Note analytique. Révision de l'ordonnance du ministère de l'Énergie de la Fédération de Russie du 6 novembre 2018 N 1015

Les auteurs

K.E. Polezhaev, analyste
A.A. Zavedenskaya, analyste adjoint

Liste des abréviations utilisées

AWP - Station de travail
ASUTP - Système automatisé de contrôle des processus
EDR - Banque de données sur les dangers
IB - Sécurité de l'information
ME - Pare-feu
NDV - Opportunités non déclarées (non déclarées)
Logiciels - Logiciels
SRZI - Outils de sécurité de l'information
SUMiD - Système de télésurveillance et de diagnostic des principaux équipements technologiques
FSB de Russie - Service fédéral de sécurité de la Fédération de Russie
FSTEC de Russie - Service fédéral de contrôle technique et d'exportation de la Fédération de Russie

Présentation

Cette note analytique contient un aperçu de l' arrêté du ministère de l'énergie de la Fédération de Russie du 06.11.2018 n ° 1015 publié sur le portail Internet officiel d'informations juridiques le 18 février 2019 «Sur l'approbation des exigences relatives aux fonctions de base (obligatoires) et à la sécurité de l'information des installations électriques pendant la création et l'exploitation ultérieure de le territoire de la Fédération de Russie des systèmes de surveillance et de diagnostic à distance des équipements électriques »(Enregistré le 15 février 2019 n ° 53815) (ci-après dénommé Ordonnance du Ministère de l'énergie). La commande prend effet au bout de six mois à compter de la date de sa publication officielle, soit depuis le 18 août 2019.

Dans l'industrie de l'énergie électrique, dans les processus technologiques de production et de transmission d'électricité et de chaleur, des systèmes de contrôle de processus automatisés (ci-après dénommés systèmes de contrôle de processus) sont activement utilisés. Les systèmes automatisés de contrôle des processus peuvent s'intégrer aux systèmes de surveillance et de diagnostic à distance (ci-après dénommés SUMiD) de l'état technique des principaux équipements des centrales électriques, ce qui nécessite des mesures pour assurer la sécurité de ces systèmes. L'ordonnance établit les exigences organisationnelles et fonctionnelles pour assurer la sécurité des informations du SUMiD, à savoir la sécurité de ses composants logiciels, l'infrastructure matérielle, les outils intégrés de protection des informations et le contrôle de la sécurité. Il établit également les exigences pour assurer IS SUMiD aux étapes du cycle de vie et de la certification.

1. Général

Le système de surveillance et de diagnostic à distance (SUMiD) est un complexe matériel-logiciel qui fournit le processus de surveillance et de contrôle à distance de l'état des principaux équipements technologiques d'une centrale électrique, diagnostiquant et prédisant les changements de l'état technique des principaux équipements technologiques sur la base des données collectées reçues des systèmes de collecte de données installés. sur l'équipement technologique et n'affectant pas le mode normal d'équipement / d'installation. Par exemple, les types de systèmes indiqués peuvent comprendre: un système de surveillance et de diagnostic «Système de surveillance et de contrôle pour l'équipement de transformateur» de la société ZAO Inter, un logiciel de General Electric «On-Site Monitor» (OSM).

Les exigences de l'arrêté du ministère de l'énergie sont établies en ce qui concerne les fonctions de base du SUMiD et la sécurité de l'information des installations électriques pendant la création et l'exploitation ultérieure du SUMiD en Fédération de Russie. Nous pouvons conclure que les exigences s'appliquent aux sujets électricité qui opèrent dans les installations électriques SUMiD. Étant donné que des exigences de sécurité de l'information sont imposées au stade de la création d'un SUMiD, il est naturel que les entités d'énergie électrique utilisant un tiers SUMiD tentent d'attribuer le respect d'une partie des exigences de l'arrêté du ministère de l'énergie aux organisations mettant en œuvre le SUMiD.

Les sujets de l'industrie de l'énergie électrique sont les personnes opérant dans l'industrie de l'énergie électrique, y compris la production d'énergie électrique et thermique, l'énergie, l'achat et la vente d'énergie électrique et d'énergie, la fourniture d'énergie aux consommateurs, la fourniture de services de transport d'énergie électrique, le contrôle opérationnel de la répartition dans l'industrie de l'énergie électrique et la vente d'énergie électrique. (capacité), l'organisation de la vente d'énergie et d'électricité.

