Развивая данную тему, мы познакомили отечественных и зарубежных специалистов с мнением Андрея Сергеевича Шеметова, опубликованном на нашем сайте ранее, и предложили им ответить на несколько вопросов:

1. Как вы считаете угроза кибербезопасности объектов электроэнергетики — это реальная угроза, потенциальная угроза или такой проблемы вообще нет?
2. Требуются ли специальные меры от кибератак или достаточно предусмотреть ряд организационных мер (таких как изменение паролей по-умолчанию), чтобы снизить угрозу.

Антон Шипулин

Лаборатория Касперского

Конечно, угроза реальная, и для подтверждения этого я приведу несколько доводов, которые позволяют мне так считать. Вот лишь несколько свежих примеров. Нашумевший инцидент, произошедший в декабре 2015 года в нескольких областях Украины, где более 220 000 потребителей в течение почти 6 часов остались без электричества из-за организованной кибератаки на энергокомпании. Эта атака включала в себя этапы разведки и сбора данных, предшествующие атаке (в том числе с использованием трояна BlackEnergy), непосредственно захват управления промышленным оборудованием, отключение потребителей в нескольких местах одновременно, сопровождавшееся шквалом ложных телефонных звонков на телефонные линии энергокомпаний, и этап скрытия следов и создания препятствий к восстановлению (отключение систем бесперебойного питания, удаление всей информации с жестких дисков, повреждение конвертеров последовательных интерфейсов). Атаки стали возможны в том числе из-за отсутствия на промышленных объектах надежных механизмов мониторинга и предотвращения киберугроз и управления доступом. Другой пример. В 2016 году на конференции по информационной безопасности исследователь Деван Чаудхури рассказал, как он смоделировал приманку для атакующих в виде реальной электростанции с возможностью внешнего доступа в ней. После этого эксперт фиксировал кибератаки и изучал поведение атакующих: как их действия по разведке, так и попытки вывести объект энергетики из строя. На других отраслевых конференциях исследователи не раз наглядно демонстрировали, что причинить физический ущерб оборудованию подстанции при достаточном количестве времени может хорошо мотивированный неглупый хакер даже без глубоких знаний энергетической специфики. Так, «Лаборатория Касперского» в конце 2015 года проводила эксперимент, в ходе которого специалисты по информационной безопасности должны были взломать стенд электроподстанции, построенной по современным технологиям в соответствии со стандартом IEC 61850. Интересно, что исследователи, проводившие атаки на стенд, не были экспертами в промышленном оборудовании, которое им предстояло «взломать». Целью мероприятия было изучение критически значимых векторов атак против инфраструктуры предприятия и проверка эффективности новой технологии компании по детектированию подобных атак. В результате уже через три часа на подстанции произошло короткое замыкание, организованное сразу двумя способами, а всего за два дня стенд взломали 26 раз, остановив технологический процесс и нарушив работу абсолютно всех устройств. Подобных реальных инцидентов на производствах становится все больше и больше.

Так, статистика ICS-CERT за 2015 год по киберинцидентам на объектах критической инфра-структуры США показывает, что 46% из зафиксированных 295 случаев произошли в отрасли электроэнергетики.

