Обеспечение информационной безопасности в ходе интеграции предприятий машиностроения в контур промышленности России

В обеспечении информационной безопасности предприятий машиностроения и ОПК существует ряд особенностей. Их критическая значимость резко вырастает, когда речь идет о предприятиях, находящихся на новых территориях. Важно осуществлять интеграцию новых промышленных объектов в контур РФ с соблюдением всех законов и нормативов, учитывающих критическую значимость данных, представляющих интерес для конкурентов и внешних разведок.

В единый контур машиностроения Российской Федерации входят очень большие направления, такие как станкостроение, химическая, электротехническая, энергетическая, металлургическая, сельскохозяйственная, электронная промышленность, тракторостроение, приборостроение, авиастроение, судостроение, автомобилестроение. и во всех этих промышленных производствах имеется та информация, которая требует защиты.

Информационная безопасность должна обеспечивать защиту от несанкционированного действия, утечек и изменения данных. По сути, это оборонительная функция, и это подразумевает, что нападающая сторона будет постоянно искать новые пути решения своих противозаконных планов и развиваться.

Предприятия машиностроения, находящиеся в собственности государства или выполняющие гособоронзаказ, в полной мере выполняют мероприятия по информационной безопасности согласно требованиям регуляторов и ГОСТов. На остальных предприятиях ИБ-специалисты сначала должны доказать акционерам необходимость информационной безопасности в качестве значимого направления деятельности. Даже когда получается обратить внимание на данное направление, возникает вопрос выделения финансирования на информационную безопасность. И на этом этапе многие ИБ-специалисты начинают спотыкаться, потому что не могут должным образом донести информацию до акционеров.

Финансирование задач по информационной безопасности

Любой собственник, генеральный директор распределяет бюджет, исходя из общего валового дохода, стоимости возможных потерь и требуемой суммы на ИБ, которая должна быть как можно меньше. И еще надо суметь доказать, что что-то может произойти или случиться, если не будет должным образом защищено.

Если специалисты информационной безопасности будут обладать достаточно высокой квалификацией, будут максимально погружены в процессы производства машиностроения, то они найдут единые точки соприкосновения информационной безопасности с промышленной безопасностью, охраной труда и кибербезопасностью.

Практически любой сложный станок производственных и прокатных линий произведен за рубежом и имеет сложную программную начинку с закрытым кодом. Многие сложные производственные изделия имеют функцию гарантийной и сервисной поддержки по сети "Интернет", что создает дополнительные открытые каналы, выходящие за периметр защищаемого контура.

На вопрос о том, какое отношение имеет промышленная безопасность, охрана труда и кибербезопасность к информационной безопасности, могу ответить, что в соответствии с Федеральным законом от 26.07.2017 г. № 197-ФЗ "О безопасности критической информационной инфраструктуры Российской Федерации" значимость объектов КИИ определяется степенью угроз, которые могут вызвать на объектах промышленности аварии, взрывы, тем, какие могут быть человеческие жертвы и финансовые потери. Это означает, что специалисты по информационной безопасности априори должны обладать знаниями и пониманием всех основных производственных процессов еще на этапе категорирования объектов КИИ, разработки модели угроз, модели нарушителя и создания системы информационной безопасности, которая окажется достаточной для защиты объектов КИИ.

Введение в единый контур машиностроения предприятий на новых территориях

При рассмотрении вопроса введения в единый контур машиностроения Российской Федерации предприятий на новых территориях мы должны понимать, что за период распада СССР и "свободного плавания" предприятий под определенным контролем европейских стран на данных предприятиях производственные процессы и системы информационной безопасности подстраивались в большей или меньшей степени под европейские стандарты.

Необходимо учитывать текущую геополитическую обстановку и ее предысторию, чтобы понять сущность потенциальных угроз, если речь идет об информационной безопасности. известно, что информационные войны наносят не меньший ущерб, чем прямые военные конфликты.

Руководство Российской Федерации начинает активно заниматься восстановлением инфраструктуры городов и промышленности на новых территориях. На территориях, граничащих с Европой, еще недавно создавались военные базы, иностранные инвестиции позволяли строить и восстанавливать советские промышленные предприятия. Естественно, на многие объекты допускались иностранные технические специалисты, истинные намерения которых никто не может знать точно.

