Контуры завтрашнего регулирования
23 нояб 2022 02:40 #111993
от ICT
ICT создал тему: Контуры завтрашнего регулирования
По мнению участников дискуссии "Кибербезопасность промышленных предприятий", которая прошла на площадке AM Live, основными проблемами в сфере промышленной безопасности России являются отсутствие регулирования на уровне отраслей и недостаточная зрелость отечественных вендоров АСУ ТП. Руководитель направлений защиты АСУ ТП и КИИ АО "Инфосистемы Джет" Александр Карпенко обратил внимание на то, что в каждой отрасли управление рисками имеет существенные различия, и подходы, применимые в одной не будут работать в других. По мнению эксперта СИГРЭ (CIGRE, Conseil International des Grands Réseaux Electriques, Международный Совет по большим электрическим системам высокого напряжения), доцента МИУ МЭИ Владимира Карантаева нужна разработка соответствующих методик применительно к каждой из отраслей. Пока же даже перечень недопустимых событий сформулирован не для всех отраслей. По его информации, такой перечень существует только для энергетики. Однако это большая и довольно сложная работа. Руководитель направления по развитию продуктов промышленной кибербезопасности ООО "Позитив Текнолоджиз" (Positive Technologies) Дмитрий Даренский заявил о том, что в России, в отличие от многих зарубежных стран, отраслевое регулирование в области кибербезопасности отсутствует. При этом, например, в США такое регулирование охватывает энергетику, машиностроение, добывающие отрасли, различные виды транспорта. Соответствующие функции выполняют специализированные государственные учреждения или отраслевые сообщества. По оценке Дмитрия Даренского, в России отраслевое регулирование должно появиться в течение ближайших 2-3 лет. По крайней мере, будут сформулированы отраслевые наборы требований к системам, что позволит разрешить сложности, связанные с недостаточной зрелостью заказчиков. Технический директор InfoWatch АРМА Игорь Душа считает такую оценку излишне оптимистичной, более реально появление отраслевого регулирования в перспективе 5 лет. Не менее острой и насущной проблемой является недостаточная ИБ-зрелость российских производителей АСУ ТП. По оценке Александра Карпенко, это выражается и в том, что тема атак является табуированной для разработчиков систем промышленной автоматизации, и это серьезно осложняет работу по обеспечению кибербезопасности. Не менее острой проблемой, как обратил внимание руководитель направления по защите промышленной инфраструктуры "Лаборатории Касперского" Александр Познякевич, является то, что российские вендоры не устраняют вовремя уязвимости, в том числе критичные. И для того, чтобы заставить их это делать, приходится привлекать регуляторов. Как посетовал Дмитрий Даренский, иногда просто непонятно, к кому в российском вендоре АСУ ТП нужно обращаться, чтобы уведомить о наличии тех или иных проблем. В итоге импортозамещение не только не повышает защищенность объектов, а снижает. \[quote\]
https://www.comnews.ru/content/222396/2022-09-30/2022-w39/kto-zaschitit-50-tysyach-obektov-kii
\[/quote\] Тут, однако, регуляторы уже активно работают. Архитектор решений ОАО "ИнфоТеКС" Андрей Иванов напомнил, что уже с 1 января 2023 года становится обязательным требование об обязательном использовании технологий безопасной разработки для ПО, применяемого на объектах КИИ. И в целом активное лоббирование со стороны ФСТЭК технологий безопасной разработки, по мнению Александра Познякевича, позволит довольно быстро исправить ситуацию с прошивками для оборудования АСУ ТП. Появляются и положительные примеры сотрудничества между вендорами средств защиты и АСУ ТП. Такой опыт, как отметил Игорь Душа, есть у InfoWatch АРМА, которая оказала помощь ряду производителей АСУ ТП в построении конвейера безопасной разработки. Как подчеркнул Владимир Карантаев, активную работу по продвижению технологий безопасной разработки ведут и вузы. Как минимум в 3 российских вузах соответствующий курс уже читается, и это число будет только расти. Также требования по обязательному использованию таких подходов к разработке включают в свои технические задания и многие крупные компании, в частности ПАО "Россети". Также, по мнению технического директора UDV Group Андрея Суслина, необходимо формирование спроса на системы, спроектированные "с нуля" и на базе российской компонентной базы. И чем раньше это будет сделано, тем лучше. Сейчас же вендорам выгоднее продавать перемаркированную зарубежную продукцию, которая будет заведомо хуже оригинала в том числе и за счет того, что вовремя не будут устраняться уязвимости в ПО. Обратной стороной импортозамещения, как предупредил Дмитрий Даренский, также является необходимость перенастройки средств защиты, в частности систем мониторинга и корреляции событий (SIEM). Это связано с тем, что в системах на основе ядра Linux и Windows разные индикаторы компрометации.
Ссылка на источник
Пожалуйста Войти или Регистрация, чтобы присоединиться к беседе.
Похожие статьи
Тема | Релевантность | Дата |
---|---|---|
Контуры будущего регулирования | 17.48 | Вторник, 23 апреля 2024 |
Москва очертила контуры инновационного кластера | 9.96 | Четверг, 24 января 2019 |
Монополизация завтрашнего дня | 9.62 | Вторник, 04 февраля 2020 |
Ultra HD Blu-ray – видео завтрашнего дня | 9.51 | Четверг, 14 мая 2015 |
OS X El Capitan доступна с завтрашнего дня в качестве бесплатного обновления | 9.2 | Вторник, 29 сентября 2015 |
Глобальные маркетплейсы как основа телеком-индустрии завтрашнего дня | 9.2 | Воскресенье, 28 февраля 2021 |
С завтрашнего дня Samsung начнет хранить данные россиян в России | 9.1 | Понедельник, 31 августа 2015 |
Криптовалюта в ожидании регулирования | 7.3 | Пятница, 13 марта 2020 |
Самокаты встали на тропу регулирования | 7.22 | Вторник, 16 августа 2022 |
Ждать ли жесткого регулирования нейросетей? | 7.22 | Среда, 03 мая 2023 |