Можно ли изменить безопасность в АСУ ТП

0:00 Организаторов за столь масштабное мероприятие я знаю, было много скептиков относительно переноса локации. Да, то есть всем было достаточно удобно. Находиться в центре Москвы, и многие не совсем верили в то, что такое мероприятие за МКАДом будет успешным. Но сейчас уже можно говорить о том, что все. Таки это успех, поэтому еще раз большое спасибо организаторам за то, что пригласили и пригласили на крайне с точки зрения по крайней мере той компании. Которая представляю нарезки никель секцию, которая сформулирована как безопасность, а сут и п. Собственно говоря, это тот хлеб, который приносит в.

0:37 В компанию и это то, чем мы непосредственно занимаемся, и без особо, собственно говоря, все остальное, что делается, оно не имеет ровным счетом. Никакого смысла, поэтому я, наверное, сейчас короткое сделаю вступление. Мне кажется, что тут собралось достаточно профессионалов, чтобы не обсуждали. Достаточно банальные вещи, что такое СутТП, чем его едят? Что такое безопасность, а СутТП, говоря призвать всех выступающих участников секции? Поговорить о том, что произошло за последний год. Какие тенденции мы наблюдаем с точки зрения методик защиты с точки зрения рисков с точки зрения рисков с точки зрения?

1:22 Регуляторов, каким образом нам лучше двигаться для того, чтобы АСУ ТП и очень близкая к этому тема? Защита критических инфраструктур, и я хотел бы подчеркнуть, что В. Понимание критических инфраструктур, я думаю, со мной мои коллеги согласятся. Мы будем все таки смотреть гораздо шире, нежели законодательство на этом смотрят, потому что на примере норильского никеля. Даже если говорить про Норильск сейчас там, в отличие от Москвы, не плюсовая минусовая температура. Вот отопительный сезон еще не окончен и говорить, что даже там водоснабжение. Теплообеспечения нашего города это является действительно критической инфраструктурой. Когда на улице ты, 40 когда черная пурга, то вот любая инфраструктура, по сути дела. Становится критической, поэтому позвольте мне для начала предложить. Я передам слово каждому из участников данной секции, чтобы попросить их представиться, ну и собственно. Говоря обрисовать те проблемы, которые лежат в фокусе их компетенции для того, чтобы наш диалог был более продуктивным и содержательным. Прошу вас тогда просто по очереди.

2:37 Добрый день, коллеги, меня зовут Дмитрий Пономарев. Я являюсь сотрудником Московской объединенной электросиловой компании Маэск компания, которая занимается эксплуатацией. Системы транспорта и распределения электроэнергии по Москве и Московской области. Вот, а представляю я блок, который занимается эксплуатации, вот защите которых мы сегодня собрались поговорить. Ну, наверное, для начала все. Добрый день, меня зовут Виталий Соколов, я партнер. Руководитель практики кибербезопасности педовой Иси в России.

3:16 И вместе с нашими клиентами мы решаем проблемы безопасности АСУ ТП. Это не всегда просто, но всегда интересно. Коллеги, добрый день, меня зовут Карандаев Владимир, я возглавляю направление защиты критической инфраструктуры и защиты от ЦТП. Компания Ростелеком Соур отвечаю за развитие бизнеса, за развитие технологий безопасности, хочу поблагодарить организаторов. Этой секции там я был участник предыдущих 3 или 4 и хочу отметить, что в этом году мне кажется, нам организован совершенно по другому. Здесь идет в основном представители заказчика, и я ожидаю, что вот эта секция она будет по настоящему такой интересной.

3:55 Вы получите ответы на вопросы, которые у вас есть, мы как минимум обсудим спасибо. Добрый день, коллеги Немудров, Андрей, я представляю 1 из крупнейших генерирующих компаний России. Компания ПАО РусГидро занимаюсь обеспечением информационной безопасности в компании и в том числе безопасность критической информационной инфраструктуры.

4:24 Коллеги, добрый день, меня зовут Алексей Мартынцев. В течение 3 лет я возглавлял отдел и боятся тупой в Норильском никеле. А сейчас в Норильском никеле я занимаюсь информационной безопасностью всех дочерних обществ и филиалов я хотел. бы слегка нарушили традицию представления. Я хотел бы, чтобы в зале мы сейчас поняли, кто основная аудитория, чтобы с учетом этого мы выстраивали свои ответы, не могли бы поднять руки те, кто представляет промышленное предприятие.

4:55 Спасибо, коллеги. Добрый день, меня зовут Дарьинский Дмитрий, я руководитель практики промышленной кибербезопасности компании польских Ноджес и. Сегодня готов говорить о расширении не только области применения безопасности индустриальная критическая инфраструктура, но и расширение. Скажем так, отрасли информационной безопасности для того, чтобы. Понимать, куда она должна двигаться и где она дружить? И какие технологии в итоге должны или могут быть реализованы в рамках этой индустрии?

5:41 Да, коллеги, спасибо большое за эту возможность, собственно говоря, обсудить вот эти проблемы и для затравки. Мне кажется, я попросил бы каждого высказаться, вот когда. Мы как безопасники, как люди, которые обеспечат информационную безопасность. У нас, собственно говоря, есть 2 адреса, где мы должны убедить в своей необходимости, если. Такого понимания нет, это в 1 очередь бизнес, а 2 это те люди, которые занимаются непосредственно эксплуатации систем. Потому что есть такое заблуждение общее, что давайте. Сейчас свою систему изолируем, и все будет все безопасно. Да вот это такой достаточно примитивный подход. Его уже, мне кажется, лет 5 назад многие компании пережили. Есть действительно понимание, что как бы изоляция физически технологических сетей не решает вопросы, потому что есть огромное количество входов дополнительных и. Собственно говоря, я хотел бы предложить. Может быть, наверное, в 1 очередь представителей действительно компании эксплуатантов поделиться своим опытом, в чем заключается? Собственно говоря, ваши усилия, если они предпринимаются или же в вашей отрасли бизнес достаточно зрел для того, чтобы понимать, что это отдельная сфера инвестиций, это. Отдельная сфера просчета рисков для того, чтобы выстраивать грамотную эшелонированную систему обороны и защиты с точки зрения именно ключевых активов, а именно СТП.

7:20 Позвольте мне отвечу, я за нашу компанию конкретно. Значит, вот проблемы у нас компании убедить бизнес я не вижу. Руководство понимает задачу, я бы даже сказала, более того. Значит, как бы погружено в проблематику, вот поэтому инвестиции на систему безопасности выделяются. Я здесь как представитель эксплуатации, и, с другой стороны, у вас прозвучало. Сейчас значит, как увидеть эксплуатацию наш блок безопасности перед ним не стоит проблемы убедить эксплуатацию. Потому что это как бы в директивном порядке, просто. Ставится задача вот для себя я, я бы обозначил другую проблему. Если руководство, скажем, необходимость капитальных затрат инвестиций в развертных систем видят с дальнейшей. Организацией эксплуатации уже сложнее, значит, потому что эксплуатация систем внедряемых, а внедряется сейчас массово как сами системы сут и п., так и система их защиты. Она все равно ложится на те же, значит, скажем, в революционно штатном плане достаточно ограниченной структуры. Вот и при этом опять же те тот бюджет, который заложен на. эксплуатацию он постоянно сокращается, вот это вот для меня, например, больная тема. Не знаю, насколько она интересна здесь для присутствующих, вот а в остальном говорю вот в. Нашей компании понимание необходимости вкладывать деньги, значит, искать технические решения. Она есть вот у нас, собственно, она уже много лет, эта программа реализовывается.

9:01 Совсем недавно под чемпионат мира была целевая программа по реализации технологического мониторинга и обеспечения безопасности наших объектов. Сейчас у нас принята целевая программа по реализации мер информационной безопасности, под это дело выделяется. Значительные средства вот теперь нужно найти те оптимальные решения, которые, собственно, будут решать поставленную задачу и будут. Совместимы с существующими у нас системами технологическими. Вот это отдельная проблема, о которой мы, наверное, сегодня еще поговорим.

9:37 Дмитрий, спасибо, а вот знаете тут, пока когда Дмитрий говорил, на самом деле было бы интересно. Мне кажется всем вот из тех, кто поднял руки, кто непосредственно занимается безопасностью, а СтП из присутствующих. Вот у вас, если можно, поднимите руку, у кого есть конкретные, затвержденные на уровне. Там руководство компании, планы поза, там старту проектов плану по внедрению средств защиты от СутТП вот среди присутствующих.

10:06 Алексей Мартынцев, вы почему не поднимаете руку? То есть в целом, я надеюсь, никто не стесняется поднимать руку в целом. Достаточно скромная картина выглядит, да с учетом того, что здесь все таки на конференции собираются лидеры. Те, кто интересуется к те, кто занимается и, собственно говоря, это.

10:30 К сожалению, может быть, и для регулятора тоже неплохой. Был бы пример того, что в целом как бы ситуация как бы средней температуры по больнице, она как бы все. Таки не может радовать, я просто извините, что несколько скачу по теме, но мне кажется, это тоже важно. И хотел бы передать слово другим коллегам, чтобы вот.

10:53 Свою компанию у нас разговор с бизнесом складывается, так скажем, хоть и тяжелый, но все таки продуктивный. Нам удается доказать, что необходимо, как и выделять средства, выделять усилия на обеспечение безопасности, в том числе в СТП.

11:17 Хотя очень сложно было ответить на такой вопрос типа, если не будет информационной айти инфраструктуры, если мы не будем выделять средства на информационную. Безопасность, как турбина остановится, вода течь перестанет, электроэнергия перестанет вырабатываться. На этот вопрос было очень сложно ответить. Но когда вовлекаешь представителей того же бизнеса, предлагаешь рассматривать сценарий реализации угроз, когда они погружаются в эту тему они? Начинают соглашаться, что да, при определенных условиях и вода перестанет течь и электричество перестанет вырабатываться такое, есть 2 вопрос, который.

12:05 Дмитрий поднимал, встает вопрос уже обеспечения эксплуатации астп и системы информационной безопасности в плане развлечения зон ответственности. А кто же отвечает за все это? Здесь мы тоже в плотном контакте с нашим производственным блоком с нашим айти, пока на этом пути очень много так препятствий. Каких то там тернистостей, но все вместе мы пытаемся эти вопросы решить. Да я прошу, да я прошу, попросил бы Алексея коротко рассказать, поскольку тут, как это внутри себя, это не домашняя. Заготовка это мы и не обсуждали в деталях как раз сознательно секцию, чтобы она была не скучным докладом. Да, так сказать, все таки было, расскажу все как есть, только попробуй, да?

13:00 Если что, разве не обновила, так что? Коллеги в Норильском никеле у руководства нет понимания, что ибо СтП важно. И когда я начал свое турне по регионам, когда я катался, общался со ступешниками, которые в полях я обиделся, что у них есть такое понимание. Что это важно, но проблема возникает так тогда, когда вот эти 2 сущности сталкиваются, потому что с 1 стороны вас АТП войти. Вот как сказал Дмитрий Пономарев, идут сокращения, урезают издержки, у них нет ресурсов, чтобы. Обеспечивать банально их основную работу, обеспечение функционирования технологических процессов и оборудования. А тут приходит безопасности, говорит, вот есть набор требований по мы написали, прошу внедрить, поэтому наш. Подход заключается в том, что мы не просто выставляем требования, а мы сами их еще и реализовываем и сами потом эксплуатируем. И кроме этого, мы учитываем потребность асут и пшников и стараемся где то им даже помогать.

