ГлавнаяО насНовостиСтатьиРешенияКонтакты
Украинский интегратор защиты персональных данных

Безопасность АСУ ТП критически важных объектов

Безопасность АСУ

Важной особенностью развития современной российской промышленности является модернизация устаревших систем управления технологическими процессами, а также их интеграция с системами управления промышленной безопасностью.

Необходимость модернизации систем управления технологическими процессами на промышленных предприятиях в России объясняется следующими причинами:

    критическое состояние основных производственных фондов;

    требования по соблюдению жестких международных и национальных стандартов по безопасности производства, особенно на опасных производственных объектах;

    появление на рынке современного контроллерного оборудования на базе открытых стандартов, разработок систем резервирования и аварийных защит, что значительно повышает возможности систем управления.

Назначение и состав АСУ ТП

Автоматизированная система управления технологическими процессами (АСУ ТП) – это человеко-машинная система управления, обеспечивающая автоматизированный сбор и обработку информации, необходимой для оптимизации управления технологическим объектом в соответствии с принятым критерием.

АСУ ТП предназначены для использования исключительно в технологических процессах. Они обеспечивают весь спектр задач управления – от чисто дискретного до программно-логического управления периодическими процессами и рецептурами. АСУ ТП строятся на основе отказоустойчивой, высоконадежной вычислительной техники промышленного исполнения для долговременной, круглосуточной эксплуатации на технологических объектах, для которых последствия отказа представляют серьезную угрозу для оборудования, для жизни и здоровья людей.

Основные элементы

Комплекс АСУ ТП включает в себя распределенную систему управления (РСУ) и системы противоаварийной автоматической защиты (ПАЗ). РСУ, в свою очередь, представляет собой программно-аппаратный комплекс, состоящий из контрольно-измерительных приборов и автоматики (КИПиА), программируемого логического контроллера (ПЛК) и человеко-машинного интерфейса (станция оператора, станция инженера, станция инженера КИПиА).

Взаимодействие элементов

На нижнем уровне контроллеры АСУ ТП выполняют измерение параметров технологического процесса и управляют его протеканием. Передают информацию на верхний уровень через коммуникационный сервер сетевого уровня.

Связь между элементами АСУ ТП осуществляется через промышленную цифровую сеть, по которой команды поступают к исполнительным устройствам или контроллерам с централизованного пульта управления или с отдельных устройств для обеспечения диспетчеризации. Обратную связь обеспечивают при помощи разнообразных датчиков.

На верхнем уровне расположены операторские станции и сервер системы. На сервере системы располагается вся архивная информация, база данных ПО контроллеров. На операторских станциях отображается мнемосхема объекта со всеми текущими измеренными параметрами. Оператор ведет технологический процесс, имея всю нужную информацию на экране монитора.

Аппаратные средства:

    контроллеры;

    устройства для сопряжения контроллеров с датчиками и исполнительными механизмами;

    модули цифрового интерфейса;

    операторские станции и серверы системы;

    сети;

    автоматизированная система диспетчерского управления для передачи технологических параметров в диспетчерскую.

Программные средства:

    операционные системы реального времени;

    средства разработки и исполнения технологических программ;

    системы сбора данных и оперативного диспетчерского управления.

Потенциальная опасность АСУ ТП

Безопасность производственных процессов в основном определяется безопасностью производственного оборудования. Производственное оборудование, в частности, должно иметь систему управления оборудованием, обеспечивающую надежное и безопасное ее функционирование во всех предусмотренных режимах работы оборудования и при всех внешних воздействиях в условиях эксплуатации. Система управления должна исключать создание опасных ситуаций из-за нарушения работниками последовательности управляющих действий

Системы управления технологическими процессами обладают рядом специфических свойств, присущих только этим системам. Процедуры управления сами по себе представляют значительную опасность, поскольку требуют согласованного изменения состояния многих элементов технологического оборудования и зависят от безупречного выполнения как вполне определенных последовательностей автоматических операций, так и согласованных действий технологического персонала.

