КИИ: отраслевые перечни от Минэнерго, ЦБ и Минтранса - работаем «от худшего» до их утверждения

По информации с нескольких площадок, где сейчас обсуждают 187-ФЗ, отраслевые регуляторы - Минэнерго, Банк России и Минтранс - приступили к формированию своих перечней объектов КИИ в соответствующих сферах. Это предусмотрено логикой закона: системообразующие субъекты в отрасли получат списки объектов, которые регулятор считает значимыми a priori, без прохождения стандартной процедуры категорирования снизу вверх.

Звучит разумно. На практике для нас сейчас это означает одно: клиент из энергетики, с которым мы работаем уже несколько месяцев, оказался в подвешенном состоянии, и перечень от Минэнерго ему не поможет - потому что этот перечень не утверждён.

Почему «ждать перечня» - плохая стратегия

Теоретически логика привлекательная: зачем делать категорирование самим, если регулятор скажет, что включать? Подождём, получим список, сделаем документы по нему.

Проблема в том, что никто не знает, когда перечень выйдет. По косвенным признакам - от коллег из других проектов, от обсуждений на рабочих группах - у Минэнерго сейчас идёт внутреннее согласование. Когда это закончится и в каком виде выйдет документ - неизвестно. Может, через месяц. Может, весной. Нормативная база по КИИ в целом движется без чёткого расписания: 187-ФЗ подписан в июле, постановление о категорировании до сих пор не утверждено.

Клиент при этом живёт в реальном времени. Производственный объект работает. АСУ ТП подключены к корпоративной сети. Внешние интерфейсы есть. Если что-то случится - вопрос «а вы что, не знали, что это КИИ?» прозвучит очень неприятно, и ссылка на «ждём отраслевой перечень» его не снимет.

Что мы делаем вместо ожидания

Мы работаем по принципу «от худшего». Суть простая: раз непонятно, какие именно объекты попадут в отраслевой перечень, берём в периметр категорирования всё, что с разумной вероятностью там окажется. В энергетике критерий понятный - это АСУ ТП с внешними интерфейсами.

Внешний интерфейс - это не только выход в интернет. Это любое сетевое взаимодействие за пределами изолированного технологического сегмента: связь с корпоративной сетью, канал телеметрии в диспетчерский центр, VPN для удалённого обслуживания вендором. Если АСУ ТП имеет хотя бы одно такое соединение - она у нас в списке.

Логика у этого подхода двоякая. Во-первых, такие объекты с высокой вероятностью окажутся в отраслевом перечне - потому что именно внешние интерфейсы и делают систему уязвимой с точки зрения 187-ФЗ. Во-вторых, даже если конкретный объект в перечень не попадёт, категорирование для него уже сделано - значит, когда выйдет официальный список, добавить его в акт будет вопросом часов, а не недель.

Что это значит в работе

У нашего заказчика в периметре сейчас порядка десятка АСУ ТП-систем с внешними интерфейсами. Уровень детализации у них очень разный: одни задокументированы нормально, по другим схемы соединений нужно восстанавливать через интервью с эксплуатацией и просмотр конфигураций сетевого оборудования.

Есть несколько вещей, которые выяснились в ходе этой работы и которые неочевидны до того, как начинаешь копать.

Первое - «изолированных» систем меньше, чем кажется. Технологический сегмент, который по проектной документации описан как физически отделённый, на практике оказывается подключён к корпоративной сети «временным» каналом, который существует уже пять лет. Про него знают трое человек, ни у кого нет мандата его убрать, и в документации его нет.

Второе - вендорский доступ плохо контролируется. Большинство АСУ ТП обслуживаются через удалённый доступ поставщика. Это разумно с точки зрения поддержки, но с точки зрения 187-ФЗ это внешний интерфейс со всеми вытекающими. Отдельный вопрос, что этот доступ зачастую не завершён явно - VPN-туннель просто висит постоянно.

Третье - у части систем нет актуального перечня версий ПО. Для категорирования это не блокирует, но при переходе к требованиям по защите - следующий этап после акта категорирования - это станет серьёзным тормозом в работе.

Что будет, когда перечень выйдет

Честно: мы не знаем. Теоретически перечень Минэнерго может оказаться уже или шире нашего периметра. Если шире - придётся добавлять объекты и делать акты на них. Если уже - у нас будет готовое обоснование, почему мы всё равно включили эти системы в категорирование по собственной инициативе, и это, как правило, регулятор воспринимает нормально.

Хуже было бы сделать меньше и потом объяснять, почему недокатегорированный объект оказался в списке Минэнерго.

Если у вас производственная или энергетическая инфраструктура и вы ждёте отраслевого перечня, чтобы начать - мы готовы разобрать периметр в рамках аудита прямо сейчас, не дожидаясь официального документа.