«Сегодня Асу Тп Не Защищены Ни Воздушным Зазором, Ни Фирменными Протоколами»

Общественность регулярно тревожат сообщения о кибератаках на промышленные предприятия в разных странах.

Российские регуляторы требуют защиты объектов, имеющих решающее значение для функционирования экономики.

Публикуем интервью с Владимиром Карантаевым, руководителем рабочей группы СИГР? по вопросам кибербезопасности (Внедрение центров управления безопасностью в электроэнергетике в рамках системы ситуационной осведомленности), руководителем отдела кибербезопасности АСУ ТП компании «Ростелеком-Солар» , о тенденциях атак на сегменты АСУ ТП, архитектурных проблемах безопасности промышленного Интернета вещей, программе «Цифровая экономика» и необходимых шагах по защите промышленных предприятий от киберугроз.

«Сегодня АСУ ТП не защищены ни воздушным зазором, ни фирменными протоколами» - интервью Владимира Карантаева

— Обычно разговор со специалистом по информационной безопасности начинается со «страшилок», будоражащих воображение простых людей.

Расскажите о своем отношении к наиболее ярким событиям такого рода, связанным с промышленными предприятиями.

— Да, пресса любит обсуждать громкие истории о кибератаках.

Наверное, впервые о целевых кибератаках, направленных на промышленные объекты, заговорили в связи с вирусом Stuxnet. Его до сих пор часто приводят в пример, хотя с момента происшествия прошло уже более 10 лет и о нем написано несколько книг.

Более свежие случаи включают вредоносное ПО Industroyer, которое привело к массовым отключениям электроэнергии в Украине в конце 2015 года, и Triton, обнаруженный на нефтехимическом заводе в Саудовской Аравии летом 2017 года.

Я вижу определенную тенденцию за этими событиями.

По разным оценкам, специально для атак на АСУ ТП было разработано не более 5 видов специализированного вредоносного ПО, из них только 3 были направлены непосредственно на нарушение технологического процесса.

И тут появился Тритон - атака, конечной целью которой является причинение физических последствий для функционирования опасных производственных объектов (ООП), т.е.

срабатывание так называемых HSE-рисков, оценка которых вошла в практику опасных производственных объектов.

управление в последние годы.

Этот случай принципиально отличается от того, что было раньше.

На мой взгляд, Triton вывел угрозы кибербезопасности АСУ ТП на новый этап развития.

Вирус «Тритон» был ориентирован на конкретный тип автоматизированной системы — аварийную защиту (АЗ), которая является «последним рубежом» безопасной эксплуатации опасных производственных объектов.

Сегодня ESD поддерживают удаленную настройку с рабочих станций по сети, на что и была нацелена атака.

Его конечной целью было заменить легитимный процесс настройки ESD-контроллера возможностью корректировки его настроек.

Этому способствовало, в частности, то, что архитектурно ни программа настройки, ни сетевой протокол не включали в себя меры безопасности.

И это несмотря на то, что на уровне нормативно-технической документации меры кибербезопасности были описаны еще в 2013 году.

Если бы атака прошла успешно, то, скорее всего, для предприятия были бы физические последствия.

— Может ли компания принять защитные меры? — Да, предприятие, эксплуатирующее ЭСР-контроллер, могло принять определенные меры: использовать усиление ОС на АРМ с инженерным ПО, организовать и реализовать мероприятия по идентификации и аутентификации, мониторингу критических систем и процессов этого типа АРМ с помощью SOC. Особенность в том, что аппаратный ключ ESD-контроллера по неизвестным причинам оказался в положении, допускающем программирование и настройку.

Можно было и нужно было применить организационные меры, регламентирующие использование такого режима в процессе эксплуатации.

Стоит отметить, что производитель системы может принять гораздо более широкий спектр мер.

Например, внедрить и использовать доверенную операционную систему, безопасный протокол, обеспечить механизмы идентификации и аутентификации субъектов и объектов доступа как на уровне людей, так и на уровне процессов, обеспечить доверие при настройке и т. д. Компания Schneider Electric – на пострадавшем заводе работал контролер этого производителя – начала вносить соответствующие модификации в свою продукцию.