14:07 Вот я хотел бы поддержать Алексея в том, что как бы никому не интересно, когда к тебе приходят и решает свои задачи всегда интересно, когда. Ты показываешь добавленную стоимость в самом широком смысле этого слова для конкретных людей, которые занимаются эксплуатацией более. Того мы, со своей стороны, всячески пытаемся перед топ менеджмент компании по результатам реализации своих проектов, показывайте узкие места. Которые может быть не всегда лежат в поле зрения безопасности, но поскольку там непрерывность бизнеса, говоря выстраивание правильных. Процесс эксплуатации просто самих система СТП, мы все равно погружаемся в эту проблему в эти проблемы и являемся тоже своего рода. Драйвером и помощниками для тех людей, которые каждодневно занимаются вот этой рутиной. Да как бы с большим уважением можно называть, но все. Равно это достаточно рутинная работа, и в этом плане может быть я все таки попросил бы Виталия несколько слов прокомментировать с учетом. Его достаточно большого опыта работы в Северной Америке и тех может быть лучших практик, которые, безусловно, должны быть адаптированы. На российские реалии, потому что мне нельзя. Я глубоко убежден, что машинка не заработает, если прийти с как это западным лекалам к нам это. Точно не про нас это точно не взлетит, да? У нас есть своя специфика, свои плюсы и свои минусы, они как бы в разные ситуации играют опять. же и в + 3 когда все таки роль персональной ответственности тех людей, которые принимают решения, и наша российская специфика говорит о. Том, что у нас все таки степень ответственности людей порой превосходит, и люди могут порой обойти регламенты жесткие, но с пониманием того. Что есть в эффективное решение, но все таки сделать по своему, обойдя регламенты и в конечном итоге получив дополнительную так называемую. Добавленную стоимость, но это опять же вопросы культуры, это как бы культура информационной безопасности и культура в общем плане это. Вопросы очень близкие и неразделимые, порой поэтому, Виталий, если можно, то расскажите о своем опыте и, может быть, поделитесь о своем уже. Восприятии той российской действительности, которое вы окунулись все таки с достаточно большим перерывом в работе в России, да прошу вас.

16:42 Спасибо, Андрей. Сегодня до в России работаю недавно с ноября прошлого года, а до этого около 10 лет руководил безопасностью в крупной энергетической компании в Северной Америке и действительно есть с чем сравнить. Пожалуй, начну с главного. Что меня? Поразило у нас все таки основным драйвером безопасности в критической инфраструктуре является комплаенс. Там тоже так было на Западе, Северной Америке, в Канаде, но сейчас это уже менее заметно. Начну с тривиального примера, если вы едете по дороге и соблюдаете скоростной режим 60 миль в час 90 км в час. Потому что вы не хотите попасть на штраф, она.

17:34 Да, вы хотите избежать этого риска, потому что что просто не хотите платить деньги. В то же время, если вы едете по дороге и знаете, что есть скоростной режим, потому что это опасный участок дороги, там часто происходят инциденты. Вам нужно обращать внимание то, что вы делаете за рулем. Смотрите вокруг себя и на других водителей, вы, скорее всего, поете медленно и не попадете наш штраф и не попадете в инцидент. Вот это вот, мне кажется, основные отличия между культурой, понимания рисков. В Северной Америке и у нас у нас все таки основной причиной, почему эти требования выполняются ФЗ 187. Подзаконные акты 239 и так далее, и так далее, мы можем долго говорить цифрами, потому что люди. Ответственные люди в организациях пытаются собственно выполнять требования регулятора и продемонстрировать, как они это делают, делают хорошо. Чек, лист, документы и выдан полный набор, но тем не менее. Они не всегда фокусируется на основной риск. Почему, собственно, это делается для того, чтобы предотвратить инциденты, сохранить жизнь людей, сохранить природу и так далее? Вот это понимание она по моему. Это болезнь роста, мы, безусловно, к этому придем и просто, к примеру, моей компании, где я долго работал. Это случается не сразу, но тем не менее культура понимания рисков и трансляции рисков в действия. Это процесс, который у нас начался, и он придет, но тем не менее вот нужно все таки понимать, что фокусировать себя нужно на основной риск в этом плане. То, что делает Алексей вот Алексей Мартынцев и. Андреев сказал, мы знаем ситуацию к Норникеля, мы с ними работаем тоже. Она достаточно показательно, потому что организация действительно фокусируется более на риске, чем просто на процесс комплаенса.

19:23 Вот как то так и, наверное, не не просто автоматически адаптировать систему, когда да вот давайте фокусироваться на риски. Давайте посчитаем и инвестировать под эти риски, но тем не менее, если этот процесс не начать. И не начать работать с вашими коллегами в других управлениях и департаментах. Объяснять им, почему это делается 1 из позитивных примеров? Вот как, скажем, компания на Западе, это удается делать это связь задач.

19:52 информационной безопасности юридической инфраструктуры и задач корпоративной социальной ответственности. Если связать эти 2 цели, защита интересов потребителей, защита природы, защита от инцидентов, которые могут оказать. Влияние на ваш, на вашу социальную лицензию вашей компании, компании критической инфраструктуры? Это очень реально, вот такая связка, как правило, работает и удается быстрее достучаться до верхних на верхних эшелонов. Потому что говорили коллеги, действительно инвестиции в безопасность идут, но вот как мы видим по общением с нашим клиентов после первоначального согласования бюджета. Дальше все это опять часто скатывается, но докажи. Мне что, это принесет прибыль бизнесу? То есть здесь вот по моему существует некий дисконнект, некий Габ, который нам с вами придется вместе заполнять? Но опять таки это процесс, это не проект за ночь этого не сделать.

20:53 Я все таки хотел бы про нашу компанию сказать про маевской Россети в целом. Все таки не в силу того, что я как специалист компании хочу ее выставить там в каком то более. Благожелательном свете, но я бы сказал, что все таки у нас основной драйвер, это понимание рисков. Это хотя, может быть, здесь нам повезло в тем, что риски эти абсолютно очевидные. Вот и та социальная ответственность, про которую вы сказали, она проецируется конкретно просто в личную ответственность руководства. И поэтому если в Москве значит случится? Какой то коллапс, значит, пострадает прежде всего руководство общества. Они прекрасно понимают, вот поэтому задачу это воспринимают близко к сердцу, и деньги на нее выделяет.

21:38 Позвольте пару комментариев, как вот я это вижу, исходя из нашей практики, как бы находясь по другую сторону, грубо говоря, забор. Да ну все таки вы и с 1 стороны, и с другой стороны, все таки Ростелеком. На самом деле до в 2 лицах, но тем не менее было 3 интересных тезиса, 1 тезис, что есть проблемы с эксплуатацией, с персоналом, с деньгами. На это и так далее мы это также видим очень четко в своих проектах, когда через выполнение комплексных проектов нас просят обосновать. Затраты на эксплуатацию на персонал очень часто мы занимаемся описанием требований персонала, сколько нужно, это 1 полностью согласен 2 вот. Про комплаенсы вот это вот такой некоторый оттенок, который это слово у нас имеет в России. Мне кажется, у нас еще есть шанс с тем, чтобы. Регулирование 187 закона не свалилась вот в эту историю с компайнсом, а мы все таки будем заниматься обеспечением устойчивого функционирования. объектов готической информационной структуры, и это цель, которую мы там, как мне кажется, должны преследовать как специалисты В. области кибербезопасности Сут и П. Там, возвращаясь там, к Северной Америке. Но, наверное, вы не будете отрицать, что там нэрксиб вот эти все? Требования, которые есть отраслевые, тоже там значительную роль сыграли в формировании и рынка. И вот этой зрелости, о которой вы говорили.

23:03 Ну, безусловно, они начали раньше, пожалуй, все спасибо прошу вас. Ну, мы видим ситуацию естественно по своему. Да, то есть мы, когда приходим, мы работаем с реальными объектами за забором и. Проблема восприятия вопросов кибербезопасности, она нам видна чаще всего в поле, то есть непосредственно мы видим реакцию людей. И основное, с чем мы сталкиваемся в полях, это то, что. Безопасники, эксплуатация и технологии говорят на разных языках, они могут говорить об 1 и том же о том, что там риски угрозы, то есть использовать терминологию. Но они подразумевали всегда каждое свое, вот и.

23:57 Мы сейчас со своей стороны смотрим уже на то, чтобы. Заниматься не решениями проблем в области информационной безопасности, заниматься решением вопросов в рамках там рисковых моделей. Каких то таких вещей заниматься вопросами комплексной безопасности, которая бы и включала в том? числе составляющую савер секьюрити, вот потому что сейчас на реальном производстве критичном или опасном нельзя разделить функциональную надежность системы. Нельзя отделить от кибербезопасности, нельзя отделить от вопросов. Обеспечения режима на объекте это разные вещи, и на моей моем личном опыте есть пример. Когда уже работая в области информационной безопасности, мы разрабатывали регламенты по антитеррористической угрозе критичного объекта совсем. Не и т вот, но как бы нам нужно было все вот эти компоненты и аспекты безопасности комплексной и и пришлось увязывать. И сейчас говорить там, если говорим о комплаенсах или о рисках, нужно говорить о комплексных рисках, да то. Есть и о бизнес рисках, и о технологических рисках, то и социальных каких угодно. Но это надо все собирать в кучу, вот и дава. Да, давать конкретные решения, которые работают и вот эту комплексную безопасность обеспечивать в нужном. Понятном объеме и причем понятном не только там безопасником, режимщиком, там эксплуатационщиком, то это был должен быть понятный русский, ну или английский язык. Да, то есть, но все должны говорить на 1 языке, нет, это безусловно. Как бы тут даже мне кажется, полный должен быть консенсус в том, что как бы никто с 1 стороны не отменяет бумажную безопасность. Но тем не менее все равно, по крайней мере, там бизнес ориентированной компании, это все таки про. Реальные деньги, про реальные риски, про реальные потенциальные потери и угрозы. Потому что как бы можно сколько угодно там надувать щеки. Но пока бизнес не материализует тот уровень, собственно говоря, там выручки или и беды, которая. Находится под риском информационной безопасности, пока этого сознания не произойдет все остальные. Как бы танцы с бубнами о том, что да, это вот посмотрите его на край. Пети и уже уже невозможно эти слова произносить, они всем. Уже осточертели по моему вот, но тем не менее как бы вот пока нет этого осознания, и люди наш называется на себе. Не почувствует, что до компания находится постоянным прессингом, действительно в адрес крупных предприятий ведутся. Таргетированные атаки топ менеджмент находится в фокусе внимания. Есть очень изощренные виды, собственно говоря, угроз, с чем мы, собственно, каждый день сталкиваемся. И поэтому, когда угроза не является гипотетической, а люди просто. Понимают, что да вот именно сейчас они находятся в зоне интереса конкретных группировок, конкретных людей, которых до которых можно дотянуться, а очень часто невозможно дотянуться. То, что выстраивается действительно эффективные. Системы противодействия вот это действительно является реальным драйвером. На мой взгляд, и в этом отношении может быть тоже достаточно интересный вопрос. Вот среди присутствующих настоящий момент в ваших предприятиях компаниях. Реализуются ли проекты по внедрению каких то сут и П. Вот есть такие или все уже все таки достаточно? 123-45-67 Ну, то есть присутствует, а вот среди этих проектов там уже присутствует компонента. Там секьюрити, ну вот не люблю. Очень слово, Бай дизайн, да потому что это всегда очень большое лукавство. В этом присутствует, но, так сказать, вот ваша роль, как функции информационной безопасности в этих проектах, она уже в либо регуляторном плане или в реально. Прикладном плане она присутствует посреди тех, кто сейчас поднял руку. Или это все таки параллельная жизнь и там функция интеграции функции информационной безопасности? Она скорее такая декларативная, а не практическая, да, конечно.

28:13 Вот смотрите, значит, помимо того, что я сказал, что у нас реализуются целевые программы по информационной безопасности, кроме того, сейчас любые инвестиционные. Проекты, которые мы реализуем уже на уровне ТЗ, а это регламентируется распорядительными документами Россетей, в обязательном порядке присутствует. Раздел информационной безопасности и техническое задание она дальше никуда не пойдет. Значит, конкурсные процедуры, пока она не завизирована блоками? бы и дальше, соответственно, в проекте будет этот раздел и будут предусмотрены в обязательном порядке средства защиты информации, это безусловно.

28:58 Но у нас, наверное, все таки ситуация немножко похуже. Если говорить за наше акционерное общество, то. Мы учитываем в 1 очередь требования информационного построении при модернизации системы СТП это 100-это 100% - с нашими дочерними обществами. Недавно у нас прошла реорганизация, когда к Русгидро присоединили РАО и с Востока. Это такая дочка, которая раз в 10 больше самой мамы, так скажем, где абсолютный зоопарк, как по система СТП, как по. Системам информационной безопасности, ну многие здесь наверняка слышали. Есть целевая программа по строительству генерирующих мощностей на Дальнем Востоке, на которую там были выделены немалые средства.

