Кибербезопасность АСУ ТП: о реальных проблемах и задачах в межотраслевом диалоге [Магнитка-24]

0:03 Сначала мы планировали подготовить организатор, разговаривает секцию по тебе устойчивости, как бы по базовым понятиям, что это такое. Детали элементы и так далее, но, наверное, 3 подряд киберустойчивость, секция, хотя все принципе вся Магнитка 2 дня это им посвящена. Была идея потом отвергнута, и мы ее решили взять ее часть, поговорить. То есть понятно, сайты врезаем отсюда не только устойчивость к компьютерным. Атакам это еще много слов про надежность, отказоустойчивость, функциональной безопасности, так далее, так далее и здесь такую проблемную область. Именно кибербезопасности СТП, потому что если недопустимые события в области большинства СТП случается, то это приводит к каким то действительно. Негативным последствиям для жизни здоровья, в лучшем случае для бизнеса, хотя проблем для бизнеса тоже могут кончиться проблемами со здоровьем, вот.

1:09 Я переговорил со многими экспертами области, готовясь за месяц к этой секции, и мне много что говорили. К сожалению, не всех экспертов, иначе нас бы тут собралось много, эксперты сидели бы зале, а зрители. Здесь удалось собрать, и если вырезать из проблематики, а то, что мне рассказывали идиоматические обороты, то все равно остается несколько страниц с проблемами, из которых я выделил 2 это кадровая. Проблема, но они будут говорить отдельно, поэтому и не здесь. Да не будем мы на это отвлекаться и 2 вопросы. Это реальные проекты, связанные с импортозамещением, импортозамещением, средств защиты. Импещением паков, а самое главное ключевого функционального софта, то и погоревший. Поговорив с коллегами, каждый расскажет о определенном опыте работы с импортозамещением в различных отраслях.

2:14 Нефтяная. Газовая электроэнергетика и так далее. Михаил, возможно, нас всех разоблачит рассказов о проблематике в связи с УТП, как на самом деле импортозамещение идет немножко интриги и через реальные проекты попробуем показать.

2:40 В чем проблема, есть ли вообще, кстати, проблема, связанная с импортозамещением, в чем она выражается в неправильно написанных буковках или действительно проблема глубокая? Намного ли она глубже, чем чем описывается, каково ее возможно, каково ее место среди других? Проблем, которые сейчас стоят перед нашей страной в области обеспечения технологической независимости, ну потому что импортозамещение. Это что, основного софта, что безопасности? Это всего лишь 1 из обеспечения этой независимости, и я 1 передаю слово Максиму Кандрову. Генеральному директору компании Агриц из темы коллеги Добрый день прошу поставиться сам презентацию. Мы только раз готовили секции, решили посовещались немножко и определили, что 1 раз я дам такую установку, сделаю доклад. Грубо говоря, с полей с цехов с болот с. Распылительных устройств и прочее наша компания, директором которой я являюсь, является интегратором абонементов электроэнергетики В. основном и я расскажу, сделаю срез с теми проблемами, с теми вызовами и теми решениями, которые мы предложили процесс выполнения наших работ.

3:58 1 Да, то есть есть особенность, сделаем срез, что это такое. У нас объекты, которые сегодня мы импортозамещаем, и параллельно мы делаем их безопасными новые объекты. Конечно, они идут уже там с отечественным софтом с дополнительными какими то. Функциями, но большинство объектов, на которых, по крайней работает наша компания. Это все таки вот остатки прошлого, на котором мы имеем, что все таки стоит импортная скада, импортные контроллеры и прочие проблемы, которые описаны на Слайде, чтобы. Решить и защитить от суты п уже недостаточно на просто такими бумажными оргмерами. Либо сделать защиту на периметре, либо периметр периметра. Для того чтобы более менее эффективно туда вазить, нам необходимо лезть внутрь, влезть внутрь очень. Глубоко, поэтому у вас появился такой термин инвазивные средства защиты, которые лезут внутри СТП, разрезают информационные потоки, разделяют сервера и контроллеры. И это с этим связано, конечно, множество проблем, о которых сейчас хочу рассказать.

5:01 1 В. В чем у нас проблема, которая хотела немножко посвятить, когда мы собирались 1? Это простейший способ, это агент резервного копирования вроде простая функция. Простая мера защиты, но мы сейчас столкнулись с тем, что практически нету сертифицированных средств резервного копирования, стержень средств защиты под виндовс. Регуляторов сделать такую позицию, все никаких средств защиты под Виндс переходим на Линукс на наше решение и прочее, но Виндс он на наших объектах присутствует. И более того, я скажу, что он еще ближайшее время там останется. Мы не заменим 100000 контроллеров Сименса и Кагава и Биби ближайшее время, даже если. Мы заменим систему верхнего уровня, перейдем на новые сервера. То эти контроллеры с большой долей вероятности останутся еще какое то достаточное для тебя. Но если у нас есть контроллер Сименса, то нам нужно инженерное, по которое с этим контроллером работает. А это по под Виндоусом, поэтому я призываю сделал 1. Тезис, который хотел обсудить уважаемые разработчики средств защиты. Пожалуйста, не бросайте свои решения для Виндуса. Более того, я, наверное, скажу крамольную. Мысль нам нужны будут средства, которые будут поддерживать Виндоус 11. Возможно, Виндоус, 12 следующая проблема антивирусы, но тут все достаточно хорошо, все.

6:26 Те проблемы, которые у нас возникают, они решабельны, к слову сказать, что у нас можно сказать. На этом рынке сложилась монополия, но тем не менее мы обладаем этими решениями, технологиями, которые эта проблема у нас успешно решает. Средства от несанкционированного доступа вот с этим немножко все посложнее. Ввиду того, что эти решения очень инвазивные, очень токсичные. На нашей практике мы сталкивались большим количеством проблем, в 1 очередь связано, конечно. Не с тем, что у нас д плохо работает, скорее всего, связано с тем, что система управления они собраны. Ну, скажем так, недостаточно качественно и при того при инсталляции НСД у нас очень много случаев, что система перестает работать. Либо работать не стабильно, поэтому мы для себя выработали следующее решение. Это обязательно проведение достаточно полного цикла тестирования, прежде чем поставить на боевой объект, но и по возможности все таки, наверное. Отказаться от НСД в СУП и принять компенсирующие меры модуль доверенной загрузки. Вот с этим у у нас связана интересная история во 1 1 проблема, это совместимость. Все таки контроллеры там, на сервера, они достаточно специфичные. Достаточно редкие, соответственно, производители МДЗ не всегда проводят тестирование с ними. Следующая проблема не всегда их удается установить. Вот у нас недавно месяц назад был такой интересный кейс, с которым хотел поделиться. Объект 2 категории соответственно там появились модули доверенной, загрузки поставлялись новые сервера, новые компьютеры. Знаю, что это будет нас МДЗ, мы связались поставщиком в систему управления, взяли у него спецификацию того. Об оборудования, которое будет поставлять, взяли точную конфигурацию. Даже фотографии этой системы мы получили серверов, соответственно, выбрали модули, проверили, что все совместимо, что все это работает по документации, там и там. Полностью вместимости замечательно мы успокоились, и ну когда приехали на объект. Она ждала неприятная ситуация в том единственном пися и флоте, куда мы хотели вставить на свои модуль доверенной загрузки, стояла внешняя видеокарта.

8:37 То есть интегратор столкнулся с проблемой, что встроенная видеокарта не тянет большой монитор и просто взяли, купили внешнюю видеокарту. И вот теперь такая у нас проблема, которую, честно говоря, мы пока не знаем, как решить. Соответственно, какие варианты решения это, конечно, на при проектировании прям применять все мер для того, чтобы такого не случилось? Но как показал мой предыдущий рассказ, даже если. Практически все, что можно было предусмотреть, возможно, Форс Мажора с с программами модуля загрузки тоже несет так просто. Опять же из за того, что эти сервера достаточно специфичные в том. числе мы применяем промышленные компьютеры, которые выпускаются малыми сериями и которых не столь популярны и, как правило, вендор не сильно заботится, чтобы писать под них программное. Средство защиты система вторжения, но это, наверное, самая неинвазивная система наиболее удобная и мое мнение наиболее эффективное. Тут основная проблема есть, мы ставимся достаточно. Старые объекты это крайне неудобное, надо невозможно сделать спанк порты и зеркало трафика, в том числе перестройка, переконкурирование рабочей сети. Не очень часто, но все таки надо. Приводит к проблемам, то есть появляются петли, мы что, то теряем и прочее. Соответственно, даже такое неинвазивное средство все таки имеет воздействие на систему управления вешать вы экраны. Вот наш эксперт Наценка, и вот, наверное, самые большие проблемы именно с внедрением вот этой средств защиты. Еще раз говорю, что что мы вставляем межтевые краны, может, это самое сердце. Супе тут на схеме показана типовая схема для цифровых подстанций Россетей. Вот тут мы отделяем сервера сбор информации от контроллеров, от автоматики, управления выключателем и прочее.

