Данный пост перенесён автоматически с предыдущего варианта сайта. Возможны артефакты. Если информация этого поста важна для вас, свяжитесь со мной для получения полного содержимого.

Пару недель назад довелось принять участие в Научно-практической конференции-совещании «Методы и средства обеспечения информационной безопасности (кибербезопасности) АСУ ТП», проводимой ИПУ РАН.

Не писал про неё, ждал материалов докладчиков. Сегодня материалы прислали - как обычно, выкладываю их в общем блокноте Evernote.

Само по себе наименование “научно-практическая” задавало определённый тон и формат. В публичном блокноте помимо презентаций выложил для полноты картины тезисы участников: строгость языка и оформления, списки литературы, формулы, некоторые тезисы по полноте сами претендуют на полноценное выступление.

Неудивительно, что при таком подходе в программе присутствовал доклад о терминологической чистоте, в котором докладчик (Алпеев Анатолий Степанович, к.т.н., ФБУ «НТЦ ЯРБ») раскритиковал имеющиеся определения понятия “кибербезопасность” из ISO/IEK 27032 2012 и Концепции стратегии кибербезопасности Российской Федерации и предложил своё определение:

Кибербезопасность – раздел безопасности, изучающий процессы формирования, функционирования и эволюции киберобъектов, с целью выявления источников киберопасности, которые могут нанести им ущерб, и формирования законов и других нормативных актов, регламентирующих термины, требования, правила, рекомендации и методики, выполнение которых должно гарантировать защищенность киберобъектов от всех известных и изученных источников киберопасности. Ну, и соответственно:
Кибербезопасность объекта – свойство объекта, характеризующее его внутренние возможности не быть причиной образования ущерба для внешней среды или ограничивать его величину допустимыми нормами. Более привычное понятие "информационная безопасность" тоже было раскритиковано:
Что касается термина «информационная безопасность», то имеет смысл пока рассуждать об информации как о черном ящике, т.е. только о защищенности информации. Поэтому термин «безопасность информации», на данный момент времени определяется только намерениями ее обладателя и ни чем другим. Это дает основания утверждать, что термин «информационная безопасность» на данный момент времени (пока не определено корректно, что такое информация и какова ее внутренняя структура и свойства) не корректен по своей сути. Вместо него можно предложить термин «информационная защищенность» и использовать для него определение изложенное ранее т. е.: «Информационная защищенность — защита конфиденциальности, целостности и доступности информации», что, на мой взгляд, соответствует реальному состоянию рассматриваемой проблемы. Что касается остальных докладов, то некоторая их часть мне показались глубоко теоретическими и представляющими интерес более научный, нежели прикладной. Понравился рассказ Дениса Бабаева (Московский филиал «Центратомтехэнерго» АО «Атомтехэнерго») про опыт разработки нормативной документации по ИБ АСУ ТП АЭС. По итогам работы был создан адаптированный набор мер защиты информации, приведенных в рамках приказа №31 ФСТЭК России, с учетом сложившейся практики применения АСУ ТП АЭС, обеспечения ядерной безопасности, а также международных норм ИБ АСУ ТП АЭС. Интересно, что перед разработкой конкретных требований была разработана модель жизненного цикла АСУ ТП АЭС в соответствии с ГОСТ 34.601-90 (с учётом ГОСТ 15.005 и ГОСТ 15288). Основные принципы обеспечения ИБ АСУ ТП АЭС были сформулированы так:
В основе обеспечения ИБ АСУ ТП АЭС лежит постоянное поддержание следующих свойств информации в порядке убывания приоритета:  доступность;  целостность;  конфиденциальность. Обеспечение ИБ АСУ ТП должно основываться на следующих принципах:
  • определение элементов АСУ ТП, подлежащих защите;
  • дифференцированный подход в части:
    • назначения уровня ИБ элементам АСУ ТП;
    • построения зональной модели АСУ ТП.
  • оценка рисков реализации угроз с использованием моделей угроз ИБ;
  • учет этапов жизненного цикла АСУ ТП.
В качестве дополнительных мер обеспечения ИБ АСУ ТП были предложены, например, такие:
  • требования к защищенному программированию;
  • положения о проведении аудитов ИБ АСУ ТП;
  • требования касающиеся персонала:
    • обучение;
    • прием на работу/перевод/увольнение.
Подробнее можно посмотреть в презентации (в общем блокноте заметка так и называется "Опыт разработки нормативной документации по ИБ АСУ ТП АЭС"). Другой докладчик - Промыслов Виталий Георгиевич, к.ф-м.н., ИПУ РАН - сравнил основные документы по кибербезопаности АСУ ТП АЭС. Вот ключевой слайд с итоговой таблицей из его презентации: [caption id="attachment_8577" align="aligncenter" width="700"]Сравнение требований по кибербезопасности Сравнение требований по кибербезопасности[/caption] В других докладах тоже были интересные мысли. Отмечу, например, ещё вот этот тезис Полетыкина Алексея Григорьевича (д.т.н., ИПУ РАН):
Особенности задачи оценки риска в ИБ АСУ ТП АЭС:
  1. Нет и не будет статистики
  2. Источник угроз анонимный с неподдающимися оценке возможностями;
  3. Циклы развития (смена поколений) вредоносных средств много меньше чем жизненный цикл объекта атак.
Коллега Николай Домуховский рассказывал про то, как можно подойти к вопросу построения системы обеспечения ИБ АСУ ТП с применением комплекса DATAPK. Антон Шипулин делал обзор существующих специализированных и традиционных технических решений по кибербезопасности, применимых в промышленных системах. Антон часто его делает =) Вот, кстати, моя подборка таких решений в Каталоге СрЗИ. В целом, мероприятие было познавательное хотя бы по тому, что позволило в очередной раз вспомнить, что к решению проблем кибербезопасности АСУ ТП (да и в целом - ИБ) существует ещё один подход. Назовём его научным. Не всё же противопоставлять только "хакеров" и "пиджаков" (они же - "бумажные безопасники"), есть ещё и "мелки" =)

--- === @zlonov === ---