Контакты
Подписка 2025

Современные реалии защиты объектов АСУ ТП

Вадим Ерышов, 22/01/21

Еще недавно среди экспертов было распространено сильное заблуждение, что АСУ ТП являются наиболее защищенными системами, поскольку работают без подключения к внешним сетям. Но сейчас десятки тысяч элементов АСУ ТП подключены к Интернету, и злоумышленники стали уделять больше внимания атакам на промышленные предприятия.

Автор: Вадим Ерышов, к.т.н., руководитель кафедры “Информационная безопасность” Академии АйТи

В наши дни существенно увеличились темпы технологического развития, цифровой трансформации объектов АСУ ТП, гораздо быстрее появляются новые угрозы и уязвимости, банки данных угроз ежемесячно пополняются десятками новых записей. Уязвимости открываются по целому спектру используемых компонентов.

  1. Промышленные системы с возможностью эксплуатации извне.
  2. Сетевые устройства промышленного назначения.
  3. Системы SCADA, распределенные системы управления.
  4. ПЛК-системы.
  5. Обеспечивающие системы видеонаблюдения, менеджеры лицензий, операционные системы.

И встает вопрос: что нужно делать для построения эффективной защиты объектов АСУ ТП? Вроде бы проводятся отраслевые мероприятия, конференции, ФСТЭК проясняет конкретные меры и действия по выполнению требований приказов 31, 235, 239. Но на местах, как показывает практика, все реализуется очень тяжело, долго и фактически выполняется уже только на этапе практической реализации.

На каком уровне начинать построение эффективной системы защиты объектов АСУ ТП? Начать с низкого уровня или с самого высокого? Может быть, надо комплексно подходить, но хватит ли на это финансовых ресурсов?

В сфере информационной безопасности вообще не хватает подготовленных специалистов, а для проектов в сфере цифровизации промышленных предприятий эта проблема стоит еще острее.

С чего начинать

Необходимо строить системы защиты и на уровне операторского диспетчерского управления, и на уровне автоматического управления, на уровне подсистем ввода-вывода, исполнительных датчиков. Есть понимание, какие данные необходимо защищать в том или ином случае, какие программно-технические комплексы использовать, но нет готового комплексного решения, которое можно выбрать из имеющегося перечня и применить на конкретном предприятии, в конкретной отрасли.

Да, есть приказ № 31, есть соответствующие требования, есть подходы, разработаны соответствующие документы – вроде бы все понятно. А вот как на практике даже сформулировать эти требования для своего конкретного объекта? Не говоря уже о практической реализации соответствующих требований при построении и внедрении эффективных систем защиты объектов АСУ ТП!

  1. Все начинается с аудита. Провести аудит самостоятельно зачастую тяжело, потому что не хватает ни времени, ни знания необходимых методик, ни технических возможностей. Например, один из этапов аудита – проведение тестирования, но кто же на действующих объектах АСУ ТП разрешит провести тестирование в полном объеме!
  2. Далее необходимо сформулировать требования, используя приказы ФСТЭК, ГОСТы, предназначенные для создания систем в защищенном исполнении: ГОСТ Р 51583–2014, ГОСТ Р 51624–2000, ГОСТ 34.601-90, ГОСТ 34.601-92, ГОСТ 34.603-92.
  3. Невозможно создать адекватную систему защиты без создания модели угроз безопасности. Но по методике моделирования угроз АСУ ТП или объектам КИИ до сих пор идут споры, отсутствует новый методический аппарат, который ФСТЭК планировала выпустить в 2020 г. Впрочем, есть действующий методический аппарат моделирования угроз безопасности объектов КСИИ, но он также имеет недостатки и не связан с банком данных угроз ФСТЭК.

Практические вопросы

Предлагаемых решений по созданию систем защиты объектов АСУ ТП, КИИ сегодня много, но иногда даже на этапе пилотирования то или иное решение не совсем подходит для конкретного предприятия по техническим причинам. Увы, сегодня не существует универсального программного или программно-аппаратного комплекса, с помощью которого можно было бы выполнить все требования руководящих документов по защите объектов АСУ ТП, КИИ, купив и внедрив их на защищаемом объекте.

Поэтому владельцам объектов АСУ ТП, КИИ очень нужны типовые кейсы, причем не от какого-то отдельного вендора, а общеотраслевые. Чтобы можно было выбрать из перечня готовый вариант решения для создания системы защиты объектов АСУ ТП, КИИ той или иной категории значимости, к примеру предприятия энергетической сферы, зная, что система защиты "А" закроет одну часть законодательных требований, система защиты "Б" закроет другую часть требований и т.д.

Важный вопрос – принципиальная интегрируемость предлагаемых вендорами решений. Это нужно знать и учитывать еще до проведения пилотного проекта, а также на этапе проектирования системы защиты объектов АСУ ТП, КИИ.

Особенно это актуально для секторов, работающих с гособоронзаказом, потому что для них даже типовых решений может и не быть.

