Безопасность системы управления или кибербезопасность системы автоматизации и управления (ACS) — это предотвращение (преднамеренного или непреднамеренного) вмешательства в надлежащую работу промышленных систем автоматизации и управления . Эти системы управления управляют основными службами, включая электроэнергию, добычу нефти, воду, транспорт, производство и связь. Они полагаются на компьютеры, сети, операционные системы, приложения и программируемые контроллеры , каждый из которых может содержать уязвимости безопасности . Обнаружение червя Stuxnet в 2010 году продемонстрировало уязвимость этих систем к киберинцидентам. [1] Соединенные Штаты и другие правительства приняли правила кибербезопасности, требующие усиленной защиты для систем управления, работающих с критической инфраструктурой.
Безопасность систем управления известна под несколькими другими названиями, такими как безопасность SCADA , безопасность PCN , безопасность промышленных сетей , кибербезопасность промышленных систем управления (ICS) , безопасность операционных технологий (OT), системы промышленной автоматизации и управления и кибербезопасность систем управления .
Ненадежность или уязвимости, присущие системам автоматизации и управления (САУ), могут привести к серьезным последствиям в таких категориях, как безопасность, гибель людей, травмы, воздействие на окружающую среду, производственные потери, повреждение оборудования, кража информации и имидж компании.
Руководство по оценке, анализу и снижению этих потенциальных рисков предоставляется посредством применения многих правительственных, нормативных, отраслевых документов и глобальных стандартов, которые рассматриваются ниже.
Системы автоматизации и управления (САУ) стали гораздо более уязвимыми к инцидентам безопасности из-за следующих тенденций, произошедших за последние 10–15 лет.
Киберугрозы и стратегии атак на системы автоматизации быстро меняются. Регулирование промышленных систем управления для обеспечения безопасности встречается редко и является медленным процессом. Например, Соединенные Штаты делают это только для ядерной энергетики и химической промышленности . [2]
Группа готовности к чрезвычайным ситуациям в сфере компьютерной безопасности правительства США (US-CERT) изначально учредила программу безопасности систем управления (CSSP), которая теперь называется Национальным центром интеграции кибербезопасности и коммуникаций (NCCIC) для промышленных систем управления, которая предоставила большой набор бесплатных документов стандартов Национального института стандартов и технологий (NIST) относительно безопасности систем управления. [3] Демонстрация совместных возможностей технологий правительства США (JCTD), известная как MOSIACS (More Situational Awareness for Industrial Control Systems), является первоначальной демонстрацией возможностей защиты кибербезопасности для систем управления критической инфраструктурой. [4] MOSAICS удовлетворяет оперативную потребность Министерства обороны (DOD) в возможностях киберзащиты для защиты систем управления критической инфраструктурой от кибератак, таких как электроснабжение, водоснабжение и сточные воды, а также средства безопасности, влияющие на физическую среду. [5] Прототип MOSAICS JCTD будет предоставлен коммерческой промышленности в рамках Дней промышленности для дальнейших исследований и разработок, подход, призванный привести к инновационным, меняющим правила игры возможностям кибербезопасности для систем управления критической инфраструктурой. [6]
Международным стандартом кибербезопасности систем автоматизации и управления является ISA/IEC 62443. Кроме того, несколько национальных организаций, таких как NIST и NERC в США, выпустили руководства и требования по кибербезопасности в системах управления.
Стандарты кибербезопасности ISA/IEC 62443 определяют процессы, методы и требования для систем автоматизации и управления (ACS). Ответственность за эти стандарты лежит на сотрудничестве между комитетом ISA99 Международного общества автоматизации (ISA) и рабочей группой 10 технического комитета 65 IEC.
Комитет ISA99 действует как аккредитованная ANSI организация по разработке стандартов (SDO) в США. В IEC процесс создания стандартов заключается в том, что все национальные комитеты согласовывают общий стандарт.
Стандарты и технические отчеты ISA/IEC 62443 разделены на четыре основные категории: «Общие» , «Политики и процедуры» , «Система» и «Компонент» .
Наиболее широко признанным и последним стандартом безопасности NERC является NERC 1300, который является модификацией/обновлением NERC 1200. Последняя версия NERC 1300 называется CIP-002-3 по CIP-009-3, где CIP относится к защите критической инфраструктуры. Эти стандарты используются для защиты массовых электрических систем, хотя NERC создал стандарты в других областях. Стандарты массовых электрических систем также обеспечивают администрирование сетевой безопасности, при этом поддерживая передовые отраслевые процессы.
NIST Cybersecurity Framework (NIST CSF) обеспечивает высокоуровневую таксономию результатов кибербезопасности и методологию оценки и управления этими результатами. Она предназначена для помощи организациям частного сектора, которые предоставляют критически важную инфраструктуру , с руководством по ее защите. [7]
В специальной публикации NIST 800-82 Rev. 2 « Руководство по безопасности промышленных систем управления (ICS) » описывается, как защитить различные типы промышленных систем управления от кибератак, учитывая при этом требования к производительности, надежности и безопасности, характерные для ICS. [8]
Сертификации безопасности систем управления были установлены несколькими глобальными органами сертификации. Большинство схем основаны на IEC 62443 и описывают методы испытаний, политику аудита надзора, политику публичной документации и другие конкретные аспекты их программы.