Однако это дело не быстрое, и плохо, что мы видим прецедентный характер действий, ведь последствия даже одной успешной атаки могут быть катастрофическими.

Нам нужно подумать о превентивных мерах по реагированию на угрозы и риски.

— Кто-нибудь в мире мыслит проактивно? — Идут серьёзные процессы по созданию промышленных технологий будущего: инициатива «Индустрия 4.0» в Германии, которая, по мнению авторов, должна помочь миру перейти к новому технологическому укладу.

Американская инициатива промышленного Интернета вещей (IIoT): она основана на аналогичной идее, но охватывает больше секторов экономики.

Национальные программы такого рода появились в Китае и Японии.

Очевидно, что любая страна, считающая себя серьезным игроком на мировой арене, должна реагировать на подобные вызовы и формулировать собственную внутреннюю повестку дня.

В нашей стране это приняло форму государственной программы «Цифровая экономика».

— Считаете ли вы, что наша «Цифровая экономика» — это проект масштаба IIoT в США? - Это верно.

Фактически, за последние 7-8 лет мы стали свидетелями усиления глобальной стратегической борьбы за технологическое лидерство на международном пространстве, которое определит доминирующие концепции и подходы на ближайшие 30-50 лет. Результат этой борьбы сводится, по сути, к трансформации бизнес-моделей, которые, в свою очередь, базируются на определенном наборе технологий.

В наших российских документах они называются сквозными технологиями.

Собственно, основой цифровой экономики является определенный набор технологий, в том числе повышающих эффективность функционирования промышленных предприятий различных отраслей на основе автоматизации (или цифровизации).

На данный момент основой этой автоматизации являются автоматизированные системы управления технологическими процессами, внедрение которых началось в Советском Союзе в 70-х годах прошлого века.

Тогда же появились первые программируемые логические контроллеры, что дало серьёзный толчок развитию промышленности в развитых странах.

И сегодня мы приближаемся к порогу, за которым начнётся следующий этап глобального стремительного роста, и его основой, скорее всего, станет комплекс технологий под названием «Промышленный Интернет» или Промышленный Интернет вещей.

— Мы не говорим об общедоступном Интернете? — IoT вообще охватывает две области: пользовательский (или потребительский) Интернет вещей, в котором появляются различные носимые подключаемые устройства: для медицинских целей, фитнеса и т. д., и промышленный IIoT — набор технологий, которые повысят эффективность работы предприятий прямо сейчас.

сейчас и в ближайшем будущем.

Речь идет именно о тех технологиях, которые должны привести к повышению эффективности функционирования конкретных предприятий, отраслей и национальной экономики в целом.

Параметры этой эффективности будут определяться набором технологий (Международный союз электросвязи называет их инфокоммуникациями), которые будут использоваться для организации взаимодействия элементов или объектов внутри инфраструктуры или между различными инфраструктурами.

— Задача масштабная.

Как продвигается развитие технологий промышленной автоматизации по сравнению, скажем, с IIoT? — Что касается IIoT, то концепцию разрабатывает Международный консорциум промышленного интернета (IIC).

Ее цель — помочь ускорить цифровую трансформацию предприятий и национальных экономик, в частности, путем продвижения лучших практик.

Они создают документы на доктринальном уровне, появляются первые документы класса white paper, то есть технические документы, объясняющие те или иные конкретные технологии для тех специалистов, например, разработчиков прикладных систем.

Поскольку кибербезопасность является ключевой темой для промышленных систем, соответствующие технологии следует рассматривать как сквозные, пронизывающие все процессы и уровни.

В этом ключе разрабатываются новые подходы к обеспечению безопасности систем промышленного Интернета.

— Как продвигается работа над технологиями промышленной автоматизации будущего в российских структурах? — Есть специальные рабочие группы, в которые входят, в том числе, специалисты «Ростелеком-Солар», которые формируют повестку дня по развитию этих технологий, в частности, по кибербезопасности киберфизических систем и промышленных интернет-систем.

Существует общее понимание, что объектом защиты сегодня являются процессы взаимодействия элементов как внутри предприятия, например, на уровне АСУ ТП, так и между предприятиями, например, внутри вертикально-интегрированных холдингов или даже между холдингами.

Это, в свою очередь, предполагает трансформацию бизнес-моделей.