При этом зачастую подобные происшествия скрываются от широкой общественности операторами производственных и инфраструктурных предприятий, и все больше инцидентов остаются незамеченными долгие годы. Поэтому о реальном количестве атак, происходящих в настоящее время, мы узнаем только спустя 4–5 лет. Радует, что сегодня все больше предприятий понимают серьезность киберугроз, более того, киберугрозы критической энергетической инфраструктуре признаются реальными на уровне регулирующих органов. Например, в Стратегии национальной безопасности Российской Федерации, утвержденной Указом Президента РФ от 31 декабря 2015 г., обращается внимание на угрозы критической информационной инфраструктуре Российской Федерации, к которой безусловно относится и отрасль энергетики как системообразующая отрасль. А МЧС России в «Прогнозе чрезвычайной обстановки на территории Российской Федерации на 2016 год» от 24.12.2015 выделяет кибертерроризм относительно энергетических объектов России. Увы, организационных мер недостаточно. Организационные меры опираются только на тот факт, что люди будут им следовать. Но человек не совершенен, он может потерять бдительность, совершить ошибку, сознательно или случайно нарушить правила, поэтому требуется автоматизация мер защиты, т.е. применение технических средств. Кроме того, необходимо следовать принципу эшелонированной обороны. Это не означает, что нужно городить все средства защиты подряд. Нужно адекватно реальности закрывать все каналы актуальных угроз. Одним из важнейших механизмов является знание своих систем, сетей и коммуникаций, происходящих в промышленной сети. Вот почему мониторинг систем и сетей является важнейшей мерой защиты. Кроме того, он является пассивной мерой, не влияющей на работоспособность объекта мониторинга, но способной оперативно информировать о появляющихся угрозах.

Михаил Хайкин

Гомельэнерго

Конечно, потенциально такая угроза имеет место быть. Но такие угрозы были всегда, в том числе и при применении электромеханических устройств РЗА. К специальным мерам защиты от кибератак я бы прежде всего отнес отделение локальных сетей на объекте от корпоративных сетей предприятия на физическом уровне, т.е. ЛВС должны быть физически отделены от интернета. На АРМах, которые находятся и в корпоративной сети, и подключены к ЛВС энергообъекта, должны быть выполнены специальные экраны. На самом объекте, я считаю, должно стоять только ПО производителей энергооборудования, иначе мы сильно рискуем потерять данные процесса.

Сергей Никитин

Group-IB

Как ни странно, все это сильно зависит от страны и даже региона, в котором функционирует тот или иной объект электроэнергетики. Сама угроза, конечно, существует, и она более чем реальна. Другой вопрос, насколько широко используются автоматизированные системы управления объектами электро-энергетики в данном конкретном регионе и насколько целесообразно финансировать их взлом?

Для обычных киберпреступников подобные объекты малоинтересны, ведь из них невозможно получить «живые» деньги. Однако это не исключает интереса к таким объектам со стороны спецслужб других стран или террористических организаций.

В любом случае современные средства киберразведки позволяют заранее обнаружить подготовку к атаке. Самой логичной и действенной мерой является разделение объектов критически важной инфраструктуры и интернета. Как в случае с военными сетями, подобные объекты не должны иметь соединения с интернетом и не должны пересекаться с классическими локальными сетями предприятий. В таком случае их взлом будет очень затруднен, если вообще возможен. Второе — это использование различных сенсоров или систем обнаружения / предотвращения атак. При этом для объектов критической инфраструктуры важно использовать полностью пассивные системы, которые сами не смогут нанести никакого вреда, случайно вмешавшись в работу систем реального времени. А в общем, как и обычно, важен контроль и разграничение доступа и своевременная установка обновлений безопасности.

 

Антон Моторин

МРЗ

Я считаю, что в настоящее время угроза кибербезопасности становится все более актуальной. ТЭК России находится в состоянии постоянной (зачастую стохастической и бессистемной) модернизации, особенно в части систем релейной защиты и автоматики. Как следствие этого процесса, возникает множество частично реконструируемых объектов с различными уровнями цифровизации вторичных систем и разными уровнями доступа как к устройствам РЗА, ПА, так и к системам передачи сигналов РЗА и ПА (например, система FOXMAN для управления модулями TEBIT в FOX515 и TEPI в FOX615). В результате появляются в первую очередь косвенные проблемы, связанные с кибербезопасностью, которые не приводят к моментальному появлению неисправностей, а носят скорее накопительный характер и становятся «бомбой замедленного действия»:

• низкоквалифицированный обслуживающий персонал (ошибки при самостоятельном параметрировании терминалов и т.д.);
• несоблюдение правил доступа к оборудованию (применение одинаковых паролей, возможность несанкционированного доступа к журналу паролей и т.д.);
• возможность попадания на АРМ различного вредоносного ПО (особенно стоит обратить внимание на переносное АРМ, с которого осуществляется наладка МП-терминалов РЗА).

