Внимание, идет мониторинг работы электростанции!

Топливно-энергетический комплекс (ТЭК) России является стратегическим сектором экономики страны и занимает одно из лидирующих мест по производству энергетических ресурсов в мире. Работоспособность предприятий ТЭК — одна из самых важных задач государственного контроля.

В этом кейсе расскажем, как разработчик программного обеспечения для АСУ ТП предприятий энергетической отрасли выполнил требования безопасности регулирующих органов.

Компания «Вибробит» разработала программное обеспечение стационарной системы непрерывного измерения, контроля, мониторинга промышленных объектов, построенное на веб-технологиях. Система предназначена для применения в АСУ ТП предприятий сферы энергетики, относящимся к категории объектов критической информационной инфраструктуры (КИИ).

Все цифровые продукты, применяемые на объектах КИИ, должны соответствовать требованиям к безопасности прикладного программного обеспечения, которые сформулированы в пункте 29.3 Приказа №239 от 25.12.2017 Федеральной службы по техническому и экспортному контролю (ФСТЭК) России.

Для дальнейшего участия в проектах автоматизации предприятий ТЭК компания «Вибробит» должна была обеспечить высокий уровень защиты своего ПО от киберугроз и доказать полное соответствие строгим нормативным стандартам регулирующих органов. Чтобы комплексно решить эту непростую задачу, специалисты НПП «Вибробит» обратились в Центр кибербезопасности УЦСБ.

У Центра кибербезопасности УЦСБ большой опыт реализации проектов по различным направлениям работы с КИИ, в том числе связанных с проведением анализа соответствия программных продуктов требованиям ФСТЭК России — об одном из них мы уже публиковали подробный рассказ.

Разрабатывая план проекта, наши специалисты разбили задачи на три этапа в соответствии с логикой представления требований к ПО в пункте 29.3 Приказа №239 ФСТЭК России, но выполняли их практически параллельно — для каждого пула задач в УЦСБ есть своя команда экспертов, и сроки на реализацию даже самых технически сложных проектов получаются максимально комфортными для заказчиков.

Для выполнения требований п.29.3.1 специалисты направления «Безопасная разработка» подготовили «Руководство по безопасной разработке ПО» и разработали модель угроз безопасности информации на исследуемые цифровые продукты НПП «Вибробит».

В рамках п.29.3.2 было выполнено статическое тестирование исходного кода и фаззинг-тестирование ПО. Эти меры позволили выявить и устранить уязвимости на ранних стадиях, обеспечив высокий уровень защиты.

Для исполнения п.29.3.3 была разработана документация на исследуемое ПО: описание процедур отслеживания и исправления обнаруженных ошибок и уязвимостей программного обеспечения, а также описание способов и сроков доведения информации об уязвимостях до пользователей, включая компенсирующие меры по защите информации и способы получения обновлений, методах проверки целостности и подлинности обновлений.

Программное обеспечение НПП «Вибробит» прошло необходимое проверки и получило заключение о соответствии требованиям пункта 29.3 Приказа №239 от 25.12.2017 ФСТЭК России. Cистема непрерывного измерения, контроля, мониторинга промышленных объектов, в основе которой лежит данное ПО, может использоваться на значимых объектах критической информационной инфраструктуры третьей категории.

Обратиться за помощью к специалистам Центра кибербезопасности УЦСБ и интегрировать безопасные практики разработки можно на различных этапах жизненного цикла продукта. Однако наиболее эффективно задуматься о безопасности программного обеспечения на стадии проектирования — это позволит минимизировать риски возникновения уязвимостей, учесть строгие требования законодательства и избежать возможных проблем во время проверок.