Санкт-Петербург

Западный и Российский подходы к защите АСУ ТП и проблематика с точки 
зрения ИБ. Сравнив приказ № 31 ФСТЭК [3] и стандарт NIST SP 800-82 [4], очевидно, что 
при разработке приказа № 31 специалисты ФСТЭК изучали зарубежные стандарты и 
рекомендации по обеспечению безопасности АСУ, поэтому российский документ хорошо 
согласован с международной нормативной базой. Однако имеются и серьезные различия в 
подходах. 
NIST SP 800-82 является набором рекомендаций по комплексному обеспечению 
безопасности индустриальных систем, содержащим методические наработки практиков. В 
свою очередь, Приказ ФСТЭК России № 31 – формальный документ. Он создан по аналогии 
с приказами ФСТЭК № 17 и № 21. 
В приказе ФСТЭК № 31 обеспечение защиты информации АСУ ТП делится на пять 
больших этапов: 
1. формирование требований (в том числе определение уровня значимости системы, 
необходимого класса защищенности, возможных угроз и требований к системе защиты); 
2. разработка системы защиты на основе сформулированных требований; 
3. ее внедрение; 
4. обеспечение защиты в процессе эксплуатации системы; 
5. обеспечение защиты при выводе системы из эксплуатации. 
Стандарт NIST не выдвигает каких-либо формальных требований, а лишь предлагает 
набор методик и рекомендаций. Он содержит: 
– предметные рекомендации, дающие представление о том, с чего следует начать и как 
наиболее эффективно построить систему защиты в целом; 

---

Альманах научных работ молодых ученых 
XLVII научной и учебно-методической конференции Университета ИТМО. Том 1 
51 
– упрощенные модели злоумышленника и угроз АСУ ТП; 
– большой раздел по типовым угрозам и уязвимостям АСУ ТП; 
– рекомендации по созданию и реализации программы обеспечения безопасности АСУ ТП; 
– подробное описание архитектуры АСУ ТП и общее описание подсистемы безопасности; 
– всеобъемлющий раздел, посвященный всем классическим подсистемам информационной 
безопасности (контроль над доступом, идентификация и аутентификация, антивирусная 
защита, сети, аудиты, криптография и пр.). 
Автором подчеркнуто, что NIST SP 800-82 и приказ ФСТЭК № 31 не противоречат 
друг другу. В России стало распространенной практикой одновременное использование этих 
документов и, соответственно, подходов. 
При проектировании АСУ ТП подразумевалось, что они не будут изменяться в 
дальнейшем. Системы, созданные два десятка лет назад, до сих пор функционируют в своих 
первоначальных конфигурациях, многие из них зачастую не обновлялись. А 
производственная сеть создавалась отдельно от корпоративного контура. 
Сегодня индустриальные сети либо напрямую связаны с другими информационными 
системами предприятий (интегрированы с системами SAP, с ERP-системами и т.п.), либо 
отделены от остальных контуров межсетевыми экранами и средствами обнаружения 
вторжений. 
Принципиальное отличие АСУ ТП от привычных для специалистов по ИБ 
информационных систем заключается в том, что из триады «конфиденциальность – 
целостность – доступность» в данном случае наиболее критичной является доступность. В 
индустриальных системах в первую очередь важно, чтобы управляющий сигнал был вовремя 
принят и оказал необходимое воздействие. 
Создание и работа подсистемы обеспечения безопасности нефтеперерабатывающих 
предприятий не должны мешать функционированию системы управления. Для обеспечения 
безопасности АСУ ТП крайне редко используются криптографические решения, поскольку 
они порождают избыточность вычислений и могут замедлить или вовсе остановить отправку 
и получение управляющего сигнала. Стандартным механизмом является периметровая 
защита – разделение (логическое или физическое) сетей на сегменты, которое позволяет 
выделить или изолировать индустриальные решения.