Обеспечение информационной безопасности на производстве имеет свои нюансы, связанные со спецификой автоматизированных систем управления (АСУ) предприятием и с особенностью протекания производственных процессов. Настройка системы ИБ потребует повышенного внимания, так как любая ошибка может привести не только к сбою работы, но и к аварии. Требования к АСУ всегда строже, чем к обычным информационным системам. 

Особенности ИБ на производстве

Термин «информационная безопасность» подразумевает состояние защищенности данных от трех основных рисков: нарушение конфиденциальности, изменение, отсутствие доступности. Но применительно к производственному предприятию эта триада изменяется, так как в производственном процессе информация играет роль не актива, а инструмента управления. Риски в этом случае меняются, информационные потоки должны обеспечить непрерывность и безаварийность процесса производства. Это обусловливает особый подход к организации системы ИБ на производстве.

Основными особенностями информационной безопасности на производстве становятся:

• большое количество потребителей информации различных типов, как пользователей, так и устройств, при этом она передается по множеству каналов и в большом количестве форматов;
• помимо компьютеров и элементов инфраструктуры объектами управления становятся производственные единицы. Ими могут быть и станки с ЧПУ, и системы жизнеобеспечения электростанций, и буровые вышки. Часто они не статичны, а находятся в движении;
• система всегда распределена, ее единицы могут быть труднодоступны, информация передается по множеству каналов связи, использование Ethernet-соединений становится все более распространенным.

Особенности функционирования промышленных информационных сетей порождают и особенности направленных на них угроз.

Виды угроз

Угрозы информационной безопасности, характерные для производства, также имеют свою специфику. Злоумышленники, среди которых в последнее время появляются хакерские группировки, связанные с иностранными правительствами, и террористические группы, заинтересованы в создании нестабильности. Наилучшим способом для этого становится внешнее вторжение в информационные сети предприятия с целью прерывания производственных процессов. По данным «Лаборатории Касперского», более 46 % систем АСУ российских предприятий в последний год подвергались атакам.

Большое количество сетевых соединений облегчает управление удаленными и движущимися объектами, но создает дополнительные риски. Одна из крупнейших компаний в мире, занимающаяся разработкой производственных объектов, Siemens, предложила исчерпывающую классификацию угроз информационной безопасности на производстве:

• несанкционированное использование удаленного доступа к процессу управления производственным объектом. Каналы связи АСУ обычно не имеют достаточной защиты;
• хакерские атаки, направляемые через корпоративные (офисные) информационные сети. Между каналами управления АСУ и офисной информационной системой существуют соединения, которые могут быть использованы злоумышленниками;
• атаки на стандартные компоненты инфраструктуры сетей управления АСУ. Операционные системы, серверы приложений, базы данных имеют уязвимости, которые не всегда своевременно устраняются разработчиками и хорошо известны хакерам. Если в архитектуре АСУ есть такие компоненты, они могут быть использованы для атаки;
• DDoS-атаки. Массированные распределенные атаки отказа в обслуживании часто используются для разрушения сетевых соединений и для нарушения нормальной работы АСУ;
• ошибки персонала, намеренный саботаж и повреждение компонентов системы управления. Риски в этой ситуации, при наличии у злоумышленника доступа к АСУ, серьезны и непредсказуемы;
• внедрение вирусных и других вредоносных программ через съемные носители лицами, допущенными к обслуживанию оборудования, часто это сотрудники сервисных организаций. Примером реализации риска стало массовое заражение АСУ, в том числе объектов ядерной инфраструктуры Ирана, вирусом Stuxnet; 
• чтение, запись и изменение сообщений в сетях АСУ. Компоненты АСУ поддерживают сетевой обмен данными с использованием незащищенных тестовых сообщений. Это создает возможность без затруднений считывать тестовые сообщения и вносить в них несанкционированные изменения;
• несанкционированный доступ к ресурсам. Если в АСУ предусмотрена слабая система идентификации и аутентификации, третьи лица могут получить доступ к ресурсам;
• атака на сетевые компоненты с распространением на объекты промышленной инфраструктуры;
• технические неисправности, аварии, природные катаклизмы.

Перечень угроз широк, не все они специфичны именно для системы информационной безопасности на производстве, некоторые носят общий характер.

Особенности АСУ

Для автоматизированной системы управления предприятием, посягательства на которую совершаются наиболее часто именно с целью приостановить производство или вмешаться в его работу и вызвать аварию, характерно управление процессами и физическими объектами, тогда как обычные административные системы управляют информацией. 

