An ninh mạng cho hệ thống điện mặt trời -  Bảo vệ hệ thống khỏi rủi ro công nghệ

Khi các công nghệ điện mặt trời (PV) ngày càng thông minh - tích hợp các công nghệ lưu trữ và giám sát trên nền tảng đám mây thông qua kết nối Internet - các cổng truy cập dữ liệu được mở rộng cũng kéo theo nguy cơ tấn công an ninh mạng tăng cao. Bài viết này sẽ cung cấp những kiến thức về an ninh mạng điện mặt trời: từ cấu trúc hệ thống và những điểm yếu phổ biến, các trường hợp tấn công thực tế và những thiệt hại cho doanh nghiệp, đến các quy định phòng chống an ninh mạng điện mặt trời và giải pháp từ SolarEdge.

1. Hệ thống điện mặt trời và các tính năng kết nối thông minh

Một hệ thống điện mặt trời PV hiện đại không chỉ bao gồm tấm quang điện (tấm pin) mà còn là một hệ sinh thái thông minh với nhiều thiết bị nhằm tối ưu hiệu suất, tăng độ an toàn và thuận tiện cho quản lý – giám sát. Các thành phần chính có thể kể đến:

• Tấm quang điện (PV modules)
• Biến tần (inverter)
• Power optimizers / MLPE 
• Gateway / edge device (cổng kết nối)
• Hệ thống pin lưu trữ (nếu có)
• Nền tảng giám sát trên đám mây và ứng dụng di động

Các thiết bị này trao đổi dữ liệu qua Ethernet, Wi-Fi, LTE hoặc giao thức nội bộ (như RS-485). Trung tâm của mỗi hệ thống PV chính là bộ biến tần, một thiết bị IoT thường xuyên kết nối Internet để hỗ trợ giám sát và điều khiển toàn bộ hệ thống. Nhờ vậy, chủ đầu tư và nhà cung cấp có thể theo dõi hiệu suất theo thời gian thực, cập nhật từ xa, điều chỉnh cấu hình hoặc tích hợp với các thiết bị quản lý – tiêu thụ khác.

Tuy nhiên, chính sự kết nối đa dạng và tính năng điều khiển từ xa này lại mở ra những nguy cơ tiềm ẩn. Nếu không được bảo mật chặt chẽ, từng thành phần trong hệ sinh thái có thể trở thành điểm yếu, ảnh hưởng đến an ninh mạng điện mặt trời và làm gia tăng rủi ro về an toàn hệ thống.

Các tính năng kết nối thông minh của hệ thống điện mặt trời tiềm ẩn lỗ hổng an ninh mạng nếu không được bảo mật đầy đủ

2. Các rủi ro an ninh mạng điện mặt trời tiềm ẩn

Có nhiều yếu tố tiềm ẩn có khả năng gây ra rủi ro an ninh mạng điện mặt trời PV. 

• Sử dụng các mật khẩu mặc định hoặc quá yếu: Khi thực hiện đăng nhập/ đăng ký vào các thiết bị, phần mềm quản lý giám sát, người dùng không thay đổi mật khẩu mặc định của hệ thống hoặc cài đặt mật khẩu dễ đoán khiến việc mở khóa của tin tặc dễ dàng hơn.
• Giao tiếp kém bảo mật: việc truyền dữ liệu hoặc phần mềm quản lý từ xa cũng cần được mã hóa đầy đủ để ngăn ngừa những lỗ hổng từ đường truyền xâm nhập vào hệ thống và chiếm quyền từ xa.
• Phần mềm hệ thống không được mã hóa: Các phần mềm hệ thống không được mã hóa bảo vệ, dễ trở thành phương tiện gây nhiễm mã độc vào các hệ thống thông qua quá trình cập nhật.
• Mạng IT và OT không phân vùng: Việc tích hợp hệ thống IT (Công nghệ thông tin) và OT (Công nghệ vận hành) làm tăng bề mặt tấn công, khiến môi trường OT phải đối mặt với các mối đe dọa an ninh mạng từ IT. Các cuộc tấn công thành công vào hệ thống IT có thể dễ dàng lan sang mạng OT, làm gián đoạn hoạt động sản xuất của doanh nghiệp nếu OT và IT không được phân vùng và mã hóa riêng biệt.
• Thiếu hệ thống giám sát và logging: Các dữ liệu hệ thống cần được thu thập theo thời gian thực và lưu trữ dữ liệu tập trung nhằm phát hiện, phát cảnh báo và tự động ngăn chặn các cuộc tấn công khi hệ thống bị xâm nhập.
• Rủi ro không đồng bộ hệ thống: Các phần mềm quản lý hệ thống, phần cứng sản phẩm không đồng bộ từ bên thứ ba khi kết nối vào hệ thống điện mặt trời dễ mang theo mã độc khó kiểm soát. 

