Риск-ориентированное управление информационной безопасностью автоматизированных система управления железнодорожного транспорта с учетом киберфизической специфики

Данная статья ставит своей целью разработку адаптированной модели риск-ориентированного управления информацион- ной безопасностью (ИБ) для киберфизических АСУ ПП железнодорожного транспорта. Для достижения этой цели последовательно решаются следующие задачи: анализ специфики киберфизических рисков в предметной области; обзор и критическая оценка применимости существующих стандартов и методологий; разработка и описание адаптированной процессной модели управления рисками с акцентом на интеграцию safety и security; предложение практических рекомендаций по её внедрению, включая применение аппарата нечёткой логики для формализации экспертных оценок.

Обзор существующих подходов и стандартов. Прежде чем предложить адаптированную модель, необходимо оценить применимость существующих фреймворков. Общепризнанные стандарты, такие как ISO/IEC 27005, NIST SP 800-30 и 800-82, предлагают фундаментальные принципы управления рисками ИБ и кибербезопасностью для промышленных систем управления (ИСУ). Они обеспечивают структурированный процесс, но часто не учитывают в полной мере специфику киберфизических систем, где кибер- и физические риски неразделимы. Специализированный стандарт серии МЭК 62443 (ГОСТ Р

МЭК 62443-2-1) более сфокусирован на защите АСУ ТП и предлагает концепцию зонирования и создания защищённых каналов, что актуально для сегментации сетей железнодорожных АСУ ПП. Однако его практическая реализация в системах с длительным жизненным циклом и жёсткими требованиями реального времени (как в железнодорожной автоматике) сопряжена со сложностями. Подходы, основанные на анализе видов и последствий отказов (FMEA/FMECA), традиционно используются для оценки safety-рисков. Их интеграция с методами оценки киберрисков (например, сценарным анализом) представляет собой перспективное, но методологически сложное направление, требующее совместной работы экспертов разных профилей. Таким образом, ни один из существующих подходов не является универсальным, что подтверждает необходимость их адаптации и синтеза для рассматриваемой предметной области.

Специфика киберфизических рисков в АСУ ПП железнодорожного транспорта. Киберфизическая природа АСУ ПП трансформирует киберриски в риски безопасности (safety-риски). Так, угроза целостности данных в системе ЭЦ или доступности системы телемеханики энергоснабжения способна привести к катастрофическим физическим последствиям – от схода подвижного состава до паралича движения на участке. Особенностью является длительный жизненный цикл компонентов (десятилетия), приводящий к сосуществованию в одной системе устаревших уязвимых и современных решений [3]. Среда выполнения АСУ ПП характеризуется жесткими требованиями к реальному времени, что исключает применение многих стандартных механизмов защиты (например, ресурсоемкого шифрования в реальном времени на контроллерах). Кроме того, сложность заключается в необходимости разделения ответственности между подразделениями ИБ и главного инженера или службы безопасности движения, для которых физические последствия киберинцидента являются первичными.

Адаптация риск-ориентированного подхода к АСУ ПП. Риск-ориентированное управление ИБ представляет собой циклический процесс идентификации, анализа, оценки и обработки рисков [4]. Для АСУ ПП он требует адаптации. На этапе идентификации ак- тивов, помимо информационных, необходимо учитывать физические активы (контроллеры, исполнительные механизмы, датчики) и управляемые ими технологические процессы. Критичность актива определяется степенью его влияния на безопасность движения и бесперебойность перевозок, а не стоимостью данных. Картирование информационных и физических потоков между этими активами является основой для выявления уязвимостей на стыке кибер- и физического уровней. Важнейшим элементом адаптации является формирование междисциплинарной рабочей группы, в которую должны входить: специалисты по ИБ и кибербезопасности; инженеры по железнодорожной автоматике и телемеханике (технологи); представители службы безопасности движения; специалисты по эксплуатации и обслуживанию систем. Именно такая группа способна адекватно оценить критичность активов, смоделировать правдоподобные киберфизические сценарии инцидентов и предложить контрмеры, технически реализуемые и не нарушающие технологический процесс.

Модель процесса управления киберфи-зическими рисками. Процесс управления рисками для АСУ ПП предлагается реализовывать в виде последовательности взаимосвязанных этапов, визуализированных на следующей диаграмме (рис.). Данная модель подчеркивает итеративность и интеграцию с физической безопасностью. Для формализации экспертных оценок на этапах анализа и оценки рисков целесообразно применение методов нечеткой логики [5].

