21 ноября 2025

Пользователям SCADA-систем и другого промышленного ПО важна не только функциональность решения, но и его защищенность от внутренних угроз и кибератак.

По данным Kaspersky ICS CERT, в 2024 году каждая пятая промышленная система в России подвергалась кибератакам. Привлекательные условия для злоумышленников создают длительный жизненный цикл оборудования, использование устаревших протоколов и необходимость непрерывности технологических процессов. По последней причине традиционные меры информационной безопасности часто невозможно применить к SCADA-системе без риска нарушения ее работы.

Реализовать необходимые функции защиты без потери производительности системы помогает привлечение к ее проектированию ИТ-команд, которые специализируются на кибербезопасности: у них уже есть опыт внедрения практик безопасной разработки (DevSecOps) на всех этапах создания ПО и собственные инструменты для анализа и защиты кода.

Успешный пример такого подхода — кейс компании «СибКом Цифра» и Центра кибербезопасности УЦСБ. Его эксперты обеспечили комплексное сопровождение разработки новой SCADA-системы на ключевых фазах ее построения: проектировании, анализе кода и внедрении функций защиты.

Создание ТЗ на модуль безопасности: зачем его объединять с моделированием угроз

Сотрудничество Центра кибербезопасности УЦСБ и «СибКом Цифра» началось с комплексного анализа защищенности SCADA-системы «Каскад 3». Заказчику понравилось, что команда УЦСБ глубоко погрузилась в продукт и нашла уязвимости, устранение которых было критически важным для повышения его надежности. В итоге компания привлекла экспертов Центра к проектированию модуля безопасности для новой версии системы — «Каскад 4.0».

Модуль интегрируется в обновленный технологический стек и позволяет соблюдать стандарты ФСТЭК России и выполнять рекомендации международного стандарта ISA/IEC 62443, который определяет принципы безопасной архитектуры SCADA-систем.

Эксперты УЦСБ провели первичное моделирование угроз, выявили потенциальные риски ИБ и подготовили ТЗ на создание модуля. При этом команда Центра кибербезопасности учла важное пожелание Заказчика — добавить результаты первичного моделирования в техническое задание. Обычно это не делается, но такое нововведение помогло «СибКом Цифра» получить более полное представление о рисках и убедиться в надежности модуля.

Первичное моделирование — это «каталог» угроз, наиболее актуальных для конкретного продукта. Он основан на анализе применяемых технологий, их уязвимостей и сценариев использования будущего ПО. Документ дает Заказчику четкое понимание, на какие риски стоит ориентироваться во время разработки, чтобы заранее предотвратить возможные инциденты ИБ.

Техническое задание на модуль безопасности — описывает архитектуру решения, его функции и способы их реализации,
а также схемы потоков данных для интеграции модуля с другими компонентами системы.

Безопасность, как плюс в конкурентной борьбе: что контролирует модуль

Защищенность SCADA-системы — одно из ключевых требований рынка и важных преимуществ продукта. Поэтому несмотря на то, что сертификация не обязывает внедрять в него компоненты безопасности, «СибКом Цифра» сфокусировались как на функциональности, так и на защите системы.

Модуль безопасности, разработанный УЦСБ, защищает «Каскад 4.0» от внутренних и внешних угроз. Его работа похожа на цифровой «охранный пункт», который контролирует процессы информационной безопасности (ИБ) в SCADA-системе:

управление доступом — модуль разграничивает права доступа пользователей, согласно их ролевым моделям в системе, и предотвращает обращение к тем ресурсам, которые им недоступны;
логирование событий — решение фиксирует и сохраняет все инциденты ИБ, например, попытки подбора паролей или несанкционированных обращений. Это необходимо для аудита ИБ и расследований нарушений;
контроль инициализации продукта — верификация компонентов с помощью цифровых подписей исключает внедрение вредоносного кода и несанкционированных изменений логики работы контроллеров. В случае использования устаревших устройств защиту дополняет автоматизированный аудит конфигураций с уведомлениями об отклонениях от эталонного состояния;

Таким образом модуль безопасности обеспечивает защищенный обмен данными между всеми компонентами системы. Изоляция процессов при взаимодействии некоторых подсистем позволяет блокировать внедрение неизвестных элементов и команд, которые могут вывести из строя другие части SCADA-системы или полностью остановить ее работу.

“

Эффективный модуль безопасности — важное конкурентное преимущество, которое дает нашим клиентам уверенность в непрерывности работы системы и позволяет сохранять их инвестиции в цифровые решения.

Мы постоянно чувствуем поддержку и заинтересованность команды УЦСБ в качественном результате совместной работы. Эксперты партнера предложили нам современные инструменты и адаптировали практики безопасной разработки под специфику “Каскад 4.0”.

Андрей Кондрашкин, технический директор «СибКом Цифра»

Защита без потери производительности: уникальные решения УЦСБ

Главный вызов при проектировании SCADA-системы — обеспечить ее высокую производительность при работе с большими объемами данных. Меры информационной безопасности могут замедлять операционные процессы, поэтому нужно было сделать так, чтобы защита не влияла на производительность «Каскад 4.0».

Стандартные подходы при таком условии не работают, поэтому команда УЦСБ учитывала множество нюансов при реализации функций безопасности. Можно выделить два уникальных решения, благодаря которым они не снижают скорость обработки данных в системе.