Điện mặt trời trên mái nhà máy của các doanh nghiệp cần được bảo mật an ninh mạng chặt chẽ 

3. Một vài trường hợp tấn công an ninh mạng vào hệ thống điện mặt trời PV

Chỉ tính riêng năm 2024, các nạn nhân của tin tặc trên toàn thế giới (từ mọi lĩnh vực) đã phải trả số tiền khổng lồ 814 triệu đô la sau các cuộc tấn công tống tiền - và đó chỉ là những con số được báo cáo.*

Vào tháng 5 năm 2024, Vangelis Stykas – một “hacker mũ trắng” với mục đích vạch trần các lỗ hổng an ninh mạng để khắc phục – đã tuyên bố rằng chỉ bằng một chiếc điện thoại di động và máy tính xách tay, anh ta đã có thể truy cập từ xa vào các hệ thống năng lượng mặt trời của sáu nhà sản xuất biến tần toàn cầu. Điều này cho phép anh ta tiếp cận tổng công suất gấp ba lần toàn bộ lưới điện Đức. Mặc dù anh ta không thực sự tấn công vào các hoạt động lưới điện, nhưng lượng điện năng mà anh ta truy cập được có khả năng gây ra sự cố mất điện trên diện rộng

Một trường hợp khác, vào tháng 8 năm 2024, hai công ty năng lượng mặt trời khác đã bị tấn công bởi công ty an ninh mạng hàng đầu Bitdefender, chiếm quyền kiểm soát 195GW năng lượng mặt trời – chiếm 20% sản lượng năng lượng mặt trời toàn cầu. Trong khi đó, nhóm hacker mũ trắng của Hà Lan, DIVD, tiết lộ đã phát hiện sáu lỗ hổng an ninh mạng mới của một nhà sản xuất biến tần năng lượng mặt trời top đầu, có thể khiến bốn triệu hệ thống tại hơn 150 quốc gia bị ảnh hưởng.

Nhưng không phải tất cả các vụ tấn công vào hệ thống năng lượng mặt trời đều vô hại. Đầu tháng 2 năm 2024, một nhóm tội phạm mạng người Nga đã xâm nhập vào công ty tiện ích Ignitis của Litva. Nhóm này đã cung cấp bằng chứng video về việc đánh cắp tài khoản người dùng và yêu cầu tiền chuộc để chấm dứt các cuộc tấn công. Chúng thực hiện việc này bằng cách tấn công vào phần mềm giám sát năng lượng mặt trời và truy cập dữ liệu từ 22 cơ sở có lắp đặt hệ thống điện mặt trời, bao gồm bệnh viện và học viện quân sự.

Một vụ tấn công mạng ác ý khác đang gây xôn xao dư luận đã diễn ra tại Nhật Bản. Tin tặc đã chiếm quyền điều khiển 800 thiết bị giám sát năng lượng mặt trời từ xa của Nhật Bản, khai thác chúng để đánh cắp tài khoản ngân hàng. Không giống như hầu hết các lỗ hổng bảo mật khác, lỗ hổng này không thể khắc phục được vì không có cơ chế cập nhật từ xa, khiến lỗ hổng này luôn mở.

Các cuộc tấn công mạng gần đây cho thấy sự cần thiết chú ý đến vấn đề bảo mật an ninh mạng cho các hệ thống PV

4. Hậu quả của các cuộc tấn công an ninh mạng điện mặt trời PV

4.1 Thiệt hại tài chính

Các cuộc tấn công an ninh mạng có thể bị lợi dụng với mục đích tống tiền chủ sở hữu, gây ra thiệt hại lớn về tài chính cho khoản tiền chuộc. Khi một hệ thống điện mặt trời bị tấn công, sản lượng điện tạo ra có thể bị giảm sút hoặc gián đoạn hoàn toàn, ảnh hưởng trực tiếp đến kế hoạch hoạt động, sản xuất, gây ra trì trệ và tổn thất lớn cho doanh nghiệp. 

4.2 Hư hỏng vật lý, rủi ro an toàn

Sau các cuộc tấn công, các thiết bị, phần mềm dễ bị thay đổi các tham số hoạt động mặc định, dẫn đến quá tải, hoạt động không bình thường gây ra các sự cố cháy nổ, làm hỏng thiết bị hệ thống và nguy cơ kém an toàn cho con người và tài sản bên dưới.

