Өнеркәсіптік кәсіпорында киберинцидент өндірістік желінің тоқтауына, технологиялық процестің бұзылуына немесе адамдардың қауіпсіздігіне әсер етуі мүмкін. Сондықтан өнеркәсіпке арналған ISO 27001 өндірісті түсінуден басталады: қандай жүйелер жабдықты басқарады, олардың қолжетімділігі неге байланысты және баптауларды кім өзгертуге құқылы.
ISO/IEC 27001:2022 ақпараттық қауіпсіздікті басқару жүйесіне (ISMS) қойылатын талаптарды белгілейді: ұйым оның қолданылу аясын анықтайды, тәуекелдерді бағалайды, қорғау шараларын таңдайды және олардың нәтижелілігін тексереді. Стандарт кәсіпорынның ерекшеліктерін ескеруге мүмкіндік береді, бірақ өздігінен АБЖ ТП үшін инженерлік шешімдерді алмастырмайды. Өнеркәсіптік орта үшін автоматтандыру және басқару жүйелерінің қауіпсіздігіне арналған ISA/IEC 62443 сериясының тәсілдері де пайдалы.
Алдымен OT шекараларын анықтаңыз
Кең таралған қателіктердің бірі — АБЖ ТП-ны қолданыстағы корпоративтік ISMS жүйесіне бір ғана жолмен: «өндірістік желі» деп қосу. Бұл инциденттің салдарын бағалау және жауапты тұлғаларды тағайындау үшін жеткіліксіз.
Технологтармен және пайдалану қызметімен бірге контроллерлердің, операторлардың жұмыс станцияларының, инженерлік станциялардың, SCADA серверлерінің, желілік жабдықтар мен байланыс арналарының тізімін жасаңыз. Процестің тоқтауына және персонал қауіпсіздігіне әсер ететін жүйелерді бөлек белгілеңіз. Әрбір маңызды актив үшін оның иесін, жеткізушісін, бағдарламалық жасақтама нұсқасын, басқа жүйелермен байланысын және рұқсат етілетін тоқтап тұру уақытын тіркеңіз.
Содан кейін ISMS шекарасын сипаттаңыз: қазіргі уақытта оған қандай цехтар, өндірістік алаңдар, сервистер мен қосылымдар кіретінін және қайсысын кейінірек қамту жоспарланғанын анықтаңыз. Егер кәсіпорын Қазақстанда, Өзбекстанда, Грузияда немесе Қырғызстанда бірнеше өндірістік алаңда жұмыс істесе, әрбір алаң үшін шекаралар мен жауапкершілік жеке анықталуы тиіс. Бұл құжаттарда «зауыт» қорғалған болып көрсетілгенімен, қашықтағы өндірістік алаңдағы жабдыққа нақты қолжетімділік бағалаудан тыс қалып қоятын жағдайдың алдын алуға көмектеседі.
Тәуекелді өндіріс үшін салдары арқылы бағалаңыз
Кеңселік IT-ортада жаңартуды немесе қайта жүктеуді көбіне ең жақын техникалық қызмет көрсету уақытына жоспарлауға болады. Ал OT ортасында тіпті қысқа мерзімді ақаудың салдары мүлде басқаша болуы мүмкін. Тәуекелді бағалау кезінде тек деректердің таралып кетуін ғана емес, сонымен қатар басқаруды жоғалтуды, параметрлердің қате өзгертілуін, өнім шығарудың тоқтауын және адамдарға төнетін қауіпті де қарастырыңыз.
CISO мен өндіріс басшысының бірлесіп талқылауына пайдалы сұрақ: егер осы торап қолжетімсіз болып қалса немесе қате деректер бере бастаса, не болады? Жауап қорғау шараларының басымдығын анықтайды. Мысалы, тез жаңарту мүмкін емес ескірген инженерлік станция үшін кәсіпорын желілік қосылымдарды шектеуі, бөлек сегмент бөлуі, пайдаланушылар әрекеттерін бақылауы және тексерілген қалпына келтіру тәртібін дайындауы мүмкін. Мұндай шараларды таңдау мен олардың шектеулерін құжаттау қажет, ал қалдық тәуекелді шешім қабылдауға уәкілетті басшыға беру керек.
