Ужесточение регуляторных требований (ФЗ-187, приказы ФСТЭК) и необходимость импортозамещения программного обеспечения требуют пересмотра традиционных подходов к построению систем защиты информации. Электростанции, являясь ключевыми объектами энергетической отрасли, относятся к объектам критической информационной инфраструктуры (КИИ), что требует тщательной проработки решений по защите информации.

В России продолжается рост числа кибератак на объекты КИИ. Так, согласно данным центра мониторинга RED Security, в 2024 году число кибер-инцидентов выросло в 2,5 раза в сравнении с 2023 годом и достигло 130 тысяч. В первом полугодии 2025 года число кибератак выросло еще на 27% и достигло 63 тысяч. Причем две трети из этих атак нацелены на объекты КИИ. Компания «Ракурс-инжиниринг» разработала собственную методику, позволяющую эффективно решать эти задачи.

Анализ текущей ситуации в области защиты АСУ ТП выявил следующие недостатки:

• формальное внедрение средств защиты, направленное исключительно на соответствие требованиям регуляторов;
• использование несертифицированного программного обеспечения, создающее риски эксплуатации уязвимостей;
• формирование системы защиты информации после создания автоматизированной системы управления технологическими процессами приводит к конфликтам функционирования, снижению надежности технологических процессов и возникновению неустранимых уязвимостей в архитектуре.

Указанных проблем можно избежать исключительно через изменение подхода к построению систем защиты. «Ракурс-инжиниринг» предлагает методику, в соответствии с которой защищенность информации является неотъемлемой составляющей проекта автоматизированной системы управления технологическими процессами, а не его дополнительным компонентом.

Ключевое отличие предлагаемого подхода заключается в реализации принципа «Защита на стадии проектирования». Это означает совместную работу специалистов по защите информации и технического руководителя проекта в рамках единого проектного цикла.

Практическая значимость:

1. Бесконфликтная интеграция. Архитектура защиты формируется параллельно с архитектурой управления, что исключает несовместимость и обеспечивает стабильность функционирования всех систем.
2. Оптимальная и эффективная сегментация сети. Логическое и физическое обособление сегментов автоматизированной системы управления технологическими процессами закладывается на стадии проектирования, а не реализуется впоследствии с использованием временных решений. Это существенно повышает результативность систем наблюдения и контроля.
3. Снижение совокупной стоимости владения. Отсутствие дорогостоящих переделок и временных решений в эксплуатируемой системе позволяет заказчику оптимизировать ресурсные затраты на протяжении всего жизненного цикла объекта.

Предлагаемая методика реализуется через внедрение комплекса взаимосвязанных решений, охватывающих все ключевые направления атак:

• аудит информационной безопасности и инструменты сканирования сети для обнаружения и предотвращения эксплуатации уязвимостей, своевременного патчинга;
• сегментация сети для лучшего контроля сетевого трафика и повышения эффективности систем кибербезопасности;
• межсетевые экраны и системы обнаружения и предотвращения вторжений (IDS/IPS) для защиты периметра сети, блокировки несанкционированного доступа и обнаружения потенциально вредоносного трафика;
• защита конечных точек антивирусными средствами для снижения риска заражения вредоносными программами и вирусами, шифрования информации, соблюдения соответствия политикам и регламентам ИБ;
• СЗИ от НСД для защиты стационарных и мобильных устройств от несанкционированного доступа, а также обеспечения соответствия требованиям регуляторов;
• системы управления доступом (IDM, PIM) для контроля жизненного цикла учетных записей и разграничения прав доступа к сегментам сети;
• SIEM системы для централизованного мониторинга информационной безопасности, сбора и анализа данных от инструментов кибербезопасности.

