Мнение эксперта ИБ

Обсуждение новостей в сфере информационной безопасности

  • Аудит информационной безопасности
  • Защита ИСПДн

Защита КСИИ

 

Наиболее опасными мишенями для киберпреступников являются ключевые системы информационной инфраструктуры (КСИИ). В данной статье будут рассмотрены:

   Особенности и проблемы защиты АСУ ТП
   Нормативные документы РФ в области защиты КВО и КСИИ
   Регламентирующие документы РФ в области защиты КВО и КСИИ
   Последствия при нарушении функционирования КВО
    Системы, относящиеся к КСИИ
   Подсистемы, входящие в состав систем защиты КСИИ
   Пути развития систем защиты КСИИ

Особенности и проблемы защиты АСУ ТП

Особенностями и проблемами функционирования автоматизированных систем управления технологическими процессами (АСУ ТП) с позиций обеспечения их безопасности являются:

  1. Отраслевая специфичность для управляемого объекта или процесса. Весьма сложно выделить типовые подсистемы, которые могут быть применимы в других отраслевых АСУ ТП.
  2. Функционирование в режиме реального времени. Незначительный сбой в функционировании АСУ ТП, или внесение изменений в технологию может привести к лавинообразному нарушению работы объекта, с критичными последствиями.
  3. Применение промышленных технических средств и технологий, как правило, имеющих длительные сроки эксплуатации, а их модернизация или замена производится редко, в целях обеспечения непрерывности технологического процесса. Обновление и установка нового ПО в АСУ ТП либо запрещается технологической документацией, либо связана со значительными административными и технологическими трудностями.
  4. Наличие технологических и программных средств, поставляемых иностранными производителями в связи, с чем сервисное обслуживание и ремонт данных средств определяется производителем (поставщиком) этих средств. При этом иностранный поставщик часто требует наличия удаленного дистанционного доступа и управления «своими» средствами и провести заказчику контроль, за вносимыми изменениями проблематично. Иностранные производители, осуществляющие сервисное (гарантийное) обслуживание, часто работают с выездом на объект, но при этом не предоставляют специалистам заказчика доступ к своему оборудованию и ПО. Возникает возможность внедрения закладок в АСУ ТП (SCADA) иностранного производства.
  5. Ярко выраженная программная и аппаратная неоднородность, при этом исторически почти все АСУ ТП развивались как изолированные системы, работающие по специализированным протоколам. В технологическую сеть, могут входить серверы SCADA под управлением Windows либо Linux, серверы СУБД (SQL Server либо Oracle), множество программируемых логических контроллеров (PLC) различных производителей, панели оператора (HMI), интеллектуальные датчики и различные каналы связи. При этом, технологическая производственная сеть может иметь несколько точек прямого подключения к корпоративной сети организации (управленческому персоналу).
  6. Функционирование большинства АСУ ТП, без учета возможности кибератак. Например, большинство протоколов обмена данными, используемых SCADA и PLC, вообще не подразумевают никакой аутентификации и авторизации. Это приводит к тому, что любое появившееся в технологической сети устройство способно и получать, и выдавать управляющие команды на любое другое устройство. При этом в открытом доступе есть довольно много информации по уязвимостям контроллеров и SCADA-систем, уязвимостям ОС, СУБД и даже интеллектуальных датчиков.
  7. Конфликт между информационной и промышленной (функциональной) безопасностью. Промышленная безопасность хорошо нейтрализует многие угрозы естественного происхождения: случайные ошибки персонала, природные и т. п. Однако против целенаправленных угроз ее методы недостаточно эффективны. Поэтому для защиты АСУ ТП должны использоваться методы информационной безопасности.
    Требуется изоляция технологической среды АСУ ТП от возможного канала получения команды на активацию закладки. Закладки могут внедряться как разработчиком (иностранными поставщиками) так и лицами, сопровождающими АСУ ТП. Последствием может быть полный выход из строя системы управления без возможности замены узлов, поскольку в них та же закладка.

