В России озабочены бесперебойной защитой КИИ
Рабочая группа центра компетенций "Энерджинет", в состав которой вошли эксперты ГК InfoWatch, опубликовала аналитический отчет для руководителей и специалистов, работающих на российских предприятиях энергетического сектора. В отчете приведены результаты сравнения ключевых документов, регулирующих вопросы кибербезопасности энергетической отрасли России и США.
Кибератаки на инфраструктуру относятся к числу наиболее значимых глобальных рисков – их значимость составляет 76, 1%, согласно результатам отчета. При этом международный рейтинг стран по индексу информационной безопасности за 2018 год свидетельствует, что всего 58% стран-участниц ООН из 194 имеют национальную стратегию информационной безопасности. Россия в рейтинге глобального индекса кибербезопасности за 2018 год заняла 26-е место с показателем 0, 836 балла, что на 16 позиций ниже, чем в редакции рейтинга за 2017 год (10-е место, с показателем 0, 788). Таким образом, уровень обеспечения ИБ в России стал ниже, однако целый ряд отдельных показателей страны по кибербезопасности существенно улучшился. В новом рейтинге России было начислено 0, 197 балла за законодательство, 0, 162 балла за технологическую сторону обеспечения ИБ и 0, 135 балла за международной сотрудничество. Составители рейтинга за 2018 год особо отмечают улучшение в России мер против мошенничества в сфере использования электронных платежных систем.
Авторами отчета отдельно отмечается, что вопросы обеспечения информационной безопасности КИИ в последнее время находятся в сфере пристального внимания руководства практически всех промышленно развитых стран. На основании проанализированных рабочей группой материалов видно, что законодательство, касающееся КИИ (критической информационной инфраструктуры), наиболее развито в США, а законодательные органы других стран стараются максимально гармонизировать нормативные документы с американскими. Анализ стратегии кибербезопасности Министерства энергетики США и основного документа для принятия технических решений Cybersecurity Framework (всего с 2014 по 2019 год по линии Министерства энергетики было принято пять основополагающих документов - "Cybersecurity capability maturity model", "2015 Energy Sector Specific Plan", "DOE Multiyear Plan for Energy Sector Cybersecurity", "Cybersecurity strategy 2018-2020" и "Securing Energy Infrastructure Act") показал членам рабочей группы центра компетенций "Энерджинет", что основные стратегические решения по управлению рисками информационной безопасности, прежде всего, реализуются на уровне предприятий. А вопросы, связанные с эффективным ростом кибербезопасности, должны носить исключительно добровольный характер.
При этом рабочая группа полагает, что в России сегодня не существует взаимоувязанных методических и организационно распорядительных документов, позволяющих комплексно выстраивать и эксплуатировать системы электроэнергетики как комплексных киберфизических систем - несмотря на актуальность темы кибербезопасности для промышленных предприятий. Так, например, невозможно идентифицировать техногенный инцидент как следствие кибератаки, что приводит к отсутствию проблематики кибербезопасности в нормативном поле. И к тому, что вопросы компьютерных атак на киберфизические системы рассматриваются в нашей стране исключительно в ИБ-разрезе.
Основным документом в области информационной безопасности в России является соответствующая доктрина, утвержденная указом Президента РФ от 05.12. 2016 (№646), в которой текущее состояние и направления развития информационной безопасности рассматриваются в разрезе стратегических национальных приоритетов. Это, по мнению авторов отчета, в перспективе должно позволить выстраивать иерархию системообразующих документов в ИБ с учетом стратегических национальных приоритетов. В связи с растущим уровнем ИБ-угроз, в новой доктрине уделяется особое внимание защите КИИ РФ, делается упор на ее бесперебойной работе.
В результате исследования рабочая группа выделила четыре основных отличия систем обеспечения кибербезопасности КИИ в США и РФ. Во-первых, в США основные решения по управлению рисками лежат на собственниках и операторах КИИ. Госорганы обеспечивают указанных лиц информацией об угрозах, стандартах управления рисками, лучших практиках и возможных решениях. В России при организации госсистемы обеспечения кибербезопасности также присутствует этап по управлению рисками, но он заключается лишь в процедуре категорирования объектов КИИ. После определения категории значимости объекта КИИ его собственники и операторы в обязательном порядке должны реализовать требования по ИБ, разработанные регуляторами и не предусматривающие вариативности или управления рисками. Получается, что российские предприятия реализуют только техническую часть процесса, а управление рисками конкретных предприятий остается в ведении государства.
По мнению Михаила Смирнова, директора экспертно-аналитического центра ГК InfoWatch, "в экосистему энергетики обязательно должны быть включены вопросы кибербезопасности. Также необходимо выстроить конструктивный диалог между всеми игроками сферы электроэнергетики в части вопросов, касающихся регулирования кибербезопасности. Именно для этого и работает центр компетенций "Кибербезопасность", включающий в себя как представителей Минэнерго РФ, теоретиков и практиков из научных и образовательных учреждений и ведущих российских производителей решений, обеспечивающих информационную безопасность, а также ИТ/ИБ-интеграторов".
Основные выводы исследования заключаются в том, что развитие электроэнергетики невозможно без внедрения цифровых технологий (без построения современных систем управления) и без глубокой проработки вопросов обеспечения кибербезопасности. При этом решения, разрабатываемые в ближайшие 10 лет должны быть фундаментально пересмотрены в концептуальном, методологическом, технологическом и организационном аспектах.