29:58 Здесь Нашими требованиями, к сожалению. Тяжело и ну как работаем, работая в этом направлении, но с нашими дочками тяжелее. Мы говорим про инвестиционные проекты, значит то, что вам досталось унаследованный зоопарк. Это 1 дело, вот а мы говорим, когда мы планируем. Проектирование и строительство новых систем внедрения там уже вытаскивать. Я думаю, вас, безусловно, сеть раздел, должны быть разинет, говорю. Именно то, что касается самого нашего ПАО там. Да вот с дочерними нашими обществами мы пока только только начинаем эту работу. Вот я хочу сказать, что когда это было в начале года, стоило по моему, если не ошибаюсь. В Санди Таймс была статья, где, так сказать, там промелькнула угроза отключить свет в Кремле. На следующее утро буквально в 9 часов генеральный собрал совещание. Значит, вот раздал поручение и по результату чего.

31:07 Сроки были буквально там, в 2 недели, родилась целевая программа дополнительная, помимо стали, значит, реализованных проект коллеги. Если, извините, до пользы фейк Ньюс все таки есть там. Из всего мы пытаемся извлечь добавленную стоимость. Если я все таки правильно понял вопрос, он на не глушитесь, стоял. То есть если у кого то, кто реализует проекты именно элементы встроенной безопасности, там МВД, секьюрити или что то такое? Хотел бы прокомментировать, как мы это видим. Со своей стороны с 1 стороны все очень специфично от отрасли к отрасли, там с 1 стороны в электроэнергетике есть требования ПАО Россети к встроенным средствам защиты информации и хочется сказать. Что там постепенно, медленно, но такое предложение. Совместно вендоров полосу ТП Вендоров средств защиты информации формируется на рынке. Мы там были одними из 1, кто в реальных проектах это опробовали, то есть как сочетать функции Асот и. Безопасности это 1 2 с другой стороны, поднимая тему некоторого такого гэпа между продуктовым предложением в России и за рубежом. Там хочется сказать, что многие глобальные вендоры сформировали на глобальном рынке предложение, в котором в вас. У ТП разного предназначения есть встроенный функционал по ИБ, тот или иной с разным уровнем зрелости сформирована система сертификации. И в этом смысле мы тоже в некотором такой роли догоняющих находимся. Здесь важно все таки именно такое. Постепенное повышение уровня зрелости каждой из сторон, то есть у вас как, ну, там, формирующих фактически спрос. Да, то есть что нужно в эксплуатации при внедрении нас как компании, которые предлагают то самое решение. Я хотел бы еще вот как. Раз перед попросить Алексея сделать 2 комментария, собственно говоря, это про внедрение Техас Суто Пейка. Каким образом наша функция интегрируется в этот процесс и 2 может быть предложить вот всем участникам данной секции там проанализировать? И вот тоже Алексей, может быть, несколько слов скажет. Но как бы это тоже достаточно понятно, что произошло за последний год? Собственно говоря, какие вот, на ваш взгляд, существенные вещи, которые влияют на безопасность АСТП как функции?

33:22 Я начну с 1 вопроса, ну во 1 хотелось бы с 1 стороны поддержать Владимира, который говорит, что Вендора СВТП внедряет механизм безопасности своего решения, а в другой. Стороны поспорить, потому что этим механизмом надо пользоваться. Как правило, никто это не делает и тем более не покупает за дополнительную плату, отвечая на вопросы Андрея. Кульпина, я хочу сказать следующее, что когда наша команда по информационной безопасности создавалась 1 2 подразделения, которые появились это эксплуатация, а 2 это. Проектные экспертизы экспертиза, люди, которые приходят самом зарождении идеи на самом начальном старте проекта, формируют совместно с проектом требования по информационной. Безопасности требования неналоженных средств защиты, а именно построенным в систему функциональным возможностям и потом ведут полностью этот проект по всем жизненным. Циклом вплоть до переводов в промышленную эксплуатацию, то есть не 1 асу ТП или Айти. Система не может перейти в промышленную эксплуатацию, если в ней не соблюдаются. Требования по информационной безопасности, но тут есть очень такой скользкий нюанс, потому что мы пришли уже что то было и там требования информационной безопасности не. Было и переделать систему порой не было, они всегда были не всегда, не всегда и так, как переделывать архитектуру дорого. Вот тут уже помогут нам наложенные средства защиты.

34:54 Дискуссии это всегда хорошо, значит, 1 очевидно, что мы имеем как то дела с несколькими состояниями. Да вот автоматизированных систем 1 те, которые внедрены, находятся в эксплуатации. 1 Состояние и затем нужно что то делать, это там 1 подход другой подход. Только с чего мы начали с перспективного развития? Да, когда та самая цифровая трансформация цифровые? Производства, новые заводы и так далее и, наверное, здесь другая ситуация. С точки зрения какие технологии, как должны создаваться СутТП, с какими архитектурами и какова экономика, если? Мы будем использовать встроенные функции, наложены или какой то комбинацию правильно, поэтому мне кажется вот здесь. Вот можно еще вот эту тему покрутить, как вы себе это видите?

35:38 Ответ, да? Я хотел бы ответить на 2 вопрос, как изменился рынок ИБ Ступе, я бы расширил полтора 2 года. Я что, извинился кардинально, и вот мы с Виталием ранее общались, что критериев триггеров несколько, конечно же, законодательство, но. Мне кажется, все таки основной триггер, это атаки его на край. Когда реальные российские производства крупнейших российских компаний останавливались из за какого то вируса, и я думаю, что это является основным триггером, но. На самом деле мы наверняка вы все слышали про Саберен Шуранс киберстрахование. Вот если на самом деле слово кибер убрать и оставить страхование, то большинство максимально критичных рисков на производствах застрахованы. И внедрение средств защиты, в том числе средств ИБС и ТП, позволяет просто банально снижать страховую премию и в этом плане. И бы можно рассматривать как не только затраты, а как и инвестиции, которые в дальнейшем окупятся.

36:44 Да, да, я здесь то, что тоже небольшой комментарий, связанный со страхованием вот для всех. Мне кажется, присутствующих, кто вовлечен в эту тему, было бы неплохо пообщаться со службами, которые занимаются страхованием до активов, вот и внимательно. Посмотреть, потому что в этих контрактах, в этих договорах вот всегда, как правило, вот страховка не распространяется на те риски, которые вызваны. Собственно говоря, там кибератаками, как правило, в этих контрактах, то есть все думают. Что неважно, что произойдет, но в любом случае нам компенсирует какие то возможные потери. На самом деле это не так, надо очень внимательно посмотреть эти контракты. И вот то, что сказал Алексей, действительно это очень большая тема. Отдельной может быть секции может быть даже отдельные конференции, что страхование. Вот люди, как это всегда, как это надо отличать продажи от покупок. Да то есть, когда все продают, я говорю, что у тебя все будет хорошо, да, а на самом деле. По факту не всегда бывает все хорошо, когда случается конкретный инцидент, и тогда уже вас начинают тыкать в конкретные пункты договора. И объяснять, что да, да, с 1 стороны, все это покрывается. Но вот как это читайте мелкий текст, вот, а? Всегда приходится читать мелкий текст Давида. Я прошу вас согласие насчет мелкого текста. Еще киберстрахование относитесь так называемые черные лебеди, как, например, отключение света в Кремле, но никто это не застрахует в структурах О. Которых мы говорим структура критической инфраструктуры, информационной инфраструктуры. Вот такие события они вполне реальны, поэтому страхование тема интересная. У нас клиенты, у нас нас много об этом спрашивают, и мы помогаем определить. Например, вот этот страховой премиум теперь о том, что произошло. Я бы, наверное, за год, за 2 и я бы, наверное, сказал, что это скорее процесс, а не ивент, а не какое то событие, а процесс. Это я бы интересовал, как, наверное, понимание того, что.

38:47 Кибербезопасность нельзя отделить от безопасности промышленной безопасности критической инфраструктуры, и это понимание реализуется в концепт конвергенции. Когда, ну, например, скажем так, соков? Например, их центров операционной безопасности большое число компаний и на Западе, и уже в России понимание растет. И такие проект таких проектов много, собственно, начинают совмещать центры. мониторинга вместе, то есть когда получается такой коллагеншиц, взятый инженер Аш и ТП, и сотрудники по безопасности аж ДТП и вместе с сотрудниками кибербезопасности и эти ивенты рассматриваются. Анализируются и респонса, и реагируются вместе в 1 цепочке в 1 толчее. Не поэтому мне кажется, вот этот вот этот вот процесс он уже начался, и он вряд ли будет восстановим это позитивный процесс.

39:45 Собственно, классный кейс про то, что сок должен быть 1 на завод 2 тезис. Мы много лет уже года, 3 наверное, дадим, мы говорим о том, что. Кибербезопасность, промбезопасность и функциональная безопасность. Это 1 и то же, но, на мой взгляд, уровень зрелости от обсуждения он не изменяется к. сожалению, почему, но вот, например, при создании предъявлении требования к СУП опасных производственных объектов есть процедура оценки рисков там. Хазоп и другие процедуры, и они скорее идут по ветке вот той самой функциональной надежности безопасности промбезопасности, к сожалению, в этот. Процесс, но я пока не знаю практически, к примеру, чтобы тема информационной или кибербезопасности в нашей стране встраивалась, знаю примеры в. Америке, где уже там примерно есть предложение, методологическое и такое консалтинговое. Но вот мне кажется, у нас это мы пока еще там не смогли. Добиться, наверное, вот в эту сторону у нас такая точка роста серьезная. То есть развитие методологической основы и такого, как бы повышение уровня? Зрелости то, что не только да, да это 1 и то же. А вот чтобы это было выстроено при формировании требований, мне кажется, туда нам нужно целиться.

40:51 Дмитрий, да? На мой взгляд, позитивное то, что произошло за этот год в отрасли, индастриал Сабер Секьюрити, это то, что происходит. С любой идеей есть цикл принятия идеи, цикл принятия решения и 1 из. Этапов это отрицание какой то идеи или какого то события и долгое время как раз таки в России там предыдущие годы. То есть опять же на стороне производства, то есть людей? Давайте говорить своими именами на большинстве. Людей из эксплуатации опасных объектов и так висит по несколько уголовных статей. То есть они под этим и так ходят, если им добавить еще пару статей согласно 187 ФЗ, но они не расстроятся, скажем так и.

41:55 Когда на предприятие? Приходили ребята, а у вас еще надо иб делать, они говорят типа. А зачем нам это и вот эта фаза отрицания? В этом году как раз таки видим, что как раз производственники люди, которые работают непосредственно на объекте. У них эта фаза закончилась, они начинают уже конструктивно. Разговаривать то есть, они сами погружаются в проблематику и сами готовы там участвовать в разработке решений. Внедрение каких то систем, там именно закрытие целевых задач, которые им. Важны и им интересны, Дмитрий. А вот если все таки у вас достаточно широкий круг клиентов, если говорить про отрасли, исключить все таки финансовую сферу, а вот именно отрасли. Промышленности, где вы наблюдаете, собственно говоря, те пики роста, где действительно такой тренд, уже, собственно говоря, степени зрелости? Дошло до того, что не задают такие вопросы.

43:01 Рост практически то есть самое активное, то есть если по отраслям брать, то есть в этом плане. Мы видим это металлургия, все таки металлургическое предприятие, отдельные предприятия там занялись сегментацией сетей СТП. 2 3 Года назад я не планомерно занимаются только этим, хотя это там 1 рекомендуемый этап всеми существующими гайдами, концепциями. Да, там начните сегментации сети, вот они 3 года занимаются только сегментацией сети.

43:35 Опять же, то есть рост разный, он разноплановый. Например, если там смотреть в область электроэнергетики, разделить генерацию и сетевое хозяйство, то. Энергетики, так как они наиболее критичны, то есть вообще там энергетика, она наиболее критичная отрасль вообще в стране, они наиболее консервативны и процессы. Идут медленнее, но они. Прялятся в том, что если процесс начался, он идет, его уже не остановишь, вот и в энергетике процесс начался. Он может идти медленнее, но в принципе откатываться. Уже никто не будет или куда то в сторону уходить. Вот нефтегаз, ну скажем так, ни шатко, ни валко, вот где то, где то посерединке, вот в целом, конечно, вот.

