Николай ДомуховскийГлавный инженер ДСИ

ООО «УЦСБ»

Построение комплексной системы обеспечения ИБ АСУ ТП

Комплексный подход к обеспечению ИБ

Система обеспечения ИБ АСУ ТП

Организационная основаЭксплуатация средств и систем защиты информацииКонтроль выполнения требований

Документальная основаСтандарты и организационно-распорядительные документы по обеспечению ИБТребования по созданию и эксплуатации АСУ ТП

Техническая основаСоздание комплексной системы защиты информации

Структура процессов обеспечения ИБ

Идентификация и аутентификация

субъектов доступа

Регистрация событий ИБ

Обеспечение целостности

Управление персоналом

Управление инцидентами ИБ

Обеспечение сетевой

безопасности

Контроль защищенности

Обеспечение непрерывности

функционирования

Защита от вредоносного

кода

Криптографическая защита

Управление СрЗИ

Управление доступом

Управление событиями

ИБ

Управление активами

Управление рисками

Управление непрерывностью

Контроль соответствия требованиям ИБ

Процессы защиты информации

Стратегические процессы управления ИБ

Тактические процессы управления ИБ

Контроль подключения

устройств

Управление обновлениями

Общая структура организационной основы

Процессы управления ИБ

Оперативные процессы управления ИБ

Процессы защиты информации

Подразделение эксплуатации

• Эксплуатация СрЗИ• Назначение и контроль прав

доступа и полномочий• Оперативный учет событий ИБ• Управление резервированием и

восстановлением СрЗИ• Оповещение подразделения ИБ

• Контроль выполнения федеральных, отраслевых и корпоративных требований по обеспечению ИБ

• Формирование требований к обеспечению ИБ в информационных системах

• Расследование инцидентов ИБ

Подразделение ИБ

Документальная основа обеспечения ИБ

Политика ИБ

Правила и процедуры процессов обеспечения

ИБ

Правила и процедуры процессов обеспечения

ИБ

Инструкции Журналы учета Реестры

Техническая основа обеспечения ИБ. Стадии создания

Предпроектноеобследование

Вводвдействие

Проектнаядокументация

Формированиетребований

Предпроектное обследование

ИсследованиеАСУТП

Классификацияобъектовзащиты

Контрользащищенности

По отношению к границам КЗ:

• в пределах КЗ• за пределами КЗ

По техническому уровню:

• релейные• с использованием

СВТ• микропроцессорные

По составу функций:• информационные• управляющие• противоаварийной

защиты

По режиму работы:• автоматические• автоматизированные

По степени интеграции:• изолированные• интегрированные

По технологиям передачи данных:

• Физические линии• Точка-точка• Коммутация пакетов

Формирование требований

АктуальныеугрозыИБ

Результатыклассификации

Стратегиязащиты

Техническаявозможность

Внешниетребования

Экономическаяэффективность

Построение комплексного решенияТехническиемерызащитыинформацииреализуютсяпосредствомприменениясредствзащитыинформации,имеющихнеобходимыефункциибезопасности.Вкачествесредствзащитыинформациивпервуюочередьподлежатрассмотрениюмеханизмызащиты(параметрынастройки)штатногопрограммногообеспеченияавтоматизированнойсистемыуправленияприихналичии

ПриказФСТЭКРоссииот14.03.2014№31

КСПД

Подготовка

Стратегии защиты

Реализация Нанесениеущерба

Проактивнаязащита Активнаязащита Реактивнаязащита

-10-

• Наиболеекритичноевлияниенаобъектзащиты

• Мерыиметодымаксимальнозависятоттехнологийобъектазащиты

• Степеньвлияниянаобъектзащитыминимальна

• Естьвозможностьиспользованиясхожихсредстввразныхсистемах(SIEM,IDSипр.)

• Достаточноубедиться,чтовсеужесделаноприпостроениисамойсистемыавтоматизации

Построение комплексного решенияРазработкатиповойархитектуры

системызащитыдляклассаАСУ(САУ,АСДУ,АСУЭипр.)

РазработкастандартабезопасностиотдельныхкомпонентовАСУ(ОС,

SCADA,АСО,ПЛК)

Разработкамероприятийпореализациистандартабезопасности:безопаснаяконфигурация,порядок

использования,внешниеСрЗИ

Унификацияподходов

Автоматизац

ия

метод

овкон

трол

я

Безопасность – процесс, а не продукт

УправлениеИБ

Подготовка,планирование Проектирование

Вводвдействие,модернизация

Постояннаяэксплуатация

Аудит

Консалтинг

Моделирование,подборрешений Разработка

архитектуры

Разработкапроектнойдокументации

Обучение

РазработкапакетаОРД

Инсталляция

Оценкасоответствия

Сопровождение

Техническоеобслуживание

• 1/3 всехмерПриказа31реализуетсянастадииэксплуатацииАСУТП/СОИБАСУТП

• ~40% мерПриказа31реализуютсяорганизационно(т.е.путемразработкисоответствующихдокументовиназначенияответственныхзареализациюмероприятий)

Благодарю за внимание!

Николай ДомуховскийООО «УЦСБ»620100, Екатеринбург, ул. Ткачей, д.6Тел.: +7 (343) 379-98-34Факс: +7 (343) 382-05-63info@ussc.ruwww.USSC.ru