4.3 Mất dữ liệu & rò rỉ thông tin khách hàng

Bằng việc xâm nhập vào các hệ thống điện mặt trời kém bảo mật, tin tặc có thể tấn công và khai thác các dữ liệu quan trọng trong hệ thống mạng nội bộ của doanh nghiệp, gây mất lưu trữ dữ liệu, rò rỉ thông tin khách hàng. 

4.4 Mất uy tín và trách nhiệm pháp lý

Trở thành nạn nhân bị tấn công an ninh mạng cũng khiến doanh nghiệp mất uy tín về chất lượng, bảo mật an ninh trong mắt khách hàng và công chúng. Thậm chí, với những ảnh hưởng nghiêm trọng như rò rỉ thông tin cá nhân người dùng, doanh nghiệp còn có thể phải đối mặt với các án phạt và chịu trách nhiệm pháp lý trước các cơ quan chức năng. 

4.5 Nguy cơ cho lưới điện công cộng

Đối với các hệ thống điện mặt trời có kết nối và cung cấp năng lượng cho các lưới điện công cộng, các cuộc tấn công an ninh mạng điện mặt trời cục bộ từ một dự án có thể lan truyền đi xa hơn, làm gián đoạn nguồn cung cấp điện, ảnh hưởng đến sự ổn định của toàn bộ lưới. 

5. Các quy định kỹ thuật về an ninh mạng điện mặt trời 

Trước những diễn biến phức tạp của tấn công an ninh mạng vào các hệ thống điện mặt trời, các tổ chức, cơ quan quản lý liên quan đã và đang ban hành nhiều quy chuẩn, hướng dẫn kiểm soát an ninh mạng nghiêm ngặt hơn trên các hệ thống năng lượng đang chiếm tỉ trọng cao này. 

5.1 Tại EU: 

• RED 2014/53/EU - Chỉ thị về thiết bị vô tuyến của Châu Âu
• Cyber Resilience Act - Đạo luật về an ninh mạng IoT và các thiết bị được kết nối trên toàn Châu Âu (Dự kiến ​​2026-2027)
• EU NIS2 Directive - Chỉ thị về việc đạt được mức độ an ninh mạng cao trên toàn EU (Có hiệu lực từ tháng 10 năm 2024)
• NCCS - Network Code on Cybersecurity - Tiêu chuẩn Châu Âu về an ninh mạng cho các dòng điện xuyên biên giới. 

5.2 Tại Anh: 

UK PSTI (2023) - An ninh Sản phẩm và Cơ sở hạ tầng Viễn thông.

5.3 Tại Mỹ: 

• NIST IR 8498 - Hướng dẫn An ninh mạng cho Biến tần Thông minh
• UL 2941 - Tiêu chuẩn quốc tế chuyên biệt về an ninh mạng cho Biến tần Thông minh và Nguồn Năng lượng Phân tán (Dự kiến ​​năm 2025)
• The “U.S Cyber Trust Mark” - Chương trình chứng nhận và dán nhãn an ninh mạng (Dự kiến ​​năm 2025)
• National Association of Regulatory Utility Commissions (NARUC/NASEO) - Cơ sở An ninh mạng cho Hệ thống Phân phối Điện và DER (Dự kiến ​​năm 2025)

6. Cách phòng ngừa rủi ro an ninh mạng và giải pháp tiên phong từ SolarEdge

Nguyên tắc chung (Defense-in-Depth — Phòng thủ nhiều lớp)

• Phân vùng mạng (Network segmentation): tách biệt mạng điều khiển (OT) và mạng văn phòng (IT).
  
  
• Sử dụng xác thực mạnh: loại bỏ mật khẩu mặc định, áp dụng xác thực đa yếu tố (MFA) cho tài khoản quản trị.
  
  
• Phần mềm hệ thống được mã hóa & khởi động an toàn: chỉ cho phép chạy phần mềm hệ thống đã được mã hóa từ các bên đã được xác thực; bật chế độ khởi động an toàn để ngăn chặn phần mềm độc hại.
  
  
• Giám sát & logging: bật logging chi tiết, tích hợp cảnh báo thời gian thực (SIEM/alert).
  
  
• Quản lý rủi ro bên thứ ba: đánh giá vendor, yêu cầu chứng nhận an ninh và chính sách disclosure.
  