44:32 Производственные предприятия в 1 очередь металлургия они сейчас идут вот как как паровоз тащит. Спасибо. Я, пожалуй, продолжу даст там тему. В большинстве тезисов, которые ты произнес Дина, я не соглашусь. Единственное, все таки нужно оценивать, с какой базы, кто стартует все таки. Вот эта точка отсчета на у в каждой отрасли разная степень зрелости АСУ ТП даже автоматизации степень разная. То есть там электроэнергетика в сетях, а там она мягко? Скажем, где то 40 50 годов и там, наверное, про информационную безопасность говорить пока рано. Но что от разу где то и хорошо, ну до точки зрения и б, да это когда мы. Смотрим на график устаревания фондов и их обновлений, когда эти кривые расходятся. Но как то это становится немножко не по себе, свет может так и отключиться за красной. Стеной, значит, это 1 значит, 2 значит все таки про как бы каких отраслях? Да, соглашусь с тем, что вот энергетики там определенные процессы начались и в 1 очередь они. Наверное, будут связаны с концепцией там 20:30 цифровизации электроэнергетики, принятой крупнейшим холдингом ПАО Россети. Нами будет только основной Локомотив, понятно? Что металлурги этим начали заниматься, даже, пожалуй, не 3 года назад? А еще там, наверное, в 13:14 даже может быть раньше, и поэтому, естественно, вы находитесь, как вот такая. Вся отрасль мне кажется совершенно на другой ступеньки. Вот такой вот зрелости, вот про нефтегаз не знаю. Мне кажется, тоже активный, вряд ли все таки шатко ловко нет.

46:03 Но я несколько слов хотел бы сказать, что вот, наверное, неправильно нас. Вот как приглашенных спикер воспринимать нарезки никель как исключительно металлургическую компанию, все таки под в группе входят. Достаточно разнообразные активы, начиная почему все они являются категорированы, какие это авиакомпания морской транспорт электроэнергетика? Собственно говоря, наверное, кроме финансовой сферы во всех. Остальных отраслях присутствует в той или иной степени дочерние предприятия Норильского никеля. Но вот для того, чтобы, собственно говоря, вот Алексей затронул тему нашего сопровождения айти инициатив, я бы. Готов с вами поделиться, там нашим тоже положительно достаточно опытом. Выстраивание такой до общей добавленной стоимости синергии взаимодействие с Айти заключается в том, что да на регламентном уровне вы.

46:57 Приняты, значит, интеграция требований информационной безопасности при реализации различных проектов, начиная от капстроя, заканчивая там айти инициатив бизнеса даже самых современных, вот при этом у нас. Существует там перечень контролей насчитывает порядка 6 7 сотен контролей. Да и вот если прийти в лоб, так к руководителю проекта и сказать, что вот на этапе ввода на промышленную эксплуатацию и промышленную. эксплуатацию тебе следует там пройти 600 700 контроля. До человек сразу начинает сидеть, скучнеть и дальше по тексту. Да вот, а собственно говоря, наша функция заключается вот тех наших коллег, которые занимаются. Сопровождение этих проектов интегрироваться в проект и из тех 600 700 контролей действительно в конструктивном ключе выработать там 20:30 реальных контролей, которые будут, собственно говоря, а на этапе.

47:56 Различного перехода стадии проекта различной стадии будут, собственно говоря, проверены. И этот, собственно говоря, в этом то и заключается сила убеждения и. По крайней мере, мы ее так позиционируем в том, чтобы с нами конструктивно общались, и мы являемся в этом плане уже помощником в приземлении тех требований. Которые выработаны в компании, вот и продолжая, собственно говоря, тему никто не отменял 187 ФЗ. Я хотел бы попросить вот каждого из присутствующего. Собственно говоря, рассказать о том о тех плюсах и минусах, потому что для нас я могу открыто сказать. 187 ФЗ это тоже послужило определенным драйвером тому. Чтобы на тематику Ки посмотреть с точки зрения комплаенса, но, с другой стороны, посмотреть с точки зрения реальной информационной безопасности, потому что. Как я говорил, что, безусловно, все таки бизнес, он про деньги, про реальную безопасность, в большей степени при уважении всем к бумажной безопасности без. Которой тоже, как мы понимаем, никуда, вот и поэтому я хотел бы попросить. Может быть, наверное, с Алексея начать, чтобы дать время, может быть, про подумать? Внутри себя и проанализировать каждого все таки 187 ФЗ, это драйвер, это обуза необходимость. Ну дальше как бы каждый сам сформулирует, если можно спасибо.

49:28 Когда мы говорим про 187 ФЗ, мы имеем, в том числе и подзаконные акты, постановление правительства приказа. И вот, на мой взгляд, отличительные особенности именно этого закона этой цепочки нормативных. Актов является то, что регулятор пошел на диалог, регулятор собрал 40 крупнейших промышленных компаний. Мы с Андреем там были с Андреями, и мы не просто получали директиву, что нужно внедрить. В обязательном порядке, а мы совместно со стеком и бизнесом понимали, какие требования реальные, а какие требования бумажной безопасности, которые будут пытаться обходить и когда нормативные. Акты писались, они писались скорее как инструмент для безопасности, для того, чтобы обосновывать свою необходимость бюджета и так далее. Поэтому я считаю, что в целом закон является драйвером. Что касается нашей компании, то так как мы были у истоков, мы этот путь уже завершаем в плане бумажной безопасности и уже ведем даже реальные проекты по внедрению, но в части именно категорирования. Хотел бы отметить сложность, с которой лично мы столкнулись. Она связана с тем, что вот как Андрей Кульпин отметил у нас порядка 9 секторов промышленности, из 13 которые в ФЗ перечислены. И невозможно сделать единую методику категорирования, и на самом деле оценка рисков, которые мы проводили до этого с результатами категорирования, порой очень сильно отличалась, например, среди. Самых критичных активов нашего производства оказалась не металлургия, а, например, морской транспорт нефтеперевозка нефтепродуктов морем либо авиакомпании, где в самолете напичка настолько, что.

51:15 На заводе столько не найдешь, поэтому, конечно же, это вызов, но, на мой взгляд, это в целом за отрасль, а не против. Соглашусь со всеми его подзаконными актами, это. Конечно же, драйвера, драйвер довольно таки мощный это 1 из мощных аргументов для разговора с бизнесом, но хочется напомнить, как принимал 187 закон. То есть, ну, я только 1 раз слышал, что он, так скажем.

51:55 Правительство осознало, что необходимо принятие такого закона, такого законодательства. Это был 13 год с с тех пор он ушел куда то в дебри наших доблестных регуляторов. И вынырнул, наверное, из этих дебр только в 16 году, когда его внесли в Госдуму, где он также благополучно увяз и в. Именно толчком к его подписанию стали эпидемии на крае Пети именно после этих эпидемий. Этот закон стал, как его, подписали за 2 недели, то. Есть здесь не только 187 такой стал драйвером, но и тем самым события, которые произошли в мире АТИ в мире информационной безопасности.

52:51 Так ну что, коллеги, у нас сегодня какое то редкостное единение среди участников? Как мне кажется, на самом деле согласен с предыдущими тезисами. Единственно хочу начать с того, что там как то регулирование в сфере защиты национальных интересов или там критической инфраструктуры это не какая. То наша там национальная особенность, это тенденция всех последних лет во многих странах и Евросоюз этим занимается Соединенные Штаты и наши. Восточные соседи, это там это 1 как стартовый тезис. 2 Там очень отрадно, что вы как компании заказчики воспринимаете все таки именно требования закона. Через призму оценки рисков через реальную защищенность они через бумажную безопасность исключительно комплаенс. То есть есть надежда на то, что? Применение требования и точнее исполнение требования закона приведет к повышению защищенности к устойчивости функционирования собственно на то. Наш закон направлен то, что не будет чрезвычайной ситуации, не будет жертв и так далее. Поэтому в этом смысле, конечно, принятие закона это + наш. Учитывая компанию, которая работаю там ее род деятельности, тем более что же этого скрывать. Конечно, это драйвер рынка там основной за последние годы.

54:03 Но для нас тоже это+. Самое главное, что это дает нам возможность пообщаться с широким широкой выборкой клиентов и что особенно позитивный, что часто разговор идет не просто категорирование, не просто составление чек листов. А именно давайте сделаем правильную модель угроз, что? Собственно, предусматривается с 87 законом, и в этом плане удается переключить разговор просто с такой бумажной безопасности с Комплаенс. На, собственно, основные угрозы и риски и понимание этого приходит, но, к сожалению, медленно, но думаю, что процесс пошел то.

54:48 На самом деле тяжело оценить эффективность. Я не вижу, чтобы он там явился таким уж драйвером. Наверно, в какой то степени это сработало, в какой не знаю, вот мне я представитель. эксплуатации, наверное, это лучше было спросить, так сказать, наше руководство и представителей ИБ наших. Вот для меня, конечно, это скорее так. Сказать лишний головная боль, дополнительная. Вот насколько говорил он драйверами, скорее я говорю скорее, вот драйвер это комплекс сподвигло. Наше руководство, это ощущение реальности, угроз, которые вот особенно вот в том противостоянии последних лет давление, которое существует.

55:28 Действительно, само руководство верило в том, что угрозы эти, значит, реальные, и это уже там не какой, то там пытливый, ум, случайный или случайно занесенный вирус, что это будет возможно целенаправленная атака С. Конкретной целью значит, причем я хочу обратить внимание, что у нас риски это не просто отключение электричества на отключили. Народ посидел без света, да это большие, как бы социальные издержки, но приехали, включили, нет. При определенных условиях, значит, это уже получится техногенная катастрофа, потому что оборудование силовые трансформаторы. Значит, при определенных режимах начнут гореть и взрываться, вот и тогда просто так уже не. Включишь, это займет очень много времени, то есть это на абрикут на как бы возврат к тем временам. Когда топили лучины, надо слили, освещали вот это, все четко понимает, в том числе руководство и к этому готовится.

56:27 Короткий тест, да я верну Диме сейчас от коллеги. Вот задумайтесь, кто бы еще лет 5 назад поверил в то, что представитель эксплуатации будет говорить о том, что в результате кибера. Так, возможно, киберфизические последствия мы вот с Димой там не знаю, убеждали всех, там рассказывали. То есть, мне кажется, просто прорыв какой, то происходит на наших глазах.

56:53 Это знает лучше, чем кто не было, потому что часто наши действия. Надо сказать, приводили к тому, что мы отключали целые подстанции в Москве, когда у нас специалисты приходили, перекусывали. Кабели при этом замыкали, значит, + Шову на все цепи телеуправления, значит, и поэтому знает, что эта команда, но в данном случае знает электрически, прошла через клещи, а может прийти командой. С верхнего уровня управления, поэтому уж эксплуатация это знает прекрасно. Да вот Андрей Немудров говорил, рассказал краткую историю, как 187 ФЗ появился, но все наверняка знают, что до появления. 187 ФЗ было 31 Приказ стоит рекомендательный, да и вот когда вышел именно 31 приказ, вот сразу обозначились компании. Там или бизнес, или отрасли, у которых есть понимание проблематики.

57:54 И те, которые идут там чисто по формальным, каким то дела ему занимаются бумажной безопасностью. Потому что, что после появления 31 приказа, который являлся, не обязательно его можно было не исполнять, ничего за это не будет. Вот компании отдельная и металлургия, и электроэнергетика, и нефтянка. Те, кто реально оценил риски, те, кто понимает, в чем проблемы, они целенаправленно пошли и программы, начали создавать и проводить ненормальные аудиты и.

58:28 Стартовать комплексные, какие то проекты по созданию систем защиты или там докручивания существующих сушек до какого то секюрного состояния. Вот и сейчас, когда 187 появился, вот в принципе ничего не изменилось, то есть просто появилась. Дубинка и те компании, которые формально подходили к обеспечению там закрытию требований комплаенсом. Они точно так же продолжают стараться ходить формально и не вкладывается много в решение закрытия конкретных рисков вот компании. Которая там и до принятия закона занимались безопасностью прикладной безопасностью. Они продолжают эту тему развивать, они усиливаются, трансформируются во что то новое, расширяют отрасли. Да вот появились, конечно, компании, которые там. Сейчас задумались о прикладных вещах, но все равно разделение есть и 187 ФЗ в этом плане. Он прям как индикатор, он четко показывает там, кто в теме, и готов там заниматься вопросом. А кому достаточно там по 3 категории пройти максимум из, ну?