Решение 1 — система автоматизированного ведения эталонных конфигураций, которая «знает» все настройки оборудования. Она сохраняет каждое допустимое изменение как новую конфигурацию SCADA-системы с привязкой к цифровой подписи инженера, чтобы было понятно кто и что менял. Затем решение постепенно, в фоновом режиме, сравнивает фактические настройки с эталонными, не нагружая оборудование. При обнаружении отклонения срабатывает оповещение, но работа SCADA-системы не прерывается.

Решение 2 — центральный шлюз безопасности. В SCADA-системе ежесекундно проходят тысячи операций, и для каждой нужна быстрая проверка прав пользователя или компонента. По этой причине принятие решений вынесли в центральный шлюз безопасности: все политики хранятся в его памяти, поэтому ответы приходят без задержек. Сотрудники получают цифровые токены, которые подтверждают их права и действуют в рамках текущей сессии, а доверенные компоненты системы — устойчивые токены, которые не требуют обновления.

Долгосрочная поддержка: как она помогает адаптировать продукт под задачи бизнеса

При создании SCADA-системы необходимо правильно подобрать технологии для ее ключевых функций — от хранения и обработки данных до мониторинга оборудования и визуализации информации. При этом у разработчика могут появляться новые идеи или задачи, в зависимости от требований клиента, которому он будет поставлять «Каскад 4.0».

Чтобы поддержать Заказчика и помогать ему в поиске оптимальных решений при внедрении новых функций, Центр кибербезопасности УЦСБ заключил с ним долгосрочный договор на сопровождение модуля безопасности.

Выглядит это так: Заказчик приходит с запросом «хотим внедрить новую функцию, но она конфликтует с другими технологиями в системе». В ответ команда УЦСБ находит решение, которое позволяет воплотить задуманное в рамках архитектуры системы и требований регуляторов.

Анализ защищенности: полный цикл безопасной разработки

Гарантировать безопасность разрабатываемого ПО и сократить время до выхода продукта на рынок помогает анализ защищенности. УЦСБ проводит его с помощью собственного решения Apsafe — это экосистема инструментов безопасной разработки (DevSecOps) с поддержкой аналитика.

“

С Apsafe каждая новая версия продукта проходит через полный цикл безопасной разработки. Анализ защищенности проводится параллельно с созданием ПО, что позволяет быстро выявлять уязвимости и устранять недостатки кибербезопасности.

Платформа подойдет тем компаниям, у которых ограничены сроки и ресурсы на внедрение DevSecOps или нет возможности вносить изменения в существующую инфраструктуру разработки.

Евгений Тодышев, руководитель направления безопасной разработки УЦСБ

Для регулярных проверок кода «Каскад 4.0» и быстрого выявления уязвимостей использовались два инструмента из стека Apsafe:

SAST (Static Application Security Testing) — статический анализ кода, который позволяет находить дефекты в исходном коде продукта в момент его разработки;
SCA (Software Composition Analysis) — композиционный анализ состава ПО для обнаружения угроз в подключаемых компонентах и соблюдения политик использования открытого кода.

Регулярные проверки (SAST и SCА) фокусируются на изменениях в продукте во время разработки: анализируются новый код, интерфейсы и функции. Команда УЦСБ проверяет корректность их реализации, фиксирует ошибки и передает эти данные в таск-трекер Заказчика. Разработчики все оперативно исправляют и затем обновления проходят повторный контроль.

После года регулярных проверок будет проведена итоговая комплексная проверка. Она позволит увидеть функционал SCADA-системы в общем контексте, обнаружить уязвимости, которые не видны в рамках изолированных задач, и найти пути их исправления.

Преодоление сложностей: работа с разными языками программирования

Анализ защищенности осложняется тем, что нужно было работать с двумя версиями системы — «Каскад 3» и «Каскад 4.0», а также с дополнительными функциями, которые используются, например, для подключения драйверов. При этом код был написан на разных языках: часть на С++, часть на Kotlin.

Отдельная сложность была связана именно с Kotlin, так как для него существует ограниченное количество инструментов для статистического анализа и готовых правил поддержки безопасности. Поэтому эксперты УЦСБ внедрили ряд новых open source инструментов, написали и стали развивать персональные правила для этого языка, чтобы повысить качество кода.

Вывод: проектировать защиту вместе с ПО и наладить связь между командами

Безопасность SCADA-систем и любого другого ПО должна проектироваться вместе с функциональностью, а не добавляться «поверх» готового решения. Такой подход сокращает время выхода продукта на рынок и усиливает доверие к нему со стороны клиентов разработчика.

Важно не просто внедрять готовые модули, а строить гибкий процесс взаимодействия между командами. Только при плотном сотрудничестве разработчиков с экспертами по кибербезопасности получится создать эффективную защиту для ПО.

Быстро внедрить практики безопасной разработки можно с помощью Apsafe. Подключение платформы займет 10 дней, не потребует изменений инфраструктуры разработки и будет выгоднее по цене, чем прием в штат одного AppSec-инженера и покупка необходимых инструментов*. Узнать больше подробностей о продукте и заказать пилот можно по этой ссылке.

*При подключении базового пакета. При подключении от двух приложений применяется прогрессивная модель скидок.

Свяжитесь с экспертами Центра кибербезопасности УЦСБ, чтобы реализовать оптимальный план цифровой защиты вашего бизнеса

Связаться с нами

Подпишитесь на нашу рассылку

Вы будете получать только полезную информацию о кибербезопасности — никакого спама и рекламы

Нажимая кнопку «Подписаться», я даю свое согласие на обработку моих персональных данных, в соответствии с Федеральным законом от 27.07.2006 года №152-ФЗ «О персональных данных», на условиях и для целей, определенных в Согласии на обработку персональных данных