10:25 Проблема, с которым мы сталкиваемся, это в 1 очередь не производитель. Даже если у нас и сервер сбор информации, контроллер от 1 вендора не документировано все необходимые информационные воздействия. То есть приходим на объект, опрашиваем, так что вам открыть? Там 102 порт, понятно, там с Энемпи все сделали правило, часть функционала отваливается. Начинаем смотреть, выясняется, что там какой то контроллер старой версии еще используют либо нестандартный порт, либо еще какой, то дополнительный информационный обмен.

10:57 Это, ну, в принципе, эта проблема решается, в том числе и, конечно, по предварительным тестированием и анализом информационного обмена, которые необходимо пропускать через межсетевой экран. Более серьезные проблемы у нас были это. Когда мы использовали отказоустойчивый кластер, все наши системы, по крайней мере, в энергетике обязательно имеют дублированные сети. И по этому отказу сочижу кластер, это в принципе. Насущной необходимости слово сказать, что в любом случае, когда мы вставляем сетевой экран внутри с ТП, мы в любом случае снижаем надежность. То, конечно, это не сильно нравится заказчику.

11:35 Как мы это решаем наши проблемы, подхожу концу, то есть, ну, в 1 очередь, именно для себя мы решаем. Это все таки мы создали испытательную лабораторию, испытательный стенд, и прежде чем идти на объекты, мы максимально проводим все варианты, испытания мы. Большинство проблем мы находим в процессе подготовки к работе, но, к сожалению, не все и всегда на объекте возникает форс мажор, опять же для. Решения этих проблем нам помогает наш испытательный стенд. То есть мы повторяем ситуацию конфигурацию объекта и максимально быстро решаем? Такие вопросы, но и следующие, которые там на еще до шапки и варианты решения, это, конечно, все таки подготовка персонала, готовка кадров и. Другие вопросы все спасибо за внимание, спасибо большое. Максим, сейчас Михаил, я сначала задам вопрос. Да, я хотел меня добавить к наступающему.

12:26 Мне просто приходилось сталкиваться с еще 1 проблемой. Это когда полностью и железо, и по импортное вас у ТП, и причем если это стоит на. По сопровождении фирмы изготовителя, то они четко говорят ребята. Никаких лишних деталей, никакого лишнего пола, и вот как с этим бороться.

12:50 Тяжело. Максим, вот я выделил 3 вещи системно 1. Отсутствие средств защиты, сертифицированных под новые версии импортного, по которые есть, скорее всего, будут, да невзирая. На все приказы и регламенты, наверное, есть вещи, где трудно отказаться. 2 Понимаю несовместимость современный срез защиты, с устрой очень, я бы не сказал с. Устаревшим с имеющимся оборудованием СТП, а сушки у них средний срок 10:12. Я знаю, система, которая реально 19:20 лет работает, уже можно понять и 3 как я понимаю. Это проблемы с конфигурацией систем сетей, которые уже невозможно изменить. Я правильно понимаю, что большинство из этих проблем все таки можно решить через?

13:42 Проектирование модернизации этой системы либо это все или это какие то задачи не решаемые, есть среди них вот просто фундаментально не решить. Проектируй, не проектируй, тестируй, не тестируй все. Равно останется Михаил, провокационные вопросы о нашем опыте были нерешаемые проблемы. Да, то есть тут приходилось на круга принять риски либо как выражение. Мы иногда слона в ваты обкладываем, то. Есть наложили, то есть, ну нельзя, то разорвать связь. Вот есть у вас старая машина подвинутся на КПИ, на которой ну ничего не поставишь. Ее никак не изолируешь, но приходится вокруг нее какой то контур. Делать какие то оргмеры и прочее большинстве случаев. Да можно что то придумать вопрос, сколько это времени, сколько денег займет, и если не решаем проблемы, да такие проблемы встречаются, спасибо.

14:33 О своем опыте, о решении расскажет Александр в Смоленске, постави презентацию. Пожалуйста, добрый день Александр Смоленский очень рад всех видеть на самом деле по моему опыту. Вот такие дискуссии к уже где то после. обеда, когда человек 50, они самые острые, самые откровенные, это на самом деле здорово. Так вот, да, я должен начать с того, что я не специалист по безопасности. Я разработчик, я возглавляю компанию, которая разрабатывает.

15:06 Решения как платформенные, так и прикладные для управления производством в нефтегазе Нефтехимии и, собственно. Сразу скажу, что импортозамещение нас никогда не интересовало. Мы начали чуть пораньше, то есть мы начали году, 16 потому что мы видели, что есть свободная ниша в каком. смысле свободная в том смысле, что над датчиками над АСУ ТП сразу зияет сияющая дыра. В том смысле, что есть несколько очень мало практически монополизированные рынки.

15:43 Решений они все западные и так или иначе уже там году 16 было понятно, что а можно сделать лучше б. Появятся желающие покупать не западные решения и, собственно, как показала практика, действительно там вот в прошлом позапрошлом году у нас. На российском рынке, конечно, в некотором смысле бум и в целом за зарубежные страны тоже очень интересуются, и мы там подходим СНГ, понятно? Там уже просто идут работы в дальних странах, мы прорабатываем, какие то 1 пилоты ведем. Это тоже будет, потому что все увидели, что необходимо. Иметь свою инфраструктуру, а наша логика она всегда была, так сказать, устаревший, консервативный. В том смысле, что, как вы знаете, все крупные. Решения требуют так или иначе сейчас, чтобы у них был доступ внутрь. Причем что они делают, что они собирают и как мы не знаем, причем я им. На гора призу об системах управления производством они очень часто идут с оборудованием. Мы же говорим по старинке, нет коллеги, вот мы вам. Отдали нашу, по оно стало вашим, мы не имеем и не хотим иметь никакого доступа рубильника. Нет, и соответственно дальше там вы можете сами там. Его в некоторых смыслах развивать вы можете его поддерживать, можете с нами дальше работать. Тем не менее, ну и соответственно это тоже будет.

17:12 Для истории компания среднего размера порядка 570 человек, в основном разработчики такая среднего размера, российская компания не самая большая не. Самая крупная, так вот как не специалист по ИБ, для меня информационная безопасность была. Ну каким то 1 из дел вообще несущественным, то есть вот у меня. Там над платформой работает 120 человек, и у них есть там полтора и бэшника, которые, что то делают в принципе, пытаются защищать эту часть процесса, но. Вдруг неожиданно и б стала краеугольным камнем. И вот, собственно, мы с этим столкнулись. Надо как то решать проблему, а с чем мы, собственно, столкнулись.

18:00 С где то весны 22 года начались атаки атаки, начались вообще на всех в 1 очередь на наших клиентов, причем атакуют всех, атакуют часто, не умела часто. Опять же еще раз, коллеги, это мой взгляд, он я вообще на истину в. Последней ситуации не претендую, но зато регулярно и настойчиво. Причем это часть проблем атакуют партнеров, то есть компании разработчики атакуют тоже. И, как ни странно, как обычно, сапожник без сапог более успешно. То есть 1 нашего значимого партнера, с которым мы работали по инфраструктуре, взломали в ноябре 22 года? Там утечки не страшные, но тем не менее это как бы очень серьезный звонок, и когда он прозвучал немедленно. Ужесточились правила по информационной безопасности непосредственно на производствах и, соответственно, не то чтобы это было как то сделано. С моей точки зрения, по плану аккуратно и так далее, как я не знаю, у каких то.

19:11 Специальных служб, например, которых есть разные уровни угрозы, там желтые угрозы делаем то то красные угрозы делаем. То то просто то, что я увидел уровень напряжения у производственного, ибо вырос на порядке. При этом. Необходимо контролировать все понятно, понятно, что есть серьезная опасность остановки производств, а особенно если речь идет о крупных. Производствах там есть действительно опасность жизни и здоровья людей. Нарушение действительно критической инфраструктуры, тем не менее. Ну как бы так задраиваем все задрайки, говорит и б и начинает просто захлебываться, потому что идут проверки нового по мы же одновременно. Хотим заменять, а при этом вот это самое новое, по которое несем. Например, мы надо как то проверять и, собственно, и б начало просто.

20:03 Есть несколько примеров, там я 3 не знаю просто, которым ежедневно работаем очень крупных предприятий. Ничего просто захлебываться в том, чтобы попытаться сохранить. Сохранить свою инфраструктуру при этом привносить новые софты в эту инфраструктуру, то есть внедрять новые отечественные решения. И это стало как бы большой проблемой, кроме того. Наша система, они все в контуре, то есть они все внутри и в мир они не смотрят. Помните, я вам рассказывал только что про логику, что мы отдали дальше? Это ваша нам нам туда лезть не нужно и никому не нужно. Это все за периметр, тем не менее те требования, которые стали предъявляться они стали. И, наверное, разумно предъявляться таким образом, что коллеги нам все равно, что это все за за стеной, что это внутри.

21:00 Наших локальных инфраструктур требования по безопасности такие же, как если бы это был, прости господи, Интернет, сервис и это очень сильно поменяло наше. Отношение к разработке, потому что, как говорится, к такому меня жизнь не готовила. И есть там еще 1 аспект, который кажется важным назвать вот с моей точки зрения.

