Информационная безопасность автоматизированных систем (АСУ)

Главная — Информационная безопасность — Основы ИБ — Информационная безопасность в отраслях — Безопасность информационных систем — Информационная безопасность автоматизированных систем (АСУ)

ОФОРМИТЬ ЗАЯВКУ 30 дней для тестирования «СерчИнформ КИБ» с полным функционалом

Информационная безопасность АСУ становится серьезным вызовом для ИТ-специалиста, так как нарушение безопасного режима работы автоматизированной системы управления опасным производственным объектом или объектом критической информационной инфраструктуры сулит большие проблемы. Решение задачи окажется эффективным, если опираться на международные стандарты безопасности.

Отличие АСУ от других информационных систем

АСУ предназначены для управления физическими объектами – станками, оборудованием – и должны решать задачи планомерной, цикличной работы, избегания аварий. На английском термин АСУ звучит как Industrial Control Systems (ICS) или Industrial Automation and Control Systems (IACS). Индустриальный характер системы вынуждает рассматривать вопросы обеспечения ее безопасности отдельно от других систем, рекомендации для них можно найти в руководстве NIST SP 800-82.

Основные отличия:

в отличие от обычной ИС АСУ работает в режиме реального времени;
перезагрузка как метод решения проблем для АСУ неприемлема;
при управлении рисками АСУ оперирует физическими процессами, ИС – данными;
для АСУ часто используются специализированные операционные системы с тщательно выверенными параметрами совместимости и контролем обновлений;
протоколы коммуникаций для АСУ всегда профессиональны, иногда используются выделенные каналы связи;
поддержка АСУ осуществляется только производителем и поставщиком;
АСУ, в отличие от ИС, часто не имеет резервов памяти для реализации функции безопасности;
жизненный цикл АСУ составляет 15-30 лет, для ИС этот срок равен 3-5;
компоненты АСУ часто расположены в физически труднодоступных местах, например, на нефтяной вышке в тундре.

Эти особенности показывают, что информационная безопасность АСУ является самостоятельной задачей.

ИБ для АСУ

Информационная безопасность для автоматизированных систем управления должна опираться на утвержденные стандарты. Наиболее востребованным является стандарт ISO/IEC 27000 Information Technology, на базе которого разработан и внедрен российский ГОСТ. Также применяется стандарт Международной энергетической комиссии, ISA/IEC 62443 Security for Industrial Automation and Control Systems, ряд частей которого тоже работают в части ГОСТов.

Частично задача безопасности АСУ решается на государственном уровне, они в обязательном порядке лицензируются и сертифицируются, на решение этой задачи приходится до 10 % от стоимости программного обеспечения. Основной задачей при обеспечении ИБ для АСУ становится контроль рисков с их предварительным ранжированием. Риски распределяются по уровням:

управление предприятием;
операционное управление производством;
управление и мониторинг физических процессов;
локальное управление оборудованием и процессами;
управление датчиками и системой оповещения.

На каждом из уровней выявляются свои риски, блокировать которые от информационных атак или программных сбоев необходимо для обеспечения безопасности. В полноценной модели защиты АСУ от рисков должны быть реализованы:

управление идентификацией и аутентификацией;
контроль использования ресурсов оборудования;
гарантия целостности системы и связей;
доступность данных;
контроль потоков данных, избежание утечек;
ограниченное время реакции на инциденты.

При соблюдении этих требований можно говорить о том, что информационная безопасность автоматизированной системы управления обеспечена.

16.01.2020

Подпишитесь на нашу рассылку и получите свод правил информационной безопасности для сотрудников в шуточных стишках-пирожках.

Заполняя настоящую веб-форму и отправляя указанные в ней персональные данные, я даю свое согласие ООО «СерчИнформ» (далее – оператор) на обработку моих персональных данных в соответствии с Политикой конфиденциальности (https://searchinform.ru/resources/security/, далее — Политика) с правом передачи оператором моих персональных данных третьим лицам, которые являются партнерами оператора. Я понимаю, что мои персональные данные будут переданы с использованием открытых каналов связи (сети международного обмена Интернет) и впоследствии могут обрабатываться как с использованием средств автоматизации, так и без использования таких средств.

Давая настоящее согласие, я подтверждаю, что:

действую свободно, своей волей и в своих интересах;
являюсь дееспособным;
настоящее согласие является конкретным, информированным и сознательным;
ознакомился с Политикой в отношении обработки персональных данных, размещенной на настоящем сайте.

Я понимаю, что в соответствии с федеральным законодательством получение оператором согласия на обработку персональных данных является обязательным, и в случае моего отказа от их предоставления и (или) отсутствия согласия на их обработку, интересующие меня услуги не могут быть оказаны оператором.

Я, в соответствии с ч.1 ст. 18 Федерального закона от13.03.2006 г. №38-ФЗ «О рекламе», даю своё согласие ООО «СерчИнформ» (ИНН 7704306397, адрес: 127254, г. Москва, проезд Огородный, д. 16/1, стр. 3, помещение 901) (далее - СерчИнформ) на направление мне на указанные мной контактные данные сообщений в информационных и/или рекламно-информационных целях об услугах (в широком понимании этого определения, в том числе, но не ограничиваясь, сервисах, мероприятиях, встречах, вебинарах, конференциях и т.д.) СерчИнформ со следующими условиями:

Я даю согласие на получение информации и рекламы путем осуществления прямых контактов со мной с помощью любых средств связи включая, но не ограничиваясь, направления sms-сообщений и/или puch-уведомлений и/или электронных писем и/или сообщений в мессенджерах и/или посредством телефонных звонков и/или факсимильной связи.
Я гарантирую, что предоставленная мной информация является полной, достоверной и точной, а также что при представлении информации не нарушаются действующее законодательство Российской Федерации, законные права и интересы третьих лиц. Вся представленная информация заполнена мной в отношении себя лично.
Я согласен/согласна с тем, что текст данного мной по собственной воле и в моих интересах согласия хранится в электронном виде в базе данных СерчИнформ и подтверждает факт согласия на обработку моих контактных данных в соответствии с положениями настоящего документа.
Настоящее согласие действует до поступления в СерчИнформ любым способом (письменно, устно, в электронном виде) требования от меня как субъекта персональных данных о прекращении обработки персональных данных в соответствии с ч.2 ст. 15 Федерального закона от 27.07.2006 г. №152-ФЗ «О персональных данных».
Я подтверждаю, что любое моё действие по нажатию на кнопку «Отправить», «Зарегистрироваться», «Записаться», «Оставить заявку», проставлению отметки « » является достаточной формой согласия и позволяет подтвердить сторонам факт получения такого согласия, при этом иных доказательств для дополнительного подтверждения моего свободного волеизъявления не потребуется.
Я подтверждаю, что владею информацией о том, что в любой момент в течение всего срока действия настоящего согласия, я вправе отозвать согласие и отписаться от получения рассылок как путем устного обращения к представителю СерчИнформ, так и путем перехода по соответствующей ссылке в любом письме, или путем направления письменного уведомления в СерчИнформ об отзыве своего согласия и отказе от рассылок.