Русский
Русский
English
Статистика
Реклама

Асу тп

Из песочницы Спецификация системы управления инфорационной безопасностью и документационного обеспечения управления организации

19.08.2020 18:13:30 | Автор: admin

Аннотация


В статье приводится описание спецификации и применения системы управления информационной безопасности на базе документационного обеспечения. Далее рассматривается:


  1. Разработка и проектирование документационного обеспечения управления в системе информационной безопасности организации, в том числе программно-аппаратной реализации и ее спецификации.
  2. Сторона унифицированных и специализированных характеристик управления структурой организации для внедрения в промышленную эксплуатацию приведенного формата решения.
  3. Формат применительности представленного решения на действующей организационно-структурной организации, на базе методик проектной деятельности организации.
  4. Формирование документационного обеспечения управления, которое базируется на системе управления информационной безопасности организации. Где данная система представляет из себя образчик требований для обеспечения целостности, доступности и конфиденциальности информации, которая обрабатывается посредством документационного обеспечения управления и непосредственно функционирующая в системе управления информационной безопасности.
  5. Ликвидность организации согласно документационного обеспечения управления организации со стороны системы управления информационной безопасности организации.
  6. Формат управления документационным обеспечением управления и распределения уровней доступа к категорированию данной информации, со стороны потокового документооборота организации, в том числе на базе локальных инструкций организаций.
  7. Типовые формы для проведения оптимизации управления документационного обеспечения управления и системы информационной безопасности организации.

Вся работа проводится на базе действующего законодательства по обеспечению информационной безопасности критических информационных инфраструктур. Также решение поставленной проблемы в статье носит рекомендательный характер к исполнению, а также представляет формат оптимизации действующих мощностей организации.


Введение


Документационное обеспечение управления (ДОУ) является специализированной отраслью деятельности, обеспечивающей управление формирования потокового документирования. Применяется в коммерческих и государственных организациях для проектной разработки и управления мощностей производства организации [1, 2].


В статье ДОУ рассматривается с позиции потокового документооборота. На основании применяемых на момент проведения исследования отраслевых стандартов Российской Федерации [3-15], применение ДОУ является актуальным [16-20].


Исходя из приведенного перечня документов ставится задача по определению единого формата документационного обеспечения управления организацией.


Далее предлагается решение поставленной задачи путем представления единой сводной спецификации, по которой в организации осуществляется деятельность за контролем нормативно-правовых актов и федеральных законов Российской Федерации, в части касающейся информационной и экономической без-опасности.


Ликвидность организации согласно документационного обеспечения управления


Работоспособность организации основывается на документации основных и второстепенных бизнес-процессов в зависимости от роли подразделений организации. Также, работоспособность базируется, относительно функционирования организации по ликвидному взаимоотношению производственных мощностей и рентабельности.


Документация является взаимосвязанной с обращением потоковой документации [1], где понимается документооборот, применяемый организацией по категорировании информации и потокам иерархической структуры управления организацией среди действующего персонала, по параметрам, контролируемым организационными методологиями:


  1. Политика информационной безопасности организации.
  2. Политика экономической безопасности организации
  3. Положение о коммерческой тайне.
  4. Положение о конфиденциальной информации организации.
  5. Система доверенного управления.
  6. Система маркерирования.
  7. Технологии применения прототипов, их разработки и управления.

Указанная документация применяется среди организаций в области ДОУ:


  1. ITIL (англ. Information Technology Infrastructure Library) библиотека, описывающая применяемые способы организации и управления бизнес-процессов.
  2. SCRUM (англ. SCRibing Unified Methodology, SCRapbooking Unified Methodology, Sprint Continious Rugby Unified Methodology) набор принципов, ценностей организации, политик взаимодействия и управления, основанных на процессе визуализации смысла формирова-ния потоков документации простыми образами в процессе донесения информации. Позволяет в фиксированные и сжатые по времени итерации, относительно базовых прогнозируемых сроков исполнения технического задания, предоставлять пользователю работающий продукт с бизнес-возможностями. Где бизнес-возможности являются согласованными в техническом задании, для которых определен наибольший приоритет, относительно сформированного зада-ния заказчика. То есть происходит создание инкремент бизнес-продукта.
  3. AGILE (англ. Agile Software Development) серия подходов, ориентированных на использовании выполнения разработки параллельно с непрерывным анализом полученных результатов и корректировок предыдущих этапов работы. Формат работы с динамическим фор-мированием требований и обеспечения их реализации. Применяемые в результате постоянного взаимодействия внутри самоорганизующихся рабочих групп, состоящих из специалистов раз-личного профиля организации.
  4. SMART (англ. Specific Measurable Attainable Relevant Time-bound) методика исполь-зуемая в управлении для определения целей и постановки задач, которые применяются внутри организации.