21:25 Можно разделить, ну и, в общем, это тоже, когда говоришь со специалистами, они говорят. Ну вот хорошо, есть бумажная безопасность, а есть реальное бумажная. Она регулируется законодательством, реально регулируется разумностью и, соответственно, у нас и. Законодательство начало меняться и отношение к разумности начало тоже очень сильно меняться, и в результате что такое теперь бумажная безопасность. Обычно это вот у тебя идут проекты внедрения, например, есть какие то пара специалистов, которые это сопровождают. С точки зрения бумажной безопасности, а правила игры изменились, и они для всех сейчас разные. То есть мы в некотором находимся не понимании хорошо. Вот на этом фоне каких задач нужно достичь? Ну вот, я выделил 4 продолжать те внедрения нашего софта. Которые идут при этом, не срывая безумно сроки, а сроки поехали немедленно. Потому что если у нас есть этот железные ворота, в которые и б не пропускает. Если у нас нет понимания о том, что должно быть полного, то, естественно, сроки начинают ехать вправо.

22:37 Возникает 2 вопрос, это гинелиты расходы, причем гинелиты расходы очень существенные для нас, собственно, для всех сторон. И вот надо понять, где эти расходы приземлятся и как они будут компенсированы, например, в текущих проектах. Как вы понимаете, внедрение крупной инженерной системы, например платформы, которая собирает со всех датчиков на очень крупном нефтеперерабатывающем заводе 400000 сигналов. В секунду это дело ни 1 дня, она заменяет почистим. Какой нибудь, который там 15 лет стоял и развивался дорого, и это долго. Соответственно и дальше вопрос, как жить дальше, то есть как снизить стоимость в будущем внедрение и софта. Потому что нам, оказывается, надо много чего. Дописать, и это повлияет на стоимость лицензии и, собственно, как нам вообще системно построиться в к новой реальности. Вот на последний вопрос у меня до сих пор полного ответа нет. Мы много чего делаем, я об этом расскажу, но.

23:36 Не знаю, не знаю, как полностью на этот вопрос ответить. Так вот, с точки зрения там архитектуры с точки зрения разработки, на самом деле очень хорошо. Нам повезло, что мы этим мы. Собирались конкурировать с западными коллегами в том, что мы на самых современных инженерных началах делали архитектуру своего. По то есть микросервисы, это очень хорошо, потому что В.

24:05 Коллеги, когда проектировали свои инженерные системы, а это было лет 10:15 назад, они. Пользовались другой архитектурой и, соответственно, гораздо меньше было встроенной безопасности. То есть, когда у нас есть кластеризация сбора данных, гарантированная доставка? Резервирование интерфейсов вот это все нормальная часть истории, когда вот у нас. Вот вы видите на слайде черту слева! У нас источники данных АСУ ТП интерфейсы, датчики, а справа.

24:38 Кластера прикладных программ, которые лежат на платформе, это, конечно, все ломается. Это, конечно, все не идеально само по себе, но тем не менее, когда у. Тебя каждый сервис изолирован, обеспечить безопасность гораздо проще. А если посмотреть на современную архитектуру приложений, например, на производствах?

25:03 Микросервисов довольно мало, все к ним идут, но будут идти с моей точки зрения еще там десятилетия. Может быть, больше так вот этот, вот этот архитектурный. Процесс надо ускорять, что к нему нужно добавить, чего у меня не хватало. Когда я спохватился, уже было поздно, нужно очень хорошая, очень продуманная. Ролевая модель внутри этих сервисов, то есть, причем, как вы понимаете, сейчас агентами, то есть ролями являются не столько или не только люди, а другие сервисы. Что, в общем, кажется самоочевидным. Так вот какому сервису, что можно, это невероятно важно. У нас она, конечно, была, но она нас была довольно примитивно. Ее пришлось расширить, уже было несколько релизов на наших продуктах, и она будет продолжать расширяться. Про это надо думать сразу, 2 история интересная. Это, конечно, моя боль, это автотесты уязвимости через сканеры, если загнать, например, операционную систему. Виндовс, не побоюсь этого слова в сканер, ну. Те выдаст там тысяч, 20 наверное, уязвимостей без проблем. Естественно, в нашем коде, причем сканеры еще разные и ибо любит попробовать разные и соответственно. Пожалуйста, вот тебя кусок кода, там как платформа 2000000 строк, это много, и там будут 1000 уязвимостей и ИБ. Завод говорит, слушайте, а давайте 0.

26:36 Давайте только это займет бесконечное время и будет стоить денег и на самом деле. Ну, это невозможно в реальности, опять же это мое поведение. Очень много времени уходит на то, чтобы их отранжировать, отсортировать, понять, что не с с чем не нужно бороться, где нужно, как очень. Правильно выразился коллега, принять риски, а где действительно нужно править? Так вот, с этими автотестами надо работать и самое главное. Хотя бы договориться, каким мы используем то, что если каждую неделю мы будем каждую неделю, каждый квартал мы их будем менять, то тяжело.

27:12 Да, ну и планирование релизов, на самом ли? Конечно, мы жили еще пару лет назад, мы жили в шикарном мире, где мы могли отжал. Давайте раз в 2 недели накатывать какой нибудь релиз, ну понятно. Не в продуктив, но в тестовую припродуктивную среду с этим можно попрощаться навсегда. Это не вернется никогда, мажоры. Понятно, что паче безопасности выходят, когда они выходят, но мажорные. Релизы, это моя мечта, это раз квартал нет 2 раза в год, на самом деле 1 раз в год этот сильно меняет задач планирования, это сильно меняет подход к разработке. То есть мы возвращаемся несколько? Назад, то есть Аджайл, он, наверное, может работать внутри компании, разработчика или внутреннего интегратора крупной производственной любой компании. Но когда мы переходим через барьер? Этот переход каждый раз, как переход через Альпы, это очень много времени и много денег, поэтому релиз придется планировать. В результате какие организационные изменения мы внесли и на? самом деле, коллеги, если вы хотите, что то добавить, это будет очень полезно. Потому что я действительно ищу ответы на этот вопрос во 1 в новых, там крупных проектах, внедрения, которые сейчас. Начинается у нас трек и б начинается с 1 дня, как было раньше раньше. Хорошо, вот мы начали что нибудь планировать, что нибудь тестировать, пилотировать и где то там через полгодика+. - Подключается и б когда пора куда, то ближе к продуктивным средам лезть сейчас не так. Сейчас у нас трек б всегда с 1 дня, 1 с кем мы, когда мы понимаем, что мы будем внедрять систему, мы идем на.

28:50 Обниматься с местными коллегами, которые обеспечивают информационную безопасность, просить у них требования договариваться о сотрудничестве и так далее, вот это как бы это. Мы наладили это хорошо, уже несколько крупных внедрений, так началось, и это я тоже думаю, что никогда не изменится. Как ни странно, про сертификацию сегодня мало говорили.

29:13 Сертификацию надо делать, причем мы тоже чуть чуть каким то. Чуть чуть начали заранее, но в общем. С точки зрения бумажной безопасности, как я, это сейчас понимаю. Опять же коллеги, ваше мнение очень интересно, сертификаты повышают вероятность. И доверие к вот в части бумажной безопасности в результате, как это называется, по принципу покемонов. Собери их всех, я вот собрала. Собираюсь собрать все стековские фсбшные сертификаты, какие возможны какие то уже собрал, но какие то, к сожалению, довольно долгий процесс. На самом деле, ну кроме шуток, это еще и довольно полезно. Когда мы начали оплавить требования, вылезло, что мы действительно внутри себя.

30:00 Не были безопасны, и это следующий пункт нужно защищать свой периметр гораздо лучше, как мы все это делать, чем мы. Это раньше делали особенно компании, когда маленькие, когда они там так стартовали, а мы. На самом не очень давно существуем, мы там очень быстро выросли, там с нескольких десятков, да вот сотен человек уже там пол. 1000 Естественно, все это как бы по семейному на флешечках на домашних компах.

30:28 Нет, мы в целом профессионалы, то есть там бы копирование. Как раз депозитарий, все это было довольно быстро появилось, но тем не менее защищать себя надо этому. Как мне кажется, разработчики значения придают очень мало. Ну, мы все знаем, что нам мы. Вообще, может, Виндсом не пользуемся, да и с партнерами. Вот потому, что вот платформенные решения подразумевают, что партнеры ставят свои другие прикладные решения поверх по платформы и. Партнеров ломают только в путь регулярно, последнее было взлом крупного нашего партнера, который работает у нас же на заказчика. Там был несколько месяцев назад опять утечки, какие то, ну. Несущественные, но тем не менее все очень, очень напряглись и, соответственно, теперь к партнерам надо предъявлять тоже свои. Какие то требования, то есть как то транслировать требования.