Какие-то предприятия, которые не окажутся фатально поврежденными в ходе проведения СВО, будут вновь восстанавливаться, дорабатываться до российских стандартов, входить в существующий контур промышленности России, а какие-то предприятия будут отстраиваться с нуля.

В ходе интеграции предприятий в единый контур промышленности РФ у их руководства будут возникать много дополнительных задач по безопасности, включая такие, как:

• обеспечение информационной безопасности, в соответствии с доктриной информационной безопасности Российской Федерации, утвержденной Указом Президента РФ № 646 от 2016 г.;
• обеспечение противодействия иностранным техническим разведкам и технической защиты информации, содержащей сведения, составляющие государственную тайну, согласно положению (закрытый документ), утвержденному в Российской Федерации на тех предприятиях, где требуется защиты государственной тайны.

Способы защиты информации (ГОСТ Р-50922–2006 "Защита информации")

Если мы рассмотрим способы защиты информации, то, согласно ГОСТ Р-50922–2006 "Защита информации" они будут включать в себя следующие:

• защита информации от утечки (защита от неконтролированного распространения защищаемой информации в результате ее разглашения и несанкционированного доступа к ней, а также исключение получения защищаемой информации разведками и другими заинтересованными субъектами);
• защита информации от несанкционированного действия (предотвращение несанкционированного доступа и воздействия на защищаемую информацию с нарушением установленных прав и прав на изменение информации, приводящих к разрушению, уничтожению, искажению, сбою в работе, незаконному перехвату и копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации) регулируется действием ГОСТ Р 50739-95 от 1996 г. "Средства вычислительной техники. защита от несанкционированного доступа к информации. Общие технические требования";
• защита информации от непреднамеренного воздействия (предотвращение воздействия на защищаемую информацию, ошибок ее пользователя, сбоя технических программных средств информационных систем, природных явлений или иных целенаправленных на изменение информации событий, приводящих к искажению, уничтожению, копированию, блокированию доступа к информации, а также к утрате, уничтожению или сбою функционирования носителя информации) в том числе регулируется ГОСТ Р 58412–2019 "защита информации. Разработка безопасного программного продукта. Угрозы безопасности информации при разработке программного продукта";
• защита информации от разглашения (предотвращение несанкционированного доведения защищаемой информации до заинтересованных субъектов, не имеющих права доступа к этой информации) регулируется действием ГОСТ Р 58833–2020 "Защита информации. идентификация и аутентификация";
• защита информации от несанкционированного доступа (предотвращение несанкционированного доведения защищаемой информации заинтересованными субъектами с нарушением установленных нормативными и правовыми документами или обладателями информации прав или правил разграничения доступа к защищаемой информации) регулируется действием ГОСТ Р 58833–2020 "Защита информации. идентификация и аутентификация";
• защита информации от преднамеренного воздействия (предотвращение преднамеренного воздействия, в том числе электромагнитного и воздействия другой физической природы, осуществляемого в террористических или криминальных целях) регулируется действием ГОСТ Р 56103–2014 "Защита информации. автоматизированные системы в защищенном исполнении. Организация и содержание работ по защите от преднамеренных силовых электромагнитных воздействий";
• защита информации от иностранной разведки (предотвращение получения защищаемой информации иностранной разведкой) (ГОСТ РВ, закрытый).

Пример промышленной системы автоматизации и управления

Угрозы, связанные с оборудованием и с персоналом

В ходе ввода в эксплуатацию объектов промышленности на новых территориях руководству предприятий потребуется решать следующие важные вопросы:

• ввод в эксплуатацию технических, технологических, информационных и других устройств, как ранее эксплуатировавшихся на предприятии, так и вновь установленных;
• набор рабочего персонала на предприятие.

Защита от недекларированных возможностей оборудования

Учитывая, что ранее установленное оборудование, возможно, имело закладные элементы с функцией недекларированных возможностей, в том числе ведения шпионажа, напрашиваются такие решения, как либо замена установленных технических средств, либо проведение специальных проверок на наличие устройств негласного получения информации. Недекларированные возможности – функциональные возможности ПО, не описанные или не соответствующие описанным в документации, при использовании которых возможно нарушение конфиденциальности, доступности или целостности обрабатываемой информации.

Реализацией недекларированных возможностей, в частности, являются программные закладки. данные мероприятия требуют значительных материальных и временных затрат, но вред, который могут нанести программные и аппаратно-программные комплексы, может быть на порядки больше.

