При создании АСУ ТП электрических подстанций заказчики пользуются годами наработанными схемами, шаблонами технических заданий, где учтено все, кроме требований современного законодательства. Вендоры АСУ ТП, в свою очередь, также часто не касаются вопросов информационной безопасности на первоначальных стадиях. Такая ситуация приводит к тому, что конкурс проводится между поставщиками, включающими в свое предложение системы информационной безопасности и поставщиками, игнорирующими данный вопрос на этапе конкурса. Тем не менее, требования всплывают на поздних этапах, когда служба ИБ эксплуатации не принимает объект. Кто виноват и что делать? В своем докладе на этот вопрос отвечает независимый эксперт Алексей Иванов. Подробнее о конференции: https://kas.pr/kicsconf2021

1. #KasperskyICS
Чат конференции: https://kas.pr/kicscon
Алексей
Иванов
Независимый эксперт, Россия

2. АСУ ТП ПОДСТАНЦИЙ
Ре а л и з а ц и я п р о е к то в в с о от в е тс т в и и с Ф З - 1 8 7

3. Проекты
• Модернизация действующих ПС по одной из типовых
архитектур
• Создание новых ПС
3

4. Текущая ситуация
Отсутствует согласованность по вопросам ИБ между
• Заказчиком
• Проектировщиком
• Вендором АСУ ТП
• Интегратором
• Службой ИБ
4

5. Новое (ТЗ) – это
хорошо забытое
старое (ТЗ)
Обилие бюрократии приводит к тому, что очень часто на
скорую руку адаптируют старое техническое задание
5

6. Составитель ТЗ
Не проконсультировался со службой ИБ собственной
организации
Упустил из виду, что строится ОКИИ (ЗОКИИ?)
Плохо общался с представителями Интегратора, Проектанта и
Вендора АСУ ТП
6

7. Проектант
Не консультируется с Вендором АСУ ТП
Не учитывает требования по ИБ (ведь их практически нет!)
7

8. Вендор АСУ ТП
Не верит, что нужны ВСЗИ, типовые решения, документация
по ИБ, сертификаты, ПМИ в части ИБ для Интегратора и
Заказчика
Де факто оставляет задействованным небезопасный
функционал, подстраховываясь в документации
рекомендациями его не использовать
8

9. Интегратор
Пытается из зоопарка собрать работающую АСУ ТП
Вносит изменения (иногда) в документацию
Сроки горят
9

10. Приёмная комиссия
Может не принимать – и не принимает
Активизируется служба ИБ
«Вы сдаёте объект КИИ, не соответствующий требованиям
ФЗ-187»
Надо принимать по ТЗ – а в ТЗ в части ИБ пусто
Кто заплатит за средства защиты, их установку, наладку?
10

11. Как «впихнуть
невпихуемое»
В результате приходится устанавливать оборудование, для
которого нет:
• Мощностей по питанию
• Места в стойке
Также может потребоваться изменить топологию
11

12. Требования к
оборудованию
IEC 61850-3
Резервируемое питание
Промышленные СЗИ часто под длинный заказ
12
VS
Power ~x2, варистор,
резервирование!
$$$$$$$$$$$$$$$$$$$$$$$

13. 13
«Плоская топология»
Сложно собирать трафик
Подключения IDS во многих точках
Отсутствует мониторинг некоторых сегментов
Возможен непосредственный доступ к трафику
технологических протоколов
VS

14. ВЫВОДЫ
Д л я а в т о р о в Т З
Консультироваться со службой ИБ
Привлечь комиссию по категорированию
Задать категорию объекта (может быть пересмотрена)
Консультироваться с потенциальными поставщиками АСУ ТП,
проектной организацией, интеграторами
Определить, интеграция с какими существующими решениями
потребуется
Прописать требования к наличию лицензии на ТЗКИ
14

15. ВЫВОДЫ
Д л я п р о е к т а н т о в
Если не указана категория, нет МУ или иных требований – запросить
Консультироваться со службой ИБ Заказчика
Консультироваться с вендором АСУ ТП
Консультироваться с Интегратором
Не стесняться спрашивать или просить помощи
15

16. ВЫВОДЫ
Д л я р а з р а б о т ч и к о в
Заранее (сильно заранее) ориентироваться на требования и меры
законодательства
ГОСТ 56939 и оформление документации
Типовые конфигурации и тестирование на совместимость с
вендорами СЗИ
Наборы рекомендаций по построению АСУ ТП, использованию ВСЗИ
Учитывать особенности заказчиков
16

17. ВЫВОДЫ
Д л я и н т е г р а т о р о в
Встретиться с представителями службы ИБ заказчика не на приёмке
Своевременно информировать об изменениях в документации
Консультироваться с Вендорами
Выстроить взаимодействие как можно раньше
Проводить испытания
17

18. ВЫВОДЫ
Д л я с л у ж б ы И Б З а к а з ч и к а
Выстраивать отношения с другими службами
Обновлять методики испытаний средств защиты
Принимать участие в проектах ещё на стадии написания ТЗ
Исключать спорные ситуации путем внесения изменений в
нормативные акты
Изучать типовые решения от Вендоров заранее
Фиксировать полученный опыт и переиспользовать его
18

19. THANK YOU
linkedin.com/in/alexey-ivanov-540bb34
19