Обзор актуальной версии руководства по обеспечению безопасности операционных технологий

Вышла окончательная редакция третьей версии стандарта NIST SP 800-82. В нем приводятся рекомендации по обеспечению безопасности систем промышленной автоматики, технологических сетей, АСУ ТП и т.п. Данный стандарт будет интересен прежде всего специалистам по информационной безопасности и инженерам АСУ ТП в промышленности.

Помимо смены названия с «Guide to Industrial Control Systems (ICS) Security» на «Guide to Operational Technology (OT) Security», стандарт получил ряд обновлений, среди которых хотим отметить следующие:

• переработан раздел по управлению рисками, добавлены таблицы с оценкой возможных уровней воздействия, а также матрица рисков;
  
• в скоуп стандарта включена Концепция «архитектуры нулевого доверия» (ZTA) — парадигмы кибербезопасности, которая фокусируется на защите ресурсов на основе предпосылки, что решения об авторизации принимаются «ближе» к запрашиваемому ресурсу (более подробно в NIST SP 800-207);
• сделано детальное описание ряда классов информационных систем, которые в предыдущей версии стандарта упоминались только тезисно, а также приведена их типовая архитектура, среди которой:
  • cистемы автоматизации зданий и сооружений (Building Automation Systems, «BAS»), управляющие широким спектром инженерных систем: отопления, вентиляции и кондиционирование воздуха, электроэнергетики, осветительными приборами и т.п.;
  • системы контроля физического доступа (Physical Access Control Systems, «PACS»);
  • системы, связанные с безопасностью (Safety Systems, «SS»), предназначены для снижения вероятности и/или последствий потенциально опасных ситуаций: для жизни и безопасности людей, имущества и окружающей среды, путем перевода системы в безопасное состояние;
  • промышленный интернет вещей (Industrial Internet of Things, «IIoT»), который состоит из датчиков, различных приборов, машин и механизмов, исполнительных устройств, которые объединены в сеть и используют подключение к Интернету для улучшения промышленных и производственных бизнес-процессов.
    
• добавлено сопоставление уровней моделей Purdue, МЭК 62264, IIoT для сегментации сети и выделения DMZ;
  
• написаны краткие рекомендации по безопасности при разработке программного обеспечения;
• приведены ссылки на другие стандарты в системе NIST.

Подробнее ознакомиться с финальной редакцией стандарта NIST SP 800-82 можно по ссылке.