Почти 20% всех выявленных уязвимостей АСУ ТП могут нести риски нарушения функциональности ж/д транспорта.
На онлайн-конференции Information Security эксперты обсудили вопросы безопасности критической информационной инфраструктуры, в частности, защиты информации в автоматизированных системах управления технологическими процессами (АСУ ТП). Так, представитель центра кибербезопасности АО «НИИАС» рассказал об опыте проверки программно-управляемых объектов и комплексов ОАО «РЖД». По его словам, в РЖД для управления перевозками задействовано очень большое количество различных систем управления: локомотивные (располагаются на борту транспортного средства), АСУ объектов железнодорожной инфраструктуры (обслуживают станции, перегоны, сортировочные горки и другие объекты), а также системы связи. В настоящее время на инфраструктуре РЖД эксплуатируются АСУ более чем 70 производителей. Для проверки и аттестации на кибербезопасность большого числа разнородных систем управления необходима единая методологическая и нормативная база - требования по защищенности к АСУ ТП.
АО «НИИАС» разработало и регулярно актуализирует такие требования, сформулированные в технических стандартах организации (СТО), принятых для использования в ОАО «РЖД». НИИАС разработал требования по кибербезопасности микропроцессорных систем управления (МПСУ) движением поездов, локомотивами и электроснабжением, станционными системами. Опыт эксплуатации АСУ и аттестации систем на соблюдение требований по кибербезопасности позволяет АО «НИИАС» выделить два основных класса рисков: угроза безопасности движения подвижного состава (нарушения функциональной безопасности ж/д транспорта, аварии, критические угрозы целостности инфраструктуры и т.д.) и угроза снижения эффективности перевозочного процесса (задержки движения, неправильное формирование составов и т.п.).
Согласно статистике НИИАС, почти 20% всех выявленных уязвимостей носят высокую степень опасности (т.е. представляют угрозу безопасности движения), что связано в первую очередь с использованием устаревших программных компонентов с известными уязвимостями, отсутствием встроенных средств защиты. Кроме того, в связи с тем, что системы разрабатывались достаточно давно, к ним зачастую не применялись требования по безопасности.
В 2021 году Центр кибербезопасности АО «НИИАС» планирует проверить и аттестовать на соответствие стандартам кибербезопасности восемь комплексов управления и технологических АСУ. Планируется также разработать «Паспорт комплексной транспортной безопасности» – документ, в котором будут отражены как вопросы транспортной кибербезопасности, так и вопросы ОТБ железнодорожной инфраструктуры.