Когда АСУ ТП должна говорить, но не должна слушать

Есть задача, которая на словах звучит просто: передать данные и видео из изолированного сегмента АСУ ТП в корпоративный ИТ-сегмент.

Например: вывести телеметрию, данные SCADA, журналы событий, архивы, видео с технологических камер в центр мониторинга или SOC. Но при этом не дать никому из ИТ-сети, из Интернета или с заражённого рабочего места «дотянуться обратно» до технологической сети.

Для этого и нужны диоды данных — аппаратные комплексы однонаправленной передачи.

Обычный межсетевой экран разрешает и запрещает соединения правилами. Диод данных делает жёстче: обратного канала нет конструктивно. АСУ ТП может отдавать данные наружу, но команда, пакет, вредоносный трафик или ошибка настройки не смогут вернуться в технологический сегмент. Такие решения применяют для изоляции АСУ ТП, КИИ и защищённых информационных систем, когда нужно сохранить выдачу данных без риска удалённого воздействия на объект.

Пилот двух решений

Взял в пилот два российских решения: ДС Диод и InfoDiode. У обоих заявлена сертификация ФСТЭК — но для проекта важен не только сертификат, а то, как решение ведёт себя в реальной работе.

У ДС Диод железо выглядит серьёзно: двойные блоки питания, оптические интерфейсы 10G, всё как положено для промышленной площадки. InfoDiode полегче идет по виду.

Но дальше начался пилот.

ДС Диод: Собственного понятного ПО для передачи и приёма данных нет — его нужно покупать или отдельно подбирать из опенсорса, что для ФСТЭК как красная тряпка. Настройка идёт сложно и долго. Техподдержка отвечает тяжело. Появлялись зависания портов, ошибки передачи, нестабильное качество потока. Передача файлов в такой схеме превращается в отдельный проект с формулировкой: «с программой разбирайтесь сами».

Сертификация — это важно. Но если комплекс не даёт стабильно передавать данные и не сопровождается производителем, защищённая архитектура остаётся красивой схемой на бумаге.

С InfoDiode картина оказалась другой. Конфигурации понятные, техподдержка быстрая, настройка прошла без лишней войны. Передача данных и видео работает стабильно, ошибки не сыпятся, качество хорошее. Важный для проекта момент — можно организовать передачу файлов, а не только потоковых данных.

Для линейки InfoDiode опубликована сертификация ФСТЭК по 4 уровню доверия; производитель заявляет применение в том числе для АСУ ТП и объектов КИИ — но перед закупкой всегда нужно сверять конкретную модель, версию исполнения, действующий сертификат и требования именно вашего объекта.

Поэтому выбор в этом пилоте — InfoDiode. Потому, что система была проверена в реальном сценарии: данные, видео, файлы, ошибки, эксплуатация и реакция технической поддержки.

Что должен спросить CIO

При выборе диода данных нельзя ограничиться вопросом: «Есть сертификат ФСТЭК?»

Нужно спросить:

— Передаёт ли решение именно наши протоколы, телеметрию, видео и файлы?
— Как подтверждается целостность передаваемых данных?
— Что происходит при обрыве канала, переполнении буфера или отказе порта?
— Есть ли мониторинг, журналирование и понятная диагностика?
— Нужен ли отдельный программный шлюз и входит ли он в поставку?
— Как быстро отвечает техподдержка во время реального инцидента?
— Как мы будем обновлять, сопровождать и восстанавливать комплекс?

В АСУ ТП нельзя купить безопасность «по спецификации». Её надо проверять пилотом — на реальной нагрузке, с реальными данными и теми людьми, которые потом будут это сопровождать.

Диод данных не заменяет сегментацию, SIEM, SOC, мониторинг, управление уязвимостями и дисциплину эксплуатации. Но он убирает один из самых опасных сценариев: возможность атаковать технологический контур из корпоративной сети через обратный канал.

Безопасность АСУ ТП начинается с простого правила: технологическая сеть может отдать данные бизнесу, но бизнес не должен получить возможность управлять технологией через тот же канал.

#CIO #АСУТП #КИИ #ИнформационнаяБезопасность #ИБ #ФСТЭК #DataDiode #ДиодДанных #InfoDiode #СегментацияСети #SOC #SIEM #ПромышленнаяБезопасность #ИТАрхитектура #IgNix