Guillem Alsina Gonzàlez
Os sistemas elétricos em todo o mundo estão a passar por uma profunda transformação. A convergência entre o rápido aumento da procura (impulsionada por centros de dados e eletrificação) e a transição para energias descarbonizadas colocou os sistemas de armazenamento de energia em baterias (BESS) como uma peça fundamental para garantir a confiabilidade da rede. Espera-se que a implantação desses sistemas BESS cresça a uma taxa anual de 30% nos Estados Unidos e de 45% na União Europeia durante os próximos cinco anos.
Perante este cenário, a consultora económica The Brattle Group e a empresa especializada em cibersegurança industrial Dragos publicaram um novo white paper no qual analisam os riscos associados a estas tecnologias de armazenamento de energia e propõem estratégias concretas para salvaguardar esses ativos críticos.
O relatório, intitulado Securing Battery Energy Storage Systems from Cyberthreats: Best Practices and Trends (Protegendo os sistemas de armazenamento de energia em baterias contra ameaças cibernéticas: melhores práticas e tendências), destaca que os sistemas BESS não são meros componentes passivos, mas estão centralizados nas operações da rede elétrica.
Um dos pontos mais relevantes abordados pela análise é a interseção entre a segurança técnica e as consequências económicas, alertando para o impacto financeiro direto que um incidente de cibersegurança pode ter nessas instalações. Estima-se que uma interrupção em um único sistema BESS de 100 MW/400 MWh poderia resultar em perdas mensais de até 1,2 milhão de dólares, com danos permanentes que poderiam atingir ou ultrapassar 10 milhões de dólares. Estes números mostram que a cibersegurança não é apenas um requisito técnico, mas um imperativo para a proteção do investimento e a viabilidade do projeto.
Além do impacto económico, o estudo identifica um aumento na atividade de ameaças dirigidas ao setor elétrico. Atualmente, sabe-se da existência de dezoito grupos de cibercriminosos ativos que têm como alvo este setor, incluindo atores estatais que procuram comprometer infraestruturas críticas. Esta situação é agravada pelas vulnerabilidades na cadeia de abastecimento, especialmente devido à dependência de controlos e equipamentos provenientes de entidades estrangeiras de interesse (FEOC, na sigla em inglês), o que muitas vezes limita a capacidade dos operadores de inspecionar e auditar o equipamento.
Historicamente, as instalações industriais eram projetadas sob medida com protocolos únicos, o que dificultava os ataques externos. Atualmente, a indústria tem se voltado para a homogeneização para reduzir custos e complexidade, o que, embora facilite a escalabilidade, a padronização dos componentes reduziu a sofisticação necessária para organizar ciberataques, permitindo o uso de malware específico para sistemas de controlo industrial capazes de manipular diversas tecnologias de forma modular.
A isso soma-se o fato de que esses ativos, ao contrário da geração herdada, dependem em grande parte de controladores conectados na cloud e gestão remota, o que abre múltiplos vetores de entrada para invasões digitais.
O contexto regulatório também está a desempenhar um papel determinante na configuração das estratégias de ciberdefesa; nos Estados Unidos, há uma atenção crescente por parte dos legisladores sobre os inversores e sistemas integrados de baterias fabricados por entidades estrangeiras, o que poderia resultar em políticas mais rigorosas.
Foram detetados casos em que atores estatais dirigiram campanhas específicas contra o setor elétrico, utilizando vulnerabilidades em dispositivos de borda (edge) e redes privadas virtuais para se infiltrar. Por vezes, os proprietários dos ativos estão vinculados por acordos contratuais que os impedem de inspecionar ou monitorizar determinados componentes, o que compromete a segurança dos seus sistemas, uma vez que não podem autenticar as credenciais de cibersegurança dos equipamentos adquiridos.
Paralelamente, a Diretiva NIS2 e a futura Lei de Ciberresiliência ampliarão as obrigações de cibersegurança para ativos BESS de todos os tamanhos na Europa, marcando uma mudança de paradigma regulatório que exige que os operadores demonstrem que os seus controles são defensáveis, embora a falta de harmonização entre os Estados-Membros da UE gere vulnerabilidades em uma rede elétrica altamente interconectada. A disparidade na implementação destas normas entre os diferentes países europeus pode resultar em custos de conformidade mais elevados para os investidores e níveis desiguais de proteção dentro do mercado único da energia.
Para mitigar esses riscos, o presente relatório esboça estratégias recomendadas que vão além da segurança informática convencional, defendendo práticas robustas que incluem o design seguro do sistema, uma arquitetura de rede segmentada e defesas específicas para ambientes operacionais, diferenciando-as das medidas tradicionais de TI.
A premissa fundamental é que, dada a importância crítica desses ativos para a estabilidade da rede, a segurança deve ser proativa e incorporada em cada etapa do ciclo de vida do projeto. É imperativo exigir dos fornecedores total transparência sobre o ciclo de vida do desenvolvimento seguro e a proveniência dos subcomponentes.
Uma das ferramentas mais eficazes para combater a opacidade da cadeia de abastecimento é a exigência de listas detalhadas de materiais. A implementação de listas verificadas de materiais de hardware e software (HBOM e SBOM) é fundamental para identificar componentes de fontes não confiáveis e analisar possíveis vulnerabilidades ocultas no código de terceiros. Como muitos sistemas de gestão de baterias e conversão de energia contêm uma grande quantidade de software proprietário, os operadores devem garantir que têm visibilidade sobre quais componentes digitais estão integrados na sua infraestrutura e se estes provêm de fornecedores confiáveis.
Da mesma forma, a arquitetura da rede deve ser projetada sob princípios de defesa em profundidade, e é crucial evitar redes planas nas quais todos os ativos se comunicam entre si sem restrições. Em vez disso, recomenda-se uma segmentação adequada e o estabelecimento de zonas de segurança, juntamente com procedimentos de acesso remoto seguro que incluam autenticação multifatorial e controlos baseados em funções.
Por fim, é vital estabelecer compromissos contratuais que definam tempos de resposta a incidentes e garantam o suporte de software durante toda a vida útil do ativo, abordando problemas como obsolescência e gestão de patches de segurança, aspetos que muitas vezes são negligenciados nos acordos de nível de serviço padrão.