31:24 Заказчиков на партнеров, и это не просто потому, что это значит, что нужно сформировать разумную компетенцию по этим требованиям. Так мы их просто как бы отбиваем, а дальше. Теперь надо понять, что действительно нам надо требовать с партнера, что не нужно. Ну и последняя коллегия с точки зрения стоимости вся эта история, она, кажется, с нами теперь. Навсегда она приводит к тому, что в человека часах стоимость внедрения вырастает. Ну где то на четверть это много, потому что эти внедрения изначально были недешевыми с. Точки зрения лицензий я пока не посчитал, там рост будет явно меньше. Но когда, например, Минцифры приходит к нам и говорит, что не ребят, вы там центы на лицензии не повышайте.

32:11 Хорошо, но есть нюансы при том, что да, эти цены на отечественные решения, то есть мы же сравниваем, как я и говорил с самого начала мы. Сравниваемся с западными аналогами, и там на зарубежном рынке мы все равно, ну и на российском просто нет конкуренции сейчас, но все равно там, на. Там 50 702-дешевле, особенно с учетом курсовой разницы, и, собственно, да, это безопасность стоит денег. Кажется, это я узнал это болезненным. Путем и соответственно вот ожидая, что это будет дальше с нами. У меня все спасибо, спасибо большое. Александр по праву ведущего 1 задал, да вот.

32:55 Аплодисменты также да я правильно понял 2 момента, 1 несмотря на развитость всей этой базы. Ваши крупные заказчики выставили вам незначительные требования и проходящие, которые на лету они усилили и заменили так. Сложилось впечатление там на самом, как бы поменялась вообще вся жизнь. То есть вот, например, ладно, парни, мы с вами там давно работаем. Мы знаем, где вы живете, вот вам учетки на проде накатываете, а то мы как бы. Ну, на новое по сейчас вот это, пока наша служба научится все это делать. Давай, а теперь ко мне ребят все пока наших сотрудников не научили. Мы вас не пустим, а требования к системе, на какую цену изменили это как. бы 1 позиция, 2 а 2 болезненные требования это то, что да, то, что требования к системе о парные. Слушайте, вот у вас там была к это броневая модель. А давайте ка на нее посмотрим теперь наконец и узнаем, что там?

33:56 Там был фестиваль и канкан в целом, разделение ролей было сделано, так скажем, не идеально, глубоко. И теперь давайте быстро делать, а то мы не можем продолжать и так далее, и так. Далее я, увидев у вас дефопс и сканер, я понял так, что вы внедряете или внедрили методы безопасной разработки. До внедряем еще мы, мне кажется, мы еще туда не пришли, мы много чего внедряем.

34:19 Я правильно понимаю, что вы пошли по пути создания собственных механизмов безопасности внутренних и, судя по словам сертификаты в стек? Вы их сертифицируйте эти механизмы или вы? Идете на интеграцию, с какими то внешними средствами защиты 4 вопросу я понял да смотрите. Кажется, что нужно идти по обоим путям обеим путям. В том смысле, что мы идем на интеграцию со средствами защиты, но как мы выяснили экспериментальным? Путем, если ты разрабатываешь небезопасно, то ты потом не можешь обеспечить грамотную интеграцию с этими средствами защиты, мы не хотим становиться ИБ. Компании и мы не хотим писать средства защиты для своих продуктов, это, конечно, внешнее. Речь идет о том, чтобы реформировать саму структуру без разработки. Таким образом, чтобы обеспечить нативную безопасность, насколько это возможно, но это нисколько не умаляет необходимости внешних средств, а можно? Ли сказать, что события последних 2 лет в прямую или через заказчиков скорее через заказчиков заставили вас прийти к необходимости создавать софт в. Защищенном исполнении секьюра по дизайну из подходить методами и так далее, и так далее. С 0 ничего не знаю, безопасность 2 года вот жестоким методом. Прийти к этому выводу, вот мне кажется, вся моя история была ровно про это. Понятно, что не то, чтобы мы совсем ничего не знали и совсем как бы были. Утрированы, естественно, то есть случился прогресс на самом деле для систем в периметре. Всем до некоторой степени, до некоторой степени было не очень важно. И вдруг стало важно спасибо тогда, коллеги, мы продолжим наш разговор и потом вернемся к дискуссии. Я вижу, у нас идет мудрая и временная дискуссия еще. Останется и рек, расскажите, пожалуйста, об опыте. Как я понимаю, импортозамещение в нефтяной промышленности или химической нефтепроработка, но там еще. Раз кусок с газом связанный, смотрите, я вам расскажу наш опыт. Да, то есть тоже представлюсь компания сил системной технологии, мы системный интегратор. И интегратор, и б еще интегратор физической безопасности. Вот речь пойдет о некоем предприятии нефтеперерабатывающем, у которого есть, кстати, к слову. Сказать он уникален тем, что у них есть это комплекс заводов, 1 из заводов, это комплекс по переработке тяжелых остатков нефти, и вот эта технология, она. В России уникальна, то есть, по сути, они из гудрона делают потом светлое моторное топливо. Просто для понимания там по моему 220 атмосфер, то есть как. Б бы достаточно, может, может рвануть, да вот смотрите, с чем мы столкнулись. Сам заказчик стартовал этот проект еще в 21 году, скажем так, инициировал, да? Но потом, в феврале, вот этот вот лебедь вот этого черного цвета пролетел. Они стали выбирать себе подрядчика и, в общем, то и выбор остановили на нас.

37:23 И с чем мы столкнулись, то есть важно сказать, что у них практически там 80 она построен на и кагава. Вот было было некое проектное решение, которое мы взяли за основу. Вот и мы хлебнули как полной чашкой. Вот эти все грабли наступили, как бы их вот эти все грабли видели. Да, во 1 это все наблюдали, это массовый исход западных вендоров.

37:46 Российские вендоры свалились, как вы с повышенным спросом, да там и мы совместно с ними там пытались, как то все тут работать. Вот и в общем, все это как бы наложила там определенный отпечаток. Вот я сейчас попробую немножко поподробнее рассказать. Столкнулись с чем, да то есть наш вот этот. Вот уважаемая, вот эта проектная документация, которая была написана вот этими специалистами Кагавы, например, какие. То вещи в принципе не учитывали, то есть мы выяснили, что есть самописный софт, в том числе написано примерно неподдержанные операционки там Виндовс Икс ПИ и. С этим, по сути, почти ничего нельзя сделать, кроме как граничит с орг мирами. Есть определенные неточности в техническом проекте. Вот не знаю кто нибудь из вас. Сталкивался, нет, вот есть оптический пачкорд длиной 100 м. При этом в проекте он был как для внутреннего исполнения, тут получился до было 2 здания соединять. Между собой, то есть, по сути, это уличного исполнения тоже накладывает. Да, а было еще 1 ограничение, я не знаю, вы помните или нет, в конце года там несколько. Заводов нефтеперерабатывающих стали на плановый ремонт, они так называемое технологическое окно и было был дефицит бензина и солярки. Вот здесь мы тоже с. Этим столкнулись, потому что, повторюсь, это комплекс из нескольких заводов, и нам разрешали работать только в эти технологические окна и, по сути, счет шел даже. Не на неделе, а вот как бы на дни, вот то есть, это же вот достаточно. Такая нервная штука, вот также мы с чем столкнулись, вот коллеги до меня рассказывали.

39:20 4 Узловой кластер выяснилось, что наши российские межсетевые краны не поддерживают такую конфигурацию. По сути, это только максимум кластер из 2 узлов. Приходилось искать вот такие всякие разные обходные пути решения совместно с вендорами, но в целом как бы смогли это дело победить, насколько это было возможно.

39:43 Вот, но сейчас проект уже завершен. Мы смогли как бы его реализовать, несмотря на все эти сложности в сроки. Вот заказчик доволен, и дальше мы планируем двигаться уже как это вглубь вширь и так далее для того, чтобы. Заказчик дальше чувствовал себя как то более защищенным, к ним не приходили с вопросами. Почему вы не защищаете свою критическую? Инфраструктуру я правильно понимаю, была якогава, она была заменена на российский софт? Да нет, сам само, а Сутэпэ не трогали, а само су.

40:26 Сутэпэ, просто они сам заказчик, часть каких то отчетов писал сам. Естественно, средства защиты информации об этом софте ничего не знали. С Якогавой вы как то согласовывали испытания внесения изменений, были какие то моменты с трудностями. Либо они с радостью пошли, смотрите, если вы. Помните, в какой то момент кикогава в России просто вот встала и ушла? Вот поэтому мы мы сделали как бы следующую историю. Да, то есть, повторюсь, мы. же как бы, ибо интегратор мы пригласили экспертов компанию, которые специализируются именно на и Кагавии. И вот они как раз нас консультировали мы. Совместно с ними это дело как бы вот дальше точили. То есть получается главный инженер, главный технолог, по сути, взяли на себя ответственность? На внесение изменений в систему управляющую ключевыми процессами том числе. Да, но то редкий случай обычно спрашивают, ты внедришь свои железки с. Безопасностью, кто потом за продукт отвечает, у нас как раз уникальная уникальность была, что обычно, наоборот, приходит компания СУП, берет условно. Говоря неких, там экспертов по информбезопасности. Вот, но вот после 22 года видите получалось, вот ситуация на 180 раз поменялась, получается, что мы. Были, по сути, генподрядчик, который взял на субподряд компанию эксперта области СТП, как проводилась приемка, это была как часть приема сдаточных.

