В рубрику "Управление" | К списку рубрик | К списку авторов | К списку публикаций
Ю.М. Надеждин
начальник отдела службы безопасности ОАО "Московский НПЗ"
РОСТ автоматизации процессов промышленных предприятий, активное внедрение современных информационных технологий привели к значительному увеличению объемов информационной среды предприятий, и как следствие, к многократному возрастанию рисков, связанных с утечкой, потерей или порчей информации.
Вопросы обеспечения безопасности информационной среды актуальны и для предприятий нефтеперерабатывающей отрасли.
Безопасность -единое целое
Осознанный подход к созданию системы обеспечения информационной безопасности (ИБ) нефтеперерабатывающего завода как опасного производственного объекта (ОПО) позволяет гарантированно решать задачи по управлению деловыми процессами на предприятии.
Здесь необходимо учесть два направления защиты:
1)от несанкционированного доступа к категорированной информации;
2)обеспечение безопасности значимой для предприятия той или иной операции или документа.
Второе направление защиты базируется на понимании важных для ОПО принципов:
Особенности обеспечения ИБ НПЗ заключаются в комплексном подходе к защите информационной среды, включающем в себя три направления:
Система обеспечения информационной безопасности (СОИБ) сможет эффективно функционировать, только являясь составным элементом комплексной интегрированной системы обеспечения безопасности предприятия (КИСОБ). Она должна обеспечивать процессы или действия, имеющие своим результатом целостность; объединение, соединение, восстановление единства; комплексный подход к автоматизации проектирования, производства и создания информационных сетей предприятия.
Именно комплексный подход к обеспечению ИБ позволяет использовать для этих целей уже эксплуатируемые на заводе системы физической безопасности (систему охранной сигнализации, систему контроля и управления доступом, систему охраны локальных зон), системы коммерческого учета, системы промышленной безопасности.
Обеспечение целостности информации - приоритетное направление обеспечения ИБ на нефтеперерабатывающем заводе.
К объектам защиты информации предприятия следует относить:
Обеспечение ИБ всех вышеуказанных объектов создает условия надежного функционирования предприятия.
Если с обеспечением режима коммерческой тайны практически все понятно - здесь достаточно много типовых решений, направленных на предотвращение несанкционированного доступа (НСД) к категорированной информации, -то вопрос обеспечения устойчивости управления производственными процессами можно решить только комплексно.
Иными словами, при решении задач защиты информации управления необходимо предусматривать все направления защиты, обеспечивающие целостность, достоверность управляющих сигналов.
Достигнуть этого возможно, только если обеспечена безопасность на стадии формирования, передачи, обработки сигналов управления. Это предполагает надежность работы серверов АСУ ТП, АРМ операторов технологических установок, гарантированную работу каналов и оборудования передачи данных, их обязательное резервирование, постоянный контроль за работоспособностью подсистем и системы АСУ ТП в целом.
В чрезвычайных условиях
Говоря об особенностях обеспечения ИБ в условиях ЧС, следует отметить, что наиболее уязвимыми объектами в этом случае являются система сбора и обработки информации о развитии ЧС и система принятия решений по оперативным действиям (реакциям), направленным на ликвидацию последствий, а также система сбора и обработки информации о возможных причинах возникновения ЧС.
Особое значение для нормального функционирования этих систем имеет устойчивость разрушения вследствие аварий, катастроф и стихийных бедствий информационной инфраструктуры (центров сбора и анализа информации, технических средств обработки и передачи информации, систем телекоммуникации и каналов связи). Эти события, а также задержка, искажения и разрушение оперативной информации, НСД к ней отдельных лиц или групп людей могут привести к тяжелым последствиям.
Особенностью информационного воздействия в условиях ЧС является приведение в движение больших масс людей, испытывающих психический стресс, быстрое распространение панических слухов, ложной или недостоверной информации.
К специфическим для данной сферы направлениям обеспечения ИБ относятся:
Для обеспечения выполнения столь многогранных требований безопасности СОИБ должна удовлетворять определенным условиям:
Защиту следует обеспечивать:
Практический опыт показывает целесообразность создания СОИБ на основе комплекса программно-технических средств (КПТС), включающего в себя программно-аппаратные средства и организационно-технические мероприятия.
Программно-аппаратные средства должны обеспечивать:
Принципы
Организационно-технические мероприятия должны обеспечивать соблюдение следующих принципов:
1.Оптимизация конфигурации, а также настроек программного и аппаратного обеспечения с целью недопущения превышения максимальной нагрузки на серверы сети КИСБ, поддерживающих работоспособность системы.
2.Резервное копирование.
3.Резервирование отдельных фрагментов ЛВС.
4.Применение источников бесперебойного питания.
5.Минимизация привилегий -выделение пользователям и администраторам только тех прав доступа, которые необходимы им для выполнения своих служебных обязанностей. Возникает необходимость разделения функций администратора системы и администратора безопасности между разными людьми.
6.Распределение обязанностей - распределение ответственности и ролей, при котором каждый из элементов сети не может нарушить критически важный для организации процесс.
7.Контроль за посещением пользователями ЛВС определенных (враждебных или нежелательных) узлов в Интернете.
Таким образом, главная задача СОИБ - гарантированно препятствовать любым попыткам воздействия на электронные элементы и программное обеспечение информационно-технических систем, эксплуатируемых на предприятии, обеспечивать надежность, устойчивость и живучесть систем в целом, оперативность реакции на любые попытки нарушения целостности информации, организацию процессов локализации выявленных попыток несанкционированного и непреднамеренного воздействия.
Опубликовано: Журнал "Information Security/ Информационная безопасность" #5, 2006