Проблема защиты информации в АСУ ТП, резко обострилась после проведения ряда успешных вирусных атак с использованием вирусного кода программы Stucksnet (обнаруженной в 2010 году), которая является практически первым образцом кибероружия. После обнаружения Stuxnet были найдены также несколько его собратьев: Duqu, Flame и Gauss. Эти программы имеют некоторые общие черты, но их цели, функционал и время создания различаются. В случае успешной атаки, применение вирусных программ позволяет нападающей стороне добиться желаемого эффекта, дёшево и «сердито», а в идеале, анонимно.

Вирусные атаки показали низкую защищенность АСУ ТП и эффективность используемых систем защиты, а также показало наличие большого количества уязвимостей в используемом программном обеспечении. Все эти моменты негативно сказываются на состоянии защищенности АСУ ТП. Практически для всех государств резко обострилась проблема охраны своего информационного пространства и на первый план выступает задача защиты и контроля защищенности критически важных для государства информационных систем.

Нормативные документы РФ в области защиты КВО и КСИИ

Для понимания различия между критически важным объектом и ключевой системой информационной инфраструктуры (КСИИ) приведем термины и их определения:

Критически важным признается объект (КВО), оказывающий существенное влияние на национальную безопасность Российской Федерации, прекращение или нарушение функционирования которого приводит к чрезвычайной ситуации или к значительным негативным последствиям для обороны, безопасности, международных отношений, экономики, другой сферы хозяйства или инфраструктуры страны либо для жизнедеятельности населения, проживающего на соответствующей территории.

Основным признаком принадлежности объекта к критически важному является наличие на нем экологически опасного или социально значимого производства либо технологического процесса, нарушение штатного режима которого приводит к чрезвычайной ситуации определенного уровня и масштаба, или наличие на объекте информационно-телекоммуникационной системы (ее элемента), которая осуществляет функции управления чувствительными (важными) для Российской Федерации процессами и нарушение функционирования которой приводит к негативным для страны последствиям.

Критически важными являются объекты, прекращение или нарушение функционирования которых может привести к тяжелым последствиям для региона или государства в целом, в том числе и к человеческим жертвам.
Перечни критически важных объектов видов и критически важных систем составляются специально создаваемой группой экспертов, состав которой утверждается соответствующим руководителем федерального органа исполнительной власти (организации).

Ключевая система информационной инфраструктуры (КСИИ) – это информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), либо информационное обеспечение управления таким объектом (процессом), либо официальное информирование граждан. В результате деструктивных информационных воздействий на КСИИ может сложиться чрезвычайная ситуация или будут нарушены выполняемые системой функции управления со значительными негативными последствиями.
Таким образом, к КСИИ в первую очередь относятся автоматизированные системы управления технологическими процессами (АСУ ТП).

Критически важная информация - это закрепленная в документации на КСИИ информация, уничтожение, блокирование или искажение которой может привести к нарушению функционирования КСИИ, а также информация о КСИИ (о ее составе, характеристиках управляемого процесса, характеристиках программного и программно-аппаратного обеспечения, размещении, коммуникациях), которая в случае ее хищения (ознакомления с ней) может быть непосредственно использована для деструктивных информационных воздействий на КСИИ.

В Российской Федерации действуют следующие основные нормативные документы в области защиты и обеспечения безопасности критически важных объектов и ключевых систем информационной инфраструктуры (КСИИ):

  1. «Система признаков критически важных объектов и критериев отнесения функционирующих в их составе информационно-телекоммуникационных систем к числу защищаемых от деструктивных информационных воздействий», утверждён Секретарем Совета Безопасности от 08.11.2005 г. (гриф секретно).
  2. «Перечень критически важных объектов Российской Федерации», утвержден распоряжением Правительства Российской Федерации от 23 марта 2006 г. № 411-рс (гриф секретно).
  3. ФСТЭК России разработан пакет руководящих документов (РД) по обеспечению безопасности информации в ключевых системах информационной инфраструктуры, включающий:
    • РД. «Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры», утвержден ФСТЭК России от 18.05.2007 г. (гриф «ДСП»);
    • РД. «Методика определения актуальных угроз безопасности информации в ключевых системах информационной инфраструктуры», утвержден ФСТЭК России от 18.05.2007 г. (гриф «ДСП»);
    • РД. «Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры», утвержден ФСТЭК России от 18.05.2007 г. (гриф «ДСП»);
    • РД. «Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры», утвержден ФСТЭК России от 19.11.2007 г. (гриф «ДСП»);
    • «Положение о Реестре ключевых систем информационной инфраструктуры, утверждено приказом ФСТЭК России от 04.03.2009 г. № 74 (гриф «ДСП»);
  4. ГОСТ РО 0043-001-2010 «Защита информации. Обеспечение безопасности информации в ключевых системах информационной инфраструктуры. Термины и определения».

