Привет, располагает ли кто нибудь чем то наподобие чек-листа по

информационной безопасности АСУ ТП? У нас на предприятии грядет аудит по этому поводу

Аудит на соответствие чему?

На проверку инф безопасности АСУ ТП

Обычно должно быть что-то вроде: "на проверку соответствия..."

Это на все и ничего сразу. Можно проводить аудит на соответствие НПА, ГОСТ, импортным стандартам, лучшим практикам, здравому смыслу и ещё много чему. Чек листы везде будут разные

Сколько у вас времени? И что будет в итоге? Кого-то могут поругать?

Зачем готовиться? Чтобы скрыть проблемы? А надо?

Время есть, проверка внутренняя, ругать не будут. Мне для себя нужно, что в моей АСУ ТП всё норм. За тенденциями в ИБ не слежу, только общие принципы знаю

Тогда надо выяснить, на соответствие чему. Приказ 239, 31 и т.д.

Не слежу, в том то и дело, читайте внимательнее )

Я понял

У вас локальная нормативка по ИБ есть? Может соответствие ей проверите? Парольная политика там..

Есть, но про АСУ ТП ни слова

Она может быть общей и распространяться на все сразу

Можете прочекать по международным / иностранным стандартам. Например NIST Cybersecurity Framework и например его Manufacturing profile https://www.nist.gov/cyberframework/framework

Спасибо

Конечно можно на это угробить кучу времени, а потом придёт осанист, проверит пароли и заявки на доступ и уйдёт :)

Есть готовые чек-листы по международным стандартам и даже в виде приложения для заполнения.

Точно :)

Чек-лист для общей оценки процессов по кибербезопасности. Он естественно не заменит другие виды проверок типа инструментальный анализ защищённости и тесты на проникновение / Red teaming, и др.

The Cyber Security Evaluation Tool (CSET®) https://github.com/cisagov/cset

Волшебной кнопки "сделать хорошо" не существует, но существуют кое-какие рекомендации и инструменты для автоматизации проверок. Нужно их изучать и думать как применять. Добро пожаловать в увлекательный мир промышленной кибербезопасности 🙂

Какая у вас должность? Вы ответственны за АСУ или за ИБ АСУ?

Нач АСУТП

тогда почитайте 31 приказ (он рекомендательный) , а потом найдите положение по ИБ, которые в компании есть у вас (изучите положения парольной политики, удаленного доступа и пр). Если у вас нет отдельно документов по ИБ АСУ то к вам применимы все что есть на компанию и по идеи нужно просто их соблюдать. А если хотите прям выделиться во время аудита то можете подготовиться по международным стандартам, но для этого время и люди нужны (простое тестирование антивируса на совместимость может занять пару месяцев, обновления ОС и обновления ПО АСУ до полу года, обновление PLC вообще длительный процесс, вдруг что то не так пойдет). Для начала проверьте обновления ОС и версии PLC, если есть возможность обновить-сделайте), далее МСЭ проверьте, привлеките сетевиков и посмотрите как у вас сети ИТ и АСУ соединены , не должно быть бесконтрольного трафика. Далее проверьте как у вас устройства подключаются (контроль подключения флэшек и внешних носителей-политикой на АРМ запретите то что не нужно). Ну и проверьте как у вас бэкапы делаются, наладьте систему резервного копирования и восстановления( можно руками это делать если нет спец. ПО). Ну или просто не мешайте аудитору и он выдаст отчет и план что нужно сделать по итогу.

Спасибо