Objets de l'industrie de l'énergie électrique - objets de propriété directement utilisés dans le processus de production, de transmission d'énergie électrique, de contrôle opérationnel de la répartition dans l'industrie de l'énergie électrique et de commercialisation de l'énergie électrique, y compris les installations de réseau électrique. Les objets de l'Ordre du Ministère de l'Energie se réfèrent aux objets sur les sites desquels fonctionnent certains équipements technologiques de base, avec SUMiD installé sur ces équipements et ayant certaines fonctions de base.
Le principal équipement technologique est un équipement dont la violation ou la résiliation entraîne la perte de contrôle de l'installation électrique, une modification négative irréversible des paramètres de son fonctionnement ou une diminution significative de la sécurité de fonctionnement de l'installation électrique.

Selon l'arrêté du ministère de l'Énergie, les principaux équipements technologiques comprennent:

• turbines à vapeur d'une puissance installée de 5 MW ou plus et équipements auxiliaires associés impliqués dans le processus technologique principal, mais ne produisant ni ne convertissant l'énergie électrique), conçus pour assurer l'opérabilité des équipements technologiques principaux (ci-après - équipements auxiliaires);
• chaudières à vapeur (énergie) fournissant de la vapeur aux turbines à vapeur d'une puissance installée de 5 MW ou plus, et équipement auxiliaire connexe;
• turbines hydrauliques d'une puissance installée de 5 MW ou plus et équipements auxiliaires associés;
• turbines à gaz d'une capacité unitaire de plus de 25 MW et équipements auxiliaires associés;
• transformateurs de puissance d'une tension de 110 kV et plus, d'une capacité supérieure à 63 MVA et équipements auxiliaires associés.

2. Fonctions de base et principaux composants du SUMiD

L'Ordre du Ministère de l'Énergie a déterminé les fonctions de base (de base) du SUMiD:

• suivi technologique de l'état des principaux équipements technologiques;
• télécommande de l'équipement technologique principal avec possibilité d'influence à distance sur l'équipement technologique principal afin de modifier les paramètres de son fonctionnement ou de son arrêt, à l'aide d'un logiciel spécial et (ou) du module logiciel SUMiD.

Sur la base du libellé de l'ordonnance, le ministère de l'Énergie ne sait toujours pas si le système qui ne contrôle pas à distance les principaux équipements technologiques doit être classé en tant que SUMiD. Les spécialistes de UTSB LLC ont envoyé une demande au ministère de l'Énergie de la Russie pour clarifier la question des fonctions de base du SUMiD. En réponse à une demande, le ministère de l'Énergie de la Russie précise que les exigences de l'arrêté du ministère de l'Énergie s'appliquent à la fois aux systèmes qui effectuent uniquement une surveillance technologique et aux systèmes qui surveillent et contrôlent à distance les principaux équipements technologiques.
Le tableau 1 montre les composants logiciels et matériels qui peuvent faire partie du SUMiD, selon l'arrêté du ministère de l'énergie.

Tableau 1. Composants logiciels et matériels du SUMiD


Selon l'Ordre du Ministère de l'Énergie, le Sujet Électricité peut utiliser dans SUMiD un ensemble incomplet de composants logiciels et matériels de la liste ci-dessus. Le sujet de l'énergie électrique peut également utiliser d'autres composants logiciels et matériels. Cependant, le logiciel et le matériel du SUMiD doivent être approuvés par le sujet électricité sous la forme d'une liste d'équipements et de logiciels approuvés pour utilisation.

3. Exigences organisationnelles pour garantir IS SUMiD

Dans le cadre des exigences organisationnelles, des mesures sont établies pour organiser la fourniture de la sécurité de l'information par le sujet électricité, ainsi que les mesures primaires nécessaires à une telle organisation. Le ministère de l'Énergie de la Russie précise que le sujet de l'électricité peut diffuser les exigences de l'arrêté du ministère de l'énergie aux organisations participant à la mise en œuvre des étapes du cycle de vie du SUMiD en introduisant des mesures et des mesures pour assurer la sécurité de l'information dans le mandat.

L'accès du personnel au logiciel SUMiD doit être mis en œuvre par le biais de procédures d'identification et d'authentification. Pour entrer un compte d'utilisateur, une stratégie de mot de passe doit être approuvée et configurée qui répond aux exigences minimales répertoriées dans le tableau 2.

Tableau 2. Exigences de stratégie de mot de passe


Pour l'accès du personnel au logiciel SUMiD, l'entité d'électricité doit fournir des règles de contrôle d'accès qui répondent aux exigences minimales suivantes:

• Le personnel du compte doit être créé pour le personnel du système en ce qui concerne le QMS & A, conformément aux exigences de la politique de mot de passe;
• les paramètres des comptes du personnel en rapport avec SUMiD devraient être approuvés par le sujet électricité;
• les comptes intégrés (comptes non personnalisés) doivent être désactivés.

