На промышленном предприятии киберинцидент может остановить линию, нарушить технологический процесс или повлиять на безопасность людей. Поэтому ISO 27001 для промышленности начинается с понимания производства: какие системы управляют оборудованием, от чего зависит их доступность и кто вправе менять настройки.
ISO/IEC 27001:2022 задаёт требования к системе управления информационной безопасностью (ISMS): организация определяет область её применения, оценивает риски, выбирает меры защиты и проверяет их результативность. Стандарт позволяет учитывать особенности предприятия, но сам по себе не заменяет инженерные решения для АСУ ТП. Для промышленной среды полезны также подходы серии ISA/IEC 62443, посвящённой безопасности систем автоматизации и управления.
Сначала определите границы OT
Распространённая ошибка — включить АСУ ТП в уже действующую корпоративную ISMS одной строкой: «производственная сеть». Этого недостаточно, чтобы оценить последствия инцидента и назначить ответственных.
Вместе с технологами и эксплуатацией составьте перечень контроллеров, рабочих станций операторов, инженерных станций, серверов SCADA, сетевого оборудования и каналов связи. Отдельно отметьте системы, от которых зависят остановка процесса и безопасность персонала. Для каждого важного актива зафиксируйте владельца, поставщика, версию ПО, связи с другими системами и допустимое время простоя.
Затем опишите границу ISMS: какие цеха, площадки, сервисы и подключения входят в неё сейчас, а какие планируется охватить позже. Если предприятие работает на нескольких площадках в Казахстане, Узбекистане, Грузии или Кыргызстане, границы и ответственность нужно определить для каждой из них. Это помогает избежать ситуации, когда в документах защищён «завод», а фактический доступ к оборудованию на удалённой площадке остаётся вне оценки.
Оценивайте риск через последствия для производства
В офисной ИТ-среде обновление или перезагрузку часто можно запланировать на ближайшее окно обслуживания. В OT даже короткий сбой может иметь другие последствия. При оценке риска рассмотрите не только утечку данных, но и потерю управления, ошибочное изменение параметров, остановку выпуска продукции и угрозу людям.
Полезный вопрос для совместного обсуждения CISO и начальника производства: что произойдёт, если этот узел станет недоступен или начнёт передавать неверные данные? Ответ определяет приоритет мер защиты. Например, для устаревшей инженерной станции, которую нельзя быстро обновить, предприятие может ограничить сетевые соединения, выделить отдельный сегмент, контролировать действия пользователей и подготовить проверенный порядок восстановления. Выбор и ограничения таких мер следует документировать, а остаточный риск — передавать на решение уполномоченному руководителю.
Так кибербезопасность OT в Казахстане становится частью управления производственными рисками, а не отдельным перечнем ИТ-настроек.
Сделайте удалённый доступ подрядчиков управляемым
Поставщики оборудования и сервисные организации нередко подключаются к АСУ ТП для диагностики. Постоянная общая учётная запись или незарегистрированный канал связи лишают предприятие возможности ответить на простые вопросы: кто подключался, зачем и что изменил.
Практический порядок включает заявку с целью работ и конкретным оборудованием, согласование со стороны эксплуатации, индивидуальную учётную запись, ограничение времени и прав доступа, журналирование сеанса и закрытие доступа после выполнения задачи. Подключение следует проводить через контролируемую точку входа, а действия, способные повлиять на процесс, согласовывать с ответственным за технологию. Рекомендации CISA по удалённому доступу к промышленным системам также рассматривают защищённое подключение, мониторинг и доступ поставщиков как части общей схемы защиты.
Закупкам здесь тоже отведена роль: требования к доступу, уведомлению об инцидентах и завершению работ стоит закреплять ещё в договоре с подрядчиком. Тогда удалённый доступ подрядчиков регулируется одним понятным процессом, а не договорённостями отдельных специалистов.
Как проверить, что ISMS работает на площадке
Начните с одной критичной линии или участка. Проверьте перечень активов и схемы соединений, разберите два-три реалистичных сценария риска, согласуйте правила доступа подрядчиков и проведите учение по инциденту вместе с производством. После этого расширяйте подход на другие участки.
Показателем работы ISMS будут не только утверждённые политики. Важно увидеть, что доступы вовремя закрываются, изменения проходят согласование, журналы сохраняются, резервные копии пригодны для восстановления, а сотрудники знают, кто принимает решение при инциденте. Руководство должно получать сведения о нерешённых рисках и ресурсах, необходимых для их снижения.
Для предприятий, которые планируют внедрение или расширение ISMS на OT, отправной точкой может служить услуга System Management ISO/IEC 27001:2022. Главная практическая задача — связать требования системы управления с реальными условиями производства и распределить ответственность между безопасностью, эксплуатацией и руководителями площадок.