Крайне важно здесь то, что такого рода трансформация требует очень глубокой интеграции технологических и бизнес-процессов между предприятиями одной отрасли или даже разных отраслей.

Это позволит предприятиям быстрее создавать и запускать новые продукты, более персонализированные с точки зрения целевой аудитории.

Это означает, что технологии, которые уже широко используются на современных предприятиях, получат еще большее распространение.

Другими словами, это будет набор различных телекоммуникационных протоколов: от протоколов низкого уровня до протоколов, посредством которых будет происходить взаимодействие между автоматизированными или роботизированными системами, образующими те самые киберфизические системы.

И, кроме того, будут разнообразные информационные технологии – набор общего системного и прикладного программного обеспечения.

В этом есть риск.

— Есть ли риск ошибиться с выбором технологий? — Поскольку промышленный Интернет — это совокупность информационно-коммуникационных технологий, пронизывающих всю систему снизу доверху: от интеллектуального датчика до системы, управляющей технологическим процессом, или выдающей конкретную задачу, или формирующей прогноз, то тема кибербезопасности является актуальной.

сквозной.

В этом смысле методы безопасности должны присутствовать при разработке новых технологий с самого начала, даже на уровне формирования требований.

Их необходимо применять как к системе в целом, так и к технологиям, на которых эта система реализована.

Естественно, в разных отраслях эти системы имеют и будут иметь свою специфику.

В энергетике, например, не прижился даже сам термин «промышленный Интернет»; говорят о Smart Grid или активно-адаптивных сетевых технологиях, хотя задача в целом одна и та же: интеллектуальный датчик, например, трансформатор тока или напряжения, — это тот же верхний уровень системы.

То же самое и в нефтегазовой отрасли: от интеллектуального датчика уровня давления и других датчиков до системы поддержки принятия решений.

Кибербезопасность — это набор сквозных технологий и методов, которые должны обеспечить устойчивое функционирование киберфизических систем.

Однако в программе «Цифровая экономика», мне кажется, эта серьезная составляющая развития технологий будущего практически не нашла отражения, и напомню, что речь идет о безопасности промышленных систем.

Это направление выделено в отдельную группу, и необходимо – абсолютно необходимо – чтобы тема кибербезопасности присутствовала в каждой рабочей группе, в каждой вертикали, где обсуждаются сквозные технологии.

Мы всегда отстаиваем это и надеемся, что нас услышат. — Почему недостаточно заниматься вопросами безопасности отдельной командой, так сказать, чисто профессиональной? — Дело в том, что речь идет об очень сложной многоуровневой системе обмена данными.

Как я уже сказал, необходимо сформулировать технические требования к кибербезопасности как для всей системы, так и для ее элементов.

Но это не все.

Мы должны сформулировать требования к кибербезопасности, основанные на адекватной модели угроз и модели злоумышленника для элементов и систем.

Понятно, что эти задачи можно выполнить с необходимым качеством, только работая в тематических группах на постоянной основе.

Формирование комплексного предложения по кибербезопасности IIoT возможно на основе налаженных экосистемных партнерств.

Если эти особенности не будут заложены на этапе формирования дорожной карты цифровой экономики, то соответствующая работа не будет завершена.

И если не сформулировать основные требования к элементам системы и системе «Цифровая экономика» в целом, то не будет и требований к технологиям, которые должны появиться: технологии защиты микропроцессоров, защищенные протоколы, защита заказных ASIC. чипы, другие чипы, системы-на-кристалле и т. д. — В чем сегодня основная киберугроза для АСУ ТП? Целевые атаки, такие как Тритон? — Статистика показывает, что системы управления технологическими процессами сегодня достаточно сильно интегрированы с системами верхнего уровня (системами диспетчеризации SCADA или системами управления цехами MES), поддерживающими интенсивный двусторонний обмен данными, а уровень мер защиты, как организационных, так и технических, находится на высоком уровне.

уровень систем управления технологическими процессами зачастую достаточно низкий.

И вот что важно: если говорить о пяти уровнях корпоративных систем, то на верхних уровнях в последние годы что-то делают с безопасностью, а на нижних практически ничего не делают. В такой ситуации интеграция уровней явно приводит к увеличению рисков.

