt Risiko for mange Registrering Nej tak valg Uklarhed vedr. anvendelse af tekniske data Meromkostninger til datasikkerhedsforanstaltninger Risiko for klager og store bøder side 62 Hans Jørgen Jørgensen

21 Tak for opmærksomheden