Но, кроме косвенных угроз, можно выделить и прямые:

• возможность доступа к индивидуальным MUX через централизованные системы управления и контроля оборудования ЦСПИ (дистанционный доступ к MUX, снабженным модулями приема/передачи команд РЗА);
• возможность удаленного доступа через ЦУС к системе авто-матизации подстанции по протоколу TCP/IP.

Также следует учитывать и постепенное распространение цифровых технологий на объектах энергетики (концепция ЦПС, Smart Grid и т.д.), что может расширить перечень возможных направлений несанкционированного доступа. Очень важным моментом в вопросах кибербезопасности является создание моделей угроз и моделей нарушителей, потому что только аналитика по этим направлениям позволит определить уязвимости и пути их контроля с учетом внешних и внутренних факторов воздействия. Следует также отметить некое противопоставление системы кибербезопасности и возможности физического воздействия на объекты электроэнергетики (набросы закороток, различные виды физического повреждения оборудования и т.д.), которое имеет место при обсуждении самой концепции кибербезопасности. Я считаю, что сравнивать эти понятия не имеет смысла, так как мы должны в первую очередь говорить о конструктивном подходе, который позволит решить проблему до ее полномасштабного развития, а не рассматривать противопоставляемые понятия, обсуждение которых в данном ключе ни к чему не приводит. Ярким примером отставания и пере-хода к неконструктивному диспуту является обсуждение темы ЦПС и МЭК 61850, которое длится уже с десяток лет и ни к чему не приводит. Несмотря на это продолжается внедрение принятых технических решений при отсутствии соответствующей нормативной базы как для проектирования, так и для эксплуатации.

Я считаю, что реализация программных и аппаратных средств защиты будет особенно необходима при массовой цифровизации объектов энергетики (концепция ЦПС, Smart Grid и т.д.).

Объяснение несостоятельности организационных мероприятий как квинтэссенции проблемы кибербезопасности заключается в человеческом факторе (как пример, можно рассмотреть понятие фишинга, которое широко распространено в сфере кибермошенничества). Организационные мероприятия должны быть неотъемлемой частью концепции кибербезопасности, но они не могут обеспечить должной защиты энергообъекта даже от несанкционированного физического доступа на объект.

Алексей Лукацкий

CISCO

Странная постановка вопроса. Как участник упомянутого круглого стола на выставке РЗА-2016 и ряда других мероприятий ФСК ЕЭС и СИГРЭ, я ни разу не слышал, чтобы речь шла именно о поставке «железа». Дискуссия, скорее, крутится вокруг нежелания специалистов по РЗА рассматривать кибербезопасность как важную задачу. Они по-прежнему живут в плену заблуждений о том, что системы РЗА являются замкнутыми и совсем неинтересными для хакеров, которые, по их мнению, нацелены только на банки, где есть чем поживиться. К сожалению, эта позиция, верная еще несколько лет назад, постепенно уходит в прошлое, и история нас учит, что ситуация кардинальным образом меняется. И протоколы становятся открытыми. И, казалось бы, замкнутые сети и системы начинают подключаться к Интернету (надо ли это — вопрос отдельный). И хакеров интересуют не только деньги. Не стоит забывать, что в условиях геополитической напряженности возрастают риски террористической и экстремистской направленности. И специалисты по кибербезопасности, которые обычно исходят из худшего сценария развития событий (а считать вероятность атаки на критическую инфраструктуру, включая РЗА, равной единице прямо прописано в нормативных документах ФСТЭК), просто хотят обратить внимание специалистов по РЗА на эту, пока забытую последними, область. А уж то, что кто-то под этим соусом пытается впарить свои железки, пусть остается на совести «впаривателей».