Осылайша, Қазақстандағы OT киберқауіпсіздігі IT-баптаулардың жеке тізімі емес, өндірістік тәуекелдерді басқарудың бір бөлігіне айналады.
Мердігерлердің қашықтан қол жеткізуін басқарылатын етіңіз
Жабдық жеткізушілері мен сервистік ұйымдар диагностика жүргізу үшін АБЖ ТП жүйесіне жиі қашықтан қосылады. Тұрақты ортақ есептік жазба немесе тіркелмеген байланыс арнасы кәсіпорынды қарапайым сұрақтарға жауап беру мүмкіндігінен айырады: кім қосылды, не үшін қосылды және нені өзгертті?
Практикалық тәртіп жұмыс мақсаты мен нақты жабдық көрсетілген өтінімді, пайдалану қызметі тарапынан келісуді, жеке есептік жазбаны, қол жеткізу уақыты мен құқықтарын шектеуді, сеансты журналдауды және тапсырма аяқталғаннан кейін қол жеткізуді жабуды қамтиды. Қосылуды бақыланатын кіру нүктесі арқылы жүзеге асырған жөн, ал технологиялық процеске әсер етуі мүмкін әрекеттерді технологияға жауапты тұлғамен келісу қажет. CISA-ның өнеркәсіптік жүйелерге қашықтан қол жеткізу жөніндегі ұсынымдарында да қорғалған қосылу, мониторинг және жеткізушілердің қолжетімділігі жалпы қорғаныс схемасының бөліктері ретінде қарастырылады.
Бұл үдерісте сатып алу бөліміне де маңызды рөл беріледі: қол жеткізуге, инциденттер туралы хабарлауға және жұмыстарды аяқтауға қойылатын талаптарды мердігермен жасалатын шартта алдын ала бекіткен жөн. Сонда мердігерлердің қашықтан қол жеткізуі жекелеген мамандардың бейресми келісімдерімен емес, бірыңғай әрі түсінікті процесс арқылы реттеледі.
ISMS жүйесінің өндірістік алаңда жұмыс істейтінін қалай тексеруге болады
Бір маңызды өндірістік желіден немесе учаскеден бастаңыз. Активтер тізімі мен қосылу сызбаларын тексеріңіз, екі-үш шынайы тәуекел сценарийін талдаңыз, мердігерлердің қол жеткізу ережелерін келісіп, өндіріс қызметкерлерімен бірге инцидентке ден қою бойынша оқу-жаттығу өткізіңіз. Осыдан кейін тәсілді басқа учаскелерге кеңейтіңіз.
ISMS жұмысының көрсеткіші тек бекітілген саясаттар ғана емес. Қолжетімділіктің уақтылы жабылатынын, өзгерістердің келісуден өтетінін, журналдардың сақталатынын, резервтік көшірмелердің қалпына келтіруге жарамды екенін және қызметкерлердің инцидент кезінде шешімді кім қабылдайтынын білетінін көру маңызды. Басшылық шешілмеген тәуекелдер және оларды төмендетуге қажетті ресурстар туралы ақпарат алып отыруы тиіс.
OT ортасында ISMS жүйесін енгізуді немесе кеңейтуді жоспарлап отырған кәсіпорындар үшін бастапқы қадам ретінде тиісті қызметті пайдалануға болады System Management ISO/IEC 27001:2022. Негізгі практикалық міндет — басқару жүйесінің талаптарын өндірістің нақты жағдайларымен байланыстыру және қауіпсіздік, пайдалану қызметі мен өндірістік алаң басшылары арасындағы жауапкершілікті бөлу.