Отметим, что сводная спецификация сведений внутри организации, не составляющей государственную тайну категорируется в отдельные спецификации конкретных регламентов, определений, политик работы организации с иными формами и сведениями конфиденциального характера, приведенных в [21].


Указанные спецификации представлены как информация ограниченного доступа, относящаяся к коммерческой тайне:


  1. Конфиденциальной информации, с определенной формой допуска доверенного круга лиц.
  2. Служебная информация ограниченного распространения, либо исполнения для опре-деленных итераций работоспособности организации по основным и второстепенным бизнес-процессам с целью ликвидности [21].

Под ликвидностью понимается способность денежного эквивалента по выпускаемому продукту организации участвовать в немедленном приобретении товара или других благ для организации и рентабельности самой организации [22].


Под потоковым обращением документации относительно закрытой автоматизированной системы в защищенном исполнении (АИС) понимается работоспособность персонала организации, осуществляемая эксплуатацию ДОУ на основе документации, составленной в соответствии с правовыми, методическими, эргономическими и другими нормами [23]. Следовательно, ликвидность организации прямо пропорционально зависит от формата целостности и корректности управления ДОУ в организации. Где потоковое обращение документации напрямую зависит от ликвидности и рентабельности организации. Данный формат является основой для формирования документооборота организации и ДОУ.


Описанные методики являются основополагающими при формировании потокового документооборота и позволяют оптимизировать процессы взаимодействия между персоналом организации и структурными подразделениями.


Спецификация системы управления информационной безопасности и ликвидность


Под доступом к конфиденциальной информации, понимается обязательное определение действующим руководством организации специфичных форматов действий, относительно доверенных групп лиц, к категорируемой информации и степени ее значимости, формата функционирования и ликвидности [24].


В отношении конфиденциальной информации присутствует требование не передавать информацию третьим лицам без согласия её обладателя. Таким образом, документация с приведенными сведениями, полученными от третьих лиц требует обеспечение защиты информации.


В [24] приводится формат определения документационного обеспечения управления потоковым оборотом, который является входными данными в защищенную автоматизированную систему и распределяется, согласно ранее предустановленным политикам организации доступа пользователей данной системы. Где происходит выполнение работ параллельно с непрерывным анализом полученных результатов и корректировкой предыдущих этапов работы. Далее происходит отображение функциональных мощностей организации в систему управления информационной безопасности.


Указанный формат придерживается критериев защищенности [3-15]. Таким образом, приведенная спецификация определяет возможность рентабельности действующих мощностей организации и их непосредственной ликвидности [16-20].


ДОУ на базе системы информационной безопасности организации разделяется на конфиденциальные данные и перечни данных открытого доступа. Приведенные данные подлежат к обеспечению защиты информации, что находит отражение на конечной ликвидности итоговых мощностей организации.


Управление потоковым документооборотом организации


Определение структуры формата решения поставленной задачи в отношении документационного обеспечения управления внутри организации выполняется на основе цикла Дёминга [25]. С целью решения поставленной задачи выработан следующий конкретный формат действий для указанного решения:


