Безопасность АСУ ТП. Первые шаги

Используя пять шагов, представленных в данной статье, Вы существенно повысите уровень безопасности своей АСУ ТП.

В бурный век развития технологий и методов управления, автоматизированные системы управления технологическими процессами (АСУ ТП) претерпели значительные изменения — от изолированных устройств управления они превратились в промышленные сети на базе протокола IP. АСУ ТП все больше стали напоминать корпоративные сети с их хорошо известными угрозами и уязвимостями.

Такие угрозы как компьютерные вирусы, хакерские атаки, сбои программного обеспечения, DoS и другие уже реально влияют на производственные процессы, количество инцидентов с каждым годом неуклонно растет.

Для того, чтобы существенно уменьшить вероятность реализации угроз в промышленных сетях, необходимо выполнить целый комплекс мероприятий по защите. Представленные ниже шаги, были разработаны с учетом собранной статистики по промышленным инцидентам информационной безопасности на период с 2000-ого по 2010-ый год.

Шаг первый. Инвентаризация и анализ рисков

Нужно знать от кого/чего мы защищаемся, и что конкретно мы защищаем.

Необходимо определить все активы, входящие в АСУ ТП, составить сетевую диаграмму и выявить все подключения к промышленной сети, выявить критичные активы для функционирования АСУ ТП.

В процессе анализа рисков, специалистом выявляются «узкие» места в архитектуре АСУ ТП, определяются угрозы и уязвимости АСУ ТП и оценивается текущий уровень защищенности активов.

Степень сложности анализа рисков определяется организацией. Это может быть как экспертный, так и качественный или количественный анализ.

Шаг второй. Убрать все лишнее

Ненужные сервисы — это возможные уязвимости.

На данном шаге мы, по возможности, убираем следующее:

• лишние подключения к промышленной сети;
• неиспользуемые сервисы (сетевые протоколы, неиспользуемые возможности программных продуктов и т.д.)
• излишние права пользователей, например права администратора. Если есть возможность, то желательно использовать бездисковые рабочие станции и удаленный доступ.

Необходимо оставить только то, что необходимо для функционирования АСУ ТП.

Шаг третий. Настроить средства защиты

Внедряем организационные, технические и физические меры защиты.

На данном шаге мы защищаем все что осталось, а именно:

• Определяем требования безопасности к АСУ ТП (Политика безопасности АСУ ТП);
• Изменяем архитектуру сети по принципу defense-in-depth;
• Настраиваем имеющиеся средства защиты, согласно требованиям по безопасности;
• При необходимости, внедряем новые защитные меры (Система контроля и управления доступом, видеонаблюдение, антивирусные средства, межсетевой экран и т.д.).

Будьте осторожны, средства защиты могут привнести новые уязвимости.

Шаг четвертый. Внедрить процессы обеспечения информационной безопасностью

Постепенно внедряем следующие процессы обеспечения информационной безопасностью:

1. Управление правами доступа
   
   Пользователи АСУ ТП должны иметь только те права, которые им необходимы для выполнения их должностных обязанностей. Процесс предоставления и изменения прав должен быть контролируемым.
   
   
2. Управления конфигурациями и изменениями
   
   Данный процесс должен охватывать как изменения в программном обеспечении АСУ ТП, так и в аппаратной ее части. Все изменения конфигурации АСУ ТП должны планироваться и проходить тестирование в тестовой среде перед непосредственной реализацией в промышленной сети.
   
   
3. Обслуживание технических средств
   
   Все оборудование АСУ ТП должно проходить техническое обслуживание. Должны быть установлены нормативы замены устаревшего оборудования. Например, согласно паспорту устройства, после 5 лет эксплуатации датчика вероятность его выхода из строя, может составлять 35%. Довольно часто такая вероятность считается недопустимой для определенный процессов.
   
   
4. Управление инцидентами информационной безопасности
   
   Данная процедура должны быть установлена для эффективного реагирования на любые атаки, а также для последующего анализа причин их возникновения и последующего анализа динамики инцидентов.
   
   
5. Управление непрерывностью бизнеса
   
   Должны быть составлены планы восстановления бизнеса на случай возникновения экстренной ситуации. Резервное копирование является неотъемлемой частью такого плана. Планы должны регулярно тестироваться и по результатам тестирования — совершенствоваться.
   
   
6. Аудит информационной безопасности
   
   Признак зрелой организации — это идентификация своих слабых мест, проведение анализа причин и применение корректирующих действий. Процесс аудита обычно часть такой организации, который включает сканирование на уязвимости и проверку выполнения установленных требований по безопасности.

Шаг пятый. Обучить пользователей

Все предыдущее теряет смысл без участия пользователей.

Люди могут быть слабой точкой в хорошо защищенной сети. Необходимо проведение тренингов и курсов повышения осведомленности, для того чтобы персонал оставался бдительным в ситуациях касающихся информационной безопасности.

Итог.

Информационная безопасность — это непрерывный процесс. Бизнес процессы меняются, появляются новые угрозы и открываются новые уязвимости, поэтому как минимум раз в год необходимо проводить анализ рисков, аудит и пересмотр существующей системы безопасности с целью ее дальнейшего улучшения.

Спикер: Айкашев Алексей, консультант отдела консалтинга компании «Информзащита»