Алексей Александров

РЕЛГРИД

Полностью поддерживаю мнение уважаемого Андрея Сергеевича. Более того, очень беспокоит следующий момент: всеобъемлющий комплекс безопасности должен быть подключен и будет контролировать все цифровые потоки данных ПС. Получается, что при взломе самой системы безопасности потенциальный хакер получает доступ ко всему комплексу как устройств РЗиА, так и технологических устройств. Очень затруднительным станет процесс технического обслуживания: все испытательное оборудование придется регистрировать в каких-либо сертификационных центрах, получать соответствующие цифровые сертификаты достоверности, в ФСК соответственно появится служба сертификации, подтверждающая их. Все это очень дорого, спровоцирует увеличение продолжительности ТО, и вызывает большие сомнения, что вся эта сложнейшая схема будет работать без пробуксовки. Очень обоснованно выглядит мнение об обеспечении безопасности периметра, так как, если злоумышленник проник внутрь ПС, то нет смысла взламывать цифровую сеть, если можно просто поднять флажок выходного реле. А если проникновение во внутреннюю сеть невозможно, то, как показывает практика различных CTF, потенциальные злоумышленники практически не смогут нанести существенный урон. Считаю достаточным обеспечить грамотное параметрирование существующих серверов АСУ, коммутаторов, фаерволов и самих интеллектуальных устройств РЗиА, а также своевременное обновление программного обеспечения и прошивок устройств.

Максим Мальцев

РусГидро

Разделяю опасения Андрея Шеметова, высказанные им в статье, а также присоединяюсь к поставленным им вопросам. Вместе с тем я думаю, что реакция эксплуатации на реализацию сейчас масштабных проектов по обеспечению безопасности информации несколько эмоциональна, и это легко объяснить. На протяжении десятилетий существования микропроцессорной техники, не говоря уже о системах автоматического управления, безопасность трактовалась как свойство этих систем и техники, из которой они создаются. Да, аспект безопасности информации в этих системах не был столь явно выражен в силу меньшей доступности технологий.

Но всегда существовало понятие технической надежности, а также понятие промышленной безопасности, в обеспечении которой системы управления играют очень важную роль.

В последние годы производители комплексов и ПО для обеспечения безопасности информации активно освещают  случаи вторжения в технологические процессы, нарушения работы оборудования, систем и компаний, причем известные прецеденты экстраполируются на гипотетические ситуации с нарушением функционирования целых отраслей и даже с угрозой жизнеспособности государств. Читая такие материалы, специалисты эксплуатирующих организаций, несомненно, вспоминают целый ряд технологических нарушений, произошедших без какого-либо несанкционированного вмешательства и нарушения безопасности информации: от Чернобыльской катастрофы до системной аварии 2005 года и аварии на Саяно-Шушенской ГЭС.

Надо отдавать себе отчет в том, что колоссальные средства, которые пойдут на обеспечение информационной безопасности (хотя даже нормативные документы рекомендуют не употреблять это словосочетание ввиду практической недостижимости таковой), будут изъяты из средств на создание и внедрение технологий, обеспечивающих надежность и промышленную безопасность существующих решений. Считаю позицию автора о необходимости концентрации внимания на защите периметра систем управления взвешенной и объективной и разделяю его опасения о вероятном технологическом откате страны при несоблюдении такого подхода. И следует помнить, что, кроме информационной безопасности, есть еще и технологическая безопасность государства.

 

Дмитрий Даренский

НИП «Информзащита»