Угрозу непрерывности работы завода представляют не только целевые атаки, но и любые другие компьютерные инциденты, в том числе массовые неспецифические кибератаки, такие как WannaCry и Petya. Известны случаи заражения этими вирусами промышленных предприятий: изначально атака, скорее всего, не была направлена на системы управления технологическими процессами, но случайно проникла в инфраструктуру.

Действительно, предприятия часто не имеют управления информационными потоками и не имеют актуальных обновлений безопасности.

Устоявшихся процессов реагирования на эту ситуацию не существует. Если массовая атака WannaCry началась где-то на уровне корпоративных систем, она легко может перейти на уровень АСУ ТП и будет «жить» в этой структуре.

Условно говоря, вредоносное ПО, реализующее DoS-атаку, в случае массового заражения системы управления технологическим процессом вполне может оказать влияние на сам технологический процесс.

К сожалению, не все предприятия осознают этот риск.

Они часто успокаивают себя мыслью: «Я никому не интересен как объект целенаправленной атаки, а значит, у меня нет проблем с промышленной кибербезопасностью».

Но это неправда.

Основная проблема сегодняшнего дня, на мой взгляд, заключается в том, что промышленный Интернет будущего, понимаемый как совокупность технологий, изначально имеет серьезную уязвимость – современные телекоммуникационные протоколы, программное и аппаратное обеспечение различного уровня, используемые для создания критически важных систем, изначально не используются.

защищены от воздействия на них компьютерных атак.

— Это проблема всех отраслей? - Каждый.

Сегодня наблюдается явная тенденция к унификации и использованию технологий из мира ИТ в АСУ ТП: коммутационное оборудование, стек телекоммуникационных протоколов.

Возьмем, к примеру, электроэнергетику.

Цифровые подстанции используют протоколы, основанные на стеке TCP/IP. Любой начинающий специалист по информационной безопасности знает, что TCP/IP по своей сути уязвим для компьютерных атак.

Во всех отраслях широко используются операционные системы общего назначения, которые имеют огромное количество регулярно выявляемых уязвимостей, а специфика работы на промышленных предприятиях не позволяет их быстро закрыть.

То же самое относится и к встроенным операционным системам.

На верхних уровнях АСУ ТП действуют системы диспетчерского управления SCADA – по сути, обычные рабочие станции и серверы под управлением ОС общего назначения.

— Можете ли вы оценить объем внедрения новых технологий? — Возьмем электроэнергетику — в отрасли уже заявлена программа цифровой трансформации.

А в нашей стране на данный момент всего пять цифровых подстанций.

Пять! Но за 10 лет должны быть созданы сотни тысяч.

Это не игра слов, это реальность – настоящий новый «план ГОЛРО».

Если эти типовые решения будущего не будут тщательно разработаны с точки зрения кибербезопасности, они обязательно появятся, но в какой форме? Поэтому я уверен: если мы не сформулируем системные требования к кибербезопасности на современном этапе, это станет ограничивающим фактором для появления эффективных технологий безопасности в технологиях будущих систем и создаст системный риск того, что они изначально будут уязвимы для компьютерных атак.

И это при том, что подобные системы рассчитаны на функционирование в будущем в системообразующих отраслях экономики: энергетике, нефтегазовом секторе, металлургии, сельском хозяйстве, где сейчас даже обычный зерноуборочный комбайн уже превращается в «станок с ЧПУ».

— «штука» промышленного Интернета.

— Каково нынешнее состояние тех промышленных предприятий, которым предстоит цифровая трансформация в сторону киберфизических систем будущего? — Их нынешнее состояние с точки зрения автоматизации производства в разных отраслях крайне неоднородно.

Наследие постсоветских времен берет свое.

Хотя это было 30 лет назад, для каждой отрасли эти десятилетия прошли, мягко говоря, по-разному.

Некоторые развивали по мере возможности и экономическую ситуацию в стране.

Некоторые даже смогли в той или иной степени модернизировать свои основные фонды и технологические процессы.

Среди, скажем так, «догоняющих» отраслей есть и такие, для которых вопрос кибербезопасности АСУ ТП вообще не актуален.

«У нас нет никаких микропроцессорных устройств, о которых стоит беспокоиться.

