Защита КИИ и АСУ ТП
Закон 187-ФЗ о безопасности КИИ
С 1 января 2018 года вступил в силу закон 187-ФЗ «О безопасности критической информационной инфраструктуры (КИИ) РФ».
Организации, которые попадают под его действие – субъекты КИИ – должны интегрироваться с Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА), предоставить информацию о компьютерных инцидентах в ФСБ России и обеспечить безопасность объектов КИИ. При этом безопасность систем, обеспечивающих контроль и управление технологическим и производственным оборудованием и реализованными на нем процессами (АСУ ТП), дополнительно регулируется приказом ФСТЭК №31.
Срок выполнения
Срок выполнения указанных требований – 3 года со дня проведения категорирования объекта или последней плановой проверки. За неисполнение предписаний на организации налагаются административные штрафы, а ответственным лицам грозит лишение свободы на срок до 6 лет (при наступлении инцидентов с тяжкими последствиями или их угрозой).
Объекты критической информационной инфраструктуры
К объектам КИИ относятся госорганы и учреждения, а также юридические лица из наиболее значимых отраслей:
- здравоохранения
- науки
- транспорта
- связи
- финансов
- атомной и топливной энергетики
- промышленности (горнодобывающей, металлургической, химической, оборонной, ракетно-космической).
Обеспечение информационной безопасности КИИ
Наша компания осуществляет полный комплекс работ по обеспечению информационной безопасности КИИ на всех этапах:
Категорирование объектов
Проведение категорирования объектов КИИ (в том числе формирование перечня объектов).
Обеспечение безопасности
Обеспечение безопасности значимых объектов КИИ, в том числе проектирование и внедрение системы защиты АСУ ТП.
Подключение
Подключение организации к системе ГосСОПКА, как на базе собственного центра мониторинга инцидентов ИБ ISOC, так и на базе центра мониторинга заказчика.
Основы нашего подхода в защите АСУ ТП
АСУ ТП
Системы, обеспечивающие контроль и управление технологическим и (или) производственным оборудованием и реализованными на нем технологическими и (или) производственными процессами.
ФСТЭК
Приказ ФСТЭК №31 обязателен к применению для АСУ ТП, являющимися объектами критической информационной инфраструктуры без категории.
ISO/IEC
В основе Приказов ФСТЭК №31/239 лежит NIST SP 800-82, а также Стандарты ISO/IEC 62443.
ГОСТ
Использование ГОСТ 34 и РД 50
Объекты защиты
-
Информация
Информация (данные) о параметрах (состоянии) управляемого (контролируемого) объекта или процесса (входная (выходная) информация, управляющая информация, контрольно-измерительная информация и т.д.).
-
ПТК
Программно-технический комплекс, включающий: АРМ, промышленные серверы, телекоммуникационное оборудование, канали связи, ПЛК, исполнительные устройства.
-
ПО
Микропрограммное, общесистемное и прикладное программное обеспечение.
Этапы работ
- Обследование объекта и технологических процессов.
- Определение актуальных угроз безопасности информации.
- Определение необходимых защитных мер.
- Определение способов реализации защитных мер.
- Разработка технического задания на СЗ АСУ ТП.
- Проектирование СЗ АСУ ТП.
- Внедрение СЗ АСУ ТП.