Думаю, что следующей сферой КИИ, где остро встанет вопрос отнесения к ОКИИ тип "АСУ" автономных устройств с системой автоматического управления (после "оборонки" и здравоохранения) будет транспорт. Просто в силу насыщенности такими устройствами, высокой важностью для жизни людей и страны, а также наличием Федерального закона "О транспортной безопасности" от 09.02.2007 № 16-ФЗ.
Будет забавной ситуацией, если потребуют относить к ЗОКИИ ЭБУ (ЭСУД) транспортных средств.
Ранее в блоге: Транспорт понятие многогранное и часть проблем для специфических видов транспорта в блоге уже рассматривалась (вертикальный транспорт, канатная дорога, авиационный). Сейчас же поговорим о классическом колесном (автомобильный, рельсовый, судовой, авиационный) транспорте.
Как ни странно, но специальный "транспортный" показатель № 3 из ПП127 "Прекращение или нарушение функционирования объектов транспортной инфраструктуры" собственно к транспортным средствам не применим. Но остаются косвенные показатели № 1 и № 9, а при перевозке опасных грузов вполне возможны № 11.
Напомню, что мы рассматриваем автономные изделия, работающие в автоматическом/автоматизированном режиме, не объединенные в сети на предмет отнесения их к ОКИИ тип "АСУ".
Для авиации все просто, в составе воздушного судна есть АСУ, которое и стоит относить к ОКИИ. Сам самолет никто не предлагает отнести к ОКИИ. Что как то противоречит логике ФСТЭК по отнесению к ОКИИ станка ЧПУ/аппарата МРТ. Если уж относим к ОКИИ готовое изделие, которое содержит в себе цифровой блок управления и/или мониторинга работы самого изделия - сам станок, то надо быть последовательным и относить к ОКИИ - самолет, тепловоз или судно.
Определение АСУ задано в 187-ФЗ - "автоматизированная система управления - комплекс программных и программно-аппаратных средств, предназначенных для контроля за технологическим и (или) производственным оборудованием (исполнительными устройствами) и производимыми ими процессами, а также для управления такими оборудованием и процессами;". Кто то использует станок ЧПУ/аппарат МРТ для этих целей? Нет, оператор получает конечный результат - деталь или снимок. Почему станок нормально воспринимается как АСУ, а самолет нет?
Мнение авторского коллектива из профильного -ФГУП "ГосНИИАС" (Журнал "Вопросы Кибербезопасности " №4/2018)
"В соответствии с данными законными актами информационно-вычислительная система любого ВС является объектом критической информационной инфраструктуры (КИИ) РФ, так как попадает под определение автоматизированной системы управления, функционирующей в сфере транспорта. При этом в зависимости от вместимости и маршрутов полетов разные ВС могут иметь различные категории значимости (табл. 4)"
Мнение по отнесению ИБП разделилось пополам, АТС большинство отнесло, а вот автобус большинством не признан ОКИИ.
А ведь современный автобус/трамвай/грузовик оборудован электронным блоком управления двигателем, тормозными устройствами и прочим оборудованием салона. Разъем для подключения внешнего компьютера имеется. Чип-тюнинг автотехники широко распространен и не вызывает технических проблем.
Подходят ли критерии ФСТЭК по выявлению ОКИИ тип АСУ к автотранспортной базе?
1. Выход из строя устройства несет последствия по показателям ПП127 - есть.
2. Есть компьютерный порт управления устройством - есть
3. Нарушитель имеет возможность изменить "вшитое" ПО, влияющее на работоспособность устройства - да, имеет.
Вот произвольный комплект для подключения любого ноутбука к ЭБУ автомобиля. Вариантов доступно множество.
Рекламы изменений "вшитого" ПО в Интернет полно - отключение сажевого фильра, изменение мощности двигателя, отключение лямбда-зонда. Да чего только не предлагают программно сделать.
А ведь это прямое воздействие на ключевую функцию АСУ в 187-ФЗ "контроль за процессами", фактически водитель автомобиля (оператор АСУ) лишается сигналов мониторинга - состояния датчиков и исполнительных устройств. Самое наглядное - отключение индикации "подушки безопасности" при ремонте автомобиля после ДТП. Электронный блок управления сигнализирует, что "подушка" в норме, а реально ее нет. Или скрученный пробег.