59:41 Ну и хотел еще немножко добавить в тему 31 приказа. Те компании, которые реально старались выполнить требования 31 приказа с выходом нового законодательства 187 203 9. Очень уверенно себя сейчас чувствует, то есть 187 это уже не страшилка. Для них. Да и коллеги там уже, чтобы за несколько вот в секцию. Часть секции, которая сфокусирована, была как убедить бизнес там, как выставить отношения с эксплуатацией. Хотел бы вот поинтересоваться вашим мнением, вот, с вашей точки зрения, пен тест? Там внешний внутренний тоже может являться драйвером. Для того чтобы сформулировать объективную картину и, собственно говоря, показать все те проблемы, которые существуют или все таки с точки зрения там приемлемости рисков и компетенции этих подразделений. Это слишком рискованно, на ваш взгляд?

1:00:46 Ну, я, может быть, не совсем понимаю последствия, но у меня, например, внутренняя убежденность, что это просто необходимо для того, чтобы дать объективную оценку. Насколько эффективны те усилия, которые мы принимаем вот потому что? Понимаю, что обеспечение информационной безопасности это, безусловно, комплекс мероприятий как организационных, так и технических. И то, что мы там как бы запланировали и даже внедрили, какую то железку совершенно не гарантирует.

1:01:17 То, что мы проблему закрыли. Я считаю, это необходимо, и, кстати, у нас компания проводится недавно, нас тестировала 8 лаборатория ФСБ, приезжала, вот и это как бы будет продолжаться. Но на самом деле, может быть, мы чуть дальше поговорим, что то у нас больно благостная картина. Вот на самом деле у меня много проблем, которые бы я, например, поделился с коллегами и спросил, как они их решают. Я соглашусь с коллегой по поводу прям теста. Это, как правило, хороший способ достучаться до кругов управления, который может быть иначе бы. И не поняли, насколько это проблема Акьют, но насколько она остра? Но нужно понимать, что любой пентаст это всегда только срез во времени и. Достаточно искусственный процесс, поэтому лучше всего организовать ПНТ с как процесс, который происходит регулярно с различной степени. Вовлеченности различных групп и демонстрируть эти результаты в качестве тренда, они просто в качестве одноразового процесса одноразового проекта.

1:02:24 Что у нас сегодня редкостные и не на душе, поэтому да буду солидарен с коллегами. На мой взгляд, Пин, тест в том или ином видео там не знаю. Белый черный серый ящик необходим, то есть понятно, что он может проводиться на старте какого то проекта на промежуточных. Точках на финале возможно разными командами с тем, чтобы там как то показать в динамике. А что же изменилось то раз 2 там часто и риски возражения, которые в этом месте звучат, что там внутри технологические системы? Вдруг что то не то пойдет, не так, наверное. В организационном техническом плане можно подготовиться к предельным тестов. Ну, там если говорить про электроэнергетику, какие то системы вывести там на работу на сигнал еще что то, чтобы там как то усилия, так сказать, данном случае доброй стороны силы они. Все таки показали вот те самые потенциальные последствия, которые могли бы произойти, поэтому там как то финализируя до ПНТ. С нужен вопросом как то подготовки серьезной каждой из сторон к этому процессу, к этому как бы к этому части комплексного проект.

1:03:30 Владимир, соглашусь, пнтисты, конечно же, необходимы, но, к примеру, уже для нас ПНТ на проникновение в корпоративную сеть они уже не актуальны. Ими никого не напугаешь, опять таки при! Ответить на тот вопрос, что будет, если выйдет вся айтишная инфраструктура, перестанут ли турбины вырабатывать электричество? На корпоративный сегмент ответ не даст, а на технологический сегмент собственно. Туда никто не пустит и 1 заповедь, в том числе и наша, как информационной безопасности. Это не навреди, не останови критический процесс.

1:04:16 Именно не пусть это нет риска того, что реально люди могут достучаться. И мы не все прекрасно понимаем, что происходит, потому что не беря электроэнергетику, например, где то лет. Уже, наверное, 10 назад я был на 1 мероприятии, когда специалисты. Магатэ говорили, что ну совершенно спокойно. Вот в результате аудита оказалось, что технологическая сеть через общий принтер была соединена, значит, на атомной станции. То есть это вот потому, что так было проще, какому то айтишнику?

1:04:48 Я немного про другое, что нельзя допустить именно воздействия на те системы, которые поддерживают критический процесс. Вот именно вот с этим, вот а то, что возможность. Дойти, достучаться там с интернета, с корпоративного сегмента, но тут никогда нельзя пренебрегать такой возможностью. Вот я опять же представляю эксплуатацию. Именно технологического сегмента у нас корпоративные технологии разделены. Вот когда приезжали ребята из 8 лаборатории, они наш корпоративный сайт завалили. Сразу вот в технологии они не пролезли после этого. Мы их, безусловно, с оговорками, но люди тоже понимают, куда они приехали, мы их пустили прямо, значит они. Включились в технологический сегмент, вот тоже не сумели ничего сделать, но сказали, что мало было времени. Мы с ними договорились, что они приедут еще вот но. Здесь я соглашусь, что действительно и это было сказано, что ребята. Да вот так сказать, вы понимаете, на что вы не должны сказать этот процесс технологический? Процесс остановить или навредить ему каким то способом? Но все таки я рассчитываю на это понимание. Вот мы договорились, что мы еще в ближайшее время встретимся. Опять же уже изнутри технологии они будут пытаться начать наши системы, каким то ну найти уязвимости вплоть того, что может быть положить, но под контролем.

1:06:17 У меня вопрос к представителям промышленных компаний, у кого есть сомнения, что если проводить пин тест ваших предприятий, он закончится неудачей. Поднимите руки, то есть вы уверены, что вас не взломать, ну?

1:06:37 Согласен, неудача бывает разная, просто двоякая. Кто из присутствующих себя ощущает абсолютно защищенным? По крайней мере сегменте Асотп есть такие. Так если все понимают, что Пинтес будет успешен и предприятие взломают, зачем же его проводить? Мы вот, например, когда проводили 1 2 Пинтеста, это было больше, конечно, для бизнеса. Обосновать, показать цифры, показать, что мы влезли, можем все остановить. Ну а зачем это делать в дальнейшем? Вот мы это делаем как часть просто оценки риска для того, чтобы на каждом. предприятии понимать реальный вектор, а так не те, которые из методичек Митра и так далее, а реальные, где у нас, возможно, угроза со стороны внутреннего нарушителя внешнего проводим. Социальную инженерию для того, чтобы полностью покрыть именно возможность спектра атак и в дальнейшем выстроить от них защиту. Но, наверное, Дмитрий как представитель позитива.

1:07:36 Ну вот, я не соглашусь нарушу идиллию, о которой ты говорил, я не соглашусь. С коллегами, с тем, что Пентест может дать объективную оценку защищенности ПИН тест не даст никакой оценки, кроме того, как покажет 1 2 на максимум 3 вектора проникновения вот оценить по результатам даже 2 3 пентестов. В целом картину по защищенности вашей технологической сети вы этого не получите. Вот у нас мы различаем, когда мы проводим исследования. На промышленных предприятиях мы различаем работы по тестам на проникновение и работам по инструментальному анализу защищенности.

1:08:24 Естественно, что инструментальный анализ это, что говорится с ногами, залезть в СтП. Не останавливать их процесс, но с руками, с ногами залезть. Вас АТП вывернуть ее наизнанку в плане того, что там есть какая версионность, какая архитектура как? Эксплуатирует, какие скрытые вещи существуют вот такой анализ? Он, он показывает реальные вещи и на основе этого анализа вы можете получить десяток 2 3 векторов.

1:09:04 А так и способов вывести режим из нормального состояния. Либо там погасить систему, либо привести к какой товар. Здесь вы получите там полный набор с. Которым вам придется там не 1 год разбираться, но я, честно говоря, не услышал от коллег, что вот Пиндос является панацеей, и он дает комплексную картину. состояния защищенности как раз об этом мы и не говорили. Мы говорили о том, что это 1 важный элемент и с элементами вау эффекта, да когда даже вот. Тестируем как блок бокс, и люди там с квалификацией, там выпускников вуза. Да вот способны гипотетически достучаться до там, не знаю, не проверить оператора. Да у нас вот в 1 из энергокомпаний прошел Пентест, когда заровняли всю корпоративную инфраструктуру и провалились технологическую, то есть эта компания. У которой много предприятий проломились в технологический сектор, и когда руководителям производственного сектора показывали результаты, они их. Не восприняли они сказали, что этого не может быть. То есть, даже когда людям показываешь конкретный результат, то на файлы с конкретного арма главного. Инженера, где лежит схема технологической сети и потом показываешь все файлы из армов этой технологической сети, они все равно не верят, поэтому.

1:10:37 Говорить о том, что Пентест. Вал эффект может быть, но опять же, если в него поверят, если увидят его реальные, какие то вещи технологи правильно говорят. Пинтес никогда не пустят, чтобы реально там или стартануть контроллер. Никто этого не даст условно, вот а без. Этого производственники не верят, что это можно сделать. Но, честно говоря, вот у меня даже в определенный тупик поставили. Когда тебе показывают белое люди, говорят черное, как с этим бороться, это может быть даже скорее не предмет данного. Круглого стола, да или дискуссии, потому что, ну так вот, навскидку у меня нет рецепта, как с этим бороться. Если у вас есть с удовольствием, бы было бы очень интересно. Да, есть версия, как это могло происходить, значит, действительно человек. Который отрицал это, видимо, был человек, который могло прилететь. Да за эти результаты, вот поэтому он при руководстве занял такую оборонительную позицию, отрицательную. Вот, но для себя, я думаю, выводы сделал тем не менее, ну был надеяться.

1:11:42 Мы все таки будем хотел бы попросить обслуживать рациональные вещи, потому что это за гранью рациональности. Да и уже так это не верю, но верую уже скорее. Да ну таких примеров на самом деле много, вот это даже, например, в в нефтегазе. Был кейс, когда люди, то есть система учета продукции и мошенники, которые. Хотят украсть часть продукции, перенастраивать эти системы учета. Вот бывают разные способы, технические физические, бывают программные, какие то айтишные методы, а есть простой способ. Производственники не смотрят системы учета, они их не используют при отгрузке или получении продукции, и на предприятии это считается нормально. То есть толком на предприятии даже не знают точно? Сколько продукции пришло, сколько продукции ушло? Вот здесь начали обсуждать Фрот, наверное, скорее нет. Я потому, что вот именно восприятие, то есть даже там, в рамках исполнения своих должностных. Каких то обязанностей вот люди часто просто многие вещи игнорируют, и не они не способны воспринять даже их. Там есть носом, ткнешь конкретную штуку, они просто не воспринимать не видят.

1:13:06 Если позволите, вот вам вопрос как экспло эксплуатантам система Сут и П. А можете поделиться какими то вещами, что вы пытаетесь донести до ИБ? Как функции, но вас по в силу каких то разных причин не слышат или все таки какой то определенный консенсус у вас присутствует, может быть? Есть какая то сфера, где ибэшники в силу там деформации сознания, там, в силу, так сказать, приоритета требований ограничений, нежели там удобства эффективности бизнеса, какие то вот. У вас с точки зрения внешнего взгляда на и б именно с точки зрения сут и п. Есть какие то вопросы или открытые темы, которые вот, на ваш взгляд, ибэшники недостаточно понимают?

1:13:54 Не все у нас благостно во взаимоотношениях с блоком и б безусловно, но здесь скорее какой. Я бы сказал чисто, как бы фактор человеческой природы, потому что да. Я отмечаю, что блок и б тяготеет к функции. Контроля и наказания больше, чем вот к, скажем, нельзя сказать, что они не занимаются выработкой решения, вот сказать анализом проектной документации. И так далее, но тем не менее вот, значит, обличать и карать это с 1 стороны видно с другой стороны. Собственно, и не несешь ответственности.

1:14:38 Но может быть, это тоже вот я смотрю на своих ибэшников, которые на наших ибэшников. У них там буквально 2 она5 человека, которые должны вот перелопатить все это дело на 4 через себя, пропустить все технические задания. Это большое количество, если брать в. целом по компании потом проекты при этом выработать некое техническое решение, то есть некую техническую политику, сформулировать. Да, значит, какие средства мы внедряем?