41:52 Для осушки это были какая то оценка соответствия по собственной методике. Это может была аттестация по методикам стек, вот примерно, чтобы вам акты. Подписали, да вы в результате оцените уровень безопасности, смотрите аттестации. Никакой не было было порядка 30 технических актов, ну то есть на каждом. Заводе на каждом производстве люди со стороны заказчиков все полностью проверяли, что функциональность не нарушена, ни в коем и сравнивать все это с. Проектной документацией, то есть это тоже был определенный квест, потому что это декабрь, а это еще и декабрика. Да, конечно, конечно, поэтому вот у нас этот.

42:32 Незабываемый проект очень незабываемый опыт и и жить жители остались в этом городе. И вы не боитесь туда заезжать немножко? Так прокачал 220 атмосфер, нет коллеги, на самом деле вот уникальнейшая вещь. Прежде всего, что владельцы бизнес процесса и владельцы установки взяли на себя ответственность, пустив туда безопасников. Но причем без вендора и сумели жизнь их заставила и сумели заказать спроектировать. Вместе с коллегами и принять, и система работает у них вот из боевого опыта. Обычно, как ключевой вопрос, кто будет отвечать после того, как вы все внедрите? Не вы, а я идите отсюда, максимум вы без пилотного. Проекта проводились сразу, взялись не пряч. Я думаю же, смотрите, мы же само Сутп, как систему мы не трогали, мы же строили систему защиты. Я понимаю, мы, по сути, да, но повторюсь, это же как это это же. Не просто там вот проект написан, и мы вот строго по бумаге абсолютно нет, абсолютно нет, было очень много. Вот этих вот скелетов шкафу на ходу приходилось решать. Конечно, конечно, более того, у нас было. Как раз там в ноябре было совещание, где генеральный со стороны заказчика собрал там главного технолога главного айтишника, главного вэбэшника. И вот все всю свою рабочую группу и как бы приехали мы и. Он вот так вот обвел глазами и говорит. Ну что правильно, что мы выбрали, сел в качестве подрядчика, есть к ним вопросы, есть какие то замечания. Идем ли мы вовремя, как у нас там с поме и всем прочим, и К. Нам серьезных замечаний не было, я повторюсь, мы успели сделать сроки, это такие или объекты. То есть категория имеет категорию, конечно, то есть это значимый объект, и да, конечно, категория у него серьезно.

44:22 Да вот такой вот у нас был опыт, да я, кстати, не сказал. Вот у нас на самом самом 1 слайде, если корочка читается. У нас есть официальная группа в телеграм, такая вот секунда рекламы. Можете подключиться, у нас там есть ряд как бы таких. Как сказать историй волшебных больше, пожалуйста, велком. Если коротко, то так да, спасибо большое спасибо. Похлопаем у нас вот 3 3 проекта самых разных, но все с. Положительным и с оптимизмом мы смотрим с положительными решениями, и и даже невзирая на проблемы, которые сказал Максим. Все равно движется испытательная лаборатория, я сам довольно. Много занимался пилотами и оценкой совместимости от ступочных систем сызы и для объектов Кии. Поэтому могу оценить все 3 истории, насколько это было сложно теперь о проблематике. импортозамещения без слайдов Михаил нам рассказывает Михаил Кашаев, он здесь. Ну, выступает он специалист в целях безопасности связи, он выступает в данном случае как независимый. Эксперт уже от себя лично не от предприятия, да я на данном мероприятии сам по себе. Собственно говоря, проблема импортозамещения у нас складывается из, скажем так, следующих вещей 1.

45:54 Операционные системы, операционные системы, все импортные до единого. У нас есть 2 операционных системы, которые зарегистрированы в базе данных по, но на них никто не работает, то есть они узкоспециализированы. Михаил, не соглашусь, потом добавлю, ставь меточку. Дальше средства разработки все импортные, то есть, чтобы мы не программировали, мы программируем на чужих технологиях. Средства компиляции все импортные, даже сертифицированных нет. Импортные технологии, то есть, если мы хотим решить проблему импортозамещения, мы должны начать с нижнего самого нижнего уровня. Я не беру разработку, как говорится, своих процессоров, потому что, скажем так, это совсем длительный процесс, создать свою микросхему.

46:51 Но хотя бы по в принципе наработки, то есть старые, еще советских времен, наработки. По то есть технологии, есть их надо приводить к реальности, ну, например. Например, вот я бы, честно говоря, рекомендовал бы Минцифры объявить конкурс, выбрать там 4 разработчиков, дать им денег и сказать. Ребята, вот через 3 года через 5 лет, да вы должны представить. Систему представили молодцы, не представили денежки обратно, но я утрирую, ну. Выдавал очень активно, я, как эксперты, говорит об этом на самые разные проекты. То есть, грубо говоря, люди знают, что они работают за деньги, они разрабатывают новую. Технологию, которая потом превратится в операционную систему в язык. Вы имеете ввиду, то есть создавать технологии для компилирования средства, свобод и так далее надо? Создавать свои технологии, вот насколько я знаю, это дорого. Это долго, это муторно и смоль, это надо. Мы рано или поздно придем к этому и с утра не этим занимается, и. Сп Иран вместе со Стэк, я на вы намного сушу. Жизнь заставит нас рано или поздно, потому что с тем же Линуксом. Да, но у кого есть гарантия, что завтра Госдепартамент? Не придет владелец к разработчикам Линукса и скажет ребятки. Вот вам денежка, сделайте пачку, которые получат все на свете, а потом по айпишнику посмотрит Россия Россия. Хлобыст все, ну, с некоторыми система так и произошло, так и произошло. Да, да, я отвечу на этот вопрос. На самом деле эта проблема появилась реально, то есть в Опен. Сорс начали впихивать зловреды, что по поймы развязали, что мы сделали. Мы сделали отстойник, то есть любое любой опельсос, да мы закидываем во 1 сообщество, причем. Мировое не только наше, но и наше российское тоже осматривает. Я вынюхивает и тестирует, и через некоторое время. Ну что то мы сами смотрим и рассказываем, становится.

48:58 Гарантий нет, но становится понятно, есть там что то или нет, вот мы таким хотя бы. Скажем так, успевайте тормознуть это распространение. Вот то есть мы рано или поздно, но мы столкнемся с этим внешним противодействием, и чем больше напряженность у нас будет между. Юнайтед Стейтс ОВ, так и Америка, и нами, тем выше риск возникновения этих ситуаций. Они нас санкциями будут давить и дальше, и дальше, и больше, пока мы не создадим свою технологию. Это вот операционной системы нам нужна своя технология в сетях передачи. Данных, потому что мы не знаем, где гуляет информация, работая с интернетом, мы не знаем, где она гуляет, она гуляет в 99 она штата. Мы не знаем, где конкретно, но знаем, что не. У нас она не у нас, она нами не контролируется. В процессе передачи данных зачастую, но я не беру выделенные каналы, до которые зашифрованы там по ГОСТу и далее далее. Основная масса потребителей сидит на открытых каналах, где гуляет информация. Мы не знаем, что с этой информацией происходит, пока нагуляем мы не знаем, это происходит.

50:18 Это проблемы, но я опять же немножко перебил. То есть то, чем занимается испытан, создавая там 2 Линукса, защищенных последующем библиотеки методы разработки? Но разве это не начало создания подобных технологий? А в области связи аналоги ведутся какие то Михаил вот в том то и дело, что аналогов, то пока нет у нас, их надо создавать. Ну а в чем это выразится создание собственных протоколов, каких то создание своих протоколов, до которые бы бы проходили? Через уже существующие структуры, но были бы защищены, но опыт показывает, что выживают не лучшие решения, выживают наиболее дешевое решение. Не получится ли, что, создав свой протокол, мы как раз понизим защиту и так далее, вот и смотришь на это?

51:07 Дальше випиены, которые мы все используем, да не сегодня завтра Роскомнадзор нас закроет. Звоночек уже зазвучал там, только непонятно, как на гид ха будем ходить непонятно как они, даже если его выскочили, уже непонятно реализовано. Физически да, но в конце концов у нас могут даже просто законодательно запретить, что типа никаких випиэнов придет служба к вам на работу. Посмотрим, а ви пиен есть, ходи сюда плати денежку штраф. Ну, то есть как бы вот это следующий нюанс, который мы должны четко для себя принять и. Пользоваться этим это прежде всего резко ориентированный подход к проблемам защиты. То есть мы можем тупо просто исполнить там 31 приказ посуды?

51:58 Там на 187 закон это тупая, вот как бумажная защита. Да ну как говорили на 2 секцию, это бумажная защита как таковая. Но мы должны понимать, что бумажкой мы АСУ ТП не закроем в чистом виде. Потому что если АСУ ТП имеет выходы во внешний мир, подключение к интернету там для получения каких то данных или для обмена данных с другими предприятиями это. Уже дыра, смотри, я могу выделить, что вот изначального тезиса, который мы, в том числе, хотим обсудить импортозамещение, технологическая независимость переходим. Полностью на собственную разработку защищенных платформ, но она на самом деле будет долго дырявой до тех пор, пока мы не создадим свои средства разработки. Компиляции так далее, так я понимаю, что вот это 1 из фундаментальнейших проблем. Да так оно и есть, потому что мы не ни 1 программист не знает, что происходит.

