Проведение комплекса работ по приведению системы защиты АСУ ТП предприятий в соответствие требованиям 187-ФЗ, в том числе с учетом требований приказа ФСТЭК России № 31

Обеспечение кибербезопасности АСУ ТП

Кибербезопасность АСУ ТП (автоматизированная система управления технологическим процессом) – относительно недавно определяющаяся в самостоятельное направление безопасности область. В силу специфики для АСУ ТП неприменим классический термин «информационная безопасность», поэтому мы используем прямой перевод распространенного в сфере информационных технологий англоязычного термина «cybersecurity».

Данное направление на сегодняшний день является одним из наиболее актуальных для большого количества российских компаний. Это в том числе связано с возрастающей степенью автоматизации технологических процессов, появлением необходимости их удаленного мониторинга и передачи данных во внешние сети, что приводит к возникновению ранее отсутствующих уязвимостей и нарастающему количеству инцидентов ИБ, которые регистрируются в АСУ ТП.

Основными источниками угроз для АСУ ТП являются:

• атаки через несанкционированные или неконтролируемые подключения АСУ ТП к сети Интернет;
• действия персонала, работающего с АСУ ТП (например, несанкционированное использование съемных носителей информации);
• действия сторонних подрядчиков, имеющих доступ к оборудованию и ПО АСУ ТП;
• атаки через корпоративную сеть, к которой могут иметь подключение АСУ ТП;
• атаки через внешние «доверенные» сети.

Кроме того, компьютерные атаки, объектами воздействия которых могли являться ресурсы корпоративной сети, за счет наличия подобных уязвимостей могут распространиться и на технологические сети.

Наиболее тяжелым последствием возникновения в АСУ ТП компьютерных инцидентов является нарушение на предприятии технологического процесса. Это, в свою очередь, может, например, привести к повреждению выпускаемого продукта или снижению качества обслуживания клиентов, а также снижению объемов или временной остановке производства. Кроме этого, такие инциденты могут повлечь за собой снижение инвестиционной привлекательности компании, репутационный ущерб, штрафные санкции, срывы оборонных заказов и многое другое, что также в конечном итоге может являться целью атаки.

Состояние нормативной базы регулирования ИБ АСУ ТП

На сегодняшний день основополагающим документом, на базе которого необходимо выстраивать систему мер по защите АСУ ТП, является приказ ФСТЭК России № 31 от 14.03.2014 «Об утверждении требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды».

Кроме этого, безопасность технологических процессов для некоторых отраслей регулируется федеральным законом 187-ФЗ «О безопасности критической информационной инфраструктуры РФ», который предъявляет к защите АСУ ТП серьезные требования. При этом организации, столкнувшиеся с необходимостью исполнения требований 187-ФЗ, часто испытывают проблемы при категорировании объектов защиты, проектировании и построении соответствующих защитных систем.

Предлагаемые услуги по построению киберзащищенных АСУ ТП

АО «ДиалогНаука» предлагает комплекс услуг по обеспечению кибербезопасности АСУ ТП, позволяющий защитить инфраструктуру предприятий, в том числе являющихся субъектами критической информационной инфраструктуры.

Для создания комплексной системы обеспечения информационной безопасности (СОИБ) АСУ ТП необходимо выполнить определенную последовательность этапов, включающих в себя:

• предпроектное обследование и аудит, в рамках которого определяется и описывается объект защиты, а также проводится оценка текущего уровня защиты АСУ ТП от внешних и внутренних угроз безопасности;
• моделирование и анализ угроз, предполагающие определение списка актуальных источников и методов реализации атак на АСУ ТП предприятия (моделирование осуществляется в соответствии с Методикой оценки угроз безопасности информации, утвержденной ФСТЭК России 05.02.2021);
• разработка требований и проектирование СОИБ – на данном этапе определяются функциональные требования к подсистемам СОИБ, а также осуществляется выбор конкретных продуктов, на базе которых они будут реализованы;
• разработка организационно-распорядительных документов, формализующих основные процессы обеспечения ИБ АСУ ТП, которые должны быть реализованы на предприятии;
• внедрение СОИБ, включающее в себя монтажные и пусконаладочные работы;
• опытная эксплуатация и дальнейшее развитие СОИБ;
• техническая поддержка и сопровождение СОИБ.

Также в рамках проведения данных работ нашими специалистами может быть реализована процедура приведения в соответствие как требованиям приказа ФСТЭК России № 31, так и 187-ФЗ, в том числе категорирование объектов критической информационной инфраструктуры, являющихся АСУ ТП.

Высококвалифицированные консультанты компании АО «ДиалогНаука» подберут наиболее удобную форму предоставления услуги и оптимальный состав работ, исходя из индивидуальных особенностей Вашей организации, а также из соображений экономической эффективности выполняемых работ.