Регламентирующие документы РФ в области защиты КВО и КСИИ

Актуальность проблемы информационной безопасности АСУ ТП критически важных объектов признается на высшем уровне руководства государства, и определены в следующих документах:

  1. «Основные направления государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации» (документ Совета Безопасности утвержденный Президентом Российской Федерации 3 февраля 2012 г. № 803)
    Целью государственной политики в области обеспечения безопасности автоматизированных систем управления производственными и технологическими процессами критически важных объектов инфраструктуры Российской Федерации является снижение до минимально возможного уровня рисков неконтролируемого вмешательства в процессы функционирования данных систем, а также минимизация негативных последствий подобного вмешательства.
    Согласно документа предполагается реализация «Основных направлений….» в рамках трех этапов:
    Первый этап (2012 - 2013 годы);
    Второй этап (2014 - 2016 годы);
    Третий этап (2017 - 2020 годы).
    По завершению этапов к 2020 году должно быть обеспечено:
    • ввод в эксплуатацию Ситуационного центра единой государственной системы обнаружения и предупреждения компьютерных атак на критическую информационную инфраструктуру Российской Федерации и оценки уровня реальной защищенности ее элементов и ситуационных центров регионального и ведомственного уровней;
    • ввод в эксплуатацию в целом единой государственной системы обнаружения и предупреждения компьютерных атак на критическую информационную инфраструктуру и оценки уровня реальной защищенности ее элементов.
    В период после 2020 года должен осуществляться комплекс мероприятий по поддержанию организационной, экономической, научно-технической и технологической готовности Российской Федерации к предотвращению угроз безопасности ее критической информационной инфраструктуры. Выход указанного документа от имени Совета безопасности РФ по оценке специалистов США является практически документом российской киберполитики, цели которого должны быть реализованы в 2020 году.
  2. Указ Президента Российской Федерации № 31с от 15 января 2013 года «О создании государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации» (гриф секретно). Для ознакомления опубликована открытая выписка из Указа Президента, согласно которой:
    • на ФСБ России возложены полномочия по созданию государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации информационные системы и информационно-телекоммуникационные сети, находящиеся на территории Российской Федерации и в дипломатических представительствах и консульских учреждениях Российской Федерации за рубежом;
    • 2) определены основные задачи государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации;
    • полномочия ФСБ России, в т.ч. в части:
        разработки методики обнаружения компьютерных атак на информационные системы и информационно-телекоммуникационные сети государственных органов и по согласованию с их владельцами - на иные информационные системы и информационно-телекоммуникационные сети;
        определения порядка обмена информацией между федеральными органами исполнительной власти о компьютерных инцидентах, связанных с функционированием информационных ресурсов Российской Федерации;
        организации и проведения мероприятий по оценке степени защищенности критической информационной инфраструктуры Российской Федерации от компьютерных атак;
        разработки методических рекомендаций по организации защиты критической информационной инфраструктуры Российской Федерации от компьютерных атак,
      и иное.
  3. В настоящее время ведется и находится на стадии завершения работа по согласованию следующих проектов документов:
    • проект Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации», разработан ФСБ России во исполнение положений «Основных направлений…».
      Проектом определяются цели и принципы обеспечения безопасности критической информационной инфраструктуры Российской Федерации, полномочия органов государственной власти в этой сфере, порядок категорирования объектов критической информационной инфраструктуры и оценки их защищенности, источники финансирования мероприятий по обеспечению безопасности.
      В законопроекте определяются такие понятия как информационные ресурсы РФ, компьютерная атака, компьютерный инцидент, критически важный объект, критическая информационная инфраструктура РФ, субъекты критической информационной инфраструктуры РФ и ряд других.
      Документ также предусматривает разработку критериев отнесения объектов критической информационной инфраструктуры к различным категориям опасности и установление требований к системам безопасности данных объектов.
    • проект закона, вносящий поправки в Федеральный закон «О внесении изменений в законодательные акты Российской Федерации в связи с принятием Федерального закона «О безопасности критической информационной инфраструктуры Российской Федерации».
      Законопроект устанавливает меры ответственности за нарушение законодательства о безопасности критической информационной инфраструктуры РФ. В документе предполагается уголовная ответственность за неправомерный доступ к охраняемой законом компьютерной информации, повлекший ущерб безопасности критической информационной инфраструктуры РФ или создавший угрозу его наступления – лишение свободы на срок до 10 лет. Также предусматривается уголовная ответственность за нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к таким сетям, повлекшее ущерб безопасности критической информационной инфраструктуры РФ или создавшее угрозу его наступления – до 7 лет лишения свободы.
    • проект федерального закона «О внесении изменений в Федеральный закон «Об информации, информационных технологиях и о защите информации».