Потенциальная опасность систем управления состоит в возможности отказов, что является органическим свойством этих систем.

Среди угроз обеспечения информационной безопасности, свойственных АСУ ТП, можно выделить три класса:

  1. угрозы техногенного характера;

  2. угрозы антропогенного характера;

  3. угрозы несанкционированного доступа.

Угрозы техногенного характера

Это угрозы, обусловленные физическим воздействием на компоненты АСУ ТП. Для защиты от данного класса угроз применяются меры и средства обеспечения безопасности от несанкционированного физического доступа и обеспечивают технический контроль доступа к ключевым компонентам АСУ ТП.

Угрозы антропогенного характера

К угрозам антропогенного характера относятся угрозы преднамеренного и непреднамеренного действия персонала, занятого обслуживанием АСУ ТП, в том числе ошибки в организации работ с компонентами АСУ ТП.

Угрозы несанкционированного доступа

Поскольку компоненты АСУ ТП взаимодействуют с ЛВС предприятия для передачи информации о состоянии технологической среды, а также для формирования управляющих воздействий на технологические объекты, необходимы меры по формированию выделенных технологических сетей передачи данных и использованию периметральных средств защиты (средства межсетевого экранирования, обнаружения вторжений, криптографической защиты каналов связи).

Наиболее частые уязвимости

Практически любая АСУ ТП уязвима, что может привести к нарушению корректной работы технологического процесса и реализации угроз несанкционированного доступа к информации, обрабатываемой в следующих системах:

    системах диспетчерского управления и сбора данных (SCADA);

    отдельных интерфейсах управления объектами автоматизации;

    элементах телеметрической подсистемы и телемеханики;

    прикладных приложениях для анализа производственных и технологических данных;

    системах управления производством (MES-системы).

Исходя из мирового опыта, можно обозначить следующие наиболее часто встречающиеся уязвимости:

  1. исполнение произвольного кода (неавторизованное, авторизованным пользователем);

  2. загрузка и исполнение произвольных файлов;

  3. отказ в обслуживании;

  4. уязвимости, вызывающие повышение привилегий;

  5. раскрытие информации для доступа к базе данных.

Реализация перечисленных уязвимостей позволяет остановить технологический процесс и привести к аварийной ситуации. Следует обеспечивать информационную безопасность используемой для программно-аппаратного комплекса АСУ ТП операционной системы, на которую устанавливается прикладное программное обеспечение.

Угрозы для АСУ ТП

Понятие безопасности в сетях и информационных системах предприятий и компаний значительно отличается от понятия безопасности для АСУ ТП. Если для первых наиболее важна конфиденциальность данных, то для АСУ ТП на первом месте находится безопасность персонала, оборудования, самих технологических процессов. Отсюда и различия в подходах к обеспечению безопасности. В качестве некоторых основных угроз в области информационной безопасности для АСУ ТП можно выделить:

    активное создание вредоносного программного обеспечения, коммерциализация этого процесса, приводящая к созданию вредоносных программных комплексов, снабженных различными инструментами взлома систем защиты информации, а также технической поддержкой (например, поддержкой по обновлению вредоносного кода);

    использование спама (массовой рекламной рассылки без согласия получателя) и фишинга (кражи или получения обманным путем конфиденциальных данных, рассылки спама и т.д.);

    утечки информации, связанные как с проникновением злоумышленников извне, так и со сбором и передачей инсайдерской (внутренней) информации;

    проблемы, связанные с квалификацией работников компаний в области информационной безопасности;

    несогласованность действий сторон в процессе передачи и использования информации, в том числе составляющей коммерческую тайну.

Ключевая из обозначенных угроз – проблема квалификации работников организации, особенно тех, в задачи которых входит обеспечение информационной безопасности, в том числе безопасности АСУ ТП. На предприятиях при проведении системной работы по обеспечению безопасности АСУ ТП необходимо вводить и соблюдать особые требования к такому персоналу.