У нас есть реле с пружиной.

Единственная угроза — моральное устаревание и Петрович с отверткой, неправильно затянувший эту пружину», — можно услышать от них.

Там, конечно, нет проблем с кибербезопасностью при АСУ ТП.

Они актуальны на предприятиях, находящихся как минимум на высокой степени телемеханизации, поскольку в основе современной автоматизации лежат промышленные системы, архитектурно построенные без учета вопросов информационной безопасности.

Например, телекоммуникационная сеть АСУ ТП изначально интегрируется на уровне проекта с офисной сетью предприятия.

Это очень плохое решение.

— А с доступом в общедоступный Интернет? — К сожалению, я не могу назвать это шуткой, потому что такое тоже бывает. Для сомневающихся могу порекомендовать ресурс Shodan. Более распространены «плоские» сети: если злоумышленник (или вредоносная программа) попадает на верхний уровень, то он может опуститься на нижний уровень со всеми соответствующими возможностями для развития атаки.

— Некоторые эксперты считают, что с точки зрения безопасности вместо того же TCP/IP лучше использовать какой-нибудь собственный протокол.

Вы согласны? - Это миф, который давно развеян.

Те, кому это нужно, уже давно научились изучать эти протоколы и использовать их в своих целях.

То же самое относится и к Air Gap – так называемому воздушному зазору – идее изолированной среды.

Кажется, все поняли, что на практике воздушного зазора на самом деле нет, и если его еще можно создать, то при желании его можно легко преодолеть.

Все истории о подброшенных флешках, зараженных вредоносным ПО, именно об этом.

Здесь следует похвалить продавцов.

Например, в новых версиях операционных систем многие стали уделять больше внимания вопросам кибербезопасности и добавлять в свои продукты механизмы защиты.

Но на принятие этого решения ушло много времени, десять лет. Но за это время мы тоже прошли большой путь: от непонимания, даже некоторого неприятия темы кибербезопасности промышленных АСУ ТП до настоящего момента, когда самые дальновидные предприятия уже начали формулировать собственные планы за разработку автоматизированных систем управления технологическими процессами в парадигме сквозной системной безопасности.

— Какие рекомендации они используют? — Наше государство довольно давно начало формировать методологическую и нормативную базу регулирования в этой сфере.

Более 10 лет назад ФСТЭК, отраслевой регулятор в сфере информационной безопасности, выпустил первый документ с требованиями к защите АСУ ТП и АСУ ТП, в котором описаны модели угроз.

В 2016 году была принята новая доктрина информационной безопасности Российской Федерации.

Одной из ключевых тем там является безопасность критической информационной инфраструктуры (КИИ) Российской Федерации.

Отдельно отмечу, что в Доктрине особо подчеркивается: риск для Российской Федерации заключается в использовании информационных технологий, изначально не защищенных от компьютерных атак.

Также существует Приказ ФСТ России от 2014 года № 31 «Об утверждении требований по обеспечению информационной безопасности в автоматизированных системах управления производственно-технологическими процессами на ответственных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для здоровья».

жизни и здоровья человека и окружающей среды» и 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» 2017 г.

Так что те организации, которые еще в 2014 году начали планомерное развитие, используя разработки, предложенные государством, сегодня находятся в завидном положении – им не нужно срочно начинать реализацию ФЗ-187 с нуля.

— Каково среднее состояние автоматизации предприятий в тех отраслях, которые регулируются ФЗ №187? — Наиболее широко оно охватывает отрасли, имеющие достаточно развитые автоматизированные системы управления технологическими процессами (с точки зрения закона — АСУ): электроэнергетика, топливно-энергетический комплекс, оборонная промышленность, атомная промышленность, металлургия, химическая, горнодобывающая промышленность и т. д. уровень безопасности инфраструктуры промышленных предприятий остается недостаточным.

Вступление в силу 187-го ФЗ придало процессу положительную динамику, однако большинство текущих проектов по защите объектов критической инфраструктуры находятся на ранней стадии.

Для этих предприятий крайне важно сосредоточиться на повышении фактической безопасности своих систем, а не на формальном соблюдении буквы закона.

— Как не спутать формальное соблюдение требований с практической безопасностью? — Полезно проанализировать ваши производственные системы, оценив уровень кибербезопасности АСУ ТП на конкретном предприятии.

