La Protezione delle Infrastrutture Critiche, o CIP, è il quadro di NERC di standard di affidabilità obbligatori per determinati sistemi informatici del Bulk Electric System (BES). Si applica ai proprietari e agli operatori registrati di asset ad alto impatto e a medio impatto e stabilisce requisiti di base per identificare i sistemi critici, controllare l’accesso, gestire le patch, registrare l’attività e prepararsi agli incidenti e al ripristino.
La CIP è importante perché il rischio informatico della rete elettrica non riguarda solo l’arresto degli intrusi al perimetro di rete. Si tratta di dimostrare che personale fidato, aggiornamenti autenticati e accesso remoto protetto siano presenti lungo l’intero ciclo di vita delle apparecchiature e del software. Nelle difese reali, la CIP guida gli inventari degli asset, i perimetri di sicurezza elettronica, l’accesso multifattore, il controllo delle modifiche e la pianificazione del ripristino. Negli attacchi reali, gli stessi controlli sono le barriere che un avversario cerca di aggirare tramite credenziali rubate, accesso vendor non sicuro o percorsi di manutenzione compromessi.