Требования к персоналу

Специалисты по информационной безопасности должны обладать следующими навыками и знаниями:

    состава и перспектив развития критически важных объектов управления производством и технологическими процессами, командных (управляющих) и измерительных систем, используемых в организации, в том числе тех, нарушение штатного режима функционирования которых может привести к значительному вреду для производственных процессов и повлечь за собой негативные последствия для предприятия;

    архитектуры, состава, принципов и особенностей работы информационно-управляющих (в том числе используемых для управления непрерывными технологическими процессами), командных, измерительных и информационно-телекоммуникационных систем, предназначенных для управления критически важными объектами предприятия и (или) для информационного обеспечения управления такими объектами;

    методов и способов обеспечения безопасности, в том числе информационной, применяемых на критически важных объектах управления производством и технологическими процессами предприятия;

    регламентации деятельности субъектов в области обеспечения безопасности информации в информационно-телекоммуникационных системах для недопущения реализации возможных угроз безопасности информации или минимизации ущерба от их реализации и сохранения устойчивого и безопасного функционирования предприятия.

Реализация системы информационной безопасности

Реализация системы обеспечения информационной безопасности (СОИБ) АСУ ТП представляет собой комплексную задачу, решение которой должно выполняться на трех уровнях – административном, процедурном и на уровне программно-технических мер.

Административный уровень

Охватывает действия общего характера, осуществляемые руководством предприятия. Главная цель мер административного уровня – формирование программы работ по обеспечению информационной безопасности АСУ ТП с учетом общей концепции защиты АСУ ТП.

Основой программы является набор документов, которые регламентируют высокоуровневый подход к обеспечению информационной безопасности, а также описывают политику развития СОИБ АСУ ТП.

Процедурный уровень

Ориентирован на человеческий фактор. Главная цель – определение и выполнение требований по обеспечению безопасности компонентов АСУ ТП за счет формирования и принятия пакета организационной документации, направленной на создание и поддержание режима СОИБ АСУ ТП.

Уровень программно-технических мер

Образует основной рубеж обеспечения информационной безопасности АСУ ТП.

На этом уровне реализуется ряд сервисов обеспечения информационной безопасности:

    управление доступом;

    обеспечение целостности;

    обеспечение безопасного межсетевого взаимодействия;

    антивирусная защита;

    анализ защищенности;

    обнаружение вторжений;

    управление системой обеспечения информационной безопасности (непрерывный мониторинг состояния, выявление инцидентов, реагирование).

Решение задачи управления системой СОИБ АСУ ТП выполняется с использованием средств аудита и контроля защищенности, предназначенных для отслеживания состояния защищенности и оповещения администратора в случае возникновения угроз безопасности.

Интеграция с промышленной безопасностью

Современный подход к автоматизации заключается в формировании автоматизированных систем управления и защиты как главного элемента единой системы обеспечения безопасности процесса. Классическая АСУ ТП в самом общем виде объединяет в себе два взаимосвязанных компонента:

  1. систему противоаварийной защиты (ПАЗ);

  2. распределенную систему управления (РСУ). Современные международные стандарты безопасности автоматизации предписывают рассматривать системы управления и защиты комплексно, целиком – как всеобъемлющие системы безопасности и как конкретную систему для конкретного технологического объекта.

Функции безопасности

Системы безопасности выполняют функции защиты рабочего персонала и машинного оборудования при возникновении аварийной ситуации.

Системы ПАЗ нашли широкое применение в составе АСУ ТП ввиду ужесточившихся требований по предотвращению аварийных ситуаций, возросшего уровня автоматизации технологических процессов, что влечет за собой увеличение вероятности возникновения аварий.

Системы ПАЗ предназначены для поддержания технологического оборудования и производства в безопасном состоянии, своевременного выявления и предупреждения аварийных ситуаций, проведения аварийных блокировок по заданным алгоритмам в случае возникновения аварийных ситуаций и останова технологического процесса и оборудования, а также защиты персонала, технологического оборудования и окружающей среды в случае возникновения на управляемом объекте нештатной ситуации, развитие которой может привести к аварии.

