ИБ АСУ ТП: тайна начала проекта

Тем не менее, несмотря на уже ставшую понятной рынку актуальность проблемы, одним из ключевых вопросов на конференциях и других профильных мероприятиях (да и просто в беседах специалистов между собой) остается причина старта проектов ИБ АСУ ТП в промышленных компаниях. Казалось бы, тема актуальная, и защищать технологический сегмент, безусловно, надо. Но в каждой компании, подошедшей вплотную к решению этой задачи, история возникновения такого интереса очень индивидуальна.

Закон не писан

Зная особенности нашего менталитета, логичным является предположение о том, что основным драйвером должны являться регуляторы. Однако, к сожалению, на текущий момент законодательная база так и не пополнилась соответствующими требованиями по безопасности КВО – мы все ждем вступления в силу соответствующего законопроекта с начала 2014 г. Помимо этого, еще в середине 2015 г. представителями ФСТЭК были озвучены планы по разработке четырех новых документов в дополнение к 31-му приказу, которые должны внести большую конкретику. Что ж, год только наступил, и нам пока остается ждать. Тем временем многие компании мотивируют нежелание заниматься проблемами ИБ своих промышленных объектов именно отсутствием жестких требований со стороны государства.

Проект на опережение

Единичные компании запустили проекты по ИБ АСУ ТП, основываясь на серьезной озабоченности рисками, которые несет в себе угроза атак со стороны "хактивистов" и конкурентов. Основным опасением является размер ущерба, который может понести компания при атаке даже со стороны слабо подготовленного специалиста по взлому.

Как показывает практика, квалифицированному хакеру достаточно непродолжительного времени, чтоб разобраться в основах специфики промышленных сетей и решений, чтоб получить нелегитимный доступ к слабозащищенной инфраструктуре предприятия и нарушить его работоспособность. Ломать – не строить.

А мы чем хуже?..

Однако чаще всего от представителей компаний можно услышать, что инициатива старта проекта пошла от топ-менеджмента компании, почувствовавшего модные веяния на тему ИБ промышленности на различных западных конгрессах либо тенденции к повышенному вниманию со стороны руководства страны. И на основании этого проекты действительно стартуют! Представителям служб ИБ приходится разбираться с незнакомой до этого спецификой промышленного сегмента предприятия – многие ранее занимались только "корпоративной" безопасностью. Налаживаются контакты между службами ИБ, ИТ и тех. эксплуатации – именно из них формируется, как правило, рабочая группа по проекту.

Вывод

Безусловно, то, что от теоретических разговоров об информационной безопасности промышленности компании начинают переходить к реальным делам, – уже положительный результат. Даже несмотря на своеобразность причин. Стоит отметить, что проекты по данному направлению почти всегда проходят сложно, долго и дорого. К сожалению, многие компании, даже при соответствующем желании со стороны специалистов службы ИБ, еще не могут себе позволить выделить существенные средства, требуемые для решения данной задачи. А топ-менеджменту в большинстве случаев пока все еще сложно доказать, что сценарии популярных фантастических фильмов про крах компаний, городов и целых стран по вине одного хакера уже стали суровой реальностью.