Защищённость АСУ ТП: между «бумажной» и реальной безопасностью
Автор: Петухов Олег Анатольевич, эксперт по информационной безопасности, руководитель юридической компании ЛЕГАС
Сайт: legascom.ru
Email: petukhov@legascom.ru
Кибербезопасность АСУ ТП сегодня - это не только про технологии и средства защиты, но и про трактовки, границы ответственности и реальные процессы на производстве. В статье - о том, где проходит грань между формальным соответствием требованиям и настоящей защищённостью, какие противоречия сильнее всего мешают защите, и что действительно снижает риски на промышленных объектах.
«Бумажная» безопасность против реальной защиты
Долгое время фокус в защите АСУ ТП был на выполнении нормативных требований: категорировании объектов КИИ, подготовке документов, закрытии «бумажных» вопросов. Сейчас вектор постепенно смещается в сторону доказательств реальной безопасности: мониторинга трафика, микросегментации, контроля целостности ПО.
При этом инерция остаётся сильной: многие компании закрывают требования регуляторов, но не выстраивают полноценную защиту. Важный драйвер изменений - рост числа атак: примерно треть из них приводит к нарушению основной деятельности предприятия. Это заставляет бизнес смотреть на ИБ шире, чем просто как на соответствие приказам.
Ключевой запрос рынка - переход от формального соблюдения требований к управлению рисками на основе данных. Безопасность должна строиться на полной наблюдаемости технологической сети, понимании контекста и экспертизе по актуальным угрозам.
Где самые острые противоречия: архитектура или эксплуатация?
Наиболее серьёзные расхождения наблюдаются не между регуляторикой и архитектурой, а между архитектурой и реальной эксплуатацией. Даже если архитектура предусматривает изоляцию сетей, строгий контроль USB‑носителей и обновлений, на практике часто встречаются:
подключение ноутбуков и флешек к АРМ управления;
откладывание обновлений ради сокращения простоев;
простые и общие пароли для учётных записей операторов.
Преодолеть этот разрыв технически сложнее, чем согласовать формулировки с регулятором. Основная сложность - адаптировать зрелые практики ИБ под конкретный техпроцесс, чтобы подсистема безопасности не мешала производству.
Централизация управления: риск или удобство?
Идея единой централизованной системы для управления логикой АСУ ТП на всём предприятии несёт критические риски:
Единая точка отказа. Компрометация такого узла может остановить всё производство.
Несовместимость с разнородными контроллерами. На крупных объектах (например, НПЗ) обычно используют 2–3 АСУ ТП разных производителей - это связано с разнообразием техпроцессов и квалификацией операторов.
Увеличение поверхности атаки. Один крупный узел становится приоритетной целью для злоумышленников.
Вместо тотальной централизации отрасль движется в сторону изоляции, принципа нулевого доверия и сегментации сети. Эффективнее гибридный подход:
локальные ПЛК с автономным исполнением критических функций;
физическая сегментация и изоляция контура управления;
центральная система - только для мониторинга, сигнализации и некритичных команд.
Такой подход соответствует принципам эшелонированной защиты и живучести.
Контроль изменений в OT: безопасность или эксплуатация?
Контроль изменений - это вопрос и эксплуатации, и ИБ. С точки зрения эксплуатации изменения связаны с обновлением техрегламентов, дооснащением и модернизацией. Для ИБ важно, чтобы любое изменение не создало уязвимость.
На практике процессы часто разделены: инвентаризация и контроль изменений остаются в ведении эксплуатации, а ИБ подключается эпизодически. Это создаёт риски: несогласованное обновление ПЛК или правка логики может незаметно отключить защитные механизмы.
Зрелый подход - общий контур Change Management для ИБ и эксплуатации:
Фиксируется «безопасное» стационарное состояние (конфигурации, прошивки, сетевые правила).
Контролируются все попытки изменений.
Каждое изменение проходит согласование и оценку рисков.
Ведётся журнал изменений с привязкой к инцидентам и аудитам.
Такой подход позволяет рассматривать изменения не как помеху, а как основной рычаг управления рисками в OT.
Проблемы наблюдаемости: «не видим» или «видим слишком много»?
На промышленных объектах встречаются обе проблемы, и они часто идут вместе:
«Не видим». Нет целостной картины активов, сетевых коммуникаций и состояния систем. Данные разрознены по разным системам, нет единого контекста.
«Видим слишком много, но не понимаем». Поток событий (SIEM, датчики, логи ПЛК) огромен, но отсутствует модель нормального поведения техпроцесса. В результате команда тонет в алертах, а важные сигналы теряются.
Решение - двухэтапное:
Базовая наблюдаемость. Инвентаризация активов, фиксация топологии сети, сбор ключевых метрик и событий.
Контекст и приоритизация. Связка событий с техпроцессом, понимание, какие отклонения реально угрожают производству, и фильтрация шума.
Цель - система, которая не просто показывает события, а помогает ответить: что реально угрожает процессу здесь и сейчас.
Распространённые заблуждения архитекторов ИБ в промышленности
Среди самых частых самообманов:
«Внедрили СЗИ - значит, защищены». Наличие средств защиты не гарантирует безопасность, если они не применяются и не контролируются в эксплуатации.
«АСУ ТП статична, угрозы пересматриваем раз в несколько лет». OT‑системы меняются медленно, но ландшафт угроз - быстро. Модели рисков нужно актуализировать регулярно.
Перенос ИТ‑подходов без адаптации. В промышленности приоритет - безопасность людей и непрерывность техпроцесса, это меняет требования к любым ИБ‑решениям.
«Красивая схема архитектуры = защита объекта». В промышленности архитектура - это гипотеза защиты, а её проверку даёт реальная эксплуатация и контроль изменений.
Роль регуляторов в безопасности АСУ ТП
Регуляторика (187‑ФЗ, приказы ФСТЭК России, ГОСТы) задаёт базовый каркас, без которого многие объекты вообще не начинали бы работу по защите. Для значительной части предприятий требования регулятора - ключевой драйвер внедрения мер ИБ.
Если отменить все регуляторные требования, уровень защищённости в среднем резко упадёт. Без внешнего стимула многие компании сократят защиту до минимума, ориентируясь только на экономику. Исключения - объекты, где аварии уже приводили к многомиллионным потерям: там ИБ воспринимается как фактор устойчивости производства.
В перспективе цифровизация будет усиливать этот тренд: рост эффективности увеличивает поверхность атаки, и бизнес начнёт воспринимать ИБ как часть управления непрерывностью. Но пока регулятор остаётся главным фактором, который удерживает отрасль от откатывания к «лишь бы работало».
Главный вывод
Защищённость АСУ ТП - это не набор СЗИ и не папка с документами, а управляемый процесс, который учитывает специфику производства и реальные риски. Эффективная защита строится на трёх китах:
Сегментация и изоляция - чтобы ограничить распространение инцидента.
Контроль изменений и целостность среды - чтобы не допустить появления уязвимостей.
Наблюдаемость и приоритизация рисков - чтобы видеть реальные угрозы и реагировать на них.
Только такой комплексный подход позволяет совместить требования регуляторов, нужды эксплуатации и реальную киберустойчивость промышленного предприятия.
