Details

Данная работа посвящена разработке методического подхода к комплексному анализу рисков и формированию целевых требований по кибербезопасности систем противоаварийной автоматической защиты (ПАЗ) с учётом требований нормативно-правовых актов РФ. Задачи, решаемые в ходе исследования: 1. Изучение инцидентов кибербезопасности АСУТП и систем ПАЗ. 2. Анализ требований стандартов и требований нормативных документов РФ в области анализа рисков, функциональной безопасности и кибербезопасности. 3. Разработка метода комплексного анализа рисков, его применение при категорировании объектов КИИ, формировании целевых требований к системе ПАЗ. 4. Апробация предложенного метода на практическом примере. 5. Выявление лучших практик «safe and secure by design». В ходе работы были изучены инциденты кибербезопасности, международные стандарты, нормы и правила США и РФ в области обеспечения безопасности систем ПАЗ. В результате работы предложена блок-схема комплексного анализа технологических рисков и оценки рисков кибербезопасности. Полученные результаты могут быть применимы при проектировании и модернизации АСУТП систем ПАЗ, корректного определения категории значимости объекта КИИ, предотвращения конфликтов между мерами функциональной и информационной безопасности.

The given work is devoted to develop a methodological approach to comprehensive risk analysis and the development of target requirements for cybersecurity of safety instrumented systems (SIS), taking into account the requirements of regulatory legal acts of the Russian Federation. The research set the following goals: 1. Study of cybersecurity incidents and SIS design standards. 2. Analysis of standards and regulatory documents in the field of functional safety and cybersecurity. 3. Development of a method for comprehensive hazard and risk analysis, its application in categorizing CII, and forming target requirements for the SIS. 4. Practical application of the method proposed. 5. Identification of best practices for "safe and secure by design" principle. The work included an analysis of cybersecurity incidents, international standards, and norms and rules of the USA and the Russian Federation in the field of ensuring the safety of SIS systems. As a result, flowchart for joint analysis of technological risks and cybersecurity risk assessment was proposed. The results could be used in the design and modernization of ICSS and SIS, the correct determination of the significance category of a CII, and the prevention of conflicts between functional safety and cybersecurity measures.