И вот это опасно в комплексе с другими действиями злоумышленника по повреждению систем автомобиля: отключение индикации неисправных тормозов, неисправности генератора или АКБ, запаса топлива и т.д.
Для примера, сталкивался при эксплуатации собственного авто, что он переставал заводиться при температуре ниже -27. Проблема была в "мозгах", прошивка неправильно формировала смесь и "заливало" свечи. Было два варианта решения проблемы: нагреть датчик температуры или апргрейд прошивки. А теперь представим ситуацию, что хакнули летом автобус и установили неправильный состав смеси при температуре минус 15. Наступила зима и автобус не вышел на маршрут- не заводится. Ели следовать логике ФСТЭК, которая требует масштабировать возможность компьютерной атаки на все станки, то у нас не вышел весь автопарк в этот день. А если это автопарк станции скорой медицинской помощи?
А могут быть и экономические последствия. Меняем настройки под повышенный расход топлива и наносим прямой экономический ущерб владельцу автотранспорта. Или вызываем повышенный износ двигателя и систем автомобиля- досрочный ремонт, опять ущерб.
Вариантов развития негативной ситуации неограниченное количество.
Вот реальный пример в нашей стране "В программу для модуля управления двигателем (ECM), вероятно, вкралась ошибка. Из-за неё катушка зажигания «при определённых обстоятельствах» может находиться под напряжением дольше, чем положено после остановки мотора. В результате перегрев катушки способен привести к короткому замыканию. Если оно случится во время движения, машина заглохнет без возможности немедленного перезапуска двигателя, спровоцировав аварийную ситуацию." Производитель отозвал несколько тысяч автомобилей на перепрошивку ЭБУ.
Таким образом, можно утверждать, что автотранспортные средства автоперевозчиков пассажиров (автобусный парк, таксопарки, каршеринг и тд.) и грузов (логистические компании), учреждений здравоохранения, карьеров и рудников будут являться ЗОКИИ тип АСУ. Аналогично с железнодорожным транспортом, вот каждый электровоз - это ЗОКИИ.
А еще субъектами КИИ становятся топливозаправочные комплексы, шиномонтажи, автосервисы, тюнинг-ателье, автоматические мойки и т.д.
Такие вот последствия от отнесения автономных станков ЧПУ/аппаратов МРТ к ОКИИ тип АСУ в принудительном порядке.
Готовы ли мы к появлению еще нескольких миллионов ЗОКИИ в стране? Вопрос риторический. А защищать от компьютерных атак все равно придется, угрозы я привел вполне реальные.
* Результаты анализа 187-ФЗ и рекомендации по его выполнению размещаются в разделе "ЧаВо по КИИ" на главной странице блога.
** Все новости блога на публичном Telegram-канале t.me/ruporsecurite
*** YouTube - канал блога
**** Яндекс.Дзен https://zen.yandex.ru/id/5c7b7864fa818600ae3856a1
***** Публичный ТамТам-канал https://tt.me/blog_ruporsecurite
*** YouTube - канал блога
**** Яндекс.Дзен https://zen.yandex.ru/id/5c7b7864fa818600ae3856a1
***** Публичный ТамТам-канал https://tt.me/blog_ruporsecurite
Я извиняюсь, конечно, но я так и не пойму. По-простому, Валерий, вы за кого? За ФСТЭК, за ФСБ, за "кривой" закон с его кривыми определениями или за здравый смысл? Читаю ваши статьи и посты и так не могу понять за кого же ВЫ? Вы можете сказать - за закон! Тогда и топите в статьях, что закон надо выполнять и точка. Если за здравый смысл - тогда ваши посты и статьи не всегда об этом рассказывают. А то разводите беседы по ликбезу, направленные на ещё большее запудривание воспаленных мозгов сисадминов.
ОтветитьУдалитьУ меня ещё вопрос: вы сами, в одиночку, что нибудь категорировали? Или в одиночку и без бюджета может быть создали систему безопасности ЗОКИИ???
