Журнал "Системы Безопасности" № 1‘2021

Ц И Ф Р О В А Я Т Р А Н С Ф О Р М А Ц И Я : A I , У М Н Ы Й Г О Р О Д , I o T 66 февраль – март 2021 www.secuteck.ru СПЕЦПРОЕКТ КИБЕРБЕЗОПаСнОСТь ЦИФРОВОгО ПРЕДПРИЯТИЯ Какие проверенные временем подходы к реализации требований закона 187-ФЗ и подзаконных актов вы можете порекомендовать для современного цифрового предприятия? Какими метриками можно измерить эффективность предложенных подходов? Анатолий Скородумов, Банк Санкт-Петербург Все подходы и технологии, которые применя- лись для обеспечения ИБ в организациях последние годы, с успехом могут использо- ваться и для реализации требований закона 187-ФЗ "О безопасности критической инфор- мационной инфраструктуры Российской Федерации". Другое дело, что на многих предприятиях, особенно сектора реальной экономики, вопросам обеспечения ИБ практически не уде- лялось должного внимания. Для большинства предприятий актуальным является не вопрос "Какие проверенные временем подходы к реа- лизации требований законодательства по обеспечению ИБ использовать?", а вопрос "С чего начинать построение системы обес- печения ИБ в организации?". И если ваша цель не формальное закрытие законодательных требований, а реальное повышение уровня ИБ в вашей организации, то начинать надо с фор- мирования собственной команды ИБ. Пусть это будут для начала 2–3 человека, но это должны быть квалифицированные специали- сты, знающие, как строится система ИБ, и умеющие это делать на практике. Алексей Лукацкий, Cisco Сегодня не существует каких-либо проверен- ных методов выполнения ФЗ-187, так как самому закону всего три года и многие орга- низации даже не завершили процесс катего- рирования, с которого и должен начинаться процесс защиты информации. Кроме того, стоит помнить, что под действие закона о без- опасности критической инфраструктуры попадают как ломбарды, так и атомные элек- тростанции, как банки, так и нефтяные танке- ры. Совершенно разные организации, с совер- шенно разными подходами к своей цифровой трансформации. Кто-то внедряет цифровые двойники для своей продукции, а кто-то – искусственный интеллект для принятия реше- ний, кто-то начинает использовать блокчейн для распределенного хранения информации, а кто-то активно уходит в облака и внедряет биометрию. Все это совершенно разные новые технологии, которые требуют разных подхо- дов к обеспечению их кибербезопасности. Что же касается метрик, то для бизнеса основ- ной задачей является увеличение доходов при снижении расходов, что транслируется и на область информационной безопасности. Внедряемые технологии должны как минимум снижать размер ущерба от осуществляемых атак и случившихся инцидентов. При сниже- нии этого значения можно говорить об эффек- тивности используемых подходов. П рактически все технологии, описанные в Индустрии 4.0, применяются на современ- ных предприятиях. Это CV и ML для различных кейсов по дефектам, мониторингу промышлен- ной безопасности, инвентаризации и управле- нию складскими запасами и операциями; роботизированная техника для складских опе- раций, упаковки товаров; дроны, CV, ML для мониторинга строительства новых объектов, инспекции труднодоступных мест внутри про- изводственных помещений, контроля перимет- ра, инвентаризации открытых складских объ- ектов; ML для предиктивных ремонтов, контро- ля использования реагентов; VR/AR для обуче- ния персонала и использования удаленных экс- пертов; мобильные интерфейсы применяются на всех участках производственной цепочки; умная одежда и носимые устройства для конт- роля за здоровьем сотрудников, предотвраще- ния травм и т.д. В парадигме современного цифрового предприятия, где уровень источников дан- ных увеличивается с каждым годом, самым актуальным средством защиты должны быть системы и протоколы, которые шиф- руют передаваемую информацию. Потому что основные риски здесь, если кто-то смо- жет вмешаться в процессы сбора данных и обратные управляющие сигналы, это может привести к крайне негативным последствиям, начиная с серьезных убыт- ков и заканчивая опасностью для жизни человека. Сергей Меркулов Руководитель цифровой трансформации ООО "УК "Сегежа Групп" МНЕНИЕ ЭКСПЕРТА Шифрование – главное средство защиты информации Опишите лучшие практики подготовки организаций, заявивших о наличии значимого объекта критической информационной инфраструктуры (ЗОКИИ) и занесенных в реестр ФСТЭК, к проверкам со стороны регулятора: опыт прохождения, типовые недостатки, рекомендации для самодиагностики Алексей Лукацкий, Cisco Я думаю, сегодня еще никто не может говорить о практике подготовки субъектов КИИ к провер- кам со стороны регуляторов, так как ни одной проверки еще проведено не было. Первые пять объектов КИИ, по данным ФСТЭК, будут прове- рены только во второй половине 2021 г. Пред- ставители регулятора озвучили, что они не спо- собны проверить даже 1% от общего числа объ- ектов КИИ, что говорит о том, что о появлении лучших практик можно будет говорить только лет через 5–7, когда значимое число субъектов КИИ пройдет проверки ФСТЭК. Должен сформи- роваться условный "коллективный иммунитет", которым уже и можно будет делиться. Можно было бы ориентироваться на практики проверок государственных организаций и операторов пер- сональных данных, но даже тут все не так просто: ФСТЭК сейчас меняет всю свою нормативную базу и нас ждет еще немало сюрпризов при про- ведении проверок значимых объектов КИИ. Д ля бизнеса основной задачей является увеличение доходов при снижении расходов, что транслиру- ется и на область информационной безопасности. Внедряемые техно- логии должны как минимум сни- жать размер ущерба от осуществ- ляемых атак и случившихся инци- дентов. При снижении этого значе- ния можно говорить об эффектив- ности используемых подходов