Pour conserver la composition de la configuration matérielle du SUMiD, l'entité d'électricité doit effectuer les procédures suivantes:

• fournir un soutien aux processus technologiques avec un ensemble fini de logiciels, dont la liste doit être approuvée;
• fournir des mesures organisationnelles et techniques pour l'enregistrement des événements de sécurité pour tous les logiciels inclus dans le SUMiD;
• définition et ajustement des paramètres de mise à jour (intervalle de temps) des logiciels assurant la sécurité des informations;
• organisation et mise à jour des archives de la conception et de la documentation opérationnelle SUMiD;
• approbation de la composition de l'équipement matériel SUMiD, ainsi que des logiciels utilisés pour l'infrastructure matérielle sous la forme d'une liste d'équipements et de logiciels approuvés pour utilisation.

L'arrêté du ministère de l'Énergie de la Russie n'a pas établi l'exigence d'un test obligatoire de l'opérabilité des mises à jour logicielles garantissant la sécurité de l'information. Néanmoins, la vulnérabilité «manque de tests ou de tests de logiciels simplifiés» fait partie de la liste des vulnérabilités de base des vulnérabilités requises pour analyser les vulnérabilités et créer un modèle de menace pour les vulnérabilités (annexe 2 à l'ordonnance du ministère de l'énergie).

Le sujet de l'industrie de l'énergie électrique devrait prendre un certain nombre des mesures suivantes:

• La segmentation de l'infrastructure matérielle de SUMiD a été réalisée avec l'attribution obligatoire d'un ensemble minimum de segments (segment de la collecte, du stockage et de la transmission des données; segment de fonctionnement; segment de service; logiciel système);
• Des règles pour déterminer et approuver la composition de l'infrastructure matérielle SUMiD et assurer le contrôle de l'infrastructure matérielle SUMiD ont été élaborées;
• dans les endroits où se trouve l'infrastructure matérielle SUMiD, un contrôle d'accès physique est fourni et réglementé.

Une fois la procédure de segmentation terminée, l'entité d'électricité doit déterminer les processus de gestion de la sécurité des informations du SUMiD.

Les pare-feu de serveurs personnels (ci-après dénommés ME) devraient être activés pour l'équipement de serveur et les postes de travail pour le personnel du sujet électricité remplissant les fonctions de gestion d'un ensemble de moyens techniques de protection des informations, d'infrastructures d'information et de télécommunications du SUMiD. Les ME personnels doivent assurer le blocage de l'accès au réseau, non prévu par le fonctionnement du SUMiD. Les mots de passe pour accéder au logiciel et aux outils de protection antivirus appropriés avec mises à jour doivent également être définis.

Le sujet de l'industrie de l'énergie électrique devrait vérifier la conformité des moyens intégrés de protection de la sécurité de l'information avec les objectifs de la sécurité de l'information, qui comprennent:

• audit des événements de sécurité de l'information;
• fournir une protection cryptographique;
• accès discret pour les utilisateurs du système;
• contrôle de l'interaction du réseau;
• passer des attributs de sécurité;
• identification et authentification;
• configuration de sécurité
• Établir des connexions de confiance
• disponibilité des informations.

Le sujet de l'industrie de l'énergie électrique doit effectuer l'ensemble des mesures suivantes:

• contrôle de la documentation de conception et de l'état initial du logiciel;
• protection contre l'accès non autorisé aux informations sur les paramètres techniques et technologiques des principaux équipements technologiques;
• formation et stockage des rapports de ces activités.
• En tant qu'ensemble de base de contrôles de sécurité de l'information pour le SUMiD, le sujet électricité doit effectuer les mesures suivantes:
• approuver la politique de sécurité de l'information;
• répartir les responsabilités au sein de l'organisation pour assurer la sécurité de l'information;
• fournir une éducation et une formation au personnel de sécurité de l'information;
• assurer l'éducation et la formation du personnel au maintien des régimes de sécurité de l'information;
• organiser des processus de signalement des cas de violation de la protection;
• appliquer une protection antivirus;
• protéger les données et la documentation de conception;
• surveiller le respect d'une politique de sécurité des informations approuvée.

L'entité du secteur de l'énergie doit classer le SUMiD conformément à la loi fédérale du 26 juillet 2017 n ° 187- «sur la sécurité des infrastructures d'informations critiques de la Fédération de Russie» conformément au décret du gouvernement de la Fédération de Russie du 08.02.2018 n ° 127 «portant approbation des règles de catégorisation des objets des infrastructures d'informations critiques de la Fédération de Russie» , ainsi qu'une liste d'indicateurs de critères pour l'importance de l'infrastructure d'information critique de la Fédération de Russie »et a assuré la conformité actes juridiques normatifs basés sur les résultats de la catégorisation.