  
• Đào tạo & quy trình: huấn luyện nhân viên, thiết lập incident response plan và kiểm thử định kỳ (pen-test).

Giải pháp bảo mật an ninh mạng đa lớp từ SolarEdge đáp ứng các tiêu chuẩn toàn cầu giúp bảo vệ doanh nghiệp tốt hơn

Giải pháp bảo mật an ninh mạng đa lớp từ SolarEdge

Là công ty tiên phong với các chứng nhận công nghệ tiên tiến, SolarEdge đã nhận ra tầm quan trọng của bảo mật an ninh mạng điện mặt trời trong các hệ thống điện mặt trời và đã tích hợp những công nghệ bảo mật đa lớp trong từng thiết kế sản phẩm, trên cả phần mềm và phần cứng của SolarEdge. 

Tại SolarEdge, bảo mật an ninh mạng điện mặt trời được tiếp cận đa lớp nhằm bảo vệ tính toàn vẹn của dữ liệu, thông tin liên lạc và hoạt động kinh doanh, từ khi đưa vào vận hành đến khi sản xuất.

1. Bảo vệ cấp độ thiết bị: 

Biến tần SolarEdge – được ví như trái tim của hệ thống PV – cùng các thiết bị SolarEdge khác được thiết kế với khả năng phát hiện và ngăn chặn các nguy cơ tấn công mạng. Đây là bước quan trọng trong việc tăng cường an ninh mạng điện mặt trời, đảm bảo toàn bộ hệ thống hoạt động an toàn và ổn định.

• Kiểm soát an toàn của các truy cập
• Bảo vệ khỏi các phần mềm độc hại
• Bảo mật các bản cập nhật phần mềm hệ thống

2. Bảo vệ cấp độ dữ liệu

Hệ thống áp dụng nhiều biện pháp bảo mật nhằm truyền tải và lưu trữ dữ liệu người dùng cũng như dữ liệu tiêu thụ năng lượng một cách an toàn. Tất cả thông tin đều được quản lý tại trung tâm dữ liệu riêng biệt ở Đức, đạt chuẩn ISO 9001 và ISO 27001. Nhờ vậy, quyền riêng tư khách hàng luôn được đảm bảo, giảm thiểu tối đa rủi ro liên quan đến an ninh mạng điện mặt trời.

3. Bảo mật cấp độ mạng lưới

Mạng lưới năng lượng phụ do điện mặt trời tạo ra được cấu trúc đặc biệt, giúp dễ dàng tích hợp an toàn vào cả mạng IT lẫn OT của doanh nghiệp. Đây là nền tảng giúp tăng cường khả năng bảo vệ hệ thống trước các mối đe dọa, góp phần củng cố toàn diện an ninh mạng điện mặt trời cho tổ chức.

4. Khả năng giám sát và điều khiển

Các sản phẩm được thiết kế không chỉ đảm bảo an toàn mà còn đáp ứng các nhu cầu hiển thị và kiểm soát tối đa cho các bộ phận an ninh dễ dàng theo dõi. SolarEdge cũng cung cấp dữ liệu theo dõi theo thời gian thực và hỗ trợ cấu hình tường lửa cho các hệ thống điện mặt trời. 

Các giải pháp bảo mật an ninh mạng đa lớp từ SolarEdge đã đạt được chứng nhận từ VDE Renewables. Bên cạnh đó, đội ngũ kỹ thuật cũng đã và đang làm việc trực tiếp với các tổ chức, cơ quan quản lý nhằm xây dựng những tiêu chuẩn an ninh mạng toàn diện cho thế giới cũng như đảm bảo các sản phẩm từ SolarEdge luôn được cập nhật và đáp ứng các tiêu chuẩn ngày một khắc khe này. 

Bảo vệ hệ thống điện mặt trời và doanh nghiệp tốt hơn nhờ các giải pháp bảo mật an ninh mạng đạt chuẩn từ SolarEdge

SolarEdge – Đáp ứng các tiêu chuẩn an nin toàn cầu

Trong khi các tiêu chuẩn an ninh mạng điện mặt trời đang ngày càng được siết chặt tại EU, Anh và Mỹ, SolarEdge đã sớm đạt được những chứng nhận quan trọng như:

• EU: NIS 2.0, RED (2014/53/EU)
• Anh: UK PSTI
• Quốc tế: ETSI 303 645 cho IoT

Đồng thời, SolarEdge cũng đang chủ động chuẩn bị cho các quy định sắp ra mắt như EU Cyber Resilience Act, UL 2941 (Mỹ) hay CER (Úc).