UDV Group: защищенность АСУ ТП придется подтверждать без риска для производства
Российский разработчик решений в области киберустойчивости UDV Group отмечает: для промышленных предприятий становится недостаточно подтверждать защиту АСУ ТП только документами. На фоне изменений в регулировании и усложнения технологических сетей компаниям потребуется доказывать фактическое состояние контура методами, которые не нарушают работу производства.
Промышленные предприятия привыкли готовиться к проверкам ФСТЭК через комплект документов: модели угроз, приказы, акты внедрения средств защиты и схемы взаимодействия. Однако такой подход перестает быть достаточным. Если в документах указана защита удаленного доступа, организация должна показать, как этот доступ предоставляется, кто его согласует, как фиксируются действия пользователя и как выявляются нарушения.
Для АСУ ТП это создает отдельную сложность. Методы, привычные для корпоративной ИТ-инфраструктуры, не всегда применимы в технологической сети. Активное сканирование может нарушить работу контроллера, операторской станции или промышленного сетевого оборудования. Поэтому защищенность технологического контура нужно подтверждать способами, которые не создают дополнительного риска для производства.
Актуальность задачи выросла после изменения правил категорирования. Постановление Правительства № 1762 от 7 ноября 2025 года изменило порядок выявления объектов КИИ: теперь организации должны сопоставлять свои информационные системы, сети и АСУ с типовыми отраслевыми объектами. Распоряжением Правительства № 360-р от 26 февраля 2026 года утвержден единый перечень из 397 позиций для 14 отраслей.
Одновременно предприятия заменяют зарубежное оборудование, подключают новые системы и расширяют обмен данными между технологической и корпоративной сетями. В результате ранее подготовленные документы могут описывать уже несуществующую архитектуру, а реальные связи, временные подключения, сервисные каналы и изменения конфигураций остаются вне модели угроз.
«Главная проблема для предприятий сегодня не в отсутствии документов, а в разрыве между документами и фактическим состоянием АСУ ТП. Технологический контур меняется постепенно: добавляется оборудование, обновляются прошивки, открываются новые маршруты обмена, подрядчики получают временный доступ. Если эти изменения не попадают в модель угроз и схемы взаимодействия, организация формально выглядит готовой к проверке, но не может доказать, что понимает реальное состояние своей системы», - отметила Ольга Луценко, ведущий ИБ-эксперт UDV Group.
По словам эксперта, особенно опасно считать технологическую сеть изолированной только потому, что у нее нет прямого выхода в интернет. На практике остаются сервисные каналы, беспроводные подключения, переносные инженерные станции, временный доступ внешних специалистов и узлы, которые взаимодействуют одновременно с корпоративным и промышленным сегментами. Такие связи могут сохраняться годами, если не проводится регулярная проверка фактической архитектуры.
В UDV Group подчеркивают, что активное сканирование в АСУ ТП должно применяться осторожно. В корпоративной сети сканер может последовательно опрашивать узлы, определять версии ПО и сопоставлять их с известными уязвимостями. В технологическом сегменте такая нагрузка способна исчерпать ресурсы устаревшего контроллера, нарушить обмен с системой верхнего уровня или привести устройство в нештатный режим. В этом случае инструмент проверки сам становится источником технологического риска.
Отказываться от оценки защищенности при этом нельзя. Подход «не трогаем, потому что работает» сохраняет доступность оборудования только в моменте, но не дает руководству понимания реальных рисков. Неучтенное подключение, измененная конфигурация, устаревшая прошивка или забытое правило межсетевого экрана продолжают существовать, просто остаются невидимыми для ИБ и эксплуатации.
Более безопасной отправной точкой становится пассивный анализ трафика. Он позволяет определить активные устройства, используемые протоколы и реальные связи по уже существующему обмену, без дополнительных запросов к оборудованию. Так организация может восстановить фактическую картину технологического сегмента и сопоставить ее с утвержденными схемами.
Дополнительно необходимо анализировать конфигурации и действия пользователей. Настройки коммутаторов, маршрутизаторов, контроллеров и автоматизированных рабочих мест можно сравнивать с утвержденными эталонами. Журналы помогают выявлять перезапуски сервисов, ошибки доступа и использование учетных записей, а системы управления привилегированным доступом - контролировать действия внутренних и внешних специалистов.
Активные проверки допустимы только после того, как предприятие понимает состав оборудования и его ограничения. Инструменты сначала следует испытывать на резервном устройстве или тестовом полигоне, где воспроизведены критичные компоненты и характерный сетевой обмен. Для каждого типа оборудования нужно заранее определить допустимые запросы, интенсивность проверки, технологическое окно и порядок восстановления при сбое.
В UDV Group считают, что достаточность защиты АСУ ТП нельзя оценивать только количеством найденных уязвимостей. Для руководителя важнее видеть долю активов с назначенным владельцем, количество несогласованных соединений, число отклонений без принятого решения и долю удаленных подключений, проходящих через утвержденную процедуру. Эти показатели связывают информационную безопасность с реальным состоянием производства.
Владельцем процесса оценки должен быть руководитель, отвечающий за технологический актив и последствия его остановки: технический директор, главный инженер или руководитель производства. Служба ИБ определяет требования и методы контроля, специалисты АСУ ТП оценивают допустимость действий для оборудования, а ИТ-служба обеспечивает необходимую инфраструктуру. Руководство организации закрепляет полномочия и ресурсы, чтобы разногласия между подразделениями не блокировали проверку.
Такой подход позволяет перейти от формального отчета к управляемому технологическому контуру. Данные об изменениях, доступах и работе средств защиты должны собираться в ходе эксплуатации, а не восстанавливаться перед проверкой по старым схемам и разрозненным журналам. Эту же логику развивает проект изменений в приказы ФСТЭК № 235 и № 239, который предусматривает регулярный расчет показателей защищенности и зрелости. На дату подготовки материала документ остается проектом, а планируемой датой его вступления в силу указано 1 сентября 2026 года.
В UDV Group отмечают, что измеримая защищенность АСУ ТП определяется не объемом документов и не количеством внедренных продуктов, а способностью предприятия вовремя заметить отклонение, оценить его влияние на производство и выбрать действие, которое не создаст новый технологический риск.