Информационная безопасность АСУ ТП: с чего начать

Информационная безопасность АСУ ТП — это защита систем управления технологическими процессами от кибератак, направленная на предотвращение физического ущерба, остановки производства и аварий. В России требования к защите таких систем устанавливает 187-ФЗ о безопасности КИИ, который обязывает владельцев категорировать объекты и применять меры защиты по требованиям ФСТЭК.

АСУ ТП управляет реальным производством — оборудованием, технологическими линиями, энергетикой. В отличие от корпоративных ИТ-систем, где главный риск — утечка данных, здесь последствия атаки могут быть физическими: разрушение оборудования, авария, угроза жизни людей. Именно поэтому информационная безопасность АСУ ТП строится вокруг доступности и целостности, а не конфиденциальности, как в классическом ИТ.

Ключевой нормативный акт — Федеральный закон от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры» [6]. Под КИИ понимается совокупность информационных систем, сетей связи и АСУ, принадлежащих организациям в отраслях здравоохранения, науки, транспорта, связи, энергетики, ТЭК, банковской сферы, атомной энергии, оборонной, ракетно-космической, горнодобывающей промышленности и ряда других [6]. Важно: одной отраслевой принадлежности недостаточно — закон требует, чтобы система управляла реальным производственным процессом. Обычная CRM или бухгалтерская программа под действие закона не подпадают [1].

Категорирование объекта КИИ проводится по пяти критериям значимости, которые коррелируют с возможными последствиями [4]. Среди них — социальная значимость, оцениваемая через возможный ущерб жизни и здоровью людей, нарушение функционирования объектов жизнеобеспечения, транспортной инфраструктуры, сетей связи, а также максимальное время отсутствия доступа к государственной услуге. По результатам категорирования объекту присваивается одна из категорий значимости, и от неё зависит объём обязательных мер защиты.

Типовые угрозы для АСУ ТП — это целенаправленные атаки на SCADA и ПЛК, использование уязвимостей устаревшего ПО, съёмных носителей и незащищённых каналов связи. Исторический пример — червь Stuxnet, который перехватывал и модифицировал поток данных между контроллерами Simatic S7 и рабочими станциями SCADA и стал первым известным случаем кибератаки, физически разрушившей инфраструктуру. Для защиты применяются специализированные наложенные средства — межсетевые экраны для промышленных сетей, системы обнаружения вторжений, средства контроля съёмных носителей [6].

Практика надзора показывает, какие документы и решения проверяются в первую очередь. Инспектор ФСТЭК смотрит на модель угроз: слабая, общая модель обесценивает всю дальнейшую демонстрацию средств защиты. Проверяется план мероприятий по обеспечению безопасности — со сроками и обоснованием отклонений, а также организационно-распорядительная документация: приказы о назначении ответственных с указанием конкретных объектов КИИ и должностные инструкции [8]. Формальный подход здесь не работает.

Типичные ошибки: недооценка того, что закон распространяется и на индивидуальных предпринимателей при наличии объектов КИИ [1]; подмена реальной модели угроз шаблонной; отсутствие персонализации ответственности в приказах; игнорирование специализированных средств защиты промышленных сетей в пользу обычных корпоративных решений.

Материалы сайта по теме

• 187-ФЗ: касается вас или нет? Чек-лист из 6 шагов, чтобы спать спокойно
• Нормативные документы по безопасности АСУ ТП, АСУ ПиТП, КСИИ, КВО, КИИ
• Нормативные документы по безопасности АСУ ТП, АСУ ПиТП, КСИИ, КВО, КИИ
• Выгорание персонала ИБ АСУ ТП
• Кибербезопасность АСУ ТП критически важных объектов
• Кибербезопасность АСУ ТП. Обзор специализированных наложенных средств защиты

Частые вопросы

Кого касается 187-ФЗ?

Государственные органы, российские юридические лица и индивидуальные предприниматели, владеющие объектами КИИ в перечисленных отраслях. При этом недостаточно работать в отрасли — нужны информационные системы, сети связи или АСУ, управляющие реальным производственным процессом [1][6].

Чем защита АСУ ТП отличается от защиты обычных ИТ-систем?

Приоритет отдаётся доступности и целостности технологического процесса, а не конфиденциальности данных. Последствия атаки измеряются не утечкой информации, а остановкой производства, аварией или физическим ущербом.

Какие критерии используются при категорировании объекта КИИ?

Закон вводит пять критериев значимости, среди которых социальная значимость — ущерб жизни и здоровью людей, нарушение жизнеобеспечения, транспорта и связи, время недоступности государственных услуг [4]. По совокупности критериев объекту присваивается категория значимости.

Какие средства защиты применяют для АСУ ТП?

Специализированные наложенные средства: промышленные межсетевые экраны, системы обнаружения вторжений, контроль съёмных носителей и защита каналов связи [6]. Обычные корпоративные антивирусы и файрволы для промышленных сетей недостаточны.

Что проверяет ФСТЭК при аудите безопасности КИИ?

Модель угроз, план мероприятий по обеспечению безопасности со сроками, организационно-распорядительную документацию с персонализацией ответственности по конкретным объектам КИИ [8]. Слабая или шаблонная модель угроз обесценивает остальные документы.