Кіберінцидент в АСУТП давно вимірюється не лише простоєм технології, а й грошима у рахунках за електроенергію: зупинений збір даних обліку означає заміщені величини і небаланси, а скомпрометований контролер — некеровані режими споживання. Розбираємо, як пов’язані автоматизація, облік і кібербезпека, і як будувати проєкт, де вони не заважають одне одному.
Як кіберінцидент б’є по обліку і рахунках
- Втрата каналу збору даних. Якщо шкідливе ПЗ чи атака поклали мережу об’єкта, комерційні дані не йдуть до АКО: застосовуються заміщені величини, які майже завжди дорожчі за факт.
- Маніпуляція режимами. Скомпрометована АСУТП може ганяти обладнання у неоптимальних режимах тижнями — рахунок зросте, а без поцехового обліку ніхто не зрозуміє чому.
- Компрометація самих даних. Втручання у ланцюжок обліку — це вже не переплата, а юридичні ризики при перевірках.
Принципи безпечної архітектури «АСУТП + облік»
- Сегментація мереж. Технологічна мережа (SCADA, ПЛК), мережа обліку і офісна мережа — окремі сегменти з контрольованими шлюзами. Лічильник не повинен бути «дверима» з інтернету в АСУТП.
- Однонаправлені потоки даних. З мережі обліку дані йдуть назовні (до АКО, у хмару), команди всередину не приймаються. Архітектурно це та сама логіка, що й у зв’язці облік-SCADA: потік лише в один бік.
- Шифрування і автентифікація каналів. Сучасні лічильники і платформи працюють по TLS; «прозорі» GSM-модеми без шифрування — спадщина, яку варто міняти першою.
- Мінімальні привілеї і журнал дій. Хто, коли і що змінив у параметрах приладів — журнал подій лічильника і платформи має це фіксувати (вимоги до журналювання є і в ККОЕЕ).
- Резервні сценарії. Локальні архіви приладів — природний захист обліку: навіть при атаці на сервер дані дочитуються з лічильників після відновлення. Ще один аргумент архітектури «прилад первинний, сервер вторинний».
Практичний мінімум для підприємства
- інвентаризація: які пристрої обліку й АСУТП дивляться в мережу і як;
- заміна відкритих каналів на шифровані, зміна заводських паролів модемів і контролерів;
- сегментація хоча б на рівні VLAN + правила міжсегментного трафіку;
- договір з ППКО, де прописані безпека каналів і відповідальність за цілісність даних;
- регулярні вивантаження архівів як «резервна копія» комерційних даних.
Проєктуємо облік з урахуванням кібербезпеки
Хмара ASKUE.net™ працює у захищеному ЦОД, канали шифруються, доступ рольовий. Схему включення в мережу об’єкта погоджуємо з вашою ІТ/ІБ-службою — сегментація і однонаправлені потоки закладаються у проєкт, а не «потім».
ASKUE.net™ · АСКОЕ під ключ · Послуги ППКО
Аудит схеми підключення безкоштовно. Зателефонуйте +38 (050) 228-228-0. Інженер відповість за 5 хвилин.
Часті питання
Чи безпечно виносити облік у хмару?
За правильної архітектури хмара безпечніша за сервер «під столом енергетика»: професійний ЦОД, оновлення, моніторинг. Ключова умова — односторонній потік: хмара читає дані, але не керує обладнанням.
Хто відповідає за безпеку: ІТ, енергетик чи підрядник обліку?
Розмежування фіксується у проєкті: підрядник — за канали і платформу до точки стику, ІТ — за мережу об’єкта. Небезпечна саме «сіра зона», коли це не прописано.
З чого почати, якщо система вже працює роками?
З інвентаризації каналів і паролів: половина ризиків знімається за тиждень без бюджету. Далі — сегментація і план заміни відкритих каналів.
Висновки
Кібербезпека обліку — це архітектура: сегментація, односторонні потоки, шифровані канали, журнали і локальні архіви приладів як остання лінія захисту. Закладайте це у проєкт АСКОЕ одразу — дообладнання завжди дорожче.
Аудит вашої схеми збору даних: 050 228 228 0.
