В ближайшей перспективе практически все крупнейшие тепловые генерирующие подразделения РАО ЕЭС, наконец, приобретут новых хозяев, которые и определят уровень и направленность инвестиций, как в ИТ, так  и в ИБ. В том, что инвестиции потребуются, не сомневается никто. В свое время РАО не озаботилось полноценным построением унифицированных систем ИТ и ИБ. Каждое юрлицо — владелец электростанций, имело свое видение этого вопроса, но не имело достаточных средств для его реализации. В итоге после формирования ОГК и было «сшито» то самое пресловутое «лоскутное одеяло» информатизации.

Общая политика не внедрена и по сей день. Все еще существуют отдельные стратегии развития ИТ — например, в «Бизнес единице № 2», благодаря которой значительный шаг вперед сумела сделать, например, входящая в нее ОГК-2. Выделяется своими достижениями и «Волжский гидроэнергетический каскад». Но, по большому счету, энергокомпании пока имеют различные подходы к решению проблем информатизации.

Ситуация объясняется просто: большинство ожидали или до сих пор ожидают IPO  и проводят лишь минимально необходимый объем работ. Окажется ли эта тактика более эффективной — покажет время. Но то, что 2007 и 2008 годы станут переломными для сегмента ИБ на этом вертикальном рынке — похоже, объективный факт.

Как  ИТ-подразделения готовятся к приходу нового собственника?

О том, что именно «Газпром» будет владеть контрольным пакетом ОГК-2, известно, пожалуй, всем — причем довольно давно. Вызван этот интерес стратегическим положением основной ее станции — Сургутской ГРЭС-1. С точки зрения ИТ это вылилось в масштабные подготовительные работы по переводу инфраструктуры под стандарты, с которыми мог бы согласиться газовый гигант. Что хотелось бы отметить, эти работы начались с «правильной» стороны. А именно, с изначальной ориентированности на сертификацию по стандарту ИБ ISO 27001 и гармонизации инфраструктуры с другими стандартами, принятыми в энергетике.

В июле 2007 года московская компания «АМТ-Груп» выиграла тендер на  построение системы обеспечения информационной безопасности на этом энергопредприятии. Работы продлятся до конца 2008 года. По итогам завершения проекта планируется выход ОГК-2 на сертификацию по стандартам BS ISO/IEC 27001:2005 и BS ISO/IEC 20000-1:2005.

По словам Андрея Рогожина, руководителя по развитию направления ИБ «АМТ-Груп», «внимание менеджмента энергетических компаний во всем мире к работоспособности систем информационной безопасности весьма серьезно. Их помимо всего прочего, интересует и то, как ее работа соотносится с работой менеджмента компании в целом, как она помогает в управляемости компании и повышении капитализации бизнеса. Понятно, что максимальный эффект возможен только при синергетическом эффекте от применения ряда процессно-ориентированных стандартов».

Путь этот в России не нов. Аналогичным образом поступает и «Сбербанк». Но применительно к ОГК-2, где работает около полумиллиона человек, естественно наложение своих «вертикальных» особенностей. Главной из них эксперты называют то, что электроэнергию нельзя хранить. Она потребляется в момент производства. Поэтому технические решения для обеспечения ИБ должны работать в реальном режиме времени в инфраструктуре сложной территориально распределенной компании.

Проект рассчитан на два года и сейчас находится на этапе, когда завершена оценка систем обеспечения ИБ, проведен анализ рисков и разработаны меры по их снижению. Как отметил Сергей Романовский, руководитель направления ИБ АМТ-ГРУП, «особенность проектов в энергетике заключается не только в расстановке по местам средств защиты информации. Конечная цель — построение риск-ориентированных функциональных процессов в рамках системы управления информационной безопасностью, входящей, в свою очередь, в состав интегрированной системы менеджмента компании».

Для чего это нужно: для четкого обоснования менеджменту причин инвестиций в ИБ в противовес минимизации вероятности реализации тех или иных инцидентов. В мировой практике уже накоплен достаточный «прейскурант» по ликвидации последствий аварий на объектах энергетики. И как, показывает опыт, предотвратить проблему гораздо дешевле, что ликвидировать ее последствия.

Так, например, один из сценариев развития событий был недавно  представлен в виде ролика на сайте специализированного портала ISO27001.ru. Департамент Национальной Безопасности США провел специально смоделированную кибератаку, направленную против турбины электростанции. Фильм демонстрирует перегрев турбины, которая в конечном счете разрушается.  Для доступа хакерами использовалась уязвимость в АСУ ТП (SCADA), контролирующей агрегат. Эта уязвимость была, конечно же, устранена. Однако, по мнению портала, наверняка существуют и другие, поскольку при разработке подобных систем вопросы ИБ серьезно не прорабатывались.

Виталий Камлюк, ведущий вирусный аналитик «Лаборатории Касперского»,  комментирует, что можно придумать страшные сценарии развития событий из-за вредоносных программ, однако в реальности настоящую угрозу несут не случайно попавшие на компьютер программы, а преднамеренная атака.  Избавиться от подобных проблем можно только одним способом — построением комплексной системы управления информационной безопасностью компании. Но проблема иногда может быть более масштабной.

О современной российской специфике применения АСУ ТП и уровне угроз  в с ее стороны, например,  в ОГК-1, рассказывает Алексей Кузяев, главный специалист отдела экономической и информационной безопасности: «Совсем недавно мы проводили соответствующий аудит. И пришли к выводу, что реализация типичных рисков, связанных с АСУ ТП, у нас мала. Дело в том, что еще с советских времен все технологические процессы носили замкнутый характер, и доступ к ним со стороны интернета отсутствовал… Однако мы видим, какие тренды существуют в мире. Электростанции, находящиеся, например, в Турции, контролируются и управляются  из Норвегии. Это и наше будущее. И к нему надо готовиться заранее».

