Консалтинг в области информационной безопасности

«Перед плановой проверкой регулятора ГБУ "Региональный Цифровой Центр" обнаружил подозрительную активность на серверах портала Госуслуг региона. Мы провели удаленную экспресс-диагностику внешнего периметра по защищенному каналу связи. За 2 дня выявили заброшенную тестовую версию портала с открытым доступом к базе граждан и нашли учетные данные администраторов в открытом доступе. По итогам нашей работы дыра была оперативно закрыта, что позволило избежать утечки персональных данных миллионов жителей и исключить повод для выдачи жесткого предписания от ФСТЭК».

ГУП разрабатывало новую государственную информационную систему (ГИС), обрабатывающую данные с объектов критической информационной инфраструктуры (КИИ). По требованиям законодательства систему нужно было защитить до ввода в промышленную эксплуатацию. Мы провели удаленный пентест тестового стенда ГИС по предоставленному VPN-доступу и выявили критическую уязвимость, позволяющую несанкционированно управлять оборудованием. Клиент устранил баг до подключения системы к реальным объектам, что позволило успешно пройти государственную экспертизу и запустить систему без рисков для жизнеобеспечения города».

Описание проблематики

Крупная металлургическая компания с производственными активами в трёх регионах присутствия и порядка двадцати крупных производственных подразделений — металлургических заводов и горно-обогатительных комбинатов — подпадает под действие 187-ФЗ «О безопасности критической информационной инфраструктуры» как субъект КИИ. Единого перечня объектов КИИ в компании не существовало: системы АСУ ТП (от уровня отдельного агрегата до уровня цеха), MES, промышленные сети передачи данных и информационные системы учитывались разрозненно, каждой технологической площадкой самостоятельно. Критические процессы формально не были определены, постоянно действующая комиссия по категорированию не сформирована. Это создавало прямой риск непредставления сведений во ФСТЭК России в установленный срок, получения предписания регулятора и персональной ответственности руководителей. Дополнительно задачу усложняла разнородность площадок: одинаковые по назначению системы в разных подразделениях имели разную архитектуру и разный уровень автоматизации, а схемы взаимодействия технологического и бизнес-сегментов не были описаны в актуальном виде.

• Проведён анализ необходимости выполнения требований 187-ФЗ, подготовлено экспертное заключение о признании организации субъектом КИИ.
• Оказана помощь в формировании постоянно действующей комиссии по категорированию: разработаны положение о комиссии и план её работы, проведено консультирование членов комиссии.
• Определён перечень критических процессов (управленческих, технологических, производственных, финансово-экономических) и объектов, которые эти процессы обеспечивают.
• Выполнены идентификация и инвентаризация объектов КИИ (ИС, ИТКС, АСУ) по всем технологическим площадкам, составлены сводная инвентаризационная таблица и перечень объектов, подлежащих категорированию.
• Проведена оценка показателей критериев значимости по ПП-127, объектам присвоены категории значимости; для значимых объектов разработаны модели угроз безопасности информации и перечни возможных действий нарушителя.
• Выполнена экспертиза принятых мер защиты на соответствие требованиям 187-ФЗ, приказа ФСТЭК № 239 и внутренних нормативных документов компании.
• Разработаны акты категорирования и формы сведений о результатах категорирования, обеспечено сопровождение согласования результатов во ФСТЭК России.

• Утверждённый перечень объектов КИИ и акты категорирования по всем подразделениям, выполненные по единой методике для всех регионов присутствия.
• Формы сведений о результатах категорирования направлены во ФСТЭК России в установленный срок, получено подтверждение регулятора о присвоении значимым объектам категорий значимости.
• Модели угроз безопасности информации для значимых объектов КИИ — основа для последующего определения мер защиты по приказу ФСТЭК № 239.
• Снят риск предписания регулятора и персональной ответственности руководителей за непредставление сведений.
• Сформирована база для бюджетного планирования: понятен объём значимых объектов и требуемых мер, что позволило перейти к разработке плана мероприятий по обеспечению безопасности значимых объектов КИИ (ПП-235) и технико-экономического обоснования на создание СОИБ.
• Работы выполнены без привлечения лицензиата ФСТЭК — категорирование объектов КИИ лицензируемым видом деятельности не является.