Безопасность АСУ ТП

В настоящее время автоматизированные системы управления технологическими процессами (АСУ ТП) можно считать одними из самых уязвимых классов автоматизированных систем. На промышленных предприятиях они являются приоритетными целями для злоумышленников. Подобная ситуация обусловлена рядом особенностей АСУ ТП как объекта информатизации:

  • Длительный срок эксплуатации компонентов систем. Срок эксплуатации многих компонентов АСУ ТП может исчисляться годами и даже десятками лет без каких-либо обновлений или модернизаций. Средства и технологии атак тем временем ушли далеко вперед.
  • Закрытость АСУ ТП. Традиционно, в системах автоматизации используются специализированные операционные системы, средства связи и протоколы взаимодействия. Они не поддерживаются средствами защиты информации, применяемыми для защиты корпоративных систем.
  • Применение собственных разработок. Многие решения, применяемые в АСУ ТП, представляют собой разработанные сотрудниками предприятия продуктами. При этом вопросы безопасности остаются на втором плане, а разработка ведется без учета технологий безопасного программирования.
  • Жестко фиксированная конфигурация систем. Системы автоматизации имеют жестко заданные структуру и конфигурацию, которые не допускают существенных изменений: обновления программного обеспечения, использования наложенных средств защиты, корректировку настроек «по умолчанию». В противном случае, производитель не гарантирует работоспособность системы.
  • Сложная трехуровневая распределенная структура. Компоненты АСУ ТП образуют сложную иерархическую структуру: от оконечных устройств до SCADA-систем. Для каждого ее уровня характерны свои уязвимости, ограничения и особенности защиты. Сами компоненты же могут находиться на расстоянии десятков и сотен километров друг от друга.
  • Усиление роли информационных технологий в производственных процессах. Появляются не только локальные, но и распределенные сети АСУ ТП, построенные с использованием стандартного телекоммуникационного оборудования (TCP/IP, Ethernet), происходит их объединение с корпоративными информационными системами. Наблюдается широкое применение в системах автоматизации корпоративных операционных систем (Windows, Linux), систем управления базами данных, приложений и сетевых протоколов. К специфическим уязвимостям АСУ ТП добавляются общесистемные, а значит и связанные с ними угрозы.

Еще одним существенным фактором является то, что циркулирующая в АСУ ТП информация не имеет ценности сама по себе. При создании таких систем основные усилия направлены на обеспечение надежности и отказоустойчивости, а не безопасности. В то же время, любое вмешательство в технологический процесс, путем нарушения целостности или доступности, может привести к значительным негативным последствиям: перезапуску или остановке производственного цикла, угрозе жизни и здоровью людей, экологической катастрофе и иным чрезвычайным ситуациям. Подобные инциденты получают широкую огласку, приводя не только к значительному материальному ущербу, но и существенным репутационным потерям.

Указанная специфика не позволяется использовать традиционные методы и средства защиты «офисных» систем при обеспечении безопасности АСУ ТП. Все мероприятия должны проводиться с минимальным влиянием на производство и максимальным использованием встроенных механизмов защиты. Для этого необходимы не только знания в области информационной безопасности, в т.ч. международных стандартов, но и глубокое понимание технологических процессов, знание систем автоматизации и промышленного оборудования.

ООО Инженерное предприятие «АСКУ» более двадцати лет работает в области промышленной автоматизации и более пяти лет – в области информационной безопасности. Такое сочетание позволяет предприятию гарантировать высокое качество услуг по обеспечению безопасности АСУ ТП в соответствии с требованиями российских нормативных документов и лучших практик международных стандартов. Мы можем предложить Вам весь спектр работ по защите АСУ ТП и промышленных сетей:

  1. Проведение обследования предприятия, АСУ ТП и технологических процессов. Анализ взаимодействия со смежными, в т.ч. ведомственными системами (СМИС, вентиляция, пожаротушение и др.) В случае необходимости, проводится тестирование на проникновение, отображающее наиболее вероятные пути проникновения в систему.
  2. Инвентаризация и систематизация автоматизированных систем управления. Формирование взгляда на систему, понятного не только подразделениям АСУ ТП, но и руководству, ИТ-отделу, отделу информационной безопасности.
  3. Моделирование угроз безопасности, анализ возможных нарушителей и векторов атаки. Под каждый проект разрабатывается уникальная методика моделирования и оценки угроз.
  4. Разработка технического задания на Систему защиты АСУ ТП. Определение необходимы мер защиты организационного и технического характера. Рекомендации по использованию имеющихся механизмов безопасности.
  5. Проектирование Системы защиты АСУ ТП. Разработка полного комплекта технической и рабочей документации на систему защиты информации. Проверка совместимости и работоспособности выбранных решений в защищаемой системе.
  6. Разработка организационно-распорядительной документации. Предполагает разработку проектов внутренних документов: приказов, инструкции, положений, с учетом действующих на предприятии документов.
  7. Поставка, внедрение Системы защиты АСУ ТП и ввод ее в действие. Полный цикл работ по вводу системы защиты в эксплуатацию.
  8. Оценка соответствия Системы защиты АСУ ТП. Проводится по желанию Заказчика в форме аттестации или декларирования соответствия требованиям нормативных документов.

Для уточнения деталей проекта и получения консультации свяжитесь с нами или воспользуйтесь формой обратной связи.