1:15:09 Они тоже в непростых ситуациях находятся, но и единственное, что я говорю в эксплуатацию, все падает на выставку. И все в Норник или у вас свое подразделение? Кстати, наши и бэшники в под это как бы не отрицали этого. У них тоже были такие планы, вот но их поправили силу того, что, конечно, значит, у нас очень. Проблематично именно с расширением штатного расписания. Значит, вот я говорю получить деньги на некий инвестиционный проект, некую систему внедрить это. Более реально значит, несмотря на то, что мы всегда мы от себя наивны, еще продолжаем вставлять в ТЗ требования к тому, чтобы нам проектировщик рассчитал.

1:15:52 Причем, с опираясь на нормативную базу, рассчитал необходимое количество до, так сказать, и квалификацию специалистов, которые должны эксплуатировать внедряемые системы. Вот этот вот раздел игнорируется полностью, видимо, считается, что. Наши специалисты, так сказать, не догружены работой, поэтому ты сходи вот это. Как бы все на них, на них и на них, и поэтому как бы номенклатура устройств буквально. Она падает десятками, это не просто количество. Это именно различные типы устройств нагружается, нагружается на одних этих же людей, поэтому немудрено, что с этим.

1:16:37 В итоге могут быть потому, что я вот сталкивался с чем, да перед чемпионатом мира мы на объектах, которые. Занимались энергообеспечением спортивных объектов и инфраструктурных объектов как аэропорта и гостиницы, где жили команды и так далее. Значит, на них дополнительные мы стали средства, в частности, мы ставили систему шифрования на каналы связи. Вот и проект завершился буквально перед чемпионатом мира. Это, кстати, тоже отдельная тема, вот коллегам, которые здесь присутствуют из подрядных. организаций из проектных организаций последнее время я констатирую снижение качества как выполнения проектов, так и собственно внедрение.

1:17:26 И когда вот эти системы еще сырые, да нормально, не принятые уже фактически сдавались и приказ, мы сдавали определенным людям. Значит, в эксплуатацию я сталкивался с тем, что? Наши специалисты говорили, да вешайте что угодно. Значит, завтра, если он выйдет из строя, просто опять мимо него канал переключу вплоть до того. При этом очень жесткие требования по срокам устранения неисправности по количеству неисправности по коэффициенту готовности наших технических средств. Все это забивается в КП, и на это от этого прямую зависит.

1:18:08 Отыскать уровень зарплаты. И опять же это является это отдельная проблема. Может быть, кому то будет интересно обсудить, скажем вот? Чего у нас пострадал специалист именно? В какой то степени усердия в силу того, что у нас технологические системы они в басольном сегменте они отделены, они не имеют выхода. Есть у нас стыки, они там закрытые стыки. Контролируемые с корпоративкой, но нету стыков, это как бы жестко с интернетом, с публичной сетью. Вот, а сроки устранения неисправности жесткие, и вот у нас 1 специалист. Втихомолку именно исходя из того, чтобы, когда возникнет ситуация, он это нарушение устранил быстрее. Он взял Варн технологии, который стоит отдельно, он ставил 2 сетевую карточку. Он накатит вода Тимвьювер, на чем благополучно попался, значит, поплатился премии. Вот, но вот это как комментарий к тому, откуда рождается угроза информационной безопасности.

1:19:13 Коллеги, кто то еще на эту тему хочет прокомментировать, потому что на самом деле очень важная тема затронута, потому что статьи публичные компании частная компания сталкиваются с тем, что вот на капитальные затраты можно там. Обосновать, а вот дальше все идут по пути минимизации операционных затрат. Вот и это, наверное, боль всех здесь присутствующих, потому что как бы да там убедить, что разово потратить деньги можно, но что постоянно на это тратить? Деньги все начинают говорить, а вот а так. То вот если я тебе вот это отрежу, а так сможешь еще отрежу, а так сможешь и дальше. Вот это такая перетягивание каната не всегда в пользу собственной информационной безопасности, вот. Тут может быть Виталий, падение здесь опытом, как западные коллеги, поэтому решают эти проблемы с минимизации операционных затрат и что является дополнительными аргументами, которые мы можем использовать в своей практике.

1:20:14 Попробую спасибо, к сожалению, простого ответа не существует. Я начну с ответа на тот предыдущий вопрос. Мне удалось поработать собственно с инженерами. С той командой из группы и Б. И. Основная такая игра, основная претензия инженеров АСА ТП и и вы это. Вот мы зарабатываем деньги, а вы их тратите.

1:20:38 В реальности так оно и есть, они, как правило, основной такой профи центр. И вы видите, как косцентр, и вот этот вот гэп он покрывается, как как донести необходимость инвестирования мы. Большинством компаний через Дашборды через правильное понимание рисков, которые существуют для организации через трансляцию этих рисков в финансовые репутационные потери в простой.

1:21:06 В любые другие потери, которые важны для этого бизнеса и демонстрацию трендов как определенные шаги предприняты. Собственно, по обе стороны этой этой этой изгороди как в ИП, так и в операционной безопасности, как они эти риски минимизируют. Вот большинстве случаев, по крайней мере, в той компании, где я работал постепенно, не сразу. Но вот через вот такой рациональное представление этих рисков через объяснение их рациональное к система. Они связаны, на что они завязаны, как и. Какой капикс, какой опикс нам чаще, чем реже удавалось донести этот мясо и, собственно, получить, опробовал получить разрешение на дальнейшее инвестирование, привлечение ресурсов на найм работников. Но как то так, то есть опять этот процесс. Это не проект, нам это удалось, я знаю многие компании с этим. У них свой взгляд на вещи, но вот 1 из способов это вот правильное понимание рисков их их представления в рациональном виде и консистенты. Вот в с этим процессом идти наверх.

1:22:18 То у нас, да? Есть, конечно же, это проблема, инвестиции да, пожалуйста, персонал, эксплуатационные затраты. Никто не дает и то, что увеличивается требования именно по оптимизации, по сокращению, но что касается нас здесь. Такой творческий, можно сказать, процесс, как все таки обеспечить. И необходимый персонал для обслуживания, для эксплуатации как системы СТП, так и по информационной безопасности либо пойти. Так и где взять эксплуатационные затраты? Всех тайн раскрывать не буду, так, но.

1:23:03 Это действительно творческий процесс, мы над этим работаем всегда в. В качестве рекламы, если здесь присутствуют представители подрядчиков, которые занимаются технической поддержкой системы в ближайшее время, я думаю, где то в течение месяца. Вывесим на торговую площадку Лот по эксплуатации как раз система информационной безопасности, которые были поставлены планчиками от мира, если кому интересно отслеживать.

1:23:37 бы добавить вот на эту тему мне кажется, что проблема возникает так тогда, когда информационная безопасность неправильно преподносит проект или продает проект бизнеса, вот, например. Я расскажу, как у нас у нас есть такое понятие, как техника, производственные риски, это, по сути, операционные риски. Сломалась печь какой то мост что угодно. Сломалось, и это привело, к каким то последствиям для бизнеса остановился технологический процесс, что то взорвалось, потекло и так далее и на основании. Этих данных производственники планируют ремонт, замену оборудования планируют дополнительные ФТИ и так далее. Так вот, безопасность, информационная безопасность. Должна следовать по такому же пути. Необходимо показать, что информационную безопасность это не только самостоятельный риск, но это еще и риск фактор. Для техника производственного риска и для того, чтобы его держать на низком уровне, постоянно требуется обеспечивать операционную безопасность, вот поскольку. Заговорили вот про операционные затраты. Вот, на ваш взгляд, я попросил бы каждого сформулировать позицию, является ли аутсорсинг информационной безопасности? Сутп решением этой проблемы, когда, собственно говоря, эта функция весьма чувствительная, гораздо чувствительнее, чем обеспечение информационной безопасности. Тех же бизнес систем, да хотя и там тоже есть достаточно высокие риски. Вот приемлем ли аутсорсинг информационной безопасности Асот и на сколько?

1:25:11 Ну, на мой взгляд, приемлем он решает проблему для нехватки персонала, к сожалению, не решает проблему нехватки операционного бюджета вот. Потому что при этом стоит денег как ни крути, но, на мой взгляд, все таки у нас сейчас достаточно компаний, чтобы было можно было говорить что.

1:25:37 Может, не в полной мере, но тем не менее там рынок сложился, вот и я считаю, что это вполне как можно выносить на аутсорсинг. Но о чем я, собственно, до этого и сказал, что мы таким путем мы идем? Спасибо, спасибо за вопрос. На самом деле вот последние минут 15 мы сосредоточили внимание вот на отсутствие финансирование, операционные затраты, деньги. Но если посмотреть чуть шире, то. На самом деле, мне кажется, в каком то смысле есть еще и кризис экспертизы, то есть не только отдали денег. Даже там 50 человек наймите, возьмем какой нибудь. Региональный город может быть даже не очень маленький 600000 населения, там нет столько специалистов в области. И вообще, на весь город не то, что на 1. Предприятие, поэтому с 1 стороны, то есть есть вопрос недофинансирования операционной истории. Да, но вот она из кризис экспертизы на рынке в глобальном смысле и.

1:26:32 Мне кажется, вот именно эти 2 фактора они как бы подталкивают на самом деле. К возможности использования той самой сервисной модели в эксплуатации как самой инфраструктуры и б созданы, так и, собственно говоря, там. Применение аутсорсинговых соков там и так далее, то есть того, что называется МССП, и это мы диас сервисами на российском рынке международном рынке. Все таки 2 фактора они к этому, собственно, подталкивают все стороны.

1:26:58 Ну, я так скажу, что да, а вот снорсинг он. Допустим, мы сами применяем такие, закупаем такие услуги, но здесь нужно еще понимать. Возвращаясь к тому же законодательству по безопасности критической инфраструктуры, что какие бы? Мы условия в договоре не прописали, какие бы штрафные функции мы бы там не прописали, но ответственность за обеспечение безопасности лежит собственно на субъекте на собственнике.

1:27:31 И что, когда мы отдаем на аутсорс? Тоже там безопасность критической информационной инфраструктуры, и если что, то там вот вот вот вот вот вот, вот вот, вот вот, улучшили, то отвечать будем мы. Да, мы вот вчера после окончания 1 дня официальной программы на несколько часов потратили на то, чтобы спорить как раз таки об аутсорсе, а там секьюрити оперешен центрах и. Управляемых сервисах безопасности и соглашусь со всеми коллегами в том, что бюджет получить на строительство, какой то инфраструктуры своей взять ее на баланс, построить сок.

1:28:18 Ставить сенсоры, начать получать данные это реализуемая вполне техническая задача, причем в небольшие сроки. Вот упирается в 2 момента это ресурсы, о чем говорил Владимир, это процессы, потому что что Андрей. Говорил чуть ранее проблема с разграничением зон ответственности, вот а эти зоны ответственности границы между этими зонами. Они как раз таки в процессах предоставления сервисов по инциденту исполнения.

1:28:53 Расследования реагирования, то есть схемы эскалации инцидентов, передача инцидентов между стадиями от сока вниз. То есть кто должен внизу реагировать, да, но соки инженер сидит 1 линии. Да, у него есть плейбук, он по нему отработал, проинформировал, отправил на 2 линию, либо там отправил предупреждение, там рекомендацию. Что нужно сделать внизу, кто внизу будет это делать?

1:29:23 И проблема еще кросс, это сливая, потому что многие, скажем так, инциденты безопасности, проблемы информационной безопасности у безопасников и бэшников. Это не то же самое, что инциденты или. Какой то кейс у эксплуатации внизу, ну если по простому говорить? Да, если эксплуатацию сказать чувак, тебя уже то 2 день сканирует. У меня металл льется, у меня все нормально, если из сока ему прилетит задача.

1:30:00 Шнурок из коммутатора, потому что там, где то инцидент, он это в жизни не сделает. Вот и это как раз и зоны ответственности, и процессы, которые. Будут выстраиваться вот поверх инфраструктуры, которая будет построен вот вопросов много и мое мнение сейчас, то есть получить качественные.

1:30:20 МССП там сервис дали, там работу качественную работу мастерски провайдеров, ну на данном этапе. Скажем так, это сложно, наверное, должно пройти время и качественные сервисы, и там какие то схемы и процессные остальные не появятся.

1:30:50 Корнюшин, собственно, вчера вот с Дмитрием этот вопрос обсуждали и просто 1 вопрос. А вот, собственно, должен знать технологический процесс, а? А вот вопрос как раз таки к этому, если отдавать на аутсорс. Он должен знать, что происходит реально, как металл льет все эти процессы и и. Незнание этих он сможет выполнять свою функцию. Я попробую, я попробую ответить, но, наверное, вопрос надо просто раскрыть аутсорсинг чего.

