🏓 КИИ в облаке: комментарии экспертов в режиме «пинг-понг»

Можно ли безопасно подружить cloud и КИИ – или когда дело касается ключевых систем на предприятии, лучше держать все на «своем» старом-добром железе?

Облакотека и Galex рассуждают на эту тему в новой рубрике #экспертный_пинг_понг – и пытаются прийти к истине. А она, как обычно, где-то посередине 😊.

Что по рискам?

Galex: КИИ преследуют угрозы, которые могут нанести вред обществу в целом. Это, например, случайный и намеренный фрод сотрудников, компрометация железа и софта на этапе поставки. И, конечно, кибератаки. Главные вызовы — прямые атаки на промышленные системы вида ICS/SCADA, фишинг и социнженерия, взломы из-за прорех в удаленке.

Облакотека: Действительно, хакеры всё чаще атакуют КИИ с помощью ransomware, удаленного доступа RAT и деструктивных программ wiper. Например, атака через шифровальщика на «Транснефть» 3 года назад привела к остановке систем. В топе инцидентов — фишинговые атаки с поддельными доменами и голосовые методы vishing, которые действуют на сотрудников.

Почему это происходит?

Galex: Главные вредные заблуждения: «Да кому мы нужны», «Достаточно одного рубежа», «Однажды настроили — и забыли», «За инфобез отвечает ИБ-отдел». На деле безопасность невозможно поддерживать без многоуровневой защиты, постоянного мониторинга и обновлений, а также управления культурой организации.

Облакотека: Это подтверждают и цифры: 70% инцидентов в России — следствие человеческого фактора, по версии Positive.

В облаке безопасно?

Galex: У облачных систем есть шифрование, мониторинг, предотвращение вторжений IDS/IPS, управление доступом. Отдельно внедрять эти инструменты дорого. Можно управлять кибербезом централизованно — так проще реагировать на угрозы. Плюс резервное копирование и геораспределенность поддерживают работу систем при локальных сбоях.

Примеры внедрений уже есть: например, Россети внедрили облачные решения, чтобы управлять распределенными сетями, а ЦОДД Москвы оптимизирует движение транспорта за счет облачных технологий.

Облакотека: Российские сервисы уже отвечают гостребованиям импортозамещения и безопасности. Из дополнительных мер — модели Zero Trust Access, микросегментация сети и выполнение условий ГОСТ 57610 в облачных средах.

​ Значит, можно переехать и не беспокоиться?

Galex: Контроль нужен всегда. Какими бы ни были надежными инструменты провайдеров, ответственность за настройку — на заказчике. Данные в облаке легче скомпрометировать, если провайдер не обеспечит требования безопасности.

Работаете с КИИ – тщательно выбирайте партнера и обращайте внимание на сертификаты соответствия.

Облакотека: Плюсуем. Удостоверьтесь, что у подрядчика есть сертификаты ФСТЭК и ФСБ России, а также место в реестре отечественного ПО.

Что учесть при переносе?

Облакотека: Если вы берете облачную инфраструктуру в аренду, выстройте в ней систему безопасности. Провайдеру нужно подтвердить свою политику безопасности документами и отчетами об аудите сторонним партнером. Кроме того, для работы с отдельными сегментами КИИ поставщики облачных сервисов должны обучать своих сотрудников как минимум раз в год.

Особенно важно, чтобы все функции и инструменты безопасности работали уже на старте. Ведь если встраивать их по ходу, то может понадобиться отключение систем, чтобы установить обновления.