Прежде всего считаю необходимым поблагодарить Андрея Шеметова за те темы, которые он поднял в своей статье. Действительно, вопросов, которые требуется обсуждать и принимать по ним конкретные решения, у специалистов в области автоматизации и кибербезопасности накопилось достаточно. Градус обсуждения данной тематики на разного рода площадках, форумах и в социальных сетях порой зашкаливает. Но это, наверное, хорошо и правильно. Тем выше шанс договориться и прийти к единому мнению. Данная статья, хотелось бы надеяться, является как раз еще одной такой попыткой договориться. Сразу хотелось бы отметить, что обозначенных Андреем Шеметовым сторон в споре больше, чем две. Во всяком случае со стороны «продавцов систем информационной безопасности». Если круг задач эксплуатирующих организаций энергокомплекса понятен всем, в том числе и «ИБэшникам», то вот про «продавцов» однозначно так сказать нельзя. Дело в том, что не все компании, работающие в области информационной безопасности промышленных систем управления и автоматизации, занимаются продажей систем безопасности или их компонентов. Есть компании, которые занимаются исследованиями и проведением аудитов промышленных объектов, в том числе и в электросетевых компаниях. Они как раз вполне могут помочь эксплуатирующим организациям выявить слабые места, проблемы в архитектуре систем с точки зрения их уязвимости, определить текущий уровень защищенности, смоделировать угрозы, вероятных нарушителей и наиболее вероятные векторы атак. Есть компании-интеграторы, которые сегодня уже вполне способны совместно с отраслевыми проектными организациями участвовать в проектировании АСУ ТП и РЗА подстанций с целью определения оптимального набора мер и решений по обеспечению безопасности и во внедрении систем в защищенном исполнении. Причем набор реализуемых мер будет оптимален как по составу, так и по способу реализации. И конечно, есть компании-разработчики продуктов и решений для обеспечения безопасности промышленных систем автоматизации. При этом в качестве продуктов выступают как аппаратные и программные средства, так и специализированные сервисы типа технической поддержки 24х7 средств защиты или реагирования на инциденты безопасности. Если исходить из чисто экономических предпосылок утверждения, что «продавцы» пытаются, попросту говоря, впарить много ненужного эксплуатирующим организациям, то очевидно, что такой подход ближе всего разработчикам продуктов. Компаниям, занимающимся исследованиями, аудитами, проектированием и интеграцией, выгоднее продавать услуги, а не железо или софт, так как маржинальность услуг намного выше. Фактически таким компаниям продавать вагонами железо и лицензии не выгодно. Выгодно провести аудит, разработать проект и перечень организационных мер, разработать комплект ОРД и так далее. Говоря о соотнесении стоимости решений по безопасности и величины ущерба в результате аварий из-за деструктивного кибервоздействия на АСУ ТП и РЗА, хочется отметить несколько моментов. Во-первых, стоимость организации атак на промышленные объекты стремительно падает. В то же время величина ущерба при реализации дешевеющих атак с течением времени практически не меняется. Поэтому необходимо четко понимать, что атака, которую сегодня способны провести только спецслужбы потенциального противника, через пару лет может быть реализована школьником, находящимся на уроке информатики в школе в соседнем городе. Во-вторых, ошибочно предполагать, что стоимость реализации оптимального набора мер и средств защиты напрямую влияет на повышение стоимости атаки. Стоимость атаки должна повышаться в первую очередь за счет повышения эффективности существующих организационных и технических мер защиты. В-третьих, проводить взаимосвязь между стоимостью системы защиты и размером ущерба от кибератак на подстанции не корректно по одной простой причине. Совокупный размер ущерба от аварии может быть гораздо выше стоимости самой подстанции. Например, ущерб от аварии ПС, питающей какой-нибудь химический завод, будет измеряться не только стоимостью восстановления работоспособности самой ПС, но и возмещением ущерба химическому заводу, а в случае развития аварии на самом заводе — еще и стоимостью ликвидации последствий этой аварии. Об уголовной и административной ответственности руководителей, думаю, говорить излишне. Так вот, если следовать логике соотнесения стоимости системы безопасности и размера ущерба, то получается, что стоимость системы безопасности должна быть соизмерима с размером ущерба такой аварии. И может получиться так, что она будет соизмерима со стоимостью самой подстанции. Думаю, без объяснений понятно, что так не должно быть.

Кому это нужно.
Взлом ПС не обязательно может/должен быть монетизирован. Это зависит от целей атакующего и его мотивации.

Атакующим может быть не только хакер, нанятый АНБ для того, чтобы захватить управление национальной энергосистемой. Им может оказаться недовольный или незаслуженно уволенный специалист службы эксплуатации.