Компания последовательно реализует стратегию импортозамещения. Политика импортозамещения рассматривается не как административное ограничение, а как стратегический компонент повышения уровня защищенности. В реализуемых проектах «Ракурс-инжиниринг» осуществляет обоснованный выбор в пользу отечественных сертифицированных решений, что в свою очередь позволяет:

• гарантировать полное соответствие требованиям регуляторов;
• исключить риски, связанные с ограничительными мерами и скрытыми уязвимостями в программном обеспечении иностранного производства;
• обеспечить оперативную техническую поддержку и адаптацию продуктов под специфику российских объектов критической информационной инфраструктуры.

Реализованные проекты и опыт внедрения

Методика «Ракурс-инжиниринг» успешно апробирована в ряде проектов. Так можно привести в качестве примера один из наших недавних проектов.

В рамках работы над этим проектом Заказчик установил требование, чтобы при разработке сегмента АСУ ТП «Ракурс-инжиниринг» руководствовался типовым решением для схемы АСУ ТП. Применение типовой схемы реализации предполагает использование тонких клиентов — маломощных машин, которые изолированы от основной сети и позволяют использовать SCADA с пульта оператора. При этом рабочие станции, которые выполняют работу, находятся в отдельном защищенном помещении. С точки зрения проектирования АСУ ТП адаптированная под Заказчика схема показала высокую производительность и отказоустойчивость. Для многих компаний проделанной работы по проектированию было бы достаточно.

Но для нашей компании данный этап работ по проектированию схемы АСУ ТП не был конечным. Разработанное решение должно обеспечивать безопасность информации, что включает в себя применение средств защиты информации (СЗИ). Поэтому мы приступили к анализу совместимости разработанного решения с требуемыми средствами.

В ходе анализа разработанного решения наши специалисты выявили следующую проблему: отделение тонких клиентов от локальной сети не позволяет реализовать централизованное управление. Нет возможности оперативно обновлять антивирусную защиту, собирать данные для SIEM систем, выполнять резервирование тонкого клиента.

Подход нашей компании проявил себя в том, что данная проблема была обнаружена на этапе проектирования. Это дало нам достаточный запас времени для разработки вариантов решения, которые позволяли найти самый оптимальный подход к решению проблемы, без существенного увеличения затрат, среди предложенных вариантов решения были в том числе:

• полный отказ от применения тонких клиентов, это требовало переработки структуры сети, но решало проблемы с централизованным управлением системами безопасности;
• изменение схемы информационного взаимодействия элементов АСУ ТП, отказ от полной изоляции тонких клиентов и включение их в общую сеть;
• изменение стратегии обеспечения безопасности, что включает, в частности, применение альтернативных методов защиты информации на тонких клиентах.

По итогам обсуждения с Заказчиком был выбран вариант с изменением стратегии защиты тонких клиентов. В нашем случае тонкие клиенты были еще более ограничены в своем функционале с применением средств изоляции доступа к системе (применение «киоска», опломбирование портов). При этом установленная система теперь имела возможность только подключаться к клиенту SCADA. Эти и другие принятые решения в сочетании с организационными мерами смогли полностью обеспечить информационную безопасность системы и удовлетворить требования регулятора.

Из приведенного примера видно, что применение методики позволило:

• избежать лишних трат на оборудование для обеспечения информационной безопасности, мы заранее определили конфликтные места между АСУ ТП и системой обеспечения безопасности, что позволило сразу определить потребности в СЗИ;
• избежать конфликтов между СЗИ и АСУ ТП, которые могли сказаться на работе системы, нам не пришлось выбирать между защитой информации и работоспособностью системы;
• обеспечить полное соответствие требованиям ФСТЭК;
• защитить систему не только формально, но и на практике.

Методика «Ракурс-инжиниринг» демонстрирует высокую эффективность в обеспечении информационной безопасности АСУ ТП электростанций. Комплексный подход, основанный на интеграции защиты с самых ранних этапов, позволяет создавать сбалансированные и надежные системы защиты. Дальнейшее развитие методики предусматривает адаптацию к новым вызовам в области кибербезопасности и расширение арсенала защитных мер.

Максим ДОРОФЕЕВ, специалист по защите информации «Ракурс-инжиниринг»