Согласно требованиям "Общих правил взрывобезопасности для взрывопожароопасных химических, нефтехимических и нефтеперерабатывающих производств", утвержденных приказом Федеральной службы по экологическому, технологическому и атомному надзору №96 от 11 марта 2013 г., АСУ ТП должна обеспечивать:

    постоянный контроль параметров технологического процесса и управление режимами для поддержания их регламентированных значений;

    регистрацию срабатывания и контроль работоспособного состояния средств ПАЗ;

    постоянный анализ изменения параметров в сторону критических значений и прогнозирование возможной аварии;

    срабатывание средств управления и ПАЗ, прекращающих развитие опасной ситуации;

    срабатывание средств локализации и ликвидации аварий, выбор и реализацию оптимальных управляющих воздействий;

    проведение операций безаварийного пуска, остановки и всех необходимых для этого переключений;

    выдачу информации о состоянии безопасности на объекте в вышестоящую систему управления.

Требования безопасности к технологическим процессам

Роль АСУ ТП в настоящее время заключается не только в облегчении работы персонала, но и в повышении уровня промышленной и экологической безопасности объектов.

Общие требования безопасности к производственному оборудованию и производственным процессам установлены ГОСТ 12.3.002–75 "Система стандартов безопасности труда. Процессы производственные. Общие требования безопасности" и ГОСТ 12.2.003–91 "Оборудование производственное. Общие требования безопасности".

Безопасность производственных процессов в основном определяется безопасностью производственного оборудования. Производственное оборудование, в частности, должно иметь систему управления оборудованием, обеспечивающую надежное и безопасное ее функционирование во всех предусмотренных режимах работы оборудования и при всех внешних воздействиях в условиях эксплуатации. Система управления должна исключать создание опасных ситуаций из-за нарушения работниками последовательности управляющих действий.

Новые требования к промышленной безопасности

Федеральным законом от 4 марта 2013 г. №22-ФЗ "О внесении изменений в Федеральный закон "О промышленной безопасности опасных производственных объектов", отдельные законодательные акты Российской Федерации и о признании утратившим силу подпункта 114 пункта 1 статьи 333.33 части второй Налогового кодекса Российской Федерации" определено понятие системы управления промышленной безопасностью (СУПБ). Под СУПБ понимается комплекс взаимосвязанных организационных и технических мероприятий, осуществляемых организацией, эксплуатирующей опасный производственный объект (ОПО), в целях предупреждения аварий и инцидентов на ОПО, локализации и ликвидации последствий таких аварий.

С 1 января 2014 г. все организации, эксплуатирующие ОПО I или II класса опасности, обязаны создать системы управления промышленной безопасностью (СУПБ) и обеспечивать их функционирование. При этом СУПБ должны обеспечивать идентификацию, анализ и прогнозирование риска аварий на ОПО и связанных с такими авариями угроз, планирование и реализацию мер по снижению риска аварий на ОПО.

Таким образом, круг задач, решаемых АСУ ТП, и в частности ее составным элементом – системой ПАЗ, полностью отвечает требованиям Федерального закона №22-ФЗ от 4 марта 2013 г. и органично входит в состав технических мероприятий по предупреждению аварий и инцидентов на ОПО, локализации аварий.

Автор статьи: Юрий Надеждин


secuteck.ru (14.04.2014 в 10:09) | вверх страницы | к списку статей

Общие вопросы:

Что нас ждет в 2011 году и о чем необходимо задуматься сегодня?
Что такое защита персональных данных?
Для чего это необходимо?
Если не выполнять требования Закона?
Типовые нарушения
Какие риски неисполнения требований законодательства?
Сколько потребуется времени и средств?
Что необходимо делать?
Кому доверить внедрение защиты персональных данных?
ГлавнаяО насНовостиСтатьиРешенияКонтакты
Контактная информация
© 2003-2014 ООО "Ди Эй Кей продакшн"