За неукоснительное соблюдение законодательства страны. Я всегда призывал, призываю и буду призывать к выполнению закона в заметках блога. В одиночку категорирование запрещено ПП127.
УдалитьЕсть законы, а есть жизнь. И эта жизнь, в том числе и КИИ, есть не только в московском регионе. Жизненный опыт и общение с другими людьми из менее продвинутых, по сравнению с московской агломерацией, регионов, показывает на то, что ОКИИ категорируются в подавляющем большинстве случаев в одиночку, и зачастую случайными людьми. Организаций, в которых грамотно выстроены процессы ИБ, в которых действительно работают комиссии по категорированию ОКИИ можно по пальцам одной руки пересчитать. Ещё конечно есть аутсорсинг ИБ.
УдалитьВы Валерий ханжа, так как я думаю, вряд ли вы выполняете ВСЕ законы РФ, а раз так призываю вас перестать пудрить мозги людям и выдавать информацию то на одну чашку весов, то на другую. Надо как то уже определиться...
Либо мы живем в правовом государстве, либо "по понятиям"(прикрываясь здравым смыслом). Неготовность субъектов КИИ к выполнению требований 187ФЗ в силу объективных причин неоднократно освещалась в заметках блога.
УдалитьЭто где в ПП-127 «запрещено» категорировать в одиночку? Нет там таких слов. Вы мне сами с Дмитрием Кузнецовым доказывали, что если нет прямого запрета на что-то, то это что-то разрешено.
УдалитьУ нас же в ПП-127 написано, что в состав комиссии должны входить те и те люди, но нет явного запрета, что можно включать ещё кого-то. Так и в ПП-127 написано, что категорирование осуществляется комиссией, но нет запрета.
P.S.: лично мое мнение, что категорирование осуществляется комиссией в том составе, который предписывается ПП-127.
Все правильно, комиссией. У вас комиссия из одного человека состоит?
УдалитьИ? Назначается в комиссии ответственный за категорирование от какого-нибудь интегратора (не запрещено же), и он все делает.
УдалитьНе предусмотрено такого назначения действующими НПА. Единоличным будет решение только руководителя организации, утверждающего итоговые документы по категорированию. Вот руководитель, он в одно лицо решение принимает и несет персональную ответственность перед проверяющими.
УдалитьНет явного запрета, собирается комиссия, как требует ПП-127, но в неё включается и стороннее лицо (это же не запрещено). Роли участников комиссии нигде не указаны. Делаете положение о комиссии, что все члены рассматривают результаты, которое им предоставит это стороннее лицо, и далее передают на подпись руководителя.
УдалитьЯ понимаю, что это звучит бредово, но именно это мне и доказывали, что если что-то явно не запрещено, то оно разрешено.
Есть явное указание, что "Комиссия по категорированию в ходе своей работы:"Готовить проекты документов и исходную информацию для заседания комиссии может кто угодно, для этого нет никакой необходимости включать исполнителя в состав комиссии. Но все решения принимает комиссия,а не один исполнитель.Вы не провели категорирование в одиночку, вы в одиночку подготовили материалы для заседания комиссии. Процесс подготовки заседания в законодательстве не урегулирован, только описан минимальный состав сведений, которые эти материалы должны содержать.
УдалитьВ более доступной и наглядной форме приводится в моем дзен.канале https://zen.yandex.ru/id/5c7b7864fa818600ae3856a1
ОтветитьУдалитьВ данном вопросе нужно отталкиваться от паспорта транспортного средства, в котором зафиксирован функционал и назначение электронного модуля. Зачастую (как здесь https://www.sinref.ru/avtomobili/PAZ/000_paz_32053_rukovodstvo_po_ekspluatac_izd_9_2012/002.htm) это просто электронный модуль управления с узким функционалом, официально заявленным производителем и соотносить его к АСУ управления работой всем транспортным средством преждевременно и недальновидно ибо пока им управляет человек и принимает решение он на всех этапах его движения это не АСУ!
ОтветитьУдалитьЭто не серьезно. Есть определение АСУ в 187-ФЗ. Не обязательно даже управлять, достаточно выдавать информацию на приборную панелеь водителя.
Удалить