Качественная оценка рисков для АСУ ПП страдает от субъективности, а количественной часто не хватает данных. Аппарат нечеткой логики позволяет формализовать лингвистические оценки экспертов ("низкая вероятность", "высокий ущерб"), описывая их функциями принадлежности [6]. Их агрегирование в системе нечеткого вывода (FIS) дает обоснованную оценку уровня риска, минимизируя субъективность при работе междисциплинарных групп. Например, входными лингвистическими переменными для FIS могут быть: «Вероятность реализации угрозы» (с термами: очень низкая, низкая, средняя, высокая) и «Степень физического последствия» (незначительная, средняя, критическая, катастрофи- ческая). База правил, формируемая на основе экспертных знаний (например: «ЕСЛИ вероятность = высокая И последствие = катастрофическое, ТО уровень риска = неприемле-

Приемлемость риска

Мониторинг и принятие риска

Качественная/ количественная оценка риска: Вероятность х Ущерб

Идентификация киберфизических активов и технологических процессов

Разработка сценариев инцидентов и оценка их физических последствий

Анализ угроз и уязвимостей на стыке IT/OT

Мониторинг эффективности и пересмотр рисков

Нет

Выбор и внедрение контрмер

Рисунок. Модель процесса управления киберфизическими рисками

мый»), позволяет получить на выходе интегральную оценку уровня риска. Это особенно ценно для оценки сложных каскадных сценариев, где статистические данные отсутствуют.

Как видно из таблицы, контрмеры направлены не только на предотвращение кибератаки, но и на минимизацию ее физических последствий, а также обеспечение возможности безопасного перехода на ручное управление. Важно отметить, что выбор контрмер должен основываться на результатах оценки рисков и учитывать принцип целесообразности. Например, для критического актива с неприемлемым уровнем риска могут применяться все перечисленные в таблице меры одновременно, в то время как для менее критичных активов достаточно базовых мер защиты. Кроме того, внедрение любых технических контрмер (особенно в системах реального времени, таких как СЦБ или телемеханика) должно предваряться тщательным тестированием на пилотных стендах для исключения негативного влияния на отказоустойчивость и время отклика системы.

Практические аспекты внедрения и интеграции модели. Предложенная модель не является чисто теоретической конструкцией; её внедрение требует решения ряда организационно-технических задач. Во-первых, необходимо разработать и утвердить регламентирующие документы (политики, процедуры), закрепляющие процесс риск-ориентированного управления ИБ для АСУ ПП в организации. Эти документы должны четко распределять роли и ответственность между ИБ-службой и технологическими подразделениями. Во-вторых, ключевым этапом является инвентаризация и категорирование активов. Для железнодорожных АСУ ПП это сложная задача, учитывая их распределённость, разнородность и длительную историю модернизаций. Рекомендуется использовать автоматизированные средства сканирования сетей (с крайней осторожностью в рабочих сегментах) в сочетании с ручным аудитом документации и интервью с технологическим персоналом. В-третьих, интеграция с системами физической безопасности (safety) реализуется через совместный анализ инцидентов, разработку единых планов реагирования и регулярные кросс-функциональные тренировки (киберучения), моделирующие киберфизиче-ские инциденты (например, отказ системы сигнализации из-за вредоносного ПО). В-четвёртых, для поддержки цикла управления рисками необходима система мониторинга, способная детектировать аномалии не только в сетевом трафике, но и в логике работы технологических контроллеров (например, несанкционированное изменение уставок или нехарактерная последовательность команд).

Несмотря на свою адаптированность, предложенный подход имеет ограничения. Основным из них остается зависимость от качества и объективности экспертных оценок, особенно на начальных этапах внедрения, когда ис- торические данные об инцидентах отсутствуют или засекречены. Даже использование нечёткой логики лишь минимизирует, но не полностью устраняет эту субъективность. Внедрение модели требует значительных временных и кадровых ресурсов для формирования и обучения междисциплинарных команд. Техническая реализация некоторых контрмер (например, глубокое шифрование данных в реальном времени) может быть ограничена вычислительными мощностями устаревшего, но ещё находящегося в эксплуатации оборудования. В качестве перспективных направлений для дальнейших исследований можно выделить: разработку отраслевых баз данных типовых киберфизических угроз и уязвимостей для железнодорожных АСУ ПП; создание цифровых двойников (digital twins) критических систем для безопасного моделирования атак и тестирования контрмер; ис- следование возможности применения методов машинного обучения для прогнозной аналитики рисков на основе данных телеметрии с датчиков и систем мониторинга.

Заключение. Внедрение риск-ориентированного управления ИБ в АСУ ПП железнодорожного транспорта является необходимым развитием систем защиты, позволяя рационально распределять ресурсы на защиту наиболее критичных активов. Ключевой фактор успеха – совместная работа ИБ-специалистов и технологического персонала. Перспективным направлением является разработка гибридных моделей оценки рисков, сочетающих классические методологии (например, FMEA) с аппаратом нечеткой логики для работы с экспертной информацией и неопределенностью киберфизических систем. Как показано в статье, успешная реализация такого подхода требует не только методологической адаптации, но и решения комплекса организационных, кадровых и технических задач. Проведённый анализ угроз и контрмер, а также предложенные практические шаги по внедрению, создают основу для повышения киберустойчивости критической инфраструктуры железнодорожного транспорта в условиях растущих киберфизических угроз.