Особенности подбора персонала

Вторым по значимости вопросом, относящимся к проблематике информационной безопасности, является подбор персонала. Учитывая потенциальную вербовку и обучение агентурной деятельности граждан новых территорий, набор на предприятия требуется осуществлять в тесном взаимодействии не только со службами безопасности предприятия, но и со специальными службами Российской Федерации, имеющими более широкие полномочия и возможности по проверке персонала.

После осуществления вышеуказанных мероприятий в работу вступают работники подразделений по информационной безопасности, по противодействию иностранным техническим разведкам и технической защите информации на предприятиях. На них возлагаются задачи технической защиты информации, содержащей сведения, составляющие служебную, коммерческую или государственную тайну.

Набор специалистов в данные подразделения обычно осуществляется после проверочных мероприятий согласно постановлению Правительства Российской Федерации от 07.03.2024 г. № 132 "Об утверждении Правил допуска должностных лиц и граждан Российской Федерации к государственной тайне". В данном постановлении упрощена процедура допуска лиц, назначаемых в подразделения по защите государственной тайны.

В старом постановлении Правительства Российской Федерации от 06.02.2010 г. № 63, ст. 61, п. а) переоформление допуска к государственной тайне (с проведением органами безопасности проверочных мероприятий), независимо от срока действия допуска, производится в случае "приема граждан на работу (службу), назначения на должность в структурные подразделения по защите государственной тайны, за исключением случая перевода граждан из одного структурного подразделения по защите государственной тайны в другое в рамках одной организации".

В новом постановлении правительства эта формулировка отображена в ст. 63, п. а): "…гражданам, в том числе постоянно работающим в организации, допуск к государственной тайне переоформляется независимо от срока действия в следующих случаях: возложение на гражданина функций структурного подразделения по защите государственной тайны, прием граждан на работу (службу), назначение на должность в структурные подразделения по защите государственной тайны, за исключением случая перехода гражданина из одного структурного подразделения по защите государственной тайны в другое".

Система информационной безопасности предприятия

Контур системы информационной безопасности может включать в себя следующие компоненты:

• систему обнаружения вторжения (СОВ);
• DLP;
• средства виртуализации и облачные сервисы;
• антивирусные программы;
• многофакторную аутентификацию (MFA, 2FA);
• SIEM-системы, наличие правил корреляции;
• систему контроля конфигурации;
• систему управления базами данных (СУБД);
• межсетевые экраны (МЭ), криптошлюзы и VPN-туннели;
• системы оркестрации, автоматизации и регистрации на инциденты (SOAR);
• платформы реагирования на инциденты (IRP);
• хранилища паролей;
• ловушки для хакеров (HoneyPot);
• сервисы обнаружения и защиты от кибератак.

Согласно Указу Президента РФ № 250 от 01.05.2022 г. "О дополнительных мерах по обеспечению информационной безопасности Российской Федерации", "с 01.01.2025 г. органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства".

Какую конфигурацию и с каким составом использовать – это вопрос творческий, учитывая разработанную модель угроз, согласно методике оценки угроз безопасности информации, утвержденной ФСТЭК России 05.02.2021 г., и ГОСТ Р 53114–2008 "Обеспечение информационной безопасности в организации", модели нарушителя, согласно классификации нарушителей и их уровней возможности (ФСТЭК России), а также финансовым возможностям предприятия.

После набора персонала, введения в эксплуатацию защищенных информационных систем и ЗО Кии следуют мероприятия, которым руководство на новых территориях должно уделять больше внимания, а именно направленные на выявление противоправных действий работников предприятия, так называемых внутренних нарушителей или инсайдеров.

Мы не можем надеяться на то, что на новых территориях не будут совершаться попытки устроить подготовленных иностранными спецслужбами специалистов из числа местного населения на восстановленные предприятия.

Если служба внутренней безопасности пропустит нелояльных людей и они устроятся на предприятие, а также если кто-то из работников попадет под воздействие иностранных спецслужб или конкурирующих организаций, то важно создать такие условия, при которых подобных сотрудников можно будет вычислить.

Одним из решений может быть создание круглосуточного дежурства так называемого офицера безопасности подразделения информационной безопасности, который в режиме онлайн будет отслеживать деятельность работников в сетях и информационных процессах через специализированные программы, такие как DLP, SIEM и др.

