Egy, Kína által támogatott hacker júliusban támadást indított az amerikai Nemzeti Nukleáris Biztonsági Hivatal ellen. A szervezet felelős az amerikai nukleáris arzenál felépítéséért és kezeléséért, valamint az amerikai hadihajók és tengeralattjárók nukleáris erőműveinek üzemeltetéséért.
Más kritikus infrastruktúrákhoz hasonlóan a nukleáris létesítmények és berendezések is számos funkciójukban nagymértékben támaszkodnak a digitális rendszerekre. Ezek közé tartozik a nukleáris reaktorok vezérlése, a nukleáris létesítményeken belüli biztonsági rendszerek, a nukleáris anyagok szállítása és a vészhelyzeti protokollok. A hatékony kiberbiztonsági protokollok és kiberhigiéniai intézkedések fontosak a szándékos támadások és balesetek megelőzésében a nukleáris létesítményekben.
A nukleáris létesítmények elleni kibertámadások adatvesztéshez és -hamisításhoz vezethetnek, ami megzavarhatja a biztonsági műveleteket, és katasztrofális következményekkel járhat. A létesítmény hálózatain belüli hackerek belső dokumentumokat is keresnek, hogy feltérképezzék a fizikai biztonság és a kiberbiztonság terén fennálló sebezhetőségeket és gyenge pontokat. Ezeket később felhasználhatják a támadás hatásának maximalizálására. A hackerek hibás üzeneteket is bejuttathatnak a digitális hálózatba, hogy zavart keltsenek, növelve ezzel a téves reakciók vagy akár a véletlen eszkaláció kockázatát.
Egy másik következmény a nukleáris energia iránti közbizalom potenciális elvesztése egy olyan időszakban, amikor minden tiszta energiaforrást erőteljesen ki kell aknázni. A nukleáris szektorban érdekelt iparágak és kormányok pénzügyi veszteségei is igen súlyosak lehetnek. Ezen túlmenően a magánszektor vállalkozásai is piaci és befektetői bizalomvesztéssel szembesülhetnek, ami hosszú távú következményekkel járhat. Bármely nukleáris vagy radiológiai baleset humanitárius és környezeti következményei szintén aggodalomra adnak okot.
Stratégiai szempontból az olyan ellenségek, mint Kína és Oroszország, főként az amerikai rendszereket hackelik, hogy jobb képet kapjanak az Egyesült Államok stratégiai képességeiről. Ezeket az információkat felhasználhatják megfelelő ellenintézkedések kidolgozására, hogy gyengítsék az Egyesült Államok nukleáris elrettentő erejét. Timothy Haugh tábornok, aki áprilisig az amerikai Nemzetbiztonsági Ügynökséget vezette, figyelmeztetett a Kínából érkező egyre növekvő kiberfenyegetésre.
Az ágazat érdekelt feleinek több fontos korrekciós és proaktív intézkedést kell hozniuk. Az, hogy ez az incidens a Microsoftot is érintette, azt mutatja, hogy senki sem immunis a fenyegetésekkel szemben, és mindenki potenciálisan sebezhető. De ez az önelégültség jele is lehet, ami nagy veszélyt jelent.
A sürgős lépések között szerepel a kritikus és érzékeny információk szegmentálása. Az információk megosztása egy nukleáris intézményen vagy létesítményen belül csak a szükséges mértékben történhet, ami nyilvánvalónak tűnik, de gyakran figyelmen kívül hagyják. Emellett a belső biztonsági fenyegetések kezelése érdekében a munkavállalókat rendszeresen ellenőrizni (és edukálni) kell. Ez egy köztudott probléma a nukleáris biztonsági és védelmi rendszerekben, de a kiberfenyegetések további dimenziót adnak ehhez a veszélyhez.
Azok az iparágak, amelyek kiberbiztonsági szolgáltatásokat nyújtanak a nukleáris szektor számára, úgy tűnik, nem értékelik teljes mértékben a nemkívánatos elemek kizárásához szükséges szigorú ellenőrzési folyamatot. Az amerikai biztonsági ügynökségek jelentős problémákkal küzdöttek a nem megfelelően ellenőrzött vagy felügyelt alvállalkozók alkalmazásával. Például július végén a Microsoft úgy döntött, hogy "nem támaszkodik többé a Kínában dolgozó mérnökökre a Pentagon felhőszolgáltatásainak támogatásában".
További lépések közé tartozik a létesítmények kockázatainak rendszeres értékelése és egy adatbázis létrehozása, amely részletesen tartalmazza az ismert fenyegetéseket, azok kezelésének módját és a tanulságokat. Egy ilyen adatbázis megosztható lenne az összes kritikus infrastruktúra szereplőjével a közös fenyegetések kezelése érdekében. Ez kiterjeszthető lenne forgatókönyv-gyakorlatokra is, amelyekkel feltárhatók a kockázatok és a jogsértés vagy biztonsági incidens esetén alkalmazandó válaszlépések.
Végül, mivel cél a jogsértések hatékony és gyors azonosítása és a következmények korlátozása, semmi sem helyettesítheti a robusztus incidenskezelési terveket, az aktív védelmi megközelítéseket és az integrált digitális biztonságot a létesítményekben és a szabályozási szinteken.