Этот эмпирический критерий включает в себя четыре этапа.

Первый этап: внедрены АСУ ТП, высокий уровень массовой автоматизации (для промышленности), но не реализованы базовые функции кибербезопасности.

То есть того, что мы называем кибергигиеной, не существует даже в минимальной степени.

Второй этап: основные функции безопасности реализуются в автоматизированных системах управления технологическими процессами.

Например, так называемое усиление – это специфическая настройка операционных систем с целью снижения вероятности компьютерного инцидента на верхнем уровне АСУ ТП.

Либо используются неспецифические средства защиты информации, скажем, межсетевые экраны по периметру АСУ ТП или неспециализированные СВД (система обнаружения вторжений).

Третий этап: появляются средства защиты информации, специально предназначенные для использования в автоматизированных системах управления технологическими процессами, но являющиеся по отношению к ним наложенными системами.

Это могут быть специализированные антивирусы или специализированные межсетевые экраны.

Такие изделия есть, но российских разработок среди них, к сожалению, немного.

Четвертый этап: эффективный симбиоз встроенных средств защиты информации, например, с использованием промышленных IDS-систем.

Либо вариант, когда функции безопасности реализуются через сами АСУ ТП – в контроллерах, в системах верхнего уровня.

По сути, в этом случае реализуется концепция адресной сквозной кибербезопасности.

— Есть ли какие-то средства измерения степени реальной безопасности отрасли? — Текущая ситуация характеризуется отсутствием какой-либо отраслевой статистики.

А раз нет статистики, значит, как считают некоторые предприятия, проблем нет и делать ничего не нужно.

Думаю, эти настроения померкнут по мере распространения системы ГосСОПКА (Государственная система обнаружения, предотвращения и ликвидации последствий компьютерных атак), которая также регулируется Федеральным законом № 187. По мере подключения предприятий к ГосСОПКА - самостоятельно или через аутсорсинговый центр мониторинга - появится статистика.

Будут учитываться как целевые атаки, так и неспецифические.

Понятно, что параллельно с технологиями должно происходить повышение уровня зрелости и процессов управления безопасностью.

И эта задача не всегда решается быстро и легко.

— Какие проблемы чаще всего возникают в этой части? — Есть одно законодательное требование, которое вызывает у предприятий определенные трудности.

Подробно это описано в Постановлении Правительства РФ № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов».

критической информационной инфраструктуры Российской Федерации и их ценности» от 8 февраля 2018 года.

Согласно закону, субъект КИИ должен сам провести категоризацию, но зачастую даже передовым предприятиям не хватает внутренних компетенций, чтобы правильно оценить все многочисленные риски, которые имеют к ним отношение.

Здесь мы выступаем в роли партнера-эксперта, обладающего обширными, методологически подтвержденными знаниями о рисках и возможных последствиях.

Это вовсе не запугивание, как можно подумать, и не «торговля страхом».

Мы вступаем в экспертный диалог с представителями отрасли: главными инженерами, технологами, метрологами.

Это те люди, которыми обычно пугают охранников: мол, с ними никогда ни о чем не договоришься.

Ничего подобного! Это люди, которые всю жизнь проживают под грузом ответственности и очень хорошо отличают звонкие слова от реальной экспертной поддержки.

Они прекрасно понимают: если категоризация проведена хорошо, то это первый шаг к выработке сбалансированного подхода к безопасности.

Мы предоставляем комплексные услуги по анализу безопасности систем управления технологическими процессами и промышленного Интернета.

Он предполагает анализ инфраструктуры заказчика на наличие архитектурных проблем, связанных с кибербезопасностью АСУ ТП.

Анализ текущего уровня безопасности, проверка на наличие известных уязвимостей в инфраструктуре на уровне как операционных систем, так и прошивки, встроенной в оборудование АСУ ТП среднего уровня.

Вплоть до проведения пентеста АСУ ТП.

— Может ли прикладное программное обеспечение также стать источником проблем с безопасностью? - Конечно.

Наш регулятор постоянно анализирует эти риски.

