Рупор "бумажной" безопасности: ИБ АСУ ТП КВО 2021

17–18 марта 2021 года в Москве состоялась традиционная IX конференция «Информационная безопасность АСУ ТП критически важных объектов» не в традиционном месте. Формат конференции только очный, без трансляции.

Все видео докладов от организаторов доступны по ссылке

Ключевой доклад от ФСТЭК России (Торбенко Е.Б.). Похвально, что при использовании презентации уже показанной в Магнитогорске -https://valerykomarov.blogspot.com/2021/03/2021_11.html , сам доклад отличался и содержал новую информацию.

Будут доработаны 31 приказы ФСТЭК по аналогии с 239 приказом, в части определения "модернизация", "удаленный доступ " и т.д.

На апрель обещают выпустить доработанные по нашим замечаниям Рекомендации по оценке показателей критериев экономической значимости объектов критической информационной инфраструктуры Российской Федерации

Выявлены проблемы с функционированием постоянно действующих комиссий по категорированию у субъектов КИИ, по этому ФСТЭК разрабатывает методические рекомендации по организации работы постоянно действующих комиссий по категорированию

В состав комиссии должны обязательно входить юристы и экономисты, иначе рассчитать экономические показатели не смогут. Экономический показатель очень сложный в расчете.

Организаторы выделили значительное время на секцию "вопрос-ответ". Удалось воспользоваться этой возможностью.

Вопрос: вновь создаваемые ОКИИ надо включать в Перечень объектов, подлежащих категорированию?

Ответ: нет, не требуется.

Вопрос: целесообразность внесения изменений в 187-ФЗ об обязанности субъекта КИИ создавать подразделение безопасности до категорирования, в том числе для НОКИИ.

Ответ: рассмотрим на этапе внесения изменения в 187-ФЗ.

Вопрос: АСУ автономных отопительных установок, оказывающих услуги по теплоснабжению административных и многоквартирных домов это объекты КИИ? Если да, то в какой сфере?

Ответ: это объекты КИИ в сфере ТЭК.

Вопрос: Наличие противоаварийной автоматической защиты является основанием для вывода о невозможности ущерба при компьютерном инциденте?

Ответ: нет. Системы ПАЗ не учитываются.

Вопрос: возможна ли разработка своих уточняющих показателей категорий значимости отраслевыми регуляторами?

Ответ: ФСТЭК не имеет права рассматривать такие документы, это к Правительству РФ.

Вопрос: как скоро появится БДУ ФСТЭК под новую методику оценки угроз

Ответ: в течении весны планируем закончить работу

Вопрос: вновь создаваемые ОКИИ сразу включаются в Реестр ЗОКИИ?

Ответ: да.

(Позицию сообщества безопасников можно увидеть по результатам опроса в телеграм-канале - https://t.me/ruporsecurite/710)

Очень интересными были доклады представителей РЖД

Компьютерные атаки, направленные на нарушение штатного функционирования систем железнодорожной автоматики – Безродный Борис Федорович, доктор технических наук, профессор, заместитель руководителя Центра кибербезопасности АО «НИИАС»

Методическое обеспечение процессов категорирования объектов КИИ ОАО «РЖД» – Хмелевская Наталья Владимировна, заместитель начальника отдела мониторинга и анализа угроз безопасности, Центр компетенций по информационной безопасности – структурное подразделение ОАО «РЖД».

РЖД с 2018 проводит категорирование своих объектов КИИ. Попытки применения документов от ФСТЭК в течении года не привел к положительному результату. Пришлось разрабатывать собственный методический аппарат. У РЖД в реестре ИС числится около 2000 объектов. Но проблемы терминологии усложняют жизнь.

Разработаны два методических документа

Создана сложная структура по категорированию. Комиссий не достаточно.

Потребовались специализированные методики категорирования для некоторых ОКИИ

Оригинальный взгляд на категорирование объектов КИИ от промышленного предприятия

Новый подход по классификации объектов КИИ – Губайдуллин Артем Рифович, заместитель руководителя по реализации проектов в области Индустрия 4.0, ОАО «ММК-МЕТИЗ»