Модель угроз для АСУ ТП в Брянске: приказ ФСТЭК № 31, промышленные сети и SCADA

Главный инженер настаивает: АСУ ТП цеха работает стабильно уже пять лет, «железо» проверенное, а все эти разговоры про информационную безопасность — лишняя трата денег. ИТ-директор возражает: систему недавно подключили к корпоративной сети для выгрузки отчётов, вендор заходит по удалёнке, а в прошлом квартале в смежном цехе уже ловили подозрительный трафик. Аудитор попросил модель угроз — и теперь спор перешёл в практическую плоскость: обязательна ли она для вашей АСУ ТП и что с ней делать.

В этой статье разберём, когда модель угроз для промышленной автоматизации действительно требуется по приказу ФСТЭК № 31 и когда без неё можно обойтись, какие системы и сценарии учитывать, как проходит разработка по Методике ФСТЭК 2021 и сколько это стоит. Никакой теории ради теории — только применимые требования и порядок действий.

Нужна ли модель угроз: предприятие с АСУ ТП (не обязательно субъект КИИ)

Частая путаница: приказ ФСТЭК № 31 от 14.03.2014 «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды». Звучит грозно, но п. 1 того же приказа уточняет: требования применяются, если владелец АСУ принял решение об обеспечении защиты информации. То есть сам приказ не навязывает модель угроз всем подряд — он задаёт правила для тех, кто такую защиту строит.

Другая норма — приказ ФСТЭК № 239 для значимых объектов КИИ. Если ваша АСУ ТП входит в состав значимого объекта критической информационной инфраструктуры (присвоена категория значимости), модель угроз обязательна. Если нет — смотрите ниже.

Как видите, для типичного завода в Брянске без статуса КИИ и без решения по приказу 31 формальной обязанности нет. Но если система интегрирована с корпоративной сетью, имеет удалённый доступ вендора или управляет опасным процессом, модель угроз — это способ заранее понять, что может пойти не так, и обосновать бюджет на защиту.

Какие системы и объекты воздействия учитывать

Промышленная сеть — не офисная. Здесь нельзя просто перечислить «сервер, СУБД, АРМ». Модель должна охватывать все уровни АСУ ТП, включая полевой. В таблице — минимально необходимый набор для большинства производств.

Нарушители и сценарии атак

Методика ФСТЭК 2021 выделяет четыре уровня возможностей нарушителей: Н1 — базовые, Н2 — базовые повышенные, Н3 — средние, Н4 — высокие (например, спецслужбы иностранных государств). Для большинства АСУ ТП реальную опасность представляют Н1–Н3: собственные сотрудники (в том числе обиженные), подрядчики с доступом, конкуренты, хактивисты. Уровень Н4 актуален, если система относится к КИИ, ОПК или управляет опасным производством.

Типовые сценарии для промышленных сетей и SCADA:

• Компрометация VPN-подключения вендора: злоумышленник получает доступ к инженерной станции, изменяет проект ПЛК, затем скрывает следы.
• Заражение через USB-носитель, который подключают для обновления или диагностики: вредоносное ПО распространяется по технологической сети, отключает защиту ПАЗ.
• Проникновение из корпоративной сети: офисный сегмент скомпрометирован, злоумышленник через межсетевой экран или недокументированный интерфейс попадает в SCADA и рассылает ложные команды.
• Отказ в обслуживании на уровне полевой сети: массовые запросы к ПЛК приводят к потере связи с датчиками, оператор теряет видимость процесса.
• Действия инсайдера: сотрудник с легитимным доступом изменяет уставки, отключает журналирование, переводит ПАЗ в режим ручного управления.
• Атака на удалённый доступ через модемы или необслуживаемые терминалы: подбор паролей, эксплуатация известных уязвимостей.

Все эти сценарии описываются в модели угроз с привязкой к тактикам и техникам из приложения 11 Методики (Т1–Т10), но без выдуманных кодов — только общие формулировки.

Как разработать модель угроз: этапы по Методике

Модель угроз создаёт подразделение по защите информации совместно с ИТ-службой и профильными (технологическими) подразделениями. Методика прямо допускает разработку силами самого оператора. Сторонняя организация может выполнять эту работу по договору только при наличии лицензии ФСТЭК на ТЗКИ — для «себя» лицензия не нужна.