La catégorisation du SUMiD par le sujet de l'électricité peut causer des difficultés dans les cas où le SUMiD n'est pas la propriété du sujet de l'électricité. Dans la plupart des cas, la surveillance et le diagnostic de l'état des équipements technologiques sont fournis au sujet électricité en tant que service, et le SUMiD est pris en charge par l'organisation - le développeur SUMiD.

Des mesures de protection de l'information doivent être appliquées à toutes les étapes (étapes) de la création du SUMiD défini par GOST 34.601-90 «Technologies de l'information. Un ensemble de normes pour les systèmes automatisés. Des systèmes automatisés sont en cours de création. » Étant donné que l'Ordre du Ministère de l'Énergie n'impose pas la responsabilité d'assurer la sécurité de l'information, les experts de l'UTSSB LLC considèrent qu'il est possible d'indiquer les organisations-participants de chaque étape comme responsables d'assurer la sécurité de l'information à toutes les étapes (étapes) de la création d'un SUMiD.

4. Exigences pour assurer IS SUMiD aux étapes du cycle de vie

Lors de la création et du fonctionnement ultérieur de SUMiD, la fonction de suivi technologique de l'état des principaux équipements technologiques des installations électriques, en termes de collecte, de stockage et de transmission des données (centres de traitement des données), devrait être réalisée via l'infrastructure de collecte, de stockage et de transmission des données située en Fédération de Russie. Lors de la transmission de données via un réseau de communication public, des moyens de protection des informations (ci-après dénommés SRZI) doivent être appliqués qui ont passé l'évaluation de la conformité sur la base des exigences de la loi fédérale du 27 décembre 2002 n ° 184- sur la réglementation technique. L'évaluation de la conformité des moyens de protection des informations sur la base des exigences de la loi fédérale du 27 décembre 2002 n ° 184- «Sur la réglementation technique» est réalisée sous forme de certification des moyens de protection des informations.

Il convient de noter que cette exigence ne s'applique pas à l'infrastructure de traitement des données. Par conséquent, la fonction de surveillance technologique de l'état des principaux équipements technologiques en termes de traitement des données technologiques peut être effectuée en dehors de la Fédération de Russie.

Dans le cas de l'utilisation d'un logiciel spécial et / ou d'un module logiciel avec une fonction de télécommande dans le SUMiD, une vérification doit être effectuée pour eux au moins au niveau 4 de l'absence de contrôle NDV.

Le sujet de l'industrie de l'énergie électrique devrait développer et approuver un modèle de menaces et un intrus pour le SUMiD. Pour modéliser les menaces du SI, la banque de données des menaces russes du FSTEC doit être utilisée, ainsi que d'autres sources disponibles et les résultats de l'évaluation de la probabilité de vulnérabilités des composants SUMiD. Lors de la modélisation des menaces, les sources des menaces, les vulnérabilités typiques, les objets d'influence, les actions destructrices par rapport aux objets du SMQ doivent être décrites.

Sur la base du modèle généré de menaces pour la sécurité des informations, le SUMiD élabore une politique de sécurité des informations qui inclut les exigences fonctionnelles pour la sécurité des informations du SUMiD.

Dans l'Ordre du Ministère de l'Énergie, le concept d '«exigences fonctionnelles» n'est pas défini, et l'ensemble d'exigences fonctionnelles de base pour la sécurité de l'information du SUMiD n'est pas donné, sur la base duquel le sujet électricité pourrait former son propre ensemble d'exigences fonctionnelles.Selon les spécialistes de UTSB LLC, ainsi que sur la base du projet d'arrêté du ministère de l'énergie n ° 1015, les exigences fonctionnelles sont formées sur la base du document «GOST R ISO / IEC 15408-2-2013. Technologie de l'information (TI). Méthodes et outils de sécurité. Critères d'évaluation de la sécurité des technologies de l'information. Partie 2. Composants de sécurité fonctionnels »(ci-après dénommée GOST R ISO / IEC 15408-2-2013). Les exigences fonctionnelles sont imposées à l'objet de l'évaluation et comprennent des classes fonctionnelles composées de familles fonctionnelles et de composants. Le sujet de l'évaluation dans le cadre de l'arrêté du ministère de l'énergie sera le SUMiD.