53:00 Внутри компилятор, где гарантия, что это компилятор заведомо не запрограммирован так, чтобы добавлять маленькую фишечку 25 кадр, по которому потом вот яркий пример буря в пустыне? Все помните такую военную операцию в. Штатовском тогда по сигналу со спутника было заблокировано все ПВО и Ирака по 1 простой причине. Там было французское ПВО 1 сигнал со спутника, все по его встало в стране. Они бомбили, как хотели, где гарантия, что то по на. Кото котором мы работаем, да не имеет такие же вклады. У меня нет таких гарантий нашу, по насколько я знаю, без импортных компонентов. Ладно, мы оборотку не будем обсуждать, а то вдруг проговоримся, о чем нибудь да Александр, да я. Смотрите, я хотел сразу прокомментировать, я с вами с идеологически полностью согласен. Я согласен, что нужно делать, а вот да, с точки зрения прагматики, это не тяжело, это невозможно. Я поясню, почему очень коротко смотрите.

54:04 Вот есть, например, просто мы стоим на плечах гигантов, вот есть библиотеки. Пусть она там проперчев какая нибудь лаборатория США им, но мне нужно сортировать массив. Мне нужно вызвать системное время, мне нужно не знаю получить псевдо. Случайное число неба, это я с удовольствием. Эти все функции они простые и понятные напишу, но они были написаны 20 лет назад. Если я их буду переписывать, у нас не хватит никаких денег и никаких кадров на это это во 1, ну а во 2 то есть. Мне кажется, что прагматика в том, да что при это значит. Ну, двери забивать, как бы газетами эти входные группы забивать там, где можно и нужно досками, и так жить. Потому что это вот ну 40 ты ядра Линукс. А кстати говоря, ядра Виндоус примером? Тоже, ну то Виндоус, 60 а Виндоус. 40 Это и бывшие снгшники, то есть писали все наши люди. Это реально, так и как это называется, взять сейчас ядро Линукс, который известно, что стабильное, перенести к себе, назвать его, как это называется.

55:14 Как это называется дальше его уже вести самому так же, как и с компиляторами? Это гораздо просто не сравнимо дешево, чем делать с 0 не, а можно ли так? Сказать фундаментально, что с 1 стороны мы не можем ждать, когда появятся доверенные средства разработки. Да и можно ли сказать, что мы все таки снижаем? Риск технологической зависимости, разрабатывая собственные защищенные средства, сертифицируя их после определенного уровня доверия на недоверенных. Средствах разработки, а другого пока выхода нет. 3 Вариант какой ничего не делать, ничего не делать 1 вариант, 2 вариант, это вот как приводил пример.

56:00 Александр, это не можно сказать, 4 ничего не делать. 3 Вариант оставлять сверху навешивать свое Сэзи, но навешанное внешне оно все равно она все равно. Технологии опять же чужие не касается, технологии все равно остается возможность выключить эту систему. В том то и в том, то и в том, то и проблема, либо ее туда добавят при обновлении. Ну, коллеги, не надо тоже дегустировать. Да вы абсолютно правы, там чужое оружие, сложное оружие по своим не стреляет. Это факт, и много еще чего есть, и электроника все равно. Лежит в базе и чипы, которые наши китайские товарищи, они сразу они сразу закладка скажу. К тому, что нет, можно контролировать трафик, есть контрольные суммы, есть 7 вот эти системы. Вот это ваше там и можно реально приложить и смотреть, чтобы не утекала. Это все равно ну реальные, чем переделать, с 0 хотя, конечно, переделать. Мы сейчас рассматриваем в принципе до проблемы, которые у нас все существует, ну не только в принципе. Мы их решение на конкретных примерах рассматривали, в том числе и методы коллеги.

57:12 Может, у зала есть вопросы и уже у нас 1 сессия, где остается время на вопросы с залом? Мы такси, проговорив, обсудив очень дисциплинированно, рассказали все. Ключевые моменты, как мне кажется, у нас в зале работает специальный сотрудник с микрофоном. Поднимайте руки, он подойдет и сможете задать интересующие вопросы.

57:32 Пожалуйста. Здравствуйте, коллеги Роман Карпов, Аксиом Джидэка. Мы как раз в общем то занимаемся разработкой Опен Сорса. Опен же дикий, но немножко не про это я. Хочу добавить вот по поводу из Прана и Линуксы тут очень активно дискутировали, исправно не создает безопасный Линукс. Задача из Прана совместно со. Стеком разметить его и предложить инструменты для сертификации. Там не будет готового продукта, который будет там супер доверенным, это просто подход. Который позволит переиспользовать участникам сообщества результат совместной деятельности для целей сертификации, но в рамках этой работы находится. Уязвимости, и мы в общем то в этом центре по изучению дролинекс тоже активно участвую исправления. Они есть, и более того, они отправляются обратно. В сообщество международное, и это очень важно. Нам не нужно отгораживаться от всего мира, нам просто нужно научиться осознанно работать с этими. Открытиями технологиями не просто вот как в моем мире есть 2 вида разработчика. Разработчик пользователей, разработчик, разработчик, разработчик, разработчик, разработчик. Пользователей это сейчас, 70%, рынка они набрали блогов, готовых библиотечек, сделали информационную систему, и в принципе бизнес доволен, он зарабатывает. Деньги, но он не знает, что внутри там куча дырок. Еще чего, то его это как бы не сильно парит, пока его там не вкрячут. Вот, а разработчик, разработчик. Это тот, кто взял исходный код, он понимает, как он работает. Он проведет там статический динамический анализ, соберет безопасным компилятором, который. Тоже делает из да он медленный, да он там плохой. Но он действительно позволяет гарантированного 2 + 2 получить, 4 и это тоже важно, вот и разработчик. Разработчик вот это все сделает и эту библиотечку. Он уже будет использовать осознанно и понимая, и вот как раз смысл происходящего сейчас вот. В инфобизе научить всех и разработчиков коробок и интеграторов относиться к ОПенсорсу никак к чему то, что это просто есть, а осмысленно с этим. Работать спасибо, спасибо большое за комментарий. Говоря про безопасный линз, я как раз имел ввиду, что 2 вида ядра планируется на, насколько помню. Комплект библиотек, из которых уже разработчики да будут собирать свое решение, но это есть основа. Но, с другой стороны, мы понимаем, Михаил, что. Стопроцентной безопасности не бывает даже выключенный. Вот поэтому я начал говорить про риск, ориентированный подход к безопасности, то есть надо смотреть.

59:58 Смотреть, какие существуют риски при. Мы их или боремся с ними, да коллеги и есть еще вопросы, а вот еще вопрос, а ну давайте. Добрый день, Клочков Антон, компания сел больше не вопрос, хотел дополнить Максима Никандрова до относительно вот тестирования и поиска совместимости конструкций. Когда железо плюсов да там модуль доверенной загрузки, вот мы из компании газоформсервис сейчас плотно как раз работаем по поиску совместимости их программного. Обеспечения с нашим оборудованием компания осел до производит и сервера, и компьютер, и так далее. Все те проблемы, которые обозначили, не имеет место быть и. Действительно, здесь очень важна связка, когда есть техническая лаборатория, то есть те, кто производит оборудование, имея выход на производство биоса и так далее. Далее они взаимодействуют с разработчиками и только тогда совместно в едином порыве. Так скажем, это можно все сделать, разработчики отвлекаются на ваши задачи им. Это интересно, потому что я сталкивался, допустим, ситуациям. Когда заплатите, тогда мы доработаем эту систему, а так нам это не нужно. Ну не не в данном случае, да? Со Ступа я с телекоммуникациями нет. Безусловно, заинтересована, потому что сейчас рынок меняется, весь рынок вынужден подстраиваться, и производители софта понимают. Что, если они не будут играть по правилам, да то есть они не помогут, значит, они останутся с борта. Железо, если, а железо мы сами, конечно, мы заинтересованы, да?