Им может оказаться нерадивый специалист службы технической поддержки фирмы, внедрявшей АСУ ТП, получивший несанкционированный удаленный доступ к системе в период пуско-наладки и потерявший свой ноутбук. Вариантов может быть масса, и большинство из них, к сожалению, уже происходили в реальности. И не принимать это во внимание как минимум не дальновидно. Поэтому, прежде чем говорить о монетизации атаки, стоит заняться моделированием угроз и вероятных нарушителей, чтобы понять, кто, как и зачем может атаковать объект. Если говорить про расчет показателей функциональной надежности систем управления и защиты, то здесь тоже не все так гладко. К сожалению, существующие методики расчета таких показателей не учитывают возможность реализации деструктивного кибервоздействия на компоненты систем. Пока этот вопрос не решается никак, так как решение лежит в области усовершенствования математического обеспечения при разработке систем. А этим ни эксплуатирующие, ни отраслевые проектные организации по состоянию на сегодняшний день не занимаются.

Ответственность за работу РЗА.
У специалистов в области автоматизации и РЗА есть устойчивое заблуждение, что внедрение наложенных средств за-щиты обязательно будет негативно влиять на технологические процессы, блокировать GOOSE-сообщения или команды телеуправления. С этим связан закономерный вопрос об ответственности специалистов по кибербезопасности. Безусловно, ответственность лежит на тех, кто эксплуатирует АСУ ТП и РЗА. Понимание серьезности этой ответственности есть и у специалистов по кибербезопасности. Но вместе с тем хотелось бы, чтобы специалисты по РЗА так же понимали, что общий уровень защищенности систем и объекта в целом может повышаться не только и, наверное, не столько за счет внедрения средств, способных блокировать трафик, пользователей или устройства. Повышение уровня защищенности системы или объекта достигается за счет реализации комплекса организационных и технических мер, причем технические меры определяются именно по принципу невмешательства в основные технологические процессы и функции управления. Такие средства не внедряются именно ввиду наличия высоких рисков нарушения штатных режимов работы систем. Что касается вывода о необходимости содержания дополнительного штата специалистов для круглосуточной работы по выявлению и ликвидации угроз. Сигнализировать дежурному персоналу на подстанции или диспетчеру в ЦУС о выявленных угрозах бесполезно. С этой информацией ему нечего делать, он ее не поймет и никаких действий на основе этой ин-формации он предпринимать не должен и не будет. Для этого действительно нужен один или два специалиста в ЦУСе. А вот для того чтобы устранять возникающие угрозы, требуется вовсе не штат новых сотрудников, а специалисты службы эксплуатации, которые обучены корректно реагировать на инциденты кибербезопасности и реализовывать адекватные меры противодействия.

Вопрос затрат на информационную безопасность.
Вопрос возврата инвестиций в строительство и стоимости владения ЦПС, пожалуй, один из основных. Необходимость снижения затрат на всех этапах жизненного цикла понятна и не обсуждается. Непонятны два момента:

1. Почему под «комплексом информационной безопасности» понимается именно техническая реализация такого комплекса в виде DATA-центра? Как уже упоминалось, комплексность обеспечения и управления кибербезопасностью заключается именно в балансе между организационных (в первую очередь), компенсирующих и технических (в последнюю очередь) мер. И ни для кого не секрет, что до 80% проблем, связанных с обеспечением защиты объектов, решается за счет именно организационных и компенсирующих мер.
2. В связи с чем подразумевается, что такой «комплекс» критически повысит стоимость ЦПС? Исходя из сказанного в предыдущем пункте, реализация основного объема защитных мер будет стоить предприятию ровно столько, сколько стоит изменение организационно-штатной структуры, должностных инструкций и прием на работу в ПМЭС нескольких человек с необходимой квалификацией

Заключение
Если не удастся сбалансировать стоимость обеспечения кибербезопасности и показатели надежности энергообъектов, вследствие чего не будет обеспечиваться планомерное повышение уровня защищенности объектов, то при весьма призрачных перспективах возврата к электро-механическим системам РЗА национальная энергосистема в течение нескольких лет придет к ситуации, аналогичной той, которую продемонстрировал десятиклассник в рамках PHD VI.

