Современные реалии защиты объектов АСУ ТП

Еще недавно среди экспертов было распространено сильное заблуждение, что АСУ ТП являются наиболее защищенными системами, поскольку работают без подключения к внешним сетям. Но сейчас десятки тысяч элементов АСУ ТП подключены к Интернету, и злоумышленники стали уделять больше внимания атакам на промышленные предприятия.

Автор: Вадим Ерышов, к.т.н., руководитель кафедры “Информационная безопасность” Академии АйТи

В наши дни существенно увеличились темпы технологического развития, цифровой трансформации объектов АСУ ТП, гораздо быстрее появляются новые угрозы и уязвимости, банки данных угроз ежемесячно пополняются десятками новых записей. Уязвимости открываются по целому спектру используемых компонентов.

1. Промышленные системы с возможностью эксплуатации извне.
2. Сетевые устройства промышленного назначения.
3. Системы SCADA, распределенные системы управления.
4. ПЛК-системы.
5. Обеспечивающие системы видеонаблюдения, менеджеры лицензий, операционные системы.

И встает вопрос: что нужно делать для построения эффективной защиты объектов АСУ ТП? Вроде бы проводятся отраслевые мероприятия, конференции, ФСТЭК проясняет конкретные меры и действия по выполнению требований приказов 31, 235, 239. Но на местах, как показывает практика, все реализуется очень тяжело, долго и фактически выполняется уже только на этапе практической реализации.

На каком уровне начинать построение эффективной системы защиты объектов АСУ ТП? Начать с низкого уровня или с самого высокого? Может быть, надо комплексно подходить, но хватит ли на это финансовых ресурсов?

В сфере информационной безопасности вообще не хватает подготовленных специалистов, а для проектов в сфере цифровизации промышленных предприятий эта проблема стоит еще острее.

С чего начинать

Необходимо строить системы защиты и на уровне операторского диспетчерского управления, и на уровне автоматического управления, на уровне подсистем ввода-вывода, исполнительных датчиков. Есть понимание, какие данные необходимо защищать в том или ином случае, какие программно-технические комплексы использовать, но нет готового комплексного решения, которое можно выбрать из имеющегося перечня и применить на конкретном предприятии, в конкретной отрасли.

Да, есть приказ № 31, есть соответствующие требования, есть подходы, разработаны соответствующие документы – вроде бы все понятно. А вот как на практике даже сформулировать эти требования для своего конкретного объекта? Не говоря уже о практической реализации соответствующих требований при построении и внедрении эффективных систем защиты объектов АСУ ТП!

1. Все начинается с аудита. Провести аудит самостоятельно зачастую тяжело, потому что не хватает ни времени, ни знания необходимых методик, ни технических возможностей. Например, один из этапов аудита – проведение тестирования, но кто же на действующих объектах АСУ ТП разрешит провести тестирование в полном объеме!
2. Далее необходимо сформулировать требования, используя приказы ФСТЭК, ГОСТы, предназначенные для создания систем в защищенном исполнении: ГОСТ Р 51583–2014, ГОСТ Р 51624–2000, ГОСТ 34.601-90, ГОСТ 34.601-92, ГОСТ 34.603-92.
3. Невозможно создать адекватную систему защиты без создания модели угроз безопасности. Но по методике моделирования угроз АСУ ТП или объектам КИИ до сих пор идут споры, отсутствует новый методический аппарат, который ФСТЭК планировала выпустить в 2020 г. Впрочем, есть действующий методический аппарат моделирования угроз безопасности объектов КСИИ, но он также имеет недостатки и не связан с банком данных угроз ФСТЭК.

Практические вопросы

Предлагаемых решений по созданию систем защиты объектов АСУ ТП, КИИ сегодня много, но иногда даже на этапе пилотирования то или иное решение не совсем подходит для конкретного предприятия по техническим причинам. Увы, сегодня не существует универсального программного или программно-аппаратного комплекса, с помощью которого можно было бы выполнить все требования руководящих документов по защите объектов АСУ ТП, КИИ, купив и внедрив их на защищаемом объекте.

Поэтому владельцам объектов АСУ ТП, КИИ очень нужны типовые кейсы, причем не от какого-то отдельного вендора, а общеотраслевые. Чтобы можно было выбрать из перечня готовый вариант решения для создания системы защиты объектов АСУ ТП, КИИ той или иной категории значимости, к примеру предприятия энергетической сферы, зная, что система защиты "А" закроет одну часть законодательных требований, система защиты "Б" закроет другую часть требований и т.д.

Важный вопрос – принципиальная интегрируемость предлагаемых вендорами решений. Это нужно знать и учитывать еще до проведения пилотного проекта, а также на этапе проектирования системы защиты объектов АСУ ТП, КИИ.

Особенно это актуально для секторов, работающих с гособоронзаказом, потому что для них даже типовых решений может и не быть.

Конечно, каждая отрасль, каждый конкретный объект АСУ ТП, КИИ уникальны. Но есть типовые решения, их разработку могло бы на себя взять государство в лице ФСТЭК или вендоры, производящие те или иные системы защиты, или интеграторы, их устанавливающие. Необходимо обобщить и обобществить опыт по внедрению не только своего продукта, но и смежных, с учетом данных о совместимости, и желательно это проделать для различных отраслей.

Комплексные программные и программно-аппаратные решения для защиты объектов АСУ ТП, КИИ достаточно сложны, и службам информационной безопасности иногда тяжело самостоятельно разобраться с их функционалом и настройкой. Поэтому сотрудникам служб ИБ необходимо постоянно повышать свой уровень квалификации и быть обученными уже на этапе внедрения, опытной и промышленной эксплуатации, чтобы исключить факторы непреднамеренного воздействия с последующим нарушением работоспособности промышленных систем.