Журнал "Information Security/ Информационная безопасность" #2, 2025

Этот пример наглядно демонстрирует: в современном мире абсолютная изоля- ция цифровых систем – иллюзия. Даже физически отключенное от сети устрой- ство остается уязвимым через челове- ческий фактор, условия эксплуатации или скрытые функциональные возмож- ности. Более того, стремление к полной изоляции может принести больше вреда, чем пользы, поскольку лишает нас воз- можности контролировать и своевре- менно обновлять системы. Концепция "воздушного зазора" тре- бует радикального переосмысления. Вместо искусственной изоляции нужны продуманные системы контроля и управ- ления, учитывающие реальные условия эксплуатации. Security by Design в АСУ ТП В российской практике существует разрозненный понятийный аппарат: "кибериммунные системы", "конструк- тивная безопасность", "киберустойчивые решения" – все эти термины исполь- зуются параллельно, но единого стан- дарта пока нет. Это создает почву для разночтений и затрудняет выработку четких требований. Примечательно, что в аппаратной части прогресс более очевиден. Разра- ботчики АСУ ТП уже привыкли учитывать физические факторы защиты: помехо- устойчивые корпуса, температурные режимы, ограничение доступа к компо- нентам. Однако, когда речь заходит о микропроцессорной технике и программ- ной составляющей, сохраняется значи- тельный пробел – как в экспертизе самих создателей оборудования, так и в поста- новке задач со стороны заказчиков. Ключевая проблема кроется в разрыве цепочки "регулятор – заказчик – про- изводитель". Пока отраслевые стандарты не будут явно требовать встраивания киберустойчивости на этапе проектиро- вания, ситуация будет меняться мед- ленно. Показателен пример электро- энергетики: даже в 2025 г., по дей- ствующему Постановлению Правитель- ства № 846 от 28 октября 2009 г., в состав комиссий по расследованию системных аварий не включают в обя- зательном порядке ИТ- и ИБ-специали- стов, а при расследовании причин ава- рии не предъявляют требования по фик- сации прошивок, конфигураций, логов и сетевых настроек информационной инфраструктуры. В результате причины инцидентов сводятся к "браку производ- ства" или "ошибкам персонала", тогда как потенциальные кибератаки остаются за рамками рассмотрения. Тем не менее позитивные сдвиги есть. Передовые производители, заинтересо- ванные в долгосрочном присутствии на рынке, уже добровольно внедряют прин- ципы безопасной разработки и встраи- вают в свои устройства сертифициро- ванную криптографию. Постепенно меняется и восприятие заказчиков: все чаще повышение киберустойчивости воспринимается не как избыточные затраты, а как инструмент обеспечения надежности и снижения эксплуатацион- ных расходов. Этот процесс напоминает сборку слож- ного механизма: сначала нужно осознать назначение каждой детали, затем – пра- вильно ее установить. Сейчас отрасль проходит этап осознания. И хотя темпы изменений пока отстают от технологи- ческих вызовов, вектор движения оче- виден: будущее – за системным подхо- дом, где безопасность проектируется, а не дополняется. Новые вызовы для кадровой политики Электроэнергетика переживает глу- бокую трансформацию, которая требует принципиально нового подхода к подго- товке кадров. Сегодня уже недостаточно быть просто энергетиком – необходимо разбираться в сетевых технологиях и вопросах кибербезопасности. Шести- летний опыт сотрудничества компании "ИнфоТеКС" с Центром НТИ МЭИ пока- зывает, что современному специалисту по релейной защите уже необходимы знания сетевых протоколов, как части архитектуры цифровых подстанций, базовых механизмов криптографии и информационной безопасности. Однако подготовка таких специали- стов – лишь часть решения. Гораздо сложнее оказалось интегрировать их в существующую систему эксплуатации у заказчиков. Выпускники с современ- ными междисциплинарными знаниями часто сталкиваются с непониманием со стороны работодателей. Традиционные энергокомпании просто не готовы оце- нивать и достойно оплачивать такие компетенции, что создает парадоксаль- ную ситуацию: с одной стороны – острая нехватка квалифицированных кадров, с другой – невостребованность подго- товленных специалистов. Решение этой проблемы требует системного подхода. Крупным энерго- компаниям необходимо создать центры компетенций в составе 10–15 высоко- квалифицированных специалистов, спо- собных работать на стыке энергетики, ИТ и ИБ. При этом на местах можно ограничиться инженерно-техническим персоналом с базовой подготовкой. Но главное – нужно менять саму корпора- тивную культуру, пересматривать под- ходы к организации эксплуатации и опла- те труда. Цифровая трансформация – это не просто новые технологии, но и новые принципы управления кадрами, без которых современные решения оста- нутся нереализованным потенциалом. Удручающе выглядят случаи, когда специалист по релейной защите, получив знания в области ИТ и информационной безопасности, уходит в банковский сек- тор. Однако в ходе общения с выпуск- никами МЭИ, защитившими магистер- ские диссертации на стыке цифровых технологий и надежности энергосистем, становится очевидным: перед нами уни- кальные профессионалы. Их ценность – в редком сочетании глубокого понимания эксплуатационных процессов с совре- менными цифровыми компетенциями. В отличие от обычного программиста, чьи функции постепенно берет на себя искусственный интеллект, такие меж- дисциплинарные эксперты останутся вос- требованными как минимум ближайшие 10–15 лет. Ключевая задача – показать молодым специалистам перспективы такого про- фессионального пути. Ведь именно они будут формировать цифровой ландшафт критически важных отраслей экономики в предстоящие годы. Суверенитет и прагматизм Перед субъектами КИИ, особенно в энергетике, стоит сложная дилемма. С одной стороны, существует очевидная необходимость замены иностранных решений, производимых компаниями из недружественных стран. С другой – вопрос о целесообразности полного перехода на суверенные разработки тре- бует взвешенного подхода. Следует признать, что задача импор- тозамещения во многом обусловлена объективными обстоятельствами. Одна- ко важно учитывать исторический кон- текст: многие системы автоматизации в России просто не разрабатывались в необходимых объемах, поскольку существовали доступные и надежные зарубежные аналоги. В этой ситуации более продуктивным представляется стратегический подход, который можно обозначить как "импор- тоопережение". Речь идет не о механи- ческой замене "коробки на коробку", а о выстраивании комплексного проекта цифровой трансформации. При таком подходе: l устаревшие устройства могут вре- менно сохраняться как исполнительные механизмы, l базовые системы управления соз- даются на новых отечественных плат- формах, l критерием выбора становится не гео- графическое происхождение решения, а его прозрачность и контролируемость. Особое внимание следует уделить Mission Critical-системам, обеспечиваю- щим национальную безопасность. Для них, по аналогии с оборонной промыш- ленностью, может быть оправдан полный переход на суверенные решения – даже в ущерб экономической эффективности. Однако в других случаях необходим баланс между требованиями безопас- ности и бизнес-реалиями. Путь к технологическому суверенитету лежит не через тотальное замещение, а через продуманную модернизацию с четким разделением систем по степени их критичности. l • 47 Защита аСУ тП www.itsec.ru На правах рекламы