Теоретическая база знаний
Подключение к ГИС ТЭК – это обязательный комплекс организационно-технических мероприятий для субъектов топливно-энергетического комплекса, регламентированный Федеральным законом № 256-ФЗ и требованиями Минэнерго России. Процесс включает категорирование объектов КИИ, проведение аудита, проектирование защищенного контура, организацию шифрования каналов связи по ГОСТ (VPN) и аттестацию ИС. Безопасное подключение гарантирует непрерывность обмена данными с государственной системой, исключает риски недокументированного доступа к технологическим сегментам и защищает предприятие от штрафных санкций регуляторов.
Подключение к ГИС ТЭК: регламенты, архитектура защищенного контура и интеграция
Интеграция корпоративных ИТ-систем предприятий топливно-энергетического комплекса с Государственной информационной системой ТЭК (ГИС ТЭК) регулируется Федеральным законом от 03.12.2011 № 382-ФЗ «О государственной информационной системе топливно-энергетического комплекса», Федеральным законом от 21.07.2011 № 256-ФЗ «О безопасности объектов топливно-энергетического комплекса» и Постановлением Правительства РФ от 18.04.2013 № 354 «Об утверждении Положения о создании, об эксплуатации и о совершенствовании государственной информационной системы топливно-энергетического комплекса». Передача технологических и статистических данных в Минэнерго России требует создания доверенной среды взаимодействия.
Основная техническая сложность интеграции заключается в необходимости сопряжения ведомственного закрытого контура с ИТ-инфраструктурой предприятия, которая часто объединяет корпоративный (бизнес) сегмент и технологические сети (АСУ ТП). Некорректно спроектированная точка входа становится критическим вектором атак, способным привести к компрометации управления производственными процессами.
Что входит в подготовку к подключению ГИС ТЭК
Организационная защита информации и технический аудит ИТ-инфраструктуры. На начальном этапе проводится технический аудит ит-ландшафта и сопутствующий аудит информационной безопасности систем, вовлеченных в сбор данных для ГИС ТЭК. Специалисты определяют точные границы взаимодействия систем, выявляют потенциальные уязвимости в конфигурациях оборудования и анализируют текущий уровень соответствия нормативным актам ФСТЭК и ФСБ России.
На основе результатов обследования реализуется организационная защита информации. Этот процесс включает в себя определение матрицы доступа сотрудников к передаваемой информации, разработку регламентов взаимодействия персонала при фиксации атак и легитимизацию процессов обработки данных. Комплексный подход исключает ситуации, при которых программные средства защиты девальвируются из-за ошибок персонала или отсутствия разграничения прав.
Разработка внутренней документации и моделирование угроз. Для создания юридического и технического фундамента системы безопасности разрабатывается пакет организационно-распорядительной документации (ОРД). Ключевым документом является Модель угроз и нарушителя, составленная по актуальной Методике ФСТЭК России. В ней детально описываются возможные сценарии деструктивных воздействий на каналы связи и смежные системы.
В ОРД фиксируются:
- Политика обеспечения информационной безопасности при взаимодействии с внешними государственными системами.
- Регламенты административного контроля и учета машинных носителей информации.
- Приказы о назначении ответственных лиц за эксплуатацию криптографических средств.
- План мероприятий по реагированию на инциденты ИБ.
Разработанный комплект документов необходим не только для внутренней регламентации, но и для последующего предоставления регуляторам при прохождении процедур аттестации.
Техническая защита информации и VPN-канал
Шифрование каналов связи vpn по ГОСТ и защита конфиденциальной информации. Передача данных в государственную систему через незащищенные каналы связи общего пользования запрещена законодательством. На границе сети предприятия разворачивается шлюз безопасности, реализующий шифрование каналов связи vpn с использованием сертифицированных алгоритмов ГОСТ (в соответствии с требованиями ФСБ России к СКЗИ класса КС1, КС2 или КС3, в зависимости от модели угроз).
Основная задача СКЗИ – обеспечить конфиденциальность, целостность и аутентичность передаваемых пакетов данных. Реализуемая техническая защита информации гарантирует невозможность перехвата, подмены или модификации технологической отчетности в процессе ее транспортировки до приемных шлюзов ГИС ТЭК. Проектирование этого узла требует учета пропускной способности каналов и обеспечения высокой отказоустойчивости оборудования (резервирование по схеме High Availability).
Настройка межсетевого экранирования и сегментация сети. Прямое подключение криптошлюза к локальной сети предприятия недопустимо. Архитектура подключения требует создания демилитаризованной зоны (DMZ) и жесткого разделения информационных потоков. Для этого применяется межсетевое экранирование экспертного уровня (Next-Generation Firewall, NGFW), функционирующее на уровне приложений.