1:31:24 Ну нет, мы не только соки обсуждаем аутсорсинг как функцию аутсорсинг может быть любых функций эксплуатации мониторинга. И ну, мое мнение заключается в том, что аутсорсинг имеет место быть и в условиях дефицита ресурсов это. Действительно, он, как Владимир, говорил классная вещь, когда в 1 месте сосредоточены компетенции. Но, с другой стороны, понятно, что аутсорсинг это бизнес и как любого бизнесмена интересует всего 2 даты, дата заключения договора, дата оплаты. И тут важно выставить именно правильную систему мотивации во 1 внутри аутсорсеров своих специалистов и мотивацию аутсорсера как функции. Но необходимо отметить, что в будут огромные проблемы, проблемы, связанные с взаимодействием. С вообще восприятием этой компании внешней асутэпэшниками или айтишниками. Поэтому, несомненно, нужна очень мощная служба заказчика со стороны и б для того, чтобы просто на политическом уровне решать все конфликтные вопросы.

1:32:30 Да, коллеги, я просто сейчас предложил бы следующий формат. Сейчас я хотел бы дать небольшой комментарий, а потом предложить участникам дискуссии сформулировать свои вопросы и потом предложить всем уже в широком круге. Если кого, то конкретно, какие то вопросы. Интересует, тоже сформулировать, вот тут сказали очень важную вещь про ресурсы, но мне кажется, некоторые компании уже сталкиваются с. Иной проблемой раньше все ходили, говорили, мы не можем, потому что нам не дают деньги. Нам не дают людей, нам не дают того то того, то, а?

1:33:03 Уже так сказать, и это ни для кого не секрет, что есть ситуация. Когда тебе дали и деньги, те дали ресурсы, но когда уже начинает хорошо, мы тебе ты попросил мы. Дали тебе все, дай результат, и мы тут можем столкнуться. Действительно, с рядом системных проблем, которые есть на рынке труда, безусловный дефицит кадров, который.

1:33:28 Например, для нас это большой открытый вопрос, причем не только в регионах. Даже могу сказать совершенно откровенно, что и в городах. Миллионниках мы сталкиваемся с очень большой проблемой, мы готовы учить, мы готовы воспитывать, но вот качество людского ресурса оно. Или низкое, или настолько перегреты ожидания наших потенциальных соискателей, что ну просто хочется сказать. Ну, ребята, вообще в зеркало часто смотрелись или нет, да поэтому тут целый.

1:34:03 Огромный пласт проблем, которые есть и на рынке, тоже вы уже отметили. К собственно говоря, уровень компетенции уважаемых партнеров интеграторов Вендоров тоже очень часто оставляет желать лучшего, ну. И сама тематика она не простая, тематика бы сама по себе, но и с очень большой спецификой, как технологической, так и, собственно говоря, бизнес взаимоотношений, потому что даже в рамках Норильского. Никеля у нас была достаточно большая дискуссия, выделять ли в отдельную функцию безопасность ИБ СТП или же в рамках. Собственно говоря, 1 подразделения, которое занимается эксплуатацией систем. Безопасности или проектной деятельности, и все таки мы убедили руководство в том, что это достаточно специфическая сфера, где есть очень много вроде с общей схожести. Что, ну, в конце концов, да, но это. Можно квалифицировать как ну 1 из айти систем. Да вот, но все таки специфика бизнеса, специфика, бизнес процессов. Даже то, что, как правило, на предприятиях, это отдельная ветка подчинения именно главному. Инженеру, которая там находится в партнерстве с директором, пойти и вот ряд этих ограничений. Они, собственно, позволено убедить в том, что все таки безопасность, информационная безопасность Асот и. П это отдельная сфера, и вот мне кажется, это очень важно, потому что не находиться в 1. Собственно говоря, в 1 корзине с другими весьма уважаемыми айти подразделениями. Ну и, если позволите, я теперь. Передам, собственно говоря, если кто то хочет дополнительно, что то какие то свои замечания высказать, может быть, задать вопрос, а потом передать возможность коллегам в зале сформулировать свой вопрос.

1:35:52 Спасибо, Андрей, я бы хотел прокомментировать ситуацию по недостатку трудовых ресурсов в области кибербезопасности. Проблема действительно глобальная мировая. По разным данным, мы регулярно делаем вопросы, не хватает от 2 до 50000000 специалистов во всем мире. Цифры, цифры потрясающие и хотел бы предложить простое решение нетривиально. Посмотрите на эту панель, посмотрите на эту аудиторию, есть в основном мужчины. Почему то почему то безопасность считается таким мужским спортом? Да, но тем не менее у нас есть 10, ты девушек, и это печально. Вот на моей бывшей работе самым успешным менеджером сока. Была девушка с высшим музыкальным образованием, которая нашла себя в безопасности, построила замечательные процессы. И мне кажется, мы существенно недооцениваем при в выборе кандидатов.

1:36:47 Представитель из прекрасного пола у них отличный скилзы и просто девушки. Приглашаю вас безопасность, отличное фут, отличное поле для деятельности. Так что, пожалуйста, не недооценивайте, мы вас ждем. Лото.

1:37:35 Ну вот, проблема кадров. Вот проблема кадров она действительно самая большая, потому что пока здесь шла беседа в плане. Что значит марксизм верен там или там ленинизм верен, потому что он правильно, правильно? Потому что верен, одни говорят, что у них не хватает кадров. Давайте пойдем в аутсорс и считается, что те, кто будет аутсорсить. Они эти кадры, откуда то возьмут, а эти кадры 30 лет гнобили. И этих кадров 30 лет нет, девушки получают музыкальное образование. Может быть, это девушка, если бы она в свое время получилась к это нормальная? Я так шучу, конечно, про Америку до. Бауманское образование она бы была сказать еще более нормальным и бэшником. То есть вот проблем, то, на мой взгляд, заключается в том, что очень много разговоров о рисках, об оценках и о. Том, что действительно сказать, люди не знают ни технологий и не готовы формировать нормальные долгосрочные команды. Мало того, что сказать, не кого команд не хватает количественно. Эти команды занимали еще постоянно, значит, перетекают. Сегодня он занимается металлургией, завтра он занимается электрикой, а послезавтра он, значит, уходят в министерство, да если это. Министерству повезло, если он туда уходит, скорее всего, не уйдет. Вот в чем проблема и что хотел бы еще пояснить. Вот здесь все время говорится про Сутп, но вообще говоря с утопы это. Трехуровневая система как минимум, да и вот каким образом вы собираетесь решать система Асотп, когда уже на нижнем уровне? Это тоже не только сказать, есть Арм Скада, система не только есть. Контроллеры, которые там, где то собирает, а уже сказать, на нижнем уровне. Люди говорят об интеллектуальных датчиках со своими вычислительными системами и эти мыслительные системы сказать. Имеют свои операционные системы маленькие. Там тени ос какая нибудь там или в роды, но сказать пока у наших нету. Как вы собираетесь обеспечивать информационную безопасность, когда? Это оборудование совершенствуется, и мы, и к нему искать нет. То есть вопрос идет о кадрах, вот Сбербанк? Он действительно пошел по очень интересному пути, почему то он становится. Технологической компанией там много объяснений этому, в том числе и финансовых. Но я думаю, что если они уже пришли к тому, что они покупают электронные микроскопы и начинает заниматься. Обратным значит инжинирингом микросхем то по видимому, так как они поняли, что значит и скоро им придется даже делать свои процессоры для того, чтобы обеспечить свою финансовую империю. Я немножко утрирую, но тем не менее вот и об этой проблеме совершенно сказать ничего не говорится. Говорится о бумагах, о комплаенсе, и, кстати, с 1 стороны понимание о том, что значит. Комплаенс и реально искать процессы они неразделимы, то все время говорят. Вот бумаги готовы, да и все мы, значит, живем, а комп бумаги. Это только подтверждение того, что физически, что то. Сделано или, по крайней мере, сказать готовность вот тут же сделать. А у нас бумаги сделаны, а физически делать нищего и некому, так что все эти разговоры вот они, к сожалению, хороши вот.

1:40:50 Вот как как вы, как вы разбираетесь решать проблему трехуровневая безопасность, а сут и п. Потому что ванна край она сказать выведет из строя вам скады системы, на котором, к сожалению, пока стоит скать. Виндоус, да, а вот как вы будете собирать? Работая на иностранных турбинах, да и когда требуется сбор этой информации, стороннюю организацию, как вы собираетесь это защищать, хотелось бы об этом услышать.

1:41:18 Можно, да спасибо, но на самом деле у вас такой комментарий, а для визионерства. Соответственно, там можно, наверное, говорить о некотором будущем состоянии. Хорошо, но если вы про реал тайм, то есть там те самые интеллектуальные датчики, в которые встроены функции безопасности, уже есть сейчас на уровне стандартов, на уровне отдельных продуктов. Я неважно сделан поголовно, но тем не менее и дальше. Там, если мы там обратимся, к какой то теории. Да, то сначала мы должны понять, какую политику безопасности мы там хотим реализовать, ну. Там, например, разрешаем выполнять только то, что хорошо понимаем. Ну или там политика все, что явно не разрешено запрещено, да или по другому, как обеспечить доверие, сквозное снизу доверху. Ответ формированием требований к каждому из компонентов этой системы, и только потом уже под это подстраиваем технику. Будь то криптография, будь то не криптографические методы, вот и все.

1:42:23 Правильный вопрос, но вы сейчас намекаете на то, что у нас там, в ряде отраслей 90.% Во многих отраслях большой высокий процент вендоров западных, правильно или там иностранных выразимся? Так, собственно, я примерно об этом же говорил. Что эти же вендеры сформировали определенные продуктовые предложения, но за границами нашей страны? И то же самое, почему то к нам не везут, поэтому. На мой взгляд, наверное, это просто формирование требований с каждой из сторон. С 1 стороны 1 сторона должна быть готова это предложение сюда принести. А другая должна его сформировать, что ему это нужно по экономическим соображениям по точке зрения правильной безопасности и так далее и так далее.

1:43:05 Нет то, что нужно развивать отечественную электронную компонентную базу и так далее. Это понятно, но это замена во всем мире сейчас начнется. Дискуссии я тебя дополню дополню Владимира. Когда вы спросили, как вы собираетесь обеспечивать безопасность? Я немножко смутился, к кому вопрос. Все вместе, да, но если говорим про интеллектуальные датчики, интернет, вещей, промышленный интернет вещей. Вот это вот все цифровизацию, новые тренды, то тут нужно понимать.

1:43:38 Чью безопасность мы обеспечиваем, объясню почему. Если говорим про новые тренды цифровизации, то у нас есть. 3 Больших игрока там все у нас есть кастомерсы, которые пользуются этими умными девайсами, да и соответственно их безопасность нужно обеспечивать. Нужно как то вот есть производители этих умных девайсов и приложений, которыми тоже, которые тоже, наверное, должны, как то уметь защищать свои. Изделия, продукты и 3 игрок, это провайдер как раз таки сервисов или услуг, которые предоставляются с помощью приложений Девайсов конкретным. Пользователям вот соответственно подход к обеспечению безопасности вот этих 3 сущностей или 3 игроков больших в этих новых темах эта задача.

1:44:36 Провайдера разработчика и, наверное, пользователя, как он себя будет защищать. Вот поэтому здесь говорить, о каком то 1 рецепте или каком то фреймворке или стандарте обеспечение. Безопасности не приходится, вот тем не менее производители и средств защиты и новых. Вот этих вот девайсов интеллектуальных датчиков устройства назовите как угодно.