Это порождает отличия, которые влияют на организацию процесса обеспечения безопасности:

• в отличие от ИС АСУ оказывается системой реального времени. Время реакции и срабатывания на вызовы всегда критично, неприемлемы потери данных или задержки их передачи. Крайне важно своевременное срабатывание в аварийных ситуациях. Системы управления доступом не должны препятствовать работе обычного интерфейса взаимодействия оператора и оборудования;
• для АСУ недопустимы перерывы в работе, перезагрузка как метод решения проблем не применяется, технические работы планируются заранее при условии запуска дублирующих решений;
• при управлении рисками для АСУ внимание концентрируется на физических процессах, а не на информационных объектах, как для ИС. Безопасность людей и оборудования, безотказность имеют приоритет над конфиденциальностью и целостностью данных. Информационная безопасность концентрируется на непрерывности процесса обмена информацией и сохранении ее целостности. Главным риском, который должен учитывать специалист, разрабатывающий механизм безопасности, станет соответствие требований регуляторов, касающихся опасных производственных объектов и объектов критической информационной инфраструктуры, предотвращение причинения вреда работникам предприятия, его имуществу, экологии;
• для АСУ чаще используются специализированные, а не общедоступные операционные системы. Они лишены большинства известных хакерам уязвимостей, но не содержат встроенных модулей безопасности. Используются специализированные алгоритмы управления, все изменения тщательно внедряются поставщиками ПО, и это занимает длительное время из-за необходимости их обязательной сертификации;
• системные ресурсы АСУ ограничены, они предназначены строго для управления промышленными объектами и не имеют ресурсов для развертывания вычислительных мощностей или модулей безопасности;
• коммуникации в рамках АСУ проходят по специализированным протоколам с использованием особых типов медиа, не реализуемых в офисных ИС. Прокладка и поддержание безопасности сетей связи требуют специальных инженерных компетенций;
• эксплуатация и поддержка АСУ осуществляются только разработчиками;
• все АСУ сертифицируются и лицензируются, то же происходит со всеми обновлениями.

Такие отличия порождают различные подходы в вопросах обеспечения информационной безопасности. Реализация любых стратегий защиты может оказаться невозможной без привлечения поставщика программного обеспечения для системы. Стоимость модернизации в целях повышения защиты может оказаться очень высокой, только лицензирование и сертификация изменений могут занять до 10 % от общей стоимости проекта внедрения.

Реализация системы информационной безопасности на производстве

При анализе особенностей АСУ становится понятна вся сложность реализации комплексной системы информационной безопасности на производстве. Постоянная модификация типов атак требует для внедрения систем безопасности использовать современные компоненты, релевантные угрозам, но в архитектуре давно работающих АСУ, чей возраст превышает несколько лет, им может не найтись места. Внедряемая для АСУ система безопасности должна отвечать требованиям ISA 99 / IEC 62443, являющегося основным стандартом обеспечения безопасности в системах промышленной автоматизации. Она должна решать задачи комплексной защиты системы от:

• физических атак;
• несанкционированного доступа сотрудников и третьих лиц;
• хакерских атак.

От чего зависит успешность защиты

Разрабатывая собственную систему организации информационной безопасности на производстве, необходимо учитывать, что успешность ее развертывания зависит от следующих факторов:

• необходимости обеспечить мониторинг интерфейсов коммуникации между офисными и промышленными сетями, каналов удаленного доступа к обслуживанию через Интернет, обеспечить установку межсетевых экранов;
• создания так называемых демилитаризованных зон (DMZ), предназначенных для обмена информацией со смежными сетями и исключающих получение внешними пользователями прямого доступа к АСУ;
• создания безопасных сегментов сети для отдельных защищенных производственных секторов, что позволяет снизить риски и увеличить уровень информационной безопасности;
• использования при передаче данных протоколов VPN и шифрования;
• защиты коммуникационных станций алгоритмами аутентификации.

Реализация этих компонентов возможна в любой промышленной системе. От сложности архитектуры АСУ и ее возраста зависит, насколько легко пройдет внедрение.

Но только защитой АСУ задача информационной безопасности не решается. Помимо защиты производственных процессов от сбоев, простоев и аварий, специалисты по информационной безопасности должны решить задачи защиты конфиденциальной информации в информационных системах центрального аппарата управления. К ней могут относиться:

• производственные планы и стратегии;
• ноу-хау и производственные секреты;
• программные решения, внедряемые в целях производства или защиты информации;
• управленческая отчетность и иная финансовая информация.

Работа по защите этих информационных объектов окажется стандартной и существенно менее сложной, чем работа по обеспечению информационной безопасности АСУ, но пренебрегать ею не стоит. Стоимость похищенных производственных секретов высока, поэтому для защиты офисной части системы управления желательно использовать DLP-систему, полностью закрывающую информационный периметр от утечек. Выбор программного обеспечения, решающего проблемы безопасности, будет зависеть и от того, относится ли объект к КИИ (объектам критической информационной инфраструктуры) и есть ли необходимость ориентироваться на требования регулятора.

21.01.2020