Илья Карпов

Positive Technologies

Угроза есть всегда, даже если она по каким-то причинам не очевидна. В последнее время не стихают споры о целесообразности, необходимости и применимости тех или иных решений по вопросам кибербезопасности. Здесь вполне уместно сравнение, например, с домашним компьютером или входной дверью в дом: каждый сам выбирает уровень защиты, исходя из собственного понимания окружающего мира и ценности данных или имущества. Оценка всегда субъективная, поэтому один человек ставит себе дверь с простыми замками, а другой — с более сложными, да еще и с сигнализацией. При этом уровень защиты его имущества будет напрямую зависеть от общей осведомленности в области безопасности и от жизненного опыта. Инцидентов, связанных с объектами электроэнергетики, действительно мало, но они все же есть (за 2015 год, скажем, зафиксированы десятки). К примеру, ежегодно подсчитывается количество инцидентов в разных отраслях промышленности, в том числе и в области электроэнергетики, в отчетах ICS CERT. На форуме Positive Hack Days уже не первый год демонстрируются взломы цифровой подстанции или объекта генерации. В этом году было продемонстрировано множество подходов и методик, и даже было доказано, что не слишком компетентный злоумышленник может оказать воздействие на серьезную систему, скачав пару программ из интернета. К сожалению, в наше время еще остались люди, которые считают, что с помощью физической защиты периметра можно лишить злоумышленника возможности попасть во внутреннюю критическую информационную сеть. Еще есть и те, кто полагает, что отсутствие подключения к интернету — достаточная мера защиты. История со Stuxnet, думаю, многим доказала обратное. В наши дни локальные внутренние сети вполне доступны для злоумышленников. И при выстраивании защиты объекта правильнее исходить из того, что у злоумышленника уже есть доступ в локальную сеть (и это не требует от него сколько-нибудь серьезных финансовых затрат). Это стоит принимать как факт. При этом неважно, о чем идет речь: об АЭС, ГЭС, о магистральной или распределительной подстанции. Разумеется, требуются специальные меры для защиты от кибератак. Например, нужен ли антивирус для домашнего компьютера? Если домашний компьютер выйдет из строя, то его, конечно, всегда можно заменить и ущерб будет минимален (соизмерим со стоимостью нового компьютера и временем на установку систем). А если речь идет об объекте инфраструктуры? Насколько быстро получится произвести замену? Злоумышленникам необходимы знания о промышленных протоколах, и нередко они прибегают к помощи специалистов (в том числе технологов и инженеров) из различных областей, включая АСУ ТП. В итоге в наше время чаще приходится говорить об организованных кибергруппировках, таких, например, как группа Dragonfly. Статистика показывает, что такого рода кибергруппировки успешно проникают в хорошо защищенные системы. И ва-рианты коммерциализации атак есть всегда. Помимо атак, наце-ленных на заработок, возможен террористический и политический подтекст. В последнее время появляется все больше эксплойтов для систем электроэнергетики, а это означает, что интерес злоумышленников к объектам критически важной инфраструктуры растет с каждым днем. Безусловно, грамотные организационные меры и их безукоризненное выполнение улучшат общую защищенность объектов электроэнергетики. Но абсолютной защищенности быть не может, и для злоумышленника всегда найдутся новые лазейки. Поэтому необходимо внедрять дополнительные средства мониторинга и защиты (конечно же, соизмеримые со степенью важности защищаемого объекта), улучшать защищенность самих программно-аппаратных средств (не только новых, но и старых).Недостаточно использовать минимальный комплекс средств защиты, рекомендованный производителем, к примеру. Общий уровень защищенности системы определяется по самому небезопасному компоненту. В области электроэнергетики чаще всего это РЗА. И если можно нарушить ее работоспособность отправкой пары байт данных, то очевидно, что это уязвимость, которую должны устранить разработчики данного компонента. И в дальнейшем следует принимать такие меры, чтобы данные воздействия нельзя было повторить. Но в настоящий момент такие атаки возможны и их приходится постоянно отслеживать, чтобы вовремя среагировать. Нельзя забывать и о том, куда движется энергетика в целом: в сторону современных экологичных управляемых систем распределения. В ближайшем будущем системы распределения должны начать поддерживать «поток электроэнергии» не только к потребителям, но и в обратном направлении, и даже между потребителями. И это одно из условий движения к прогрессивному будущему — с электротранспортом, умными сетями электроснабжения, энергоэффективностью и другими инновациями. Естественно, это связано с соответствующими затратами на обеспечение информационной безопасности, которые часто воспринимаются как слишком крупные и даже избыточные, что неверно. Как говорится, «безопасности много не бывает».

