Комплексная система защиты технологических систем и объектов

Широкое применение автоматизированных систем управления технологическими процессами (АСУ ТП) и других технологических систем (диспетчерских, информационноизмерительных, сбора данных и пр.) делает крайне важным обеспечение их информационной безопасности, поскольку успешные атаки на такие системы могут привести к нарушению производственных технологических процессов, многомиллиардным убыткам и/или техногенным катастрофам различного масштаба.

В соответствии с государственной политикой в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами (АСУ ТП) критически важных объектов (КВО) инфраструктуры Российской Федерации в процессе её реализации в течение 2014-2016 годов будут разработаны и начнут действовать нормативно-правовые акты о безопасности критической информационной инфраструктуры Российской Федерации. На сегодняшний день регуляторами в области информационной безопасности РФ с привлечением независимых экспертов проведены исследования вопросов защиты АСУ ТП и подготовлена нормативноправовая база по обеспечению информационной безопасности КВО. В 2014 году завершена работа над нормативным документом ФСТЭК России «Требования к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды». Готовится к выходу Федеральный закон «О безопасности критической информационной инфраструктуры Российской Федерации».

Эти документы существенным образом изменят порядок проведения работ и принципы технической реализации системы обеспечения безопасности информации (СОБИ) КВО. Кроме того, они потребуют проведения квалифицированной объективной оценки защищённости эксплуатируемых АСУ ТП и высокого уровня экспертизы при внедрении СОБИ КВО, поскольку необходимо учитывать не только функциональные возможности внедряемых средств защиты информации, но также особенности и ограничения технологий АСУ ТП.

Необходимость обеспечения безопасности АСУ ТП КВО обусловлена и ужесточающимися требованиями законодательства. Согласно новым нормативно-правовым актам за нарушение законодательства о безопасности критической информационной инфраструктуры наравне с дисциплинарной, гражданско-правовой и административной будет предусмотрена уголовная ответственность.

ЭЛВИС-ПЛЮС предлагает услуги по созданию комплексных систем обеспечения безопасности информации критически важных объектов. При создании СОБИ КВО особое внимание мы уделяем вопросам надёжности и корректности функционирования АСУ ТП при внедрении средств защиты информации. Для тестирования совместимости внедряемых средств защиты информации используются стенды и макеты, разворачивание в виртуальной среде образов АРМ и серверов, задействованных в техпроцессе, моделирование технологических систем и симуляция техпроцессов в опытных лабораториях.

СОБИ КВО основывается на принципах локализации ресурсов, целостности компонентов АСУ ТП, надёжности функционирования и оперативности влияния на объекты защиты, а также подконтрольности и документированности процессов управления информационной безопасностью.

СОБИ КВО представляет собой комплексное решение по защите и строится на основе решений и продуктов зарубежных и отечественных лидеров в области защиты информации: отечественные — Symanitron, Positive Technologies, Лаборатория Касперского, InfoWatch, Станкоинформзащита, ЭЛВИС-ПЛЮС, Инфотекс и др.; зарубежные — Waterfall Security, Owl Computing Technologies, Tofino Security, PhoenixContact, CheckPoint и др.

СОБИ КВО обеспечивает выполнение следующих групп мер по обеспечению безопасности информации в АСУ ТП:

• идентификация и аутентификация субъектов доступа и объектов доступа;
• управление доступом субъектов доступа к объектам доступа;
• ограничение программной среды;
• защита машинных носителей информации;
• регистрация событий безопасности;
• антивирусная защита;
• обнаружение (предотвращение) вторжений;
• контроль (анализ) защищённости информации;
• обеспечение целостности;
• обеспечение доступности;
• защита среды виртуализации;
• защита технических средств;
• защита автоматизированной системы и её компонентов;
• обеспечение безопасной разработки прикладного (специального) программного обеспечения;
• управление обновлениями программного обеспечения;
• планирование мероприятий по обеспечению защиты информации;
• обеспечение действий в нештатных (непредвиденных) ситуациях;
• информирование и обучение пользователей;
• анализ угроз безопасности информации и рисков от их реализации;
• выявление инцидентов и реагирование на них;
• управление конфигурацией автоматизированной системы управления и её системой защиты.

Услуга по созданию СОБИ КВО включает в себя:

• Аудит ИБ АСУ ТП в соответствии с приказом ФСТЭК России №31 от 14.03.2014 г.
• Разработку модели угроз безопасности.
• Разработку предложений по определению требуемых классов защищённости в соответствии с актуальными нормативными и законодательными документами РФ.
• Разработку рекомендаций по применению организационных мер по обеспечению безопасности информации в АСУ ТП.
• Разработку пакета или отдельных организационно-распорядительных документов, регламентирующих выполнение организационных мер защиты информации в АСУ ТП (с учетом особенностей технологических процессов в конкретной организации и опыта компании ЭЛВИС-ПЛЮС).
• Разработку проектной и эксплуатационной документации.
• Поставку средств защиты информации, монтажные и пусконаладочные работы.
• Сопровождение опытной эксплуатации и проведение приемо-сдаточных испытаний.

В качестве дополнительной услуги по обеспечению безопасности АСУ ТП КВО компания ЭЛВИС-ПЛЮС предлагает аттестацию по требованиям безопасности информации. Результатом данной услуги является аттестат соответствия, подтверждающий выполнение всех нормативных требований к обеспечению защиты информации в АСУ ТП КВО.

Преимущества от внедрения

• Снижение рисков экономического ущерба и техногенных катастроф вследствие несанкционированного доступа к объекту управления АСУ ТП.
• Уверенность руководства организации в обеспечении требуемого уровня ИБ КВО.
• Снижение рисков предъявления претензий со стороны надзорных органов и административной и уголовной ответственности за невыполнение требований законодательства.
• Эффективное управление всеми средствами защиты.