Межсетевой экран разграничивает корпоративный сегмент, технологическую сеть (АСУ ТП) и узел связи с ГИС ТЭК. Настраиваются строгие правила фильтрации трафика: разрешаются только легитимные протоколы взаимодействия (например, HTTPS по фиксированным портам) между конкретными IP-адресами серверов. Все остальные типы запросов, включая широковещательный трафик и попытки несанкционированного сканирования со стороны смежных сетей, автоматически блокируются.
Экспертный подход к имплементации систем защиты
Технические меры защиты информации и выбор сертифицированного системного интегратора. Создание доверенного узла подключения – это комплексный инженерный процесс. Применяемые технические меры защиты информации должны закрывать все потенциальные уязвимости на стыке сетей, не нарушая при этом безопасность технологических процессов основного производства. Ошибки в проектировании правил фильтрации или маршрутизации трафика могут вызвать задержки в управляющих сетях АСУ ТП, что недопустимо на объектах энергетики и промышленности.
| Этап реализации проекта | Содержание технических и организационных работ | Результат этапа |
|---|
| 1. Предпроектный аудит | Сбор данных об ИТ-инфраструктуре, инвентаризация активов, анализ информационных потоков. | Технический отчет, определение границ проекта. |
| 2. Проектирование | Разработка архитектурных решений, подбор СЗИ из реестров ФСТЭК/ФСБ, составление ТЗ. | Технический проект системы защиты, согласованный заказчиком. |
| 3. Поставка и монтаж | Поставка оборудования, развертывание криптошлюзов ГОСТ VPN и межсетевых экранов. | Установленные и подключенные аппаратные комплексы. |
| 4. Пусконаладка | Настройка политик безопасности, сегментация сети, интеграция со смежными системами ИБ. | Работоспособный защищенный узел связи, готовый к тестированию. |
| 5. Аттестация / Испытания | Проведение испытаний эффективности мер защиты, оформление аттестационной документации. | Аттестат соответствия / Акт готовности к подключению. |
Грамотное построение системы управления иб и сопряжение ее с государственными ресурсами требуют привлечения специализированных организаций. Компания «Кредо-С», действуя как опытный системный интегратор, выполняет полный цикл работ по проектированию ИТ-инфраструктуры, поставке сертифицированного оборудования и техническому сопровождению узлов подключения к ГИС ТЭК. Компетенции инженеров компании позволяют успешно реализовывать внедрение ит решений и современных средств защиты информации на объектах любой категории значимости, обеспечивая легитимное взаимодействие с регуляторами и бесперебойную работу бизнес-логики предприятия.
Нормативно-правовое регулирование и защита объектов КИИ
Зачет требований 187-ФЗ при интеграции с ГИС ТЭК. Большинство предприятий, обязанных предоставлять данные в ГИС ТЭК, одновременно являются субъектами критической информационной инфраструктуры (КИИ). Соответственно, создаваемый узел подключения должен проектироваться с учетом требований Федерального закона от 26.07.2017 № 187-ФЗ. Внедряемые средства защиты информации должны органично дополнять общую систему защиты объектов кии, развернутую на предприятии.
Приказы ФСТЭК России № 235 и № 239 жестко регламентируют состав мер для ИС, обрабатывающих критические данные. Интеграция с ГИС ТЭК обязывает оператора непрерывно контролировать целостность программной среды узла подключения, вести глубокое логирование всех системных событий и обеспечить передачу данных об инцидентах в главный центр ГосСОПКА ФСБ России.
Обеспечение непрерывности и легитимности обмена данными
Подключение к ГИС ТЭК – это стратегическая задача, требующая от ИТ- и ИБ-директоров системного видения ИТ-архитектуры предприятия. Безопасная интеграция не может ограничиваться формальной установкой криптографического шлюза. Надежная защита информации на предприятии топливно-энергетического комплекса выстраивается на стыке жесткого соблюдения нормативных требований регуляторов и глубокого технического анализа сетевых потоков.
Реализация проекта силами сертифицированного интегратора позволяет полностью исключить риски несанкционированного доступа к внутренним ресурсам компании через каналы связи с государственной системой. Правильно спроектированный и аттестованный узел подключения гарантирует бесперебойный обмен данными с Минэнерго России, защищает бизнес от юридических рисков и формирует устойчивый периметр безопасности для всей ИТ-инфраструктуры организации.