Алексей Дымшаков

Прософт Системы

На мой взгляд, вопросу кибербезопасности энергетических объектов и автоматизированных систем следует уделять особое внимание. Основной целью, которую необходимо по-ставить при решении данной проблемы, является обеспечение стабильного и надежного функционирования самих систем РЗА, АСУ ТП и др. при одновременном сокращении рисков и возможного ущерба. Угрозы кибератак, безусловно, существуют, но их вероятность и наносимый ими ущерб нужно оценивать применительно к каждой системе. Проведение такой оценки позволяет определить, какие конкретные защитные меры потребу-ются. Большое значение в деле обеспечения кибербезопасности имеет защита периметра сети энергообъекта (физической и информационной). В меньшей степени следует вмешиваться в работу самих устройств РЗА и АСУ ТП. Также сокращению рисков способствуют введение организационных мер, осуществление мониторинга сети системы АСУ ТП и периодический анализ защищенности. При таком подходе использование штатных средств в устройствах РЗА и АСУ ТП обеспечит требуемый уровень безопасности, не влияя при этом на надежность устройств. Применение дополнительных средств защиты, встраиваемых в эти устройства, значительно увеличит стоимость и усложнит конструкцию цифрового оборудования, потребует дополни-тельного обучения специалистов, что в общем приведет к увеличению риска сбоев и отказов работы устройств РЗА и АСУ ТП. Таким образом, необходимо защищать системы в целом, а не усложнять отдельные устройства. Эти меры повысят общий уровень кибербезопасности систем, не снижая надеж-ность их отдельных элементов.

Карлос Родригез дел Кастилло

Red Electrica de Espana

Как показывает практика последних лет, кибератаки стали представлять серьезную угрозу для подстанций. Мы можем изолировать системы подстанции от внешней среды, пресекая таким образом саму возможность цифровых атак, но это идет вразрез с современным подходом к решению проблем. Для обеспечения тщательного контроля за работой объекта нам необходимо иметь доступ к оборудованию извне, и в этом случае киберугрозы становятся неизбежным злом. Отталкиваясь от особенностей конфигурации вашей сети и периметра безопасности, определенного для доступа к цифровым системам подстанции, вы можете выполнить ряд конкретных мероприятий по снижению рисков: например, использование частной сети и ведение тщательного контроля доступа со стороны определенных машин и пользователей. Однако в конечном итоге кибербезопасность системы зависит от политики электроэнергетического предприятия и от того, как оно управляет своими активами. Программа защиты от кибератак должна быть детально проработана и адаптирована под конкретный защищаемый объект. Требуется выявить все уязвимые места, а также обеспечить качественный контроль обновлений для системы безопасности устройств. Интерактивная диагностика систем может быть использована для отслеживания возможных атак, за которым должно последовать принятие мер по уменьшению степени воздействия, зависящих от уровня уязвимости системы. Особые меры необходимы в том случае, если объект применяет сеть общего пользования для доступа к системе. Они будут отличаться от мероприятий, используемых на объекте с частной сетью и крайне ограниченным внешним доступом.