Докладчик: Начальник отдела ИБ Кондратенко Андрей Александрович 1

2 ЕЭС России ЕЭС России

Защита КСИИ. История вопроса. Что такое КСИИ? Ключевая система информационной инфраструктуры (КСИИ) - это информационно-управляющая или информационно-телекоммуникационная система, которая осуществляет управление критически важным объектом (процессом), или информационное обеспечение управления таким объектом (процессом), или официальное информирование граждан, и в результате деструктивных информационных воздействий на которую может сложиться чрезвычайная ситуация, или будут нарушены выполняемые системой функции управления со значительными негативными последствиями. Есть ли у нас информационные системы, относящиеся к КСИИ? 3

Ознакомление с документами по КСИИ 1. Узнали что есть закрытые документы ФСТЭК России, содержащие методики и требования по защите КСИИ. 2. Узнали что есть закрытый документ Совета безопасности РФ, в соответствии с которым определяются уровни важности КСИИ. 3. Определили, что у нас есть системы по формальным признакам, относящиеся к КСИИ (это – АСУ ТП), запланировали работы. Методики: Базовая модель угроз безопасности информации в ключевых системах информационной инфраструктуры. (Утверждена ФСТЭК России ). Общие требования по обеспечению безопасности информации в ключевых системах информационной инфраструктуры. (Утверждены ФСТЭК России ). Рекомендации по обеспечению безопасности информации в ключевых системах информационной инфраструктуры. (Утверждены ФСТЭК России ). Методика определения актуальных угроз информации в ключевых системах информационной инфраструктуры. (Утверждены ФСТЭК России ). 4

Шаги по защите АСУ ТП 1. Заключили договор с лицензиатом. 2. Провели обследование текущего состояния ИБ. 3. Разработали модель угроз. 4. Разработали специальные технические требования (согласовали со структурным подразделением ФСТЭК России – ГНИИИ ПТЗИ). 5. Разработали технический проект защиты. 6. Начали реализацию. 5

Модель угроз 6 СО ЕЭС Объект управления НСД НДВ ПМЭ ПУД, ПОЦ, ПРУ ПУД, ПОЦ, ПРУ ПАЗ

Выводы Проблемы: Откуда брать деньги на защиту??? В федеральном бюджете средств не предусмотрено. Тарифы нужно сохранять. Чем жертвовать? Есть 256 закон в котором вскользь упоминается про ИБ, а где подзаконные акты? Нужно доказывать «Как» нужно защищать через экспертное мнение, а сколько экспертов, столько мнений…Нужны нормативные акты по защите АСУ ТП. Нужны серьезные компетенции по ИБ, а у всех есть? Интеграторы – совсем не панацея. Размыты границы ответственности за ИБ в случае распределения АСУ ТП между организациями. Как защитить информацию, когда она «между»? VPN достаточно? Нужны отраслевые документы по защите АСУ ТП. А кто будет делать? 7 Положительные моменты: Документы по защите КСИИ применимы для зашиты АСУ ТП, но они недоступны широким массам и не учитывают новых тенденций, да хотя бы виртуализацию… При реализации защиты АСУ ТП используется большинство уже внедренных механизмов защиты, но все равно нужны большие вложения для удовлетворения требованиям… Любой аудит вскрывает проблемы, только сложно объяснить, почему, вдруг необходимо менять документы, средства, мышление в системах, отработавших десятилетия… При проверке КСИИ, рассматривается не вся КИС, а только то, что записано в верифицированном проекте защиты, но есть внутренние разногласия ФСТЭК России…

Спасибо за внимание Докладчик: Кондратенко Андрей Александрович 8