Sellafield przyznaje się do zarzutów karnych dotyczących bezpieczeństwa cybernetycznego

The Sellafielda składowisko odpadów nuklearnych przyznało się do zarzutów karnych postawionych przez organ regulacyjny branżowy, przyznając się do znaczących uchybień w zakresie bezpieczeństwa cybernetycznego w okresie czterech lat, które naraziły na ryzyko wrażliwe informacje.

Prawnicy działający na rzecz państwowej spółki Sellafield Ltd – która działa w imieniu Urzędu ds. Likwidacji Obiektów Jądrowych (NDA) w celu zarządzania składowiskiem odpadów nuklearnych Sellafield w Cumbrii – przyznali się do wszystkich trzech zarzutów postawionych przez Urząd Regulacji Jądrowych (ONR), mówiąc londyńskiemu sądowi pokoju, iż chociaż organizacja „posiadała systemy bezpieczeństwa cybernetycznego, systemy te nie były przestrzegane w wystarczającym stopniu przez pewien okres”.

Jeden z zarzutów karnych dotyczył niezapewnienia przez Sellafield „odpowiedniej ochrony wrażliwych informacji nuklearnych w jej sieci informatycznej”, natomiast dwa pozostałe dotyczyły niezapewnienia „corocznych kontroli stanu” jej systemów informatycznych.

Te wrażliwe dane mogą obejmować przenoszenie zapasów materiałów nuklearnych, gospodarkę odpadami, informacje dotyczące planowania i usługi świadczone na rzecz Sellafield przez wykonawców.

Jednak prawnicy Sellafielda stwierdzili również, iż „należy podkreślić, iż nie było i nigdy nie było udanego cyberataku na [the facility]”, zanim zauważymy, iż przestępstwa mają charakter „historyczny… [and] nie odzwierciedlają aktualnego stanowiska”.

W swoim oświadczeniu dotyczącym przyznania się do winy ONR jasno stwierdził również, iż „zarzuty te odnoszą się do przestępstw historycznych i nie ma dowodów na to, iż wykorzystano jakiekolwiek słabe punkty”.

Wyrok zostanie wydany 8 sierpnia i będzie pierwszym oskarżeniem wniesionym przez ONS od czasu wprowadzenia przepisów dotyczących bezpieczeństwa przemysłu nuklearnego w 2003 r.

Rzecznik Sellafield powiedział: „Przyznaliśmy się do wszystkich zarzutów i w pełni współpracowaliśmy z ONR przez cały ten proces. Zarzuty dotyczą przestępstw historycznych i nic nie wskazuje na to, iż doszło do naruszenia bezpieczeństwa publicznego.

„Ponieważ kwestia pozostaje przedmiotem toczącego się postępowania sądowego, nie możemy komentować dalej”.

Opiekun w grudniu 2023 r. poinformowało, iż systemy obiektu jądrowego zostały uszkodzone zhakowane przez grupy powiązane z Rosją i Chinami już w 2015 r., który rzekomo umieścił w sieci uśpione złośliwe oprogramowanie.

Oskarżyła także Sellafielda o konsekwentne tuszowanie włamań, które rzekomo miały miejsce w 2015 r., i zarzuciła, iż ​​zakres naruszenia wyszedł na jaw dopiero, gdy pracownicy innych lokalizacji odkryli, iż mogą uzyskać zdalny dostęp do systemów Sellafield.

Osoba znajdująca się na miejscu określiła sieć Sellafield jako „zasadniczo niebezpieczną” i zwróciła uwagę na różne obawy, w tym na używanie pamięci USB przez zewnętrznych wykonawców oraz incydent, w którym odwiedzająca ekipa filmowa BBC przypadkowo sfilmowała i wyemitowała dane uwierzytelniające użytkownika. Niektóre z wad były tak poważne, iż rzekomo zaczęto ich nazywać „Voldemortem”.

Sellafield stwierdził wówczas, iż nie ma dowodów na udany cyberatak i stanowczo zaprzeczył zarzutom.

pięta Achillesa

Również źródło samorządu lokalnego powiedział wcześniej Computer Weekly iż rady Copeland i Cumberland – dwie władze lokalne, które przechowują szereg danych związanych z Sellafield i zarządzają nimi – stanowią „piętę achillesową” obiektu jądrowego po tym, jak w październiku 2023 r. kadra kierownicza wyższego szczebla przyznała, iż ​​„nadal nie wiedzą, co zginęło ” w oddzielny cyberatak z 2017 r.

Rzecznik Sellafield i NDA powiedział Computer Weekly, iż według jej wiedzy żaden z tych organów nie przekazał Radzie gminy Copeland żadnych informacji sklasyfikowanych jako wrażliwe informacje nuklearne.

Rzecznik powiedział: „Jako część brytyjskiego cywilnego sektora jądrowego podlegamy rygorystycznym systemom regulacyjnym w zakresie bezpieczeństwa jądrowego, który wymaga od nas spełnienia rygorystycznych wymagań prawnych i bezpieczeństwa narodowego.

„Nie mamy powodu sądzić, iż jakiekolwiek dane związane z NDA lub Sellafield zostały naruszone w wyniku incydentu cybernetycznego Rady Miejskiej Copeland w 2017 r.”.