В 2015 году Федеральная служба по тарифам России выпустила национальный стандарт на безопасные средства разработки программного обеспечения, а недавно и так называемые «Требования доверия» — обязательные требования для всех разработчиков средств информационной безопасности.

Один из них – обеспечение безопасного развития.

Это, на мой взгляд, серьезная системная мера, которая поможет повысить безопасность производственных систем.

Но я думаю, что подобные требования должны исходить не только от государства, но и от владельцев инфраструктуры.

— Даже если это коммерческое ПО? — Заказчик имеет полное право оговаривать, что у поставщика решения АСУ ТП должны быть разработаны безопасные процессы разработки.

Например, международные вендоры, скажем, Schneider Electric или Siemens, уже начали внедрять подобные механизмы в соответствии с международным стандартом МЭК 62443-4-1 «Промышленные сети связи.

Безопасность сетей и систем».

По этому пути пошли и российские вендоры — мы начали работать с ними над построением системы рекомендаций по безопасной разработке с использованием статического анализатора кода.

Кроме того, безопасные методы разработки (Security Development Lifecycle, SDL ) могут использоваться самими предприятиями для проверки нового программного обеспечения на безопасность.

Конечно, это потребует определенных ресурсов, но затем затраты стабилизируются и через некоторое время происходит общий рост качества программного обеспечения и уменьшение количества уязвимостей.

— Есть ли какая-то специфика с точки зрения системного подхода к безопасности у свободного ПО, например, ОС Linux? — Использование Linux в автоматизированных системах управления технологическими процессами распространено.

Можно даже говорить о некоторой тенденции к более широкому использованию Linux на разных уровнях АСУ ТП: в качестве операционной системы верхнего уровня операторно-диспетчерского управления (SCADA) или встраиваемой операционной системы на уровне контроллера.

Здесь важен следующий момент. Если какая-либо ОС на базе Linux будет использоваться в АСУ ТП, то для повышения уровня доверия к ее использованию ее необходимо сертифицировать, например, по двум типам требований.

Первая сертификация – по требованиям к надежности работы программного обеспечения.

Такие требования есть, например, в стандарте МЭК 61508 «Функциональная безопасность электрических, электронных, программируемых электронных систем, связанных с безопасностью».

Вторая сертификация – по требованиям, например, по доверию в части информационной безопасности.

И, наконец, операционная система на базе Linux может содержать так называемую модель безопасности.

К операционным системам реального времени предъявляются особые требования, в том числе Федеральной службы по тарифам России.

Таким образом, реализовав систему, отвечающую специфическим требованиям сегодняшнего дня, мы получим ОС, отвечающую требованиям надежности и оптимальную с точки зрения безопасности.

— Но проще всего не рисковать, а использовать только сертифицированное регулятором защитное оборудование? — Наш закон о техническом регулировании предусматривает несколько методов оценки соответствия разрабатываемого продукта заявленным характеристикам.

Сертификация – один из них.

Другой формой оценки соответствия являются приемочные испытания.

Но в этой части, надо сказать, еще нет выработанных подходов и методического обеспечения.

Мы планируем двигаться в обоих направлениях, а по второму сейчас создаем «Лабораторию кибербезопасности АСУ ТП».

Одна из его целей — формирование методической основы тестирования автоматизированных систем управления технологическими процессами по параметрам кибербезопасности.

Мы – наша страна в целом – сегодня находимся в активной фазе формирования собственной технологической базы в масштабах страны, и это здорово.

При этом мы понимаем, что если на старте не принять взвешенное решение о системных подходах к формированию архитектурного облика этого задела, дальнейший путь может оказаться крайне неэффективным.

Поэтому при формировании дорожной карты программы мы выступили с инициативой: должны быть разработаны разные типы и типы моделей угроз злоумышленника – как для элементов системы, так и для системы в целом, в зависимости от формируемой дорожной карты.

Например, создается дорожная карта, скажем, развития промышленного Интернета в конкретной отрасли.

Для этого у нас есть конкретные архитектурные принципы построения, виды инфокоммуникационных технологий, используемые на каждом уровне.

Тогда будет создана система безопасности для цифровой экономики в целом.

Теги: #информационная безопасность #Интервью #ИТ-законодательство #ИКС #промышленный интернет вещей #скада #кии #ИКС #промышленная безопасность #187-ФЗ