Les classes fonctionnelles comprennent:

• audit de sécurité;
• la communication;
• support cryptographique;
• protection des données des utilisateurs;
• identification et authentification;
• gestion de la sécurité;
• confidentialité
• protection des fonctions de sécurité du sujet de l'évaluation;
• utilisation des ressources;
• accès au sujet de l'évaluation;
• route / canal de confiance.

Une description détaillée des classes fonctionnelles de leurs familles et composants est donnée dans GOST R ISO / IEC 15408-2-2013.

Afin de confirmer la conformité du SUMiD et de son sous-système de sécurité avec les exigences établies par l'arrêté du ministère de l'énergie, le SUMiD et ses sous-systèmes de sécurité sont soumis à une certification obligatoire conformément aux "Exigences pour la protection des informations ne constituant pas des secrets d'État contenus dans les systèmes d'information de l'État", approuvées par arrêté du FSTEC de Russie du 11.02. 2013 n ° 17. L'introduction du SUMiD et de son sous-système de sécurité ne doit être effectuée qu'après réception du certificat de conformité du SUMiD. Le ministère de l'Énergie de la Russie confirme que la certification est soumise à la fois au serveur de collecte de données installé dans les installations de production des Electric Power Subjects et au serveur de traitement des données du SUMiD des organisations de services.

Sur cette base, il convient de conclure que la SRHI incluse dans le SUMiD doit être certifiée conformément à la loi fédérale du 27 décembre 2002 n ° 184- «sur la réglementation technique» (article 11 de l'exigence de protection des informations ne constituant pas un secret d'État contenu dans systèmes d'information d'État mis en place par arrêté du FSTEC de Russie du 02.11.2013 n ° 17).

Il est à noter qu'en cas de placement d'un segment qui traite des informations technologiques en dehors de la Fédération de Russie, il est impossible de certifier un segment de traitement des informations technologiques pour le respect des exigences de protection des informations ne constituant pas des secrets d'État contenus dans les systèmes d'information étatiques approuvés par l'ordonnance du FSTEC de Russie du 11.02. 2013 n ° 17.

Cela entrave également l'utilisation de moyens de protection des informations cryptographiques qui ont été certifiés conformément à la loi fédérale du 27 décembre 2002 n ° 184- sur la réglementation technique dans le segment du traitement de l'information situé en dehors de la Fédération de Russie en raison de la réglementation du Federal Security Service Licensing, Certification and State Secret Protection Center La Russie importe sur le territoire douanier de l'Union économique eurasienne et sur le territoire de la Fédération de Russie et exporte des moyens de cryptage (cryptographiques) en dehors de ses frontières.

Pour assurer le système de sécurité du SUMiD, l'entité électrique doit se conformer aux exigences établies par les chapitres III, IV et V de l'arrêté FSTEC de Russie du 21 décembre 2017 n ° 235.

La sécurité de l'information de SUMiD, qui sont des objets importants de l'infrastructure d'information critique de la Fédération de Russie, devrait être fournie par le sujet de l'électricité conformément aux exigences pour assurer la sécurité des objets importants de l'infrastructure d'information critique de la Fédération de Russie, approuvées par arrêté du FSTEC de Russie du 25 décembre 2017 n ° 239 et avec les exigences pour la création de systèmes de sécurité importants objets de l'infrastructure d'information critique de la Fédération de Russie et leur fonctionnement Niya, approuvé par l'arrêté FSTEC Russie de 21.12.2017 №235.

Par conséquent, si, sur la base des résultats de la catégorisation, il a été conclu qu'il n'est pas nécessaire d'attribuer au SUMiD une catégorie d'importance, les exigences relatives aux logiciels et au matériel utilisés pour garantir la sécurité des objets importants de l'infrastructure d'information critique restent obligatoires, à savoir les exigences relatives à l'utilisation de SRSI. certifié. De même, avec les exigences pour le fonctionnement du système de sécurité en termes d'organisation du travail pour assurer la sécurité des objets importants de l'infrastructure d'information critique. Conformément à ces exigences, pour les objets de l'infrastructure d'information critique, la planification et le développement de mesures pour assurer la sécurité, la mise en œuvre (mise en œuvre) de ces mesures,la surveillance de l'état de la sécurité a été assurée et des améliorations ont été apportées à la sécurité.

1. , . 15 2019 .
2. 08.02.2018 № 127 « , ». , 21.12.2017 № 235 25.12.2017 № 239 , , . , .
3. , , , .
4. 27.12.2002 № 184- « ». .
5. , . . , , ; , .
6. , , / , 4 .
7. :

• , 11.02.2013 № 17;
• , 27.12.2002 № 184- « ».