1:01:24 Евгения, вы себя может секундочку ремарочку? Да, большое спасибо за поддержку, то есть отвечает наш вопрос, заинтересованы, вот я наблюдаю. Последний 2 года прямо всплеск заинтересованности есть, когда мы начинали свою лабораторию делать, но и, честно говоря, от нас либо отмахивались. Либо игнорировали и вообще откровенно наезжали. Да что вы там делаете, вы находите какие то проблемы, зачем вы об этом говорите даже? Проблема у Сименса, мы гигантские сименсы. Вы тут Чебоксары, что то начали говорить нехорошие, дать мы с вами как минимум разговаривать. Не будем сейчас, ситуация изменилась, найти да чемоданчик у реки Чебоксары, там не сработало. Вот, но сейчас меняется и разработчики, и. Производители, ну иногда приходится немножко попугать. Да, например, сейчас там станции по станции 500 киловольт отвалится, да и, возможно, вас. Обвинят, это, конечно, очень сильно ускоряет процесс реагирования, но реагирует и производители железа, и производительного софта уже готовы. Вместе собираться в команду и решать ремарка. Я не считаю, что мы не должны от мира огораживаться, не должны там полностью новую эволюцию. Делать вот вот я прям поражен докладом, вот и река. Вот и какова это, особенно суд и п. Молодцы, что вы вот эту не нарушили, ее сумели убедить. Что заказчик при наложенных средства защиты или неинвазивных средств защиты? Технологию защититься отличный кейс, я думаю, этим нужно. Прям рассказывать на всех площадках, что в том числе можно сохранять иностранные системы и всякими наложенными другими способами довести. Его до приемлемого уровня доверия, что мы можем принять эти риски. Вот я думал, в ближайшее время до 30 года наш путь такой, то есть мы. Должны брать лучше и сохранять это дело. Спасибо, чем давайте дальше зала дадим, кто мы. Евгений Генри Нович, компания Инфотекс, ну частично. Максим прямо снял с языка как бы вопрос, что начало меняться отношение и отсутствие уязвимости, на сегодняшний день это не показатель. Того, что идеально выстроена разработка, это показатель того, что люди просто, скажем так, не готовы сегодня предоставить свое решение свое. Оборудование на тестирование в целом. Ну, я единственное, что хотел бы отметить, очень было интересное обсуждение, хотел бы отметить, что.

1:03:38 То, о чем говорил Михаил, это некий будущий там идеальный мир, который было бы хорошо. Но вот действительно он, скорее всего, об этом надо говорить об этом. Надо говорить об этом, надо думать, это недостижимо. А вот то, что не прозвучало, наверное, это все таки сегодня как никогда вырастает роль цифрового моделирования как существующих объектов, так и там создаваемых объектов для того, чтобы была возможность. Как на этапе реализации проектов, так и при последующей эксплуатации все таки обеспечить возможность внесения изменений осознанных изменений, не понижающих уровень. Вот это той самой киберустойчивости. О которой так много говорят на этом мероприятии, и здесь надо все таки исходить не от того, насколько это уровень импортозамещения будет достигнут. А все таки надо исходить от надежность функциональной. Надежности того процесса, который мы собираемся обеспечить. И значит, прежде всего, если мы говорим все таки о теме АСУ ТП, это значит технологический процесс, результат его деятельности, а все остальное. Должны обеспечивать вот эти результаты. Кстати, спасибо, Евгений, замечательно сказал, мы действительно чуть и не пустили момент. Да, имеется западные средства проектирования, моделирование даже вплоть до. Нагрузочного тестирования виртуальных система с по следующим переносом их в Реал это имеется, а российские подобные средства есть. Эти коллеги у зала спросим, есть у нас, не упускаем ли этот момент. Что у нас собственных средств моделирования нет? Мы просто об этом не знаем и поэтому не прекратили таких специалистов. Об этом не думать, дайте микрофон дальнему залу сан Саныча, да, да вот сейчас там. Скажут, что они есть, так или вообще по ходу нет такие до коллеги. Здравствуйте, меня зовут Волошин Александр. Я директор Центра Национальной технологической инициативы, который создан на базе Московского. Института мы действительно для отрасли электроэнергетики разработали такую систему. Она называется цифровой двойник энергосистемы, который позволяет не только заниматься проектированием с точки зрения. Технологического процесса, но и с точки зрения исследования вопросов влияния киберустойчивости на надежность технологических процессов. Вы ее с 0 написали или тоже это какие то опенцовсы, какие то. Блоки из мы ее написали абсолютно с 0. То есть все расчетные модули все там дифференциальное уравнение решения распараллеливания? Все это все мы сделали сами, вот, конечно, есть базовые технологии типа. Баз данных там операционных систем, которые мы позаимствовали из Упенсорса. Но все, что касается технологического стека технологического уровня, это сделали и, в принципе, вот у нас даже есть с компанией. Инфотекс, интеграция, когда мы используем этот цифровой двойник энергосистемы, в котором есть и технологический стек и виртуальные терминалы и виртуальная скада, и есть платформа для автоматизации действий. Нарушителей, где мы показываем, как тот или иной нарушитель может привести к технологическим последствиям. Это можно использовать как для проектирования систем как для испытаний сертификации, так и. Для обучения персонала вот у нас завтра целая секция будет похожим вещам, посвящена. Я думаю, что мы подробнее сможем, да обязательно придем. Послушаем вопросы, зададим, дайте, пожалуйста, микрофон, вот еще.

1:07:04 Я рад, что активная дискуссия пошла. Добрый день, здравствуйте, начальник отдела и б завод 9. Это ОПК вопрос, вот какой уважаемые разработчики. Значит, мы последнее время нас расскажем так на уровне государства, в том числе. Идет речь об искусственном интеллекте Биг, дата и так далее. В процессе сертификации в стыковской, например, любой программный продукт, который должен попасть в перечень, проходит процедуру проверки на НДВ, значит, вот и. Вопрос у вас к вам, как разработчикам, используется ли при разработке? А ну, кстати, я забыл еще 1 момент. Значит, мы забываем или или вообще проверяется и разработчиками на бинарность компонентов аутсорсных, которые при? Соединении в библиотек там или так далее. Компоненты блоков могут генерировать негативные протоколы и негативные события. Это раз во 2 значит, вот самое главное, это к чему ведется вопрос мой, используется ли при разработке?

1:08:09 Алгоритмы Бигдата искусственного интеллекта и, как вы видите перспективы, вот это вот разрывите в этом направлении. Готов да, да, да, кстати, давайте я отвечу. Смотрите, во 1 что такое используются ли алгоритмы Биг дата, но джипити сейчас для современного разработчика любой джи пи Ти это просто быстрый. Google в том смысле, что нужно написать какой нибудь там кусочек функции и разработчик типа говорит джипетин. Напиши, но это не значит, что Джи Пи Ти выполняет его работу, это значит, что.

1:08:48 Если человек, то есть, если человек не очень хорошо не понимает, что это за функция, где она в структуре и так далее это будет бесполезно. Это как вот те самые обезьяны, которые пишут Шекспира случайным образом на пишущей машинке, то. Есть формально, вроде используется, если говорить об этом с точки зрения функциональности, то есть используется ли функционал? Это отдельный вообще вопрос, да тоже используется в наш функционал, при этом говорить о том, что в этом есть.

1:09:20 Какие то особенные риски, кроме тех, которые уже были обозначены, я этого не вижу сейчас, коллеги. Вот, кстати, касаемо вопроса сертификации, да сейчас по ФСБ, по стеку. Это тоже 1 из рисков, а вас у ТП, потому что вот у нас, грубо говоря, есть система. Да, мы еле еле подобрали какое то средство защиты, которое. Не вредит послезавтра, это средство снимается с производства после завтра, заканчивается на нее сертификат и производитель его не продлевает. И мы опять возвращаемся в точку, 0 но можно аттестационному. Центру продлить этот еще на мы опять вернемся в точно, это закон начнем искать средств. Хорошо, Роман, да спасибо, это тоже проблема. У меня помимо коммерческих роли есть еще и общественные, я возглавляю. Комитет по информационной безопасности РПБ отечественный софт. И вот как раз в пику того, что делают разработчики с точки зрения безопасности. Я подтверждаю факт, что пока не все разработчики знают слово. РВП и вообще, что за этим стоит, но я это масса растет постепенно, и мы этим занимаемся. То есть у нас в РПП этом порядка 300 разработчиков коробок это не обязательно созыви, но как бы вот эту вот линию? Которую задал в СтЭК, что весь код должен быть проверен и обогащен функциями безопасности, чтобы встать с. И это понятно, и вот эту 1 часть, что весь код должен быть проверен, он несет в себе безопасность. Удобства там снижение затрат на обслуживание, вот и мы эту философию активно продвигаем. Я уверен, что это займет какое то время, к сожалению, это не быстро. Ну потому что бизнесу сложно объяснить, что, ну. Ребят, вам нужно сейчас инвестировать, 15 200000000, чтобы поднять экспертизу, там взять инструменты и начать более внимательно следить за кодом. Но там, в перспективе, там следующего, ну там, цикла, да там. Это даст вам определенные преимущества, коммерческие над этим работы активно идет дополню, что я вот являюсь членом ТК 362. И за прошлый позапрошлый год через меня много прошло довольно проектов стандартов. Разрабатываем Артака 362 именно по безопасной разработке, а также за последний год довольно много и соседних. Но так уж извините за жаргон ТК Комитетов поступила на согласование стандартов, связанных. С безопасностью искусственного интеллекта, безопасностью киберфизических систем, безопасностью умного города и так далее. Вот по безопасности больших данных не помню, чтобы был проходил да, но да, это. Есть коллеги, спасибо, Роман, можно вот я еще до полгода по поводу значит применения, аяя, так сказать, дань артифишу на теле разработке. Но в любом случае это позволяет ускорить процесс разработки, то есть. Как бы бизнес он всегда хочет, чтобы было быстро дешево, как здесь уже со сцены говорили. Это правда и, а я это помогает делать, но, а я и не понимает синтаксис. Он искусственный интеллект, он не понимает. Синтаксис он не понимает, вот как правильно тоже сказали, как правильно это применить. То есть это зрелому разработчику упрощает многие вещи, но у этого зрелого разработчика должны быть, но четкие понимания. Как системы вот эти строятся и работают, то есть стопроцентно искусственный интеллект. В данный момент заменить разработку не может, но очень может облегчить и ускорить ее. Спасибо тут, пока думают, я ставлю. Небольшую ремарку уже слышу 3 секцию подряд про количество виндоус. Наверное, это уже будет не секретом 3 года назад ноябрь. 20 Мы у себя в экспертном центре проводили небольшую внутреннюю работу и.

