Rizikové zariadenia v energetike treba najprv zmapovať, výmena má byť posledným krokom

Prvým krokom by podľa neho mala byť detailná inventarizácia a kategorizácia zariadení podľa úrovne rizika.

Takýto neverejný register by mal obsahovať údaje o výrobcovi a konkrétnom modeli, používanom softvéri a firmware, krajine a mieste výroby, vlastníckej štruktúre dodávateľa, komunikačných rozhraniach a protokoloch či využívaných cloudových službách.

Dôležité je tiež poznať umiestnenie serverov, spôsob aktualizácie zariadení, existenciu vzdialenej administrácie a celkovú závislosť prevádzkovateľa od dodávateľa počas životného cyklu technológie.

Po identifikácii rizikových zariadení by mali nasledovať opatrenia podľa závažnosti rizika. Patrí medzi ne obmedzenie priameho prístupu na internet, segmentácia sietí a oddelenie operačných technológií od bežnej IT infraštruktúry.

Prevádzkovatelia by podľa experta mali zároveň odstrániť permanentné servisné účty výrobcov, kontrolovať vzdialený servis, monitorovať externú komunikáciu a povoliť iba vopred schválené spojenia. Ak je to možné, riadenie by malo byť lokálne alebo umiestnené v dôveryhodnom európskom prostredí namiesto závislosti od cloudu výrobcu.

Súčasťou ochrany má byť aj audit firmware, aktualizačného mechanizmu a komunikačného hardvéru.

Podobný prístup zvolili Spojené štáty v Executive Order 14420 z 26. augusta. Americký minister energetiky môže pri už nainštalovaných rizikových zariadeniach v nadradenej elektrizačnej sústave stanoviť podmienky ich ďalšieho používania a požadovať ich identifikáciu, izoláciu, monitorovanie, zabezpečenie, odpojenie, výmenu alebo odstránenie.

Americké opatrenie pritom počíta s tým, že pred odpojením alebo výmenou sa má zohľadniť vplyv na spoľahlivosť sústavy, dostupnosť bezpečnej náhrady a kontinuita dodávok.

Podľa Noska by mala byť úplná výmena poslednou možnosťou. Opodstatnená je predovšetkým vtedy, keď zariadenie nemožno dostatočne izolovať, výrobca si zachováva nekontrolovateľný privilegovaný prístup alebo nie je možné spoľahlivo preveriť jeho softvér a komunikáciu.