В России озабочены бесперебойной защитой КИИ

Москва, 11 марта 2020 г. - Рабочая группа  центра компетенций «Энерджинет», в состав которой вошли эксперты ГК InfoWatch, опубликовала аналитический отчет для руководителей и специалистов, работающих на российских предприятиях энергетического сектора. В отчете приведены результаты сравнения ключевых документов, регулирующих вопросы кибербезопасности энергетической отрасли России и США.

Кибератаки на инфраструктуру относятся к числу наиболее значимых глобальных рисков – их значимость составляет 76, 1%, согласно результатам отчета. При этом международный рейтинг стран по индексу информационной безопасности за 2018 год свидетельствует, что всего 58% стран-участниц ООН из 194 имеют национальную стратегию информационной безопасности. Россия в рейтинге глобального индекса кибербезопасности за 2018 год заняла 26-е место с показателем 0, 836 балла, что на 16 позиций ниже, чем в редакции рейтинга за 2017 год (10-е место, с показателем 0, 788). Таким образом, уровень обеспечения ИБ в России стал ниже, однако целый ряд отдельных показателей страны по кибербезопасности существенно улучшился. В новом рейтинге России было начислено 0, 197 балла за законодательство, 0, 162 балла за технологическую сторону обеспечения ИБ и 0, 135 балла за международной сотрудничество. Составители рейтинга за 2018 год особо отмечают улучшение в России мер против мошенничества в сфере использования электронных платежных систем.

Авторами отчета отдельно отмечается, что вопросы обеспечения информационной безопасности КИИ в последнее время находятся в сфере пристального внимания руководства практически всех промышленно развитых стран. На основании проанализированных рабочей группой материалов видно, что законодательство, касающееся КИИ (критической информационной инфраструктуры), наиболее развито в США, а законодательные органы других стран стараются максимально гармонизировать нормативные документы с американскими. Анализ стратегии кибербезопасности Министерства энергетики США и основного документа для принятия  технических решений Cybersecurity Framework (всего с 2014 по 2019 год по линии Министерства энергетики было принято пять основополагающих документов - «Cybersecurity capability maturity model», «2015 Energy Sector Specific Plan», «DOE Multiyear Plan for Energy Sector Cybersecurity», «Cybersecurity strategy 2018-2020» и «Securing Energy Infrastructure Act») показал членам рабочей группы центра компетенций «Энерджинет», что основные стратегические решения по управлению рисками информационной безопасности, прежде всего, реализуются на уровне предприятий. А вопросы, связанные с эффективным ростом кибербезопасности, должны носить исключительно добровольный характер.

При этом рабочая группа полагает, что в России сегодня не существует взаимоувязанных методических и организационно распорядительных документов, позволяющих комплексно выстраивать и эксплуатировать системы электроэнергетики как комплексных киберфизических систем - несмотря на актуальность темы кибербезопасности для промышленных предприятий. Так, например, невозможно идентифицировать техногенный инцидент как следствие кибератаки, что приводит к отсутствию проблематики кибербезопасности в нормативном поле. И к тому, что вопросы компьютерных атак на киберфизические системы рассматриваются в нашей стране исключительно в ИБ-разрезе.

Основным документом в области информационной безопасности в России является соответствующая доктрина, утвержденная указом Президента РФ от 05.12. 2016 (№646), в которой текущее состояние и направления развития информационной безопасности рассматриваются в разрезе стратегических национальных приоритетов. Это,  по мнению авторов отчета, в перспективе должно позволить выстраивать иерархию системообразующих документов в ИБ с учетом стратегических национальных приоритетов.  В связи с растущим уровнем ИБ-угроз, в новой доктрине уделяется особое внимание защите КИИ РФ, делается упор на ее бесперебойной работе.

В результате исследования рабочая группа выделила четыре основных отличия систем обеспечения кибербезопасности КИИ в США и РФ. Во-первых, в США основные решения по управлению рисками лежат на собственниках и операторах КИИ. Госорганы обеспечивают указанных лиц информацией об угрозах, стандартах управления рисками, лучших практиках и возможных решениях. В России при организации госсистемы обеспечения кибербезопасности также присутствует этап по управлению рисками, но он заключается лишь в процедуре категорирования объектов КИИ. После определения категории значимости объекта КИИ его собственники и операторы в обязательном порядке должны реализовать требования по ИБ, разработанные регуляторами и не предусматривающие вариативности или управления рисками. Получается, что российские предприятия реализуют только техническую часть процесса, а управление рисками конкретных предприятий остается в ведении государства.

По мнению Михаила Смирнова, директора экспертно-аналитического центра ГК InfoWatch, «в экосистему энергетики обязательно должны быть включены вопросы кибербезопасности. Также необходимо выстроить конструктивный диалог между всеми игроками сферы электроэнергетики в части вопросов, касающихся регулирования кибербезопасности. Именно для этого и работает центр компетенций «Кибербезопасность», включающий в себя как представителей Минэнерго РФ, теоретиков и практиков из научных и образовательных учреждений и ведущих российских производителей решений, обеспечивающих информационную безопасность, а также ИТ/ИБ-интеграторов».

Основные выводы исследования заключаются в том, что развитие электроэнергетики невозможно без внедрения цифровых технологий (без построения современных систем управления) и без глубокой проработки вопросов обеспечения кибербезопасности. При этом решения, разрабатываемые в ближайшие 10 лет должны быть фундаментально пересмотрены в концептуальном, методологическом, технологическом и организационном аспектах.

 Об «Энерджинет»

 Добровольное объединение энергетических и технологических компаний, стартапов, частных лиц, лабораторий-разработчиков, образовательных организаций, регуляторов, институтов развития для создания точек сборки в рамках выбранного технологического фокуса на площадке НТИ «Энерджинет» (Люди + компетенции; Технические решения + экспертиза; инфраструктурные центры; финансовые ресурсы) с перечнем продуктов, сервисов и интерфейсов. Центр ориентируется на повестку НТИ: глобальная компания, глобальный продукт. Распределенность центра позволяет заказчику в режиме «одного окна» подать запрос и получить решение от одного или нескольких центров в рамках ключевых компетененций каждого.