Конечно, каждая отрасль, каждый конкретный объект АСУ ТП, КИИ уникальны. Но есть типовые решения, их разработку могло бы на себя взять государство в лице ФСТЭК или вендоры, производящие те или иные системы защиты, или интеграторы, их устанавливающие. Необходимо обобщить и обобществить опыт по внедрению не только своего продукта, но и смежных, с учетом данных о совместимости, и желательно это проделать для различных отраслей.

Комплексные программные и программно-аппаратные решения для защиты объектов АСУ ТП, КИИ достаточно сложны, и службам информационной безопасности иногда тяжело самостоятельно разобраться с их функционалом и настройкой. Поэтому сотрудникам служб ИБ необходимо постоянно повышать свой уровень квалификации и быть обученными уже на этапе внедрения, опытной и промышленной эксплуатации, чтобы исключить факторы непреднамеренного воздействия с последующим нарушением работоспособности промышленных систем.

Темы:КИИАСУ ТПЖурнал "Информационная безопасность" №6, 2020

Программа мероприятий
для руководителей и специалистов
по защите информации

Посетить
Кибербезопасность
Форум ITSEC 2025 | Москва | Radisson Blu Belorusskaya. Мероприятия для директоров и специалистов по ИБ, инженеров, ИТ-руководителей и разработчиков
Регистрируйтесь и участвуйте 14-15 октября →
Статьи по той же темеСтатьи по той же теме

  • Слепые зоны реагирования в АСУ ТП
    Классические подходы к реагированию, заимствованные из ИТ-среды, не работают в условиях АСУ ТП: запрет на патчинг, устаревшие устройства, разрывы между сегментами, отсутствие логирования и централизованного мониторинга создают критические слепые зоны.
  • Управление ИТ-активами в АСУ ТП: базовые задачи промышленной кибербезопасности
    Инвентаризация ИТ-активов в промышленных сетях – это фундаментальная задача, важность которой часто недооценивают. Без точных данных об оборудовании и ПО даже самые продвинутые средства защиты – межсетевые экраны, системы обнаружения атак или сканеры уязвимостей – не смогут работать эффективно.
  • MISRA: повышение безопасности встраиваемых систем через SAST
    Михаил Гельвих, руководитель отдела технического сопровождения ООО “ПВС”
    Встраиваемые системы управляют автомобилями, медицинским оборудованием и промышленными объектами, где ошибки могут приводить не только к финансовым потерям, но и угрожать жизням людей. Рассмотрим, как стандарт MISRA и статические анализаторы, такие как PVS-Studio, помогают обеспечить надежность и безопасность кода в критически важных приложениях.
  • Без полумер и человека: грамотная автоматизация спасет АСУ ТП от киберугроз
    Андрей Кузнецов, менеджер продукта “Синоникс” в компании “АйТи Бастион”
    Минимизация участия человека в производственных процессах – один из главных пунктов обеспечения информационной безопасности АСУ ТП. Человеческий фактор в мире автоматизированных систем до сих пор остается ключевой уязвимостью крупных организаций. Несмотря на то, что многие предприятия до сих пор сопротивляются глобальной цифровизации, нужно смотреть правде в глаза: тренд на автоматизацию производств был, есть и, с учетом развития технологий сегодня, абсолютно точно останется. С этим можно спорить, трепетно вычитывая регуляторные требования, а можно поддаться благому течению технологий и жить. Тем более, что для этого есть необходимые и удобные инструменты даже в случае АСУ ТП. Об этих инструментах и грамотном пути к безопасному обмену данными на производствах и поговорим.
  • Переход на отечественные АСУ ТП: опыт, ошибки, рекомендации
    Переход на отечественные компоненты в АСУ ТП – задача не только технологическая, но и стратегическая: от правильного выбора решений зависят безопасность, стабильность и сопровождаемость критической инфраструктуры. Участники отрасли отмечают, что при всей интенсивности развития российского рынка, зрелость отечественных решений всё ещё неоднородна – особенно в части интеграции с системами ИБ и реализации принципов безопасной разработки. 
  • Киберустойчивость в энергетике: как избежать иллюзий?
    Евгений Генгринович, советник генерального директора компании “ИнфоТеКС”
    Когда речь заходит о цифровой трансформации в АСУ ТП, наравне с вопросами информационной безопасности все чаще поднимается тема киберустойчивости. Устойчивость важна для любой технологической системы – будь то электроэнергетика, нефтегазовая отрасль или нефтехимия. Основная задача любого технологического процесса – достижение запланированных бизнес-результатов, и службы эксплуатации традиционно отвечают за его надежность.

Хотите участвовать?

Выберите вариант!

КАЛЕНДАРЬ МЕРОПРИЯТИЙ 2025
ПОСЕТИТЬ МЕРОПРИЯТИЯ
ВЫСТУПИТЬ НА КОНФЕРЕНЦИЯХ
СТАТЬ АВТОРОМ
Linux
Персональные данные в 2026 году: новые требования
Обсудим 15 октября на Форуме ITSEC 2025. Регистрация →

More...
ТБ Форум 2025
Защита АСУ ТП и КИИ: готовимся к 2026 году
Регистрация участников на конференцию 16 октября →

More...