Особенности, о которых забывают

• Доступность важнее конфиденциальности. Для АСУ ТП первична целостность и непрерывность управления. Нельзя копировать модель из офисной ИТ-системы, где главное — защита данных.
• Удалённый доступ подрядчиков. VPN, модемы, терминальные серверы вендора — это отдельная категория объектов воздействия. Нужно описать, кто и как подключается, какие права имеет.
• Иностранные АСУ ТП и запреты. Если оборудование и ПО зарубежные, в модели необходимо учесть риски, связанные с невозможностью обновления, уязвимостями и санкционными ограничениями. Это влияет на уровень возможностей нарушителя.
• Отличия приказа 31 и 239. Приказ 31 применяется по решению владельца и задаёт требования для АСУ ТП на опасных объектах; приказ 239 обязателен для значимых объектов КИИ и требует включать в модель краткое описание архитектуры, модель нарушителя и описание всех актуальных угроз с источниками и сценариями.
• Актуализация. Модель не пишется один раз. Её пересматривают при изменении архитектуры, появлении новых угроз в БДУ, результатах пентеста или модернизации системы.

Разбор на примере: насосная станция с удалённой диспетчеризацией

Условный пример для наглядности — не реальный заказчик

Как строилась работа по нашей методике сопровождения:

Что будет без модели угроз

Специального штрафа «за отсутствие модели угроз» в КоАП нет. Ответственность наступает за нарушение требований о защите информации или за последствия инцидентов.

• Для значимых объектов КИИ. Отсутствие модели — нарушение приказа ФСТЭК № 239, возможна ответственность по ст. 13.12.1 КоАП.
• Для ГИС. Нарушение требований приказа ФСТЭК № 117 и ПП № 676 может повлечь штраф по ст. 13.12 ч. 6 (для юрлиц 50–100 тыс. ₽).
• При утечке персональных данных. Если в АСУ ТП обрабатываются ПДн и произошла утечка, оборотные штрафы по ст. 13.11 чч. 12–18 достигают 20 млн ₽ и 1–3% выручки при повторном нарушении. Отсутствие оценки угроз ухудшает позицию оператора.
• Риск инцидентов и аварий. Без модели сложно выбрать и обосновать меры защиты, а после инцидента — объяснить регулятору, почему не были приняты достаточные меры.

Чем поможем и сколько это стоит

Мы не разрабатываем модель угроз «под ключ» по договору — для этого нужна лицензия ФСТЭК на ТЗКИ. Наша услуга — методическое сопровождение: вы разрабатываете и утверждаете модель сами, а мы предоставляем адаптированный шаблон, методические указания, консультации и проверку готового документа. Это законно, потому что Методика 2021 прямо разрешает оператору выполнять оценку своими силами. Для значимых объектов КИИ, ГИС и случаев, когда нужна договорная разработка или аттестация, мы работаем совместно с партнёром-лицензиатом ФСТЭК.

• Разбор применимых требований для вашей АСУ ТП (приказ 31, 239, 117, Методика 2021) и ответ, обязательна ли модель.
• Шаблон модели угроз по структуре Методики ФСТЭК 2021, адаптированный под АСУ ТП: уровни, промышленные протоколы, удалённый доступ.
• Методические указания по каждому разделу: негативные последствия, объекты воздействия, нарушители Н1–Н4, сценарии по тактикам и техникам.
• Две консультации со специалистом по защите информации.
• Проверка готового документа с письменными замечаниями.
• Проект приказа об утверждении модели.

Почему дешевле: мы работаем дистанционно по всей России, используем отработанные типовые решения и шаблоны, а документ готовит ваш специалист при нашей методической поддержке. За счёт этого нет затрат на выезд и многократные согласования.

Частые вопросы

Если вы сомневаетесь, обязательна ли модель для вашей АСУ ТП, начните с разбора применимых требований. Если ваша система претендует на статус значимого объекта КИИ, предварительно стоит провести категорирование. Актуальные нормативные документы собраны в разделе нормативной базы.