ИБ АСУ ТП КВО ТЭК - это П...

Нравятся мне аббревиатуры, которые иногда бывают в нашей области. Например, ИБ АСУ ТП КВО ТЭК :-) Но поговорить мне хотелось бы не о ней, а сложившейся ситуации в данной области. В России в последнее время о ней говорят немало - даже законодательство, пусть и с опозданием, но начинает появляться. Однако, если вдуматься, большого всплеска проектов по данной тематике сейчас ждать не придется. В России есть гораздо более важные темы. Я имею ввиду не Олимпиаду в Сочи и не экономическую ситуацию - мы поговорим о критически важных объектах, но немного с другой стороны.

Что написано в одобренной в апреле 2013г. правительством РФ "Стратегии развития электросетевого комплекса РФ до 2030г.": "Отсутствие необходимых инвестиций в электросетевой комплекс в последние 20 лет привело к значительному физическому и технологическому устареванию электрических сетей". По мнению авторов стратегии, доля распределительных электрических сетей, выработавших свой нормативный срок, составила 50%; 7% электрических сетей выработало два нормативных срока. Общий износ распределительных электрических сетей достиг 70%, износ магистральных электрических сетей составляет около 50%.

Аналогичная ситуация происходит и во многих других отраслях, относящихся к критическим. Износ, устаревшей оборудование, не самый высокий уровень информатизации... А тут еще соцнормы на ЖКХ вводят (сначала на электричество, потом на воду и тепло). Ну до безопасности ли тут? Смех смехом, но во время последнего ИнфоБЕРЕГа, на котором мы обсуждали темы информационной безопасности Олимпиады в Сочи и на КВО ТЭК, электричество отключали несколько раз. Разве в таких условиях кто-то будет ставить информационную безопасность во главу угла?

Заказчику сегодня не до безопасности. Главное, чтобы не вышло из строя, чтобы не крали (ту же электроэнергию или топливо в трубе) и чтобы платили за услуги (не только ЖКХ) вовремя.  На втором месте - модернизация с постепенным повышением уровня автоматизации и компьютеризации, позволяющих достичь снижения операционных расходов и, возможно, роста доходов за счет снижения издержек и потерь. И только потом дело может дойти до информационной безопасности, которая защитит от пока для многих мифических угроз.

Значит ли это, что ИБ АСУ ТП (КСИИ или КИИ) - это тема, которой не надо заниматься. Безусловно нет. Она важна и по мере все большей компьютеризации будет становиться все важнее и важнее. Только вот не стоит рассчитывать на то, что руководство критически важных объектов с радостью будет расставаться с деньгами на информационную безопасность. Как показывает международный опыт без участия государства эту проблему не решить. Даже в прогрессивных США, в которых тема ИБ КВО является одной из проработанных, многие критические инфраструктуры не занимались своей ИБ до тех пор пока не появились обязательные требования по защите и, что немаловажно, милионные штрафы за нанесение ущерба вследствие компьютерных сбоев. Но даже в таких условиях уровень защиты американских КВО от киберугроз остается неидеальным. Дошло до того, что в прошлом году в Америке вышло большое исследование, которое доказывало, что в отличие от остальных сфер деятельности, в которых решение о том, заниматься ИБ или нет, принимает владелец  инфраструктуры, в КВО такое решение должно принимать государство. Никакое модное управление рисками в КВО задачу решить не может, т.к. организации могут годами не сталкиваться с угрозами, приводя значение вероятности их реализации к нулю, что приводит к нежеланию тратить миллионы и миллионы на то, что может никога и не понадобиться. И это в США, в который и износ гораздо меньше, и уровень устаревшего оборудование существенно ниже, а оплата по факту по рыночной стоимости существует уже давно.

Так что резюмируя хочется отметить, что в 2014-м году (если где-нибудь не "бабахнет") тема ИБ АСУ ТП КВО будет сродни безопасности мобильного банкинга в году ушедшем - шума много, а выхлопа мало. Пока мало...

ЗЫ. Буква "П" в заглавие - это сокращение от "профанация", а не то, что вы подумали :-)