«Национальные интересы в сфере ИБ требуют перехода к риск-ориентированной модели управления»
— В современных условиях для промышленного сектора экономики особую актуальность приобретают вопросы цифровой устойчивости и информационной безопасности. Как вы их трактуете, и как компания «ИнфоТеКС» действует в этом направлении?
— Сегодня обеспечение информационной безопасности (ИБ) индустриальных систем имеет крайне важное значение. Возникают риски, связанные с эксплуатацией непосредственно физических устройств на производстве, надежностью технологического процесса. Поэтому необходимо оценивать не только безопасность информации, но и защищенность и цифровую устойчивость технологических процессов в новых реалиях. Обеспечение информационной безопасности закреплено на законодательном уровне и является приоритетной задачей на объектах критической информационной инфраструктуры (КИИ). В то же время, обеспечение устойчивости технологических процессов лежит в сфере интересов бизнеса и отраслевых министерств и ведомств. Сейчас крайне важно осознать и регламентировать взаимосвязи между цифровой трансформацией и функциональной надежностью технологических процессов, которые находятся в зоне их ответственности. В части категорирования многие компании не относят себя к объектам критической инфраструктуры, однако, если посмотреть более глобально, кого они обеспечивают, и какая продукция выпускается, в целом для государства эксплуатируемые ими объекты представляют достаточно серьезную критичность. Всесторонний межотраслевой диалог экспертов на площадке конференции способствует эффективному и безопасному развитию цифровизации отраслей экономики страны.
Компания «ИнфоТеКС» на рынке ИБ более 30 лет, и около 15 лет занимается развитием линейки индустриальных шлюзов безопасности, предназначенных для защиты АСУ ТП. Исторически департаменты, отвечающие за ИБ, занимались реализацией проектов, связанных с защитой информации. Но когда мы переходим к решениям, связанным с индустриальной безопасностью, здесь функциональными заказчиками являются непосредственно департаменты автоматизации или цифровизации, которые внедряют современные прикладные системы. В их представлении все задачи по обеспечению безопасности должны решать специалисты по ИБ, но на практике все не так идеально. В процессе цифровизации внедряются сложные комплексные ИТ решения. Без знаний функциональных особенностей внедряемых решений крайне сложно корректно выстроить безопасность и обеспечить устойчивость их работы в условиях неблагоприятных информационных воздействий.
— Какие направления в настоящее время вы считаете самыми важными в достижении цифровой устойчивости?
— Считаю приоритетным направлением деятельности переход к риск-ориентированной модели управления на стороне заказчиков. Причем важна оценка влияния всех составляющих, входящих в модель рисков (регуляторная, финансовая, технологическая, ИБ). Например, требования по ИБ КИИ — это всего лишь один из регуляторных рисков, которые должны быть учтены в этой модели. Далее нужно выстроить грамотное управление рисками. Необходимо правильно формулировать требования для подрядчиков — как для интеграторов, так и для вендоров — по поставляемым решениям, с учетом необходимости снижения рисков бизнеса. Тогда, например, использование средств криптографической защиты информации на уровне первичных устройств, будет не просто интересной новой опцией, а одним из инструментов снижения тех или иных рисков.
— Скажите, какие проблемы на сегодняшний день мешают достижению тех целей, которые стоят перед компаниями, работающими в цифровой среде? Может быть это непонимание со стороны ведомств, ответственных за регулирование, или нескоординированность в работе игроков рынка?
— Скоординированность между министерствами и ведомствами сегодня выстраивается достаточно высокая. Минпромторг, Минцифры, Минэнерго, Минтранс плотно взаимодействуют и формулируют единые требования для рынка. Проблемы возникают на этапе решения вопросов, связанных с устойчивостью функционирования на объектах эксплуатации. Регулятором, отвечающим за безопасную эксплуатацию объектов, является Ростехнадзор. Несмотря на существенные изменения в управлении технологическими процессами, произошедшие в последние годы в связи с цифровой трансформацией, в работе Ростехнадзора так и не появилась в полной мере компетенция по оценке влияния информационных воздействий на безопасность эксплуатации технологических процессов. На объектах уже есть информационные сущности в виде цифровых терминалов аварийной защиты, цифровых АСУ ТП, промышленного интернета вещей, а требования предъявляются только к безопасной эксплуатации, исключая оценку влияния информационных воздействий. Такой подход не вызывает у заказчиков желания обращать внимание на возможные последствия. Стоит отметить, что сегодня сложилась ситуация, когда принятие рисков есть, а вот полной осознанности этого принятия не наблюдается.
— Эксперты нередко говорят о наличии конкуренции между самими вендорами. Если такая конкуренция приобретает нездоровый характер, то она может мешать общему делу. Возможна ли, на ваш взгляд, скоординированная работа среди самих вендоров?
— С учетом рыночной экономики обеспечить отсутствие конкуренции, наверное, нельзя. С другой стороны, принимая во внимание процессы глобализации, создавать какое-то решение исключительно для российского рынка для многих компаний просто убыточно, поскольку они не смогут окупить своих вложений. В вопросе обеспечения национальных интересов России, в части надежного и безопасного функционирования КИИ, необходимо переходить на риск-ориентированную систему управления и сквозные требования ко всем эксплуатируемым и внедряемым решениям. Компании, принимающие участие в подобных проектах, уже опираются на поддержку государства через отраслевые Индустриальные Центры Компетенции (ИЦК). Правда, к сожалению, до сих пор многие ИЦК также не занимаются оценкой рисков в части информационных воздействий. При этом, с точки зрения конкурентоспособности, крайне важно обеспечить такое качество решений, которые будут интересны на рынках Азии, Африки, Латинской Америки и в любом другом, дружественном нам, регионе мира. В противном случае, просто ни у одной коммерческой структуры не хватит ресурсов, чтобы в сжатые сроки создавать высокотехнологичные решения в интересах государства. Если мы говорим про отрасли, не относящиеся к критической инфраструктуре, то там все отношения регулируются в соответствии с уровнем зрелости бизнеса.
— На всех форумах много говорят об импортозамещении. Некоторые уже перешли к термину «импортоопережение». Не приводит ли погоня за импортозамещением к определенной изоляции? Может быть, нужно найти какой-то другой вариант развития, как вы считаете?
— Важно рассматривать все-таки технологии будущего, поэтому термин «импортоопережение» более уместен. С точки зрения импортозамещения, нужно искать баланс. Для критической инфраструктуры, таких отраслей как, например, газовая промышленность, энергетика, металлургия и некоторые другие, следует выделить наиболее критические технологические процессы. И, соответственно, строить модель рисков с учетом интересов государства и бизнеса, определять, нужна ли здесь конкуренция, либо нужен базовый поставщик, который жестко выполнит определенные требования. Единой точки зрения нет, просто нужно разумно подходить к анализу рисков, обеспечивая принятие необходимых мер, чтобы избежать значительную их часть.
Вопросы задавал Усам Оздемиров