1:13:02 Составить перечень операционных систем, которые сертифицированы кем нибудь ФСБ Стейк Минобороны с выровских. По моему я не нашел, да неважно, на соответственно каким то реле безопасности, либо попавшие в. Без сертификата в реестр в мин цифры мы насчитали 81 операционную систему вместе с их версиями. Версия имею ввиду не так, что 3 11 3 она-12: 13 а именно. Версии с серьезными различиями тоже там росы, кобальт, Смоленск и так далее. Да, то есть системы для разных целей, с разного уровня, сертификатами, так далее. И вот не помню сейчас 50 по моему 4 заявителя как российских, так и иностранных. Ну, сертификат уже не всегда производитель, да иногда произвел 1 раньше. Было на сертификацию мог подать, кто то другой. Вот 81 операционная система, имеющая или сертификат, и или внесенная в реестр России 3 года назад, было.

1:14:09 Так что все таки у нас не 2 российских системы, не полторы, но это, включая сертифицированную версию Виндоус, мы там считали это, включая КНХ. Вещи такие, которые, кстати, но имели весьма специфические сертификаты. Я думаю, реально или больше, потому что не о всех сертифицированных системах не о всех сертификатах. Тот же Миномарон СВР данные. Не выкладывать и не надо, мы брали из открытых извне. Есть просто операционная система, разрабатывались под конкретные, какие то задачи одноразовые. Не ну то, что стало известно и то, что мы смогли. Их никто не будет регистрировать смысла никакого. Я, я думаю, нет, я подчеркиваю, которые прошли какие то процедуры оценки соответствия либо форме сертификации, либо хотя бы эксперты посмотрели, сказали. Это отечественный софт похоже на операционную систему и похож на операционную систему и внесли его в реестр. Нет цифры, не знаю, как за 3 года я вот теперь, послушав 3 сессии подряд, думаю, приеду. Наверное, и дам кому нибудь своих сотрудников задания заново посмотреть ситуацию. Я понимаю, так что какая она в реальности такая коротенькая заветочка будет, наверно, всем интересно процитирует. Наверное, вот вернусь в понедельник, ну вернусь в пятницу в понедельник. Соберу своих подумаю, кому дам такую задачу. Может, меня кто то опередит, и уже новая цифра есть? Коллеги, у нас есть время, по сути. Еще на 1 вопрос, но у нас как раз и есть представитель с вопросом верхней части зала. Пожалуйста, здравствуйте, уважаемый спикер Алим Жабали в Газпромбанк. У меня такой вопрос в контексте импортозамещения. Складывается в целом положительная динамика, что то замещается, что то планируется замещаться, но по прежнему есть очень много сфер, где либо недостаточная конкуренция эффективных решений, либо.

1:16:02 Решений практически нет из за очень узкого, из за очень специфическая узкая сфера. Раньше у западный продукт просто покрывал ее, а сейчас отечественный разработчик. Не находится, который бы это сделал или, то есть никто не хочет оставлять, да в какой то сферу никто не хочет лизать. Каковы эффективные меры, вот вы, как как вы видите, как мотивировать разработчиков В. Разрабатывать такие редкие продукты, потому что очень часто да продукт можно будет использовать на 1 на 2. То есть это не массовая история, как затыкать такие дыры?

1:16:47 Да, на самом деле очень хорошо, очень хороший вопрос. Если и как раз вступает в Спаленьку тем, что вы говорили, смотрите, да вот я. Ко мне приходят там коллеги, говорят, давай запилим якогаву, я им говорю. Давайте запилим парню, ну причем не а ступешную часть, а верхний уровень. Назовем кратко цифровые двойники, чтобы нет игры, давайте парня запилим. Для начала разговора это вот это действительно мутам дикогамские решения с точки зрения цифровых двойников. Это прям, как это называется передний край, давайте коллеги. 3000000000000 на стол, и через 5 лет у нас все будет заработать. Да не ну для начала разговора, да, да, да нет, но это правда. Ну, то есть они ниоткуда не возьмутся, я не имею в виду. Что это должны в конечном итоге за это заплатят? Пользователи НЮ или государства больше никто не является источником. Я могу найти, например, инвест средства и своих каких то. Других проектов и взять, но в результате это должно быть переложено туда. А тут то как раз нас подстерегает опасность, о которой вы говорили как о победе, и это несомненно. Победа, но это опасность, потому что, ну вот мы тут наложили средства защиты, как то приспособились. Так и надо понятно, но простой ответ такой, когда мы сделаем Екогаву ответ. Никогда, потому что никто за это платить не будет, и единственный способ это сказать хорошо, причем. Ну вот, вот опять же тут возникает диссонанс, компиляторы, я отказываюсь. Писать, а и когда вы переписываете, соглашаюсь. Почему потому, что компиляторы там открыты и можно по разному с ними действовать? А и когда вы никто тебе новую никогда не? Продаст это закончится, другой не будет, и, соответственно, мы сейчас будем долго думать и страдать, а потом найдем эти самые 30000000000000. Вот потому, что по другому не будет опять. же это мое мнение, и мы будем заканчивать. Да смотрите, давайте я как отвечу там с 2 позиций. Да, то есть как раз затронута, была в том числе фильм Модель окупаемости вот это. Вот все и как это цена за за технологический суверенитет, которому этом все как бы так и так или иначе платим. Да, в том числе как физлица населения, то что государство это. Те деньги, которые в виде налогов собирает, а есть 2 штука, вот как с позиции интегратора. Как расскажу вы совершенно правильно, вопрос задали условный, есть лидерские там. Мировые западные решения, да тот же чек поинт за это, естественно, ни 1 российское наше решение в лоб его не замещает. Поэтому мы не слово колхозим слишком грубо, то есть мы как. Интеграторы смотрим наилучшие решения и собираем из них некий пазл 2 или 3 даже вендера, но этот функционал в итоге он работает. И поэтому сейчас в моменте очень важно, да? Что надо решить задачу, да это не 1 вендер. Это будет 2 вендер, но тем не менее все работает на несколько лет, это хватит и, возможно, потом будут созданы условия, при которых. Там не знаю, какие то стартапы там не знаю. Искусственный интеллект нам поможет, да там быстро написать и кого не за 3000000000000 за 10000000000, не знаю, но я думаю в качестве. Стимула все таки ключевой стимул, это деньги, и если заказчик не находит на это деньги. Значит, наверное, для него это не настолько критично автоматизировать этот процесс?

1:20:08 Если это государственные деньги, то они достаточно, скажем так, токсичны, да за них отвечать надо. И вот и многие даже не связываются с этим, да тут вот такая вот. Палка о 2 концах, это системная история, спасибо большое рек. Коллеги 2 минуты, я говорю итог, мы сегодня поговорили о проблемах тебе безопасности с УТП прежде. Всего через призму импортозамещения определили ключевые, какие то фундаментальные вещи таких у нас еще нет и что необходимо реализовать, тем не менее мы. Увидели, что многие текущие проекты с определенной уровней, критичности, безопасности, надежности. Тем не менее они реализуются и услышали их примеры, поняли, что. Все равно руки опускать не нужно, можно и нужно делать. Нужен стимул, и все таки я еще раз повторю. Наверное, деньги, а 2 момент все таки последние 2 года четко. Может, показали безопаснее, каждый может говорить. Ну, я же говорил до после этого. У нас Майка была с такой надписью, они четко показали, что вопросы международного. Разделения труда в сфере, касающейся национальной безопасности, не стреляют, они не стреляют, они нежизнеспособны. Международное разделение труда годится для. Индустрии моды, туризма, но еще каких то Лайтовых вещей и Айти, как вы ясно увидели за эти 2 года, а вместе с тем безопасность информационных технологий.

1:21:42 Это ясно показало, что это сфера национальной безопасности, и мы вот все вместе коллеги решаем это. Да где то с трудностями, где то с неудачами, где то с удачами и на этой ноте, скажем, большое спасибо и похлопаем нашим замечательным спикером.

1:22:02 И я скажу большое спасибо нашему залу, вам всем, кто принял участие в дискуссии, кто нас внимательно слушал. И я думаю, мы еще и сегодня здесь, и завтра, и при необходимости продолжим дискуссию и найдем время и место, спасибо вам большое.

Расшифровка сделана автоматически (Yandex SpeechKit) и может содержать ошибки в терминах.