| Полное название | Приказ ФСТЭК России от 14.03.2014 № 31 «Об утверждении Требований к обеспечению защиты информации в автоматизированных системах управления производственными и технологическими процессами на критически важных объектах, потенциально опасных объектах, а также объектах, представляющих повышенную опасность для жизни и здоровья людей и для окружающей природной среды» |
|---|---|
| Кто утвердил | ФСТЭК России |
| Номер и дата | 31, 14.03.2014 |
| Статус | Действует |
| Кого касается | Организации, эксплуатирующие АСУ ТП на критически важных и потенциально опасных объектах |
Зачем нужен отдельный приказ
Обычные информационные системы и промышленные системы управления устроены по-разному. В офисе ошибка в настройке может привести к потере данных. На производстве ошибка или атака может остановить оборудование, привести к аварии и угрозе для людей.
Приказ № 31 учитывает эту специфику. Он задаёт требования к защите информации в автоматизированных системах управления технологическими процессами (АСУ ТП) на критически важных и потенциально опасных объектах.
Кого касается
Организации, которые эксплуатируют АСУ ТП на объектах, представляющих повышенную опасность: энергетика, химия, металлургия, транспорт, водоснабжение, добыча. Если объект одновременно относится к критической информационной инфраструктуре, дополнительно применяются 187-ФЗ и приказы ФСТЭК по КИИ.
Что требует
Требования касаются не только программ, но и всей системы: датчиков, контроллеров, сетей, операторских станций и персонала.
Ключевые направления:
- определить, какие системы и процессы защищаются, и описать их;
- разделить сеть на сегменты, чтобы офисная сеть не имела прямого доступа к технологической;
- ограничить удалённый доступ и подключение внешних носителей;
- контролировать целостность программного обеспечения и конфигураций;
- регистрировать события и анализировать их;
- обеспечить физическую защиту оборудования и защиту от несанкционированного доступа;
- определить порядок обновления и обслуживания без остановки производства;
- обучить персонал и распределить ответственность.
Как это выглядит на практике
На заводе офисная сеть и сеть цеха долгое время были соединены напрямую: так удобнее передавать отчёты. После обследования выясняется, что из офиса можно достучаться до контроллеров. Первый шаг — разделить сети и поставить между ними межсетевой экран с минимально необходимыми правилами.
Дальше ограничивают удалённый доступ подрядчиков: вместо постоянного подключения — временное, по заявке, с записью сессии. Обновления контроллеров планируют на технологические окна, чтобы не остановить производство.
Что важно помнить
Приказ № 31 не требует «поставить антивирус на всё». Он требует, чтобы защита учитывала технологический процесс и не создавала новых рисков. Например, автоматическое обновление, которое перезагрузит контроллер в неподходящий момент, может быть опаснее самой уязвимости.
Официальный текст
Документ и разъяснения — на сайте ФСТЭК. Перед принятием решений проверяйте действующую редакцию.