1:45:04 Вкладывают очень большие деньги. В работу так называемых некоммерческих консорциумов есть консорциум по промышленному интернету вещей. Да, Коллеги, давайте я просто предложил бы все таки перевести режим, все таки другие есть коллеги, которые тоже интересуются многими вещами. Потом я думаю, что не скажу новости относительно того, что. Позвольте мне на правах модератора все таки закончить мысль, позволите? Спасибо, вот все таки мы живем не в идеальном мире и в рамках 1. Круглого стола даже двухчасового по тематике Асот, и мы, безусловно, не можем объять необъятное. Мы тут не говорили про целые направления. Например, интернету Финкстик на лоджикал + не говорили про, допустим, дата лейки, которые генерят систему Асута. По каким образом их защищать мы не говорили про проблему импортозамещения или вообще нашей, собственно, весьма существенной зависимости от зарубежных? Производителей есть целый ряд проблем и ограничений, в которых мы живем, мы живем не в идеальном мире, и мы живем в тех весьма существенных ограничениях, которые, но они объективны. Да, но мы не ничего с этим, по крайней мере, мы, я имею ввиду те, кто занимается. информационной безопасности стоп, и ничего с этим сделать не можем. Мы не изобретем новую компанию, не интел или весьма другие уважаемые. Компании, но мы исходим из того, что Дамир не совершенен, но мы должны предпринять максимум усилий для того, чтобы его сделать лучше.

1:46:55 Ну, Я попрошу вас, возьмите тогда. Если вы говорите и постарайтесь быть у нас уже сейчас в том, что касается вещей. По моему развивается 4 стандарта передачи данных, начиная от Лора Ван, которая является международным и кончая, значит тем стандартом, которые компании РВК. Совместно там, с какой то частной там предложен в качестве международного стандарта. Между ним есть еще 2 там, у товарищей из из той компании Рутенберг и так далее. Вот уже здесь будет распыление средств, то есть как раз вот хотелось. бы понять, там совершенно этого не нужно. Как я понимаю, иметь 4 разных стандарта при нашей бедности и в специалистах, и в производственных масностях денег. То у нас много, вот то есть я к тому, что эти вещи, к сожалению, здесь не обсуждались. А общие теоретические проблемы, конечно, хороши, но если позволите, короткий комментарий. Ну вот, у вас такой текст был, что как бы распыление происходит. На мой взгляд, наоборот, происходит консолидация, в прошлом году объединилась. Индастрианка консорциум с ФОК Компьютер Альянса 2 2. Крупнейшие некоммерческие организации, объединяющие десятки технологических компаний с каждой из 3 сторон, о которых говорил Дмитрий. Они сейчас формировали, ну примерно единые. Подходы к френворкам, что консорциумских уровней стоит минимальные требования к кибербезопасности. Да, эти документы не международный стандарт уровня, мы из и так далее, но, наоборот, идет консолидация, некоторые экспертизы, вопрос в том. Что мы, вот как представители экспертного сообщества должны быть частью вот этой самой большой глобальной работы? И вот другой вопрос, что мы для этого предпринимаем или что готовы предпринимать. И здесь там, насколько я знаю, там и. Позитив технолоджи, мы Ростелеком Соур. Мы стараемся работать во всех этих международных структурах, чтобы как минимум стараться влиять да там приносить свою экспертизу. Ну, там, чтобы как то завершить на позитивной ноте нашу дискуссию.

1:49:01 Да, коллеги, у нас остается 10 минут. Я попрошу максимально по вас представиться перед тем, как задать вопрос, и спасибо большое Кравченко. Александр Господа, обычно я брызг, спасибо отдельно за эту тему. Можно отдельную конференцию собирать на по этой. Тематике, поэтому вкратце не успел задать вопрос, немножко опередили. Именно хотелось бы услышать ваши комментарии по поводу импортозамещения. Сталкиваетесь ли с какими то проблемами, какие то тенденции, потому что, ну, у нас это очень актуально, спасибо я.

1:49:32 Я сразу отвечу да, но как бы мы 1 из игроков этой темы по то замещению, поэтому сталкивались. Где успешно, где менее успешно, но она есть, она существует, и она работает действительно. То есть, опять же, в отдельных там наших клиентах, там есть целые программы по? Импещению, в том числе и в промышленных сетях, вот именно в индустриальных контурах. Это все работает, где то успешно, где то менее успешно, но это действительно есть.

1:50:07 Я так скажу по собственной практике, по импортозамещению, по разным направлениям, конечно, двигается по разному. Что касается средств защиты информации, то здесь. Довольно таки все неплохо, наши отечественные производители действительно где то отстают, но где то на уровне мировых стандартов, если брать по системам астп там и.

1:50:35 Жизненный срок систем более длительный, чем. Ит систем либо система информационной безопасности, вот и действительно у нас на 90-ты система стоп, это импортного производства. Вот и здесь без какой, либо там целевой программы поддержки. Со стороны нашего правительства мы не сдвинемся. Я со своей со своей стороны тоже хотел бы сказать, что вот критика, которая звучала в адрес там российских. Производителей и там интеграторов партнеров она в полной мере применима и к производителям тех компонент, которые используются в 100, то есть уровень. Той реакции обратной связи, который мы хотели бы получать на наши запросы. Он не дует неудовлетворительный, на мой взгляд, может быть, это достаточно. Субъективное мнение, но тем не менее вот по нашей практике обратная связь неудовлетворительно не отвечает, не по скорости реакции, не по качеству реакции.

1:51:41 Позволите? Скажите, пожалуйста, вот ваш вопрос он оказался все таки импортозамещение в части чего в части автоматизированной системы управления в части средств защиты информации? То есть там или в широком смысле?

1:52:43 Да понятно. То есть вопрос был в том, сталкивались ли в этом с импортозамещением и как это там организовать? Ну, там такой примерно на реверанс в сторону Газпром нефти, то есть Омск рядом с заводом. Создан технопарк, в котором там 3 года подряд системно изучается предложение со стороны российских производителей средств автоматизации от разработчиков Скада до разработчиков разделенной. Системы управления ПАЗов там и так далее, то есть в том числе в этом же технопарке. Например, изучается совместимость средств защиты информации, предлагаемых на российском рынке с тем самым. Система автоматизации, то есть это пример подхода там холдинга к решению проблемы. Другой вопрос, что понятно каждый отраслей, но есть специфика, не у всех есть на это ресурсы к тому, чтобы. Вот так системную работу выстроить, но тем не менее такие примеры есть другой вопрос. Если рынок у российских все таки производителей, это импортозамещение, оно всерьез или как бы там многие. Подавители, пока мы подождем, посмотрим, да там 90 2000 пережили, там не будем торопиться. Это там 1 часть, ответ, 2 часть, ответ, если говорить все таки про нашу тему, про безопасность, про. Встроенную безопасность мне здесь, кажется, есть очень большой зазор, но там 3, 4 года между российскими производителями и производителями глобальными. Почему, но, на мой взгляд, они пока не? Воспринимают тему кибербезопасности как свою, точнее, все таки пока в некоторой такой антипозиции и не видит в этом какой то доли своего бизнеса российские производители средств автоматизации.

1:54:20 Все сверху донизу разработчики скада, контроллеры, там датчики разных типов и так далее не видят массово лучше вот так с комментировать, поэтому если. Импортные производители придут с этим предложением, будет еще 1 конкурентное преимущество, поэтому сейчас есть время на это среагировать, на мой взгляд.

1:54:45 Ну, я там не работаю, мне трудно. Я знаю, но, наверное, комментировать от их лица будет не очень корректно. Я тоже хотел маленький комментарий здесь добавить. Вот я лично усматриваю в теме импортозамещения очень много лукавства. На самом деле вот тема эта прозвучала, так сказать, вот. Наиболее громко это в 14 году после присоединения Крыма, когда была угроза, что значит могут пойти на крайние меры и наши западные партнеры и запретить поставку определенных там. классов оборудования к нам в принципе, да и тогда бросились искать любые замены возможные. И тогда вот на моих глазах была масса примеров, нам как бы приносили на тестирование. Оборудования различных классов, телекоммуникационное оборудование систем, сбор информации, когда просто брали импортные. Значит, по факту оборудование, которое, так сказать, устаревшие. Версии, которые снялись производства, да и переклеивали шильдики. Вот, к сожалению, вот, конечно, такой подход неприемлем. С другой стороны, я, значит, в силу того, что вот эти угрозы они. Не были реализованы, сейчас немного успокоились, вот и эта тема. Опять же, в моем понимании, как я ее вижу, я могу ошибаться несколько под утихла, вот ажиотаж вокруг нее несмотря. На то, что там, в ПАО Россети, да принято программа, это импортозамещение рабочих групп по импортозамещению со сроком по моему 23 год. Она должна как бы закончить свою работу. Вот, но тем не менее вот мне из эксплуатации. Да вот я лучше буду эксплуатировать оборудование Циско, чем мне принесут какую то зверюшку да с наклеенной этой как бы российской.

1:56:36 Да, я дополню прованский технопарк, да то есть мы как вендер средств защиты, в том числе и для промышленного сектора. Мы в данном технопарке тестировали свое. Оборудование, совместимость с несколькими виндором платформами автоматизации от нескольких виндоров западных. Вот поэтому и результат такого тестирования это то, что.

1:57:01 Подтверждается совместимость, функциональная необходимость и возможность использовать данные средства на данных платформах автоматизации. Да, коллеги, у нас остается буквально 2 минуты. Я прошу тогда последний вопрос, постарайтесь его коротко задать, чтобы мы не выходили за регламент. Я вот хотел задать вопрос по поводу Циска, вот АНБ в лице там Вице Президента Байдена. Они, особо не скрывая, в 17 году заявили, что у них есть бэкдоры, в том числе к оборудованию Циско по Лайта. Там продолжать можно до бесконечности, и ключевой проблемой импортозамещения является то, что в России не производится. Сетевого оборудования для промышленности те псевдоотечестваственные производители, которые забывают инструкции с китайского перевести. С этим сталкивался, да там вот это как бы не может считаться замещение сами, соглашусь, но вот с. Другой стороны используется межсетевой экраны Циско, которые являются уже, судя по всему, дырой в системе безопасности в целом. То есть, как вот в такой вопрос проблеме относитесь, как вы можете прокомментировать и пути решения, ну?

1:58:08 Ну, здесь как бы телемы, да с 1 стороны мне, как эксплуатанту, я отвечаю за работоспособность оборудования. Мне проще работать с тем оборудованием, которое, так сказать, а я знаю, у меня сформирован аварийный запас, обычный персонал. Да это 2 с другой стороны, да я. Как там патриот, там и понимаю угрозы информационной безопасности, но в этом случае, так сказать, извините мне тогда такую позицию занять. Вот я от специалистов ПБ, я, слава богу, как бы этот крестьянин. Да я от сохи пришел, вот вы мне скажите, что с этим делать. То с послушаю, с удовольствием, мы же даже готовы рассматривать не сделайте, лучше сделайте не хуже. Мы же вот из этого исходим, да вот и когда уже там попробовали определенного уровня не сервиса. И, собственно говоря, там, в разных совершенно вещах, я с вами. Действительно, соглашусь, есть пожелание, но тоже, как бы мы не можем оголтело идти за лозунгом импортозамещение, не понимая, что с нас никто ответственности за эксплуатацию реальных систем, которая в боевую работает каждый день в режиме 24 на 7 не снимает.

1:59:23 Вот, кстати, у нас действительно межсетевые экраны построены, нас вот реализованы насы. Да вот, но в то же время в целевой программе у нас. На 20 год есть титул по модернизации систем межсетевого кронирования. Поэтому если у кого, то есть предложение милости, милости просек.

1:59:44 По моему, он купил в свое время кон такую нашу сказать неплохую компанию по контроллером, сказать. Ну и что я понимаю, что весь Газпром не сидит на Тиконе, да, но тем не менее что. Поступить когда. Банк то есть начать потихоньку под свои нужды то, что поставляет сыск. Это можно использовать в электричестве в электросетях, в разных отраслях. Да, а что то под себя сделать, то есть по моему уже очевидно, что сказать. Действительно, вас не Минпромторг и прочими средствами не спасут. То есть вы должны сами, если переходить на отечественную базу и понимать, что мы не должны быть зависимо делать свое оборудование, пусть достаточно простое.

2:00:33 Не понимаете, это абсолютный тупик. Даже не 1 даже самая крупная компания не справится с этой задачей. Это абсолютно тупиковая ветвь развития металлурги должны выпускать. Металл, а производители средств автоматизации должны выпускать средства, средства автоматизации и до иного сценария у нас нет. Я думаю, что это для многих очевидно, ну и все. Таки мы уже выходим за регламент, и хотелось бы поблагодарить всех участников, которые приняли участие. На мой взгляд, мне было очень интересно с вами общаться и услышать. Ваше мнение свериться несколько, с какой скоростью все бегут к лучшей жизни, но и поблагодарить каждого из вас за вашу экспертизу. И надеюсь, что мы встретимся вновь, спасибо.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.