В целях контроля за обменом файлами, переписками в мессенджерах и другими действиями в сети "Интернет" предлагается не блокировать в корпоративной сети социальные сети, частную электронную почту и сайты поиска работы. Возможно создание бесплатной сети Wi-Fi на территории предприятия с функцией авторизации и идентификации. Человек по своей психологии только ограниченное время будет думать о том, что корпоративная сеть контролируется, потом его мозг устанет постоянно держать данную информацию, он расслабится и начнет, практически не таясь, использовать корпоративные сети и ресурсы в личных целях в полном объеме.

При налаженном контроле руководство в режиме реального времени будет в курсе того, чем занимается его работник, сколько времени он проводит в интернете, отвлекаясь от выполнения своей работы, ищет ли он себе новую работу или пытается переслать какую-то служебную информацию на посторонний ресурс. При помощи таких систем, как DLP, возможно проведение профайлинга и психодиагностического анализа работников с целью выявления нелояльных сотрудников.

Что упускают специалисты?

Представители промышленных предприятий не всегда учитывают следующие требования регулятора.

1. Постановление Правительства Российской Федерации от 15.07.2022 г. № 1272 "Об утверждении типового положения о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации), и типового положения о структурном подразделении в органе (организации), обеспечивающем информационную безопасность органа (организации)". В типовом положении предприятия о заместителе руководителя органа (организации), ответственном за обеспечение информационной безопасности в органе (организации), в квалификационных требования к ответственному лицу в п. 6 указано, что "ответственное лицо должно иметь высшее образование (не ниже уровня специалиста, магистратуры) по направлению обеспечения информационной безопасности. Если ответственное лицо имеет высшее образование по другому направлению подготовки (специальности), он должен пройти обучение по программе профессиональной переподготовки по направлению "информационная безопасность". Политика ФСТЭК России направлена на контроль выполнения указа президента и постановления Правительства РФ в вопросах информационной безопасности, с проверкой наличия профильного образования и проверкой соответствия знаний должностных лиц требованиям руководящих документов по направлению ИБ.

2. Пункты Федерального закона от 27.12.2002 г. № 184-ФЗ "О техническом регулировании", которые часто упускают из вида.

Данный закон касается предприятий оборонно-промышленного комплекса, использующих сведения, составляющие государственную тайну, а также предприятий атомной энергии. Важно обратить внимание на нижеследующие моменты.

Статья 5. Особенности технического регулирования в отношении оборонной продукции (работ, услуг), поставляемой по государственному оборонному заказу, продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа, продукции (работ, услуг), сведения о которой составляют государственную тайну, продукции, для которой устанавливаются требования, связанные с обеспечением безопасности в области использования атомной энергии, процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения указанной продукции.

П 1. в отношении оборонной продукции (работ, услуг), поставляемой по государственному оборонному заказу; продукции (работ, услуг), используемой в целях защиты сведений, составляющих государственную тайну или относимых к охраняемой в соответствии с законодательством Российской Федерации иной информации ограниченного доступа; продукции (работ, услуг), сведения о которой составляют государственную тайну; продукции, для которой устанавливаются требования, связанные с обеспечением безопасности в области использования атомной энергии; процессов проектирования (включая изыскания), производства, строительства, монтажа, наладки, эксплуатации, хранения, перевозки, реализации, утилизации, захоронения соответственно указанной продукции обязательными требованиями наряду с требованиями технических регламентов являются требования, установленные государственными заказчиками, федеральными органами исполнительной власти, уполномоченными в области обеспечения безопасности, обороны, внешней разведки, противодействия иностранным техническим разведкам и технической защиты информации, государственного управления использованием атомной энергии, государственного регулирования безопасности при использовании атомной энергии, и (или) государственными контрактами (договорами).

Исходя из данных нормативов, любые работы, осуществляемые на предприятиях ОПК, вплоть до написания технического задания по укладке бордюров, требуется согласовывать со специалистами защиты государственной тайны, противодействия иностранным техническим разведкам и технической защиты информации.

Иллюстрация предоставлена автором.

Опубликовано в журнале "Системы безопасности" № 3/2024

Все статьи журнала "Системы безопасности"
доступны для скачивания в iMag >>

Изображение от pressfoto на Freepik