Одним из важнейших барьеров на пути цифровизации промышленных предприятий являются вопросы обеспечения безопасности. И дело не только в том, что весомая часть производителей прямо или косвенно (через контрагентов) относится к оборонно-промышленному комплексу, что вынуждает их быть бдительными. Главная проблема — в том, что объем задач по защите производственных процессов при переходе на «цифру» возрастает в несколько раз.
Не в фокусе
«Основным риском, на мой взгляд, является тот факт, что производственные предприятия позже, чем другие отрасли экономики, столкнулись с необходимостью обеспечения информационной безопасности не только управленческих процессов, но непосредственно производственных, — говорит эксперт рынка Вартан Хачатуров. — Современные производственные линии оснащены сложным программным обеспечением, в том числе, осуществляющим сетевые взаимодействия. Вместе с тем, традиционно промышленная часть рынка ПО была относительно закрытой и не подвергалась пристальному вниманию злоумышленников, что привело к отсутствию фокуса производителей на обеспечение безопасности». «Процессы цифровизации, интеграции бизнеса в сетевое взаимодействие, увлечение внедрением интернета вещей существенно повышают риски проникновения и нарушения устойчивости производственных процессов», — резюмирует он.
Он уверен, что чем выше степень цифровизации, тем нужнее решения по обеспечению информационной безопасности АСУ ТП, а тот факт, что АСУ ТП уже развернуты и годами работают, сильно усложняют необходимые для их защиты внедрения.
«Если традиционные АСУ ТП зачастую имеют относительно статичную и закрытую архитектуру, то в рамках концепции IoT предполагается более широкое распространение «умных» датчиков и исполнительных устройств, подключенных если не к Интернет, то к сети предприятия с использованием принципов и протоколов из мира ИТ, которые хорошо изучены хакерами и злоумышленниками, — соглашается Илья Кондратьев, заместитель директора департамента информационной безопасности АМТ-ГРУП. — Вследствие чего успешная реализация атак на внедренные новые системы может нанести существенный ущерб и не только снизить полезные эффекты от модернизации производства, но и без применения современных мер защиты иметь катастрофические последствия».
Он подчеркивает, что для нивелирования указанных негативных моментов потребуется применение комплексного подхода, учитывающего необходимость выстраивания эшелонированной защиты для отражения возникающих угроз.
При этом защититься один раз и навсегда вряд ли получится. «Даже использование самых передовых методов защиты информации не может полностью исключить человеческий фактор. Злоумышленники постоянно изобретают новые способы и ищут уязвимости, следовательно, защита данных и приложений должны развиваться в сторону наиболее эффективных и менее затратных методов — как с технической, так и с экономической точки зрения. Важно чтобы методы защиты всегда оставались на шаг впереди потенциальной угрозы компрометации этого метода», — комментирует Николай Зыляев, директор по продажам Ixia в России и странах СНГ.
Осторожно: новый закон
Еще одна проблема, связанная с информационной безопасностью — это отсутствие квалифицированных кадров. Особенно остро это вопрос стоит перед теми региональными предприятиями, которые попадают под действие закона о КИИ. «Есть большая проблема: в регионах крайне низок уровень знаний и понимания проблематики ИБ КИИ. Там и ИТ-администраторов-то найти сложно, а сейчас необходимы специалисты более узкого профиля, которые смогут провести категорирование объектов КИИ, найдут системы контроля, построят систему безопасности и будут заниматься ее мониторингом», — говорит Андрей Голов, генеральный директор компании «Код безопасности».
И речь, по мнению Андрея Голова, идет даже не о специалистах в области ИБ — у этих сотрудников должна быть иная квалификация. «У ФСТЭК много классов систем безопасности, порядка 150 мер необходимо предусмотреть, поэтому при небольшом опыте и недостаточных знаниях можно устроить «зоопарк» систем, который будет тяжело управляемым, не позволит выявлять инциденты и реагировать на них. Поскольку кадровый голод в регионах сейчас страшный, в ближайшее время на первый план будет выходить удобство использования систем ИБ, эргономика, централизация управления и мониторинга, помощь в принятии решений», — поясняет он.
Цель — дестабилизация
Задумываться об обеспечении безопасности надо заранее и в обязательном порядке. «В процессе реализации программ и проектов по цифровизации рекомендуется учитывать необходимость обеспечения информационной безопасности как обязательную составляющую любого проекта, — объясняет Илья Кондратьев. — Лучше всего это делать еще на этапе формирования целей и задач программ и проектов, а при разработке документов, описывающих требования к системам и их модернизации, включать соответствующие разделы».
Правда, груз инвестиций в ИБ, видимо, ляжет на плечи самих предприятий, ведь бюджет направления «Информационная безопасность» в программе «Цифровая экономика» более чем в два раза меньше, чем той же «Цифровой промышленности» — лишь 25,4 млрд рублей. С учетом того, что ландшафт угроз не статичен, такой бюджет вызывает вопросы.
«Что касается новых рисков, то ввиду критичности производственных процессов и массового использования в них зарубежного ПО, не проходившего проверок на отсутствие НДВ (недекларированных возможностей), я бы ожидал повышения риска использования кибероружия против производственных объектов с целью дестабилизации уже государственного уровня», — прогнозирует Вартан Хачатуров.