В лидерах те, кого не продают

Известно, что полностью РАО «ЕЭС России» в лету отнюдь не канет. Часть его инфраструктурных и распределительных механизмов трансформируются и перейдут под контроль правительства страны и других структур. При этом выполнять основной объем своих функций придется при помощи общедоступных каналов связи и интернета. В связи с этим  в Корпоративном Центре ОАО РАО «ЕЭС России» идет активное внедрение систем ИБ от с web-угроз.

Как сообщили CNews Analytics представители Корпоративного Центра, «С точки зрения web-угроз, компании энергетического сектора беспокоят ровно те же проблемы, что и все остальные организации, использующие интернет. Разница лишь в том, что топология сети, а также её архитектура очень сложны. Соответственно, повышенные требования здесь предъявляются к гибкости решения. А именно, к легкости интеграции в существующую инфраструктуру, масштабируемости и возможности включения дополнительных функциональных модулей.

Наиболее важными факторами при выборе решения в энергетике являются отказоустойчивость, возможность балансировка нагрузки на серверные мощности и высокая производительность для обеспечения минимальных задержек при обработке входящих и исходящих информационных потоков больших объёмов.

Система, обслуживающая пользователей Корпоративного Центра, была развернута на площадке «ГВЦ Энергетики». Данный ГВЦ является организацией, предоставляющей ИТ-сервисы (в том числе, услуги доступа в интернет) другим подразделениям холдинга.

Основные требования, предъявляемыми к функциональным возможностям внедряемого решения, сводились к следующим: контроль и очистка всего объёма поступающего трафика, блокирование трафика неавторизованных приложений (P2P, IM), блокирование корреспонденции вредоносного активного содержания (спам), защита электронной почты, фильтрация URL, многоуровневая защита от spyware (сигнатурный анализ, блокирование коммуникации spyware, удалённая нейтрализация «шпионов» без установки клиентского ПО) и др.

В ходе принятия решения департаментом экономической безопасности и режима РАО «ЕЭС России» было организовано и проведено комплексное тестирование представленных на рынке разработок, организованное компанией «Элвис-Плюс», генеральным подрядчиком проекта. Были привлечены как специалисты производителей, так и персонал «ГВЦ Энергетики», ответственный за эксплуатацию системы.

В результате тестирования выбор был сделан в пользу решения eSafe — системы комплексной защиты трафика от всех типов вредоносного ПО на уровне интернет-шлюзов и почтовых серверов. В последствии на основе выбранного решения был реализован пилотный проект. В настоящее время в инфраструктуре ГВЦ функционирует два кластера, предназначенных для фильтрации web-трафика (eSafe Web) и сканирования почтового трафика (eSafe Mail).  Стоит отметить, что пилотный этап проекта был завершен в течение двух недель, и на данный момент в РАО «ЕЭС России» функционирует комплексная, отказоустойчивая система обеспечения защиты от активного вредоносного контента любого типа. 

Разные подходы

Как уже отмечалось выше, к построению систем ИБ разные энергокомпании подходят по-разному. Однако есть и общие черты. Одна из них — то, что повсеместно были проведены инвентаризация и аудит существующих систем безопасности. Частично он проводился своими силами. Но все более частой становится практика привлечения внешних консультантов. Так, «ДиалогНаука» участвовала в «проверке надежности систем ИТ-безопасности в ОГК-4. «Корпорация ЮНИ» выиграла тендер на обследование телекоммуникационной инфраструктуры и информационных  систем ОГК-1. Leta разработала корпоративный стандарт  антивирусной защиты для «Южной сетевой компании» и инсталлировала там 6438 комплектов антивируса Eset NOD32 для защиты файловых и почтовых серверов, а также рабочих станций пользователей. Надо сказать, что продукты Eset вообще начинают доминировать в поставках для энергетиков. Что касается услуг аутсорсинга ИБ со стороны независимых игроков, эксперты единодушно отвергли возможность его сколь–нибудь широкого распространения на этом вертикальном рынке, по крайней мере, в ближайшем будущем.

Весьма любопытный проект осуществляет ИТ-департамент ОГК-5. Сергей Дятлов, директор по информационным технологиям этой компании, в своем выступлении на CNews Forum 2007 отметил: «Кто бы ни был наш новый собственник, определенные элементы ИТ и ИБ инфраструктур ему однозначно потребуются. Наша задача — выделить необходимые компоненты в виде сервисов и подготовить их для работы в условиях SOA».

На этом фоне ожиданий почти незаметно в октябре 2007 прошел тендер на постройку ИТ инфраструктуры для Богучанской ГЭС — самого масштабного проекта гидротехнического строительства современной России. Компании «АйТи», выигравшей этот конкурс, предстоит, во-первых, объединить временные строительные объекты и уже введенные в эксплуатацию энергоблоки ГЭС в единую информационную среду. Во-вторых, наладить оперативный информационный обмен с ближайшим крупным городом — Красноярском, а также обеспечить постоянную бесперебойную связь с управляющей компанией — ГидроОГК в Москве. В-третьих, построить основу для внедрения в будущем корпоративных систем электронного документооборота, управления персоналом, ERP-системы и других. Какова будет доля ИБ в этом проекте — можно только предполагать, но никак не меньше нескольких миллионов рублей.

Таким образом, энергетический сектор страны, долгое время находившийся в аутсайдерах по темпам роста потребления ИТ и ИБ, постепенно оживает.  Потребности, которые он уже предъявляет и предъявит в недалеком будущем, позволяют говорить о нем, как о новом «локомотиве» рынка ИБ. Дополнительный импульс в этот вертикальный рынок готов добавить и атомный сегмент генерации, в который начали поступать значительные государственные инвестиции.