Последствия при нарушении функционирования КВО

Следствиями нарушения функционирования критически важного объекта могут быть:

  •   гибель или физическое травмирование людей;
  •   нарушение систем обеспечения жизнедеятельности городов и населенных пунктов;
  •   нарушение социальной стабильности в стране, регионе, субъекте Федерации, области, районе;
  •   авария или катастрофа, разрушение или заражение среды обитания в национальном масштабе;
  •   нанесение крупного экономического (финансового) ущерба государству, государственным и частным предприятиям и организациям, физическим лицам, нарушение стабильности финансовой и банковской системы страны, остановки непрерывных производств;
  •   крупномасштабное уничтожение национальных ресурсов (природных, сельскохозяйственных, продовольственных, производственных, информационных);
  •   нарушение системы государственного управления на федеральном, региональном и территориальном уровне;
  •   нанесение крупного внешнеполитического ущерба стране;
  •   причинение значительного ущерба в сфере обороны и безопасности страны.

Системы, относящиеся к КСИИ

Информационные (информационно-телекоммуникационные) системы относятся к ключевым в зависимости от их назначения в соответствии с перечнем критически важных сегментов информационной инфраструктуры. В свою очередь критически важными сегментами информационной и телекоммуникационной инфраструктуры России признаются сегменты, образуемые системами, нарушение штатного режима функционирования которых может нарушить функции управления чувствительными для Российской Федерации процессами, в том числе:

  • системами органов государственной власти и органов местного самоуправления;
  • системами органов управления правоохранительных структур;
  • системами финансово-кредитной и банковской деятельности;
  • системами предупреждения и ликвидации кризисных и чрезвычайных ситуаций;
  • географическими и навигационными системами;
  • программно-техническими комплексами центров управления взаимоувязанной сети связи России;
  • сетями связи общего пользования на участках, не имеющих резервных или альтернативных видов связи;
  • системами специального назначения;
  • спутниковыми системами, используемыми для обеспечения органов управления и в специальных целях;
  • системами управления добычей и транспортировкой нефти, нефтепродуктов и газа;
  • системы управления потенциально опасными объектами;
  • системами управления транспортом (наземным, воздушным, морским);
  • системами управления водоснабжением;
  • системами управления энергоснабжением.

Таким образом, в категорию КСИИ попадают не только многочисленные АСУ ТП объектов топливно-энергетического комплекса, транспортной отрасли, но и системы государственного управления, телевидения, банковской отрасли. Примерами могут служить «АИС Налог» Федеральной налоговой службы или система электронных платежей Банка России, которые оказывают непосредственное влияние на стабильность функционирования финансовой системы Российской Федерации.

