Газовая отрасль — один из стратегических столпов российской экономики. Газораспределительные станции, системы автоматизации котельных, диспетчерские пункты управления трубопроводами — всё это объекты, кибератака на которые способна привести к серьёзным последствиям: авариям, перебоям в теплоснабжении, экологическому ущербу. Именно поэтому государство уделяет особое внимание информационной безопасности (ИБ) предприятий топливно-энергетического комплекса.
Что такое КИИ и почему это важно для газовой отрасли
Критическая информационная инфраструктура (КИИ) — это информационные системы, автоматизированные системы управления (АСУ ТП) и телекоммуникационные сети организаций, работающих в стратегически значимых секторах экономики. Согласно Федеральному закону № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», принятому в 2017 году, топливно-энергетический комплекс — в числе приоритетных отраслей, на которые распространяются его требования.
Для предприятий газовой отрасли это означает, что системы телеметрии, АСУ ТП газораспределительных пунктов (ГРП, ГРПШ), системы контроля загазованности, диспетчерские SCADA-системы и даже корпоративные ERP-системы могут быть признаны объектами КИИ. А значит — требуют специальных мер защиты.
Категорирование объектов КИИ: с чего начать
Первый и ключевой шаг для любого субъекта КИИ — категорирование объектов. Это обязательная процедура, по итогам которой каждому информационному активу присваивается одна из трёх категорий значимости (1-я — наивысшая, 3-я — базовая) либо объект признаётся незначимым.
Категория определяется исходя из масштаба возможного ущерба при успешной кибератаке:
- социального — число пострадавших граждан, нарушение работы систем жизнеобеспечения;
- экономического — объём материального ущерба, простой производства;
- экологического — угроза окружающей среде (особенно актуально для газовой отрасли);
- политического — угроза государственному управлению и обороноспособности.
Порядок категорирования закреплён Постановлением Правительства РФ № 127. Процесс включает создание внутренней комиссии, инвентаризацию всех информационных систем и АСУ ТП, определение критических бизнес-процессов и оценку возможных последствий инцидентов. Подробное руководство по этой процедуре — с разбором нормативной базы, пошаговым описанием и практическими советами — опубликовано специалистами компании Security Vision, которая предлагает комплексные решения в области защиты КИИ и автоматизации процессов ИБ.
Основные угрозы для промышленных объектов газовой отрасли
Промышленные объекты имеют специфику, которая отличает их от традиционной корпоративной инфраструктуры:
АСУ ТП с длинным жизненным циклом. Оборудование на объектах нередко эксплуатируется 15–25 лет. За это время производитель прекращает выпуск обновлений безопасности, а интеграция с современными средствами защиты становится нетривиальной задачей.
Удалённые площадки. Шкафные газорегуляторные пункты (ГРПШ), котельные, газовые узлы учёта зачастую расположены вдали от центров обработки данных. Канал связи с ними — потенциальная точка проникновения.
Конвергенция IT и OT. Современные системы телемеханики и IIoT-мониторинга котельных всё глубже интегрируются с корпоративными сетями. Это повышает эффективность управления, но одновременно расширяет поверхность атаки.
Целевые атаки на энергетику. По данным российских регуляторов и НКЦКИ, предприятия ТЭК остаются в числе наиболее атакуемых секторов. Инциденты на зарубежных объектах — Colonial Pipeline, атаки на европейские энергосети — наглядно демонстрируют реальность угрозы.
Что требует 187-ФЗ от субъектов КИИ
После категорирования субъект КИИ обязан:
- Подключиться к ГосСОПКА — Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак. Все значимые объекты обязаны передавать сведения об инцидентах в ФСБ России.
- Создать систему безопасности — для объектов 1-й и 2-й категорий создаётся выделенное подразделение или назначается ответственный за ИБ.
- Выполнить технические меры защиты — в соответствии с Приказами ФСТЭК России № 235 и № 239. Требования охватывают сегментацию сетей, контроль доступа, мониторинг, резервное копирование, антивирусную защиту и многое другое.
- Проходить периодические проверки — соответствие требованиям контролируется ФСТЭК и ФСБ, а нарушения влекут административную и уголовную ответственность.
Практические шаги для предприятий газовой отрасли
Шаг 1. Инвентаризация активов. Составьте реестр всех информационных систем и АСУ ТП: SCADA, системы телемеханики, корпоративные ERP, системы контроля загазованности (САКЗ, СИКЗ), узлы учёта газа с измерительными комплексами.
Шаг 2. Оценка критичности. Для каждого актива определите, какой бизнес-процесс он обслуживает и каков ущерб при его отказе или компрометации.
Шаг 3. Категорирование и уведомление. По итогам комиссии заполните форму сведений об объекте и направьте её во ФСТЭК России.
Шаг 4. Построение системы защиты. Реализуйте технические и организационные меры согласно присвоенной категории: сегментация сети (промышленная DMZ), межсетевые экраны для АСУ ТП, системы обнаружения вторжений (IDS/IPS), защищённые каналы связи для удалённых объектов.
Шаг 5. Мониторинг и реагирование. Выстройте процесс обнаружения инцидентов и реагирования на них, подключитесь к ГосСОПКА.
Автоматизация — ключ к управляемой ИБ
Одна из главных сложностей — не разовое выполнение требований, а поддержание соответствия в долгосрочной перспективе. Нормативная база обновляется, угрозы эволюционируют, инфраструктура меняется. Вручную отслеживать всё это крайне затруднительно.
Именно здесь на помощь приходят специализированные платформы автоматизации ИБ-процессов. Они позволяют вести актуальный реестр объектов КИИ, автоматически формировать отчётность для регуляторов, управлять рисками и контролировать выполнение мер защиты в режиме реального времени.
Заключение
Информационная безопасность для предприятий газовой отрасли — это уже не опция, а законодательная обязанность и производственная необходимость. Выполнение требований 187-ФЗ защищает не только данные, но и физическую инфраструктуру: трубопроводы, газорегуляторные пункты, котельные и системы безопасности.
Начните с категорирования — это фундамент, на котором строится вся система защиты. А чтобы не упустить ни одного требования нормативной базы, используйте проверенные методики и инструменты от ведущих специалистов в области КИИ.
Статья подготовлена для ознакомления с основами требований в области информационной безопасности объектов КИИ газовой отрасли.