Оценка уровня защищённости технологической системы КВО

Широкое применение автоматизированных систем управления технологическими процессами (АСУТП) и других технологических систем (диспетчерских, информационно-измерительных, сбора данных и пр.) делает критически важным обеспечение информационной безопасности таких систем, поскольку успешные атаки на них могут привести к нарушению производственных технологических процессов, многомиллиардным убыткам и/или техногенным катастрофам различного масштаба.

Оценка уровня защищённости, тесты на проникновение и инструментальные проверки на этапе аудита — это первый шаг на пути защиты технологических систем и объектов. Именно от выводов, полученных в результате оценки уровня защищённости, зависят все последующие шаги обеспечения ИБ АСУТП, технологических систем и критически важных объектов (КВО).

В рамках проведения комплексного аудита корпоративной информационной системы заказчика компания АО «ЭЛВИС-ПЛЮС» проводит оценку защищённости технологических систем и объектов. Методика оценки основана на лучших зарубежных практиках и документах ФСТЭК о ключевых системах информационной инфраструктуры (КСИИ). Для оценки уровня защищённости аудиторы ЭЛВИС-ПЛЮС применяют опросные листы, интервьюируют сотрудников и лично обследуют технологические системы и объекты.

Главное требование АСУТП и других технологических систем — высокая степень готовности и непрерывность функционирования, поэтому все инструментальные проверки выполняются в строгом соответствии с согласованным заказчиком планом производства работ в указанное время. При работах на особо критичных технологических системах инструментальные проверки проводятся на копиях эксплуатируемых систем. Для этого при помощи средств виртуализации воссоздаются и исследуются отдельные компоненты системы в лаборатории компании ЭЛВИС-ПЛЮС.

Методика оценки уровня защищённости АСУТП и других технологических систем и объектов учитывает специфику обследуемых систем и уже применяется в топливно-энергетическом комплексе (ОАО «ФСК ЕЭС») и других отраслях промышленности.

Результат оценки уровня защищённости АСУТП:

• Схемы рассматриваемых АСУТП и технологических систем с указанием целевых уровней безопасности зон и каналов, выделенных по критериям функциональности и безопасности отдельных компонентов системы, и наиболее вероятных векторов атак.
• Перечень приоритетных направлений обеспечения ИБ, требующих внимания в первую очередь.
• Рекомендации по повышению уровня безопасности, а также предложения по созданию системы обеспечения информационной безопасности (СОБИ) АСУТП.

Используя полученные результаты, вы сможете:

• Определить наименее защищённые компоненты АСУТП, технологических систем или объекта с учетом их критичности.
• Определить степень соответствия применяемых мер защиты действующим нормативно-правовым документам.
• Оценить бюджет, необходимый для создания и развития СОБИ.
• Запланировать создание и развитие своей СОБИ в части защиты технологических систем с учетом их критичности.

Преимущества компании ЭЛВИС-ПЛЮС

Компания ЭЛВИС-ПЛЮС обладает большим опытом проведения работ по аудиту состояния ИБ, в том числе техническому аудиту состояния ИБ компаний различных отраслей. Наш штат состоит из большого количества сертифицированных специалистов высокой квалификации по всем направлениям деятельности в области ИБ, и мы активно участвуем в создании и развитии стандартов и современных подходов к обеспечению ИБ (ЭЛВИС-ПЛЮС входит в состав Технических комитетов ТК122 «Стандарты финансовых операций», ТК26 «Криптографическая защита информации» и рабочих групп по подготовке руководящих документов ФСБ и ФСТЭК).