Подсистемы, входящие в состав систем защиты КСИИ

В состав системы защиты КСИИ, согласно требований нормативных документов ФСТЭК России и ФСБ России, могут входить следующие подсистемы:

  •   управления доступом;
  •   обеспечения целостности;
  •   межсетевого взаимодействия;
  •   анализа защищенности;
  •   антивирусная подсистема;
  •   обнаружение вторжений;
  •   защиты периметра;
  •   криптографическая подсистема;
  •   защиты каналов связи;
  •   мониторинга событий информационной безопасности;
  •   управления рисками;
  •   сбора и управления уязвимостями;
  •   управления изменениями программного обеспечения;
  •   управления непрерывностью обслуживания;
  •   резервного копирования (архивирования) и восстановления данных;
  •   учета и контроля носителей информации;
  •   физической защиты объекта;
  •   противопожарной безопасности.

Кроме этого необходимо:

  •   проводить аудит информационной безопасности;
  •   разработать план действий в непредвиденных ситуациях;
  •   проводить исследования нового устанавливаемого технологического ПО на отсутствие недекларированных возможностей (НДВ);
  •   согласно требований РД на КСИИ ФСТЭК России разрабатывать до 47 специализированных документов, для конкретных защищаемых технологических КСИИ.

Пути развития систем защиты КСИИ

Основными путями развития систем защиты КСИИ могут быть:

  1. создание отечественной базы данных уязвимостей программного и аппаратного обеспечения;
  2. создание системы оценки рисков: вероятный ущерб и возможность реализации угрозы;
  3. прогнозирование последствий реализации угроз (материальные, экономические, экологические и пр.);
  4. оценка возможности парирования угроз безопасности информации имеющимися средствами, с учетом эффективности применяемых средств защиты;
  5. разработка средств и систем защиты информации для КСИИ в соответствии с новыми документами (которые должны быть разработаны или доработаны), устанавливающие соответствие между категориями критически важных объектов и существующими классами систем защиты информации привязанных к степени конфиденциальности информации. Здесь необходимо отметить, что в АСУ ТП критически важных объектов даже высокой категории опасности может отсутствовать информация ограниченного доступа;
  6. разработка типовых решений для защиты ЛВС КСИИ. (например с использованием на периметре ЛВС межсетевых экранов (МСЭ). При этом между корпоративной сетью и АСУ ТП может формироваться одна (или несколько) демилитаризованных зон (DMZ). Более защищенный сценарий предусматривает исключение прямых сессий между корпоративной сетью организации и АСУ ТП. Для такого случая в DMZ ставится терминальный сервер;
  7. разработка типовых методик обследования (аудита) для КСИИ, с учетом специфики ее отраслевого характера функционирования, территориальной распределенности объектов, количества объектов, необходимости обеспечения информационной безопасности на стыке офисной и технологической сетей и контроля работы персонала;
  8. разработка безопасной операционной системы для многих типовых КСИИ (по модульному принципу);
  9. создание вероятнее всего отраслевых центров тестирования технологических процессов и разных последствий их нарушения. В России вопрос защиты АСУ ТП, точнее КВО и КСИИ, начал обостряться еще до появления Stuxnet. Документы ФСТЭК появились не на пустом месте, серьезным стимулом стала авария на Саяно-Шушенской ГЭС в августе 2009 г. Можно выделить две независимые, но традиционно связанные темы, касающиеся объектов КВО: защита технологических сетей и защита критически важных информационных систем (например, сайта государственного органа).
  10. определение порядка аккредитации и лицензирования организаций, осуществляющих деятельность по оценке соответствия автоматизированных систем управления технологическими процессами КВО предъявляемым требованиям в области обеспечения информационной безопасности;
  11. возможно в дальнейшем создание Национальной тестовой лаборатории по исследованию проблем информационной безопасности программных и аппаратных средств АСУ ТП применительно к КСИИ КВО с активным участием министерств, ведомств и организаций из заинтересованных отраслей (ТЭК, транспорт, нефтехимия, водоснабжение и т.д.).