  1. Политика документирования каждого предопределенного формата действий и вариативной изменчивости документов организации. Проектируется по формату системы управле-ния информационной безопасности, согласно [26] внутри организации посредством руководя-щего состава и доверенных лиц.
  2. Политика организации потокового обеспечения документооборота внутри организации согласно системы информационной безопасности. Применяемая в том числе архивного учета данного перечня информации, управление и обеспечение работоспособности и функци-онирования по [27-29].
  3. Политика хранения документированных архивных дел, со специализированными по-метками о внесении изменений, их корректирования и доступа доверенного круга лиц.
  4. Политика контроля и формирования потокового документооборота, согласно фор-мата верификации информации внутри организации. Применяемая с последующими метками модернизации и оптимизации действующего потокового документооборота в организации.
  5. Политика контроля обособленности и соотношения документооборота. Приведение форм управления ролями в организации, по обеспечению управления, контроля и масштабируемости в плане формирования документации и интерпретационной части ДОУ.
  6. Политика поддержки промышленной эксплуатации документирования проектиро-вочной части разработки и технологического решения внутри системы управления информа-ционной безопасности организации. Применяемая согласно семейству стандартов ГОСТ Р ИСО/МЭК 27000.
  7. Политика вывода из промышленной эксплуатации, согласно циклу Дёминга в соответствии с [30].

Перечисленные политики предоставляют решение задачи по обеспечению формата потокового документооборота организации, где причина необходимости применения данных политик на рынке Российской Федерации ставится относительно организации и управления мощностями предприятия, от руководящего состава. Данный формат исходит из целостности, доступности и конфиденциальности информации.


Отметим приведенный формат политик является полным, целостным и распределенным по факту актуализации поставленной задачи данной статьи, и практической применимости в организации.


Документационное обеспечение управления по ролям распределения доступно-сти и применимости


С целью решения поставленной задачи в области обеспечения управления потоковым документооборотом в организации следует привести к следующей структуре по распределению информации, где оптимальным способом по отношению к ликвидности и рентабельности про-дукта организации:


  1. Документы, поступающие от сторонних организаций, не включённых в структурные подразделения основной организации. Также документы не относящимся к специальным подразделениям. Применяется согласно процессу выдачи формата разрешений на обработку специализированного вида информации, отчетности, политики управления и выдачи спецификаций.
  2. Документы, поступающие в главенствующую организацию из вне, не включённые в структурные подразделения. Также не включенные в специальные подразделения. Применительно к процессам декларирования и обособлению контроля целостности суммирования баз данных.
  3. Документы, передаваемые между организациями. Где применяются типовые документы с информацией о гражданах, в отношении которых необходимо принять определенные декларированные решения по приведенным и описанным политикам, формам работы самих организаций.
  4. Документы, которые являются внутренними документами организации. В том числе типовые документы с персональной информацией о гражданах. Применяемые согласно поли-тик организационно-управленческого характера, необходимой структурным органам организа-ции [31].
  5. Документы, относящиеся к внутренним отчетным документам обособленного харак-тера взаимодействий структурных подразделений организации. Где применяются типовые формы отчетности организации, формы исполнительности, итеративности, релевантности, ликвидного оборота, как опорная структура и политика форматов работоспособности действующих мощностей организации.
  6. Документы, для управления организацией, формирования постановлений и докумен-тирования управленческих этапов работ и ролей по взаимоотношению между доверенными пользователями. Где применяются типовые плановые и неплановые проверки, в том числе поверки работоспособности, проектирования и согласованности между ними, либо устранении рисков, инцидентов информационной безопасности. Формируются согласно системы управления информационной безопасности организации. В том числе формируются посредством специализированных форм отчетности руководству по иерархической ветви управления.
  7. Документы, являющиеся организационно-управленческими политиками. Документы формируются самой организацией. Где применяются типовые служебные записки, положения, соглашения, ведомости, передающиеся по всей вертикали иерархической структуры организации.
  8. Документы, которые являются соответствующими к исполнительным формам обязанностей коллегиальной комиссии. Где применяются типовые непубличные документирован-ные отношения, непубличные служебные записки, соглашения, положения, ведомости.
  9. Документы, составленные в соответствии исполнения приказов по утверждению нормативного формирования. Также составленные к принятию отчетностей, ликвидности реализации инвестиционных программ, софинансирования. На базе публичного формата деятельности организации.
  10. Документы, которые являются соответствующими организационно-порядковым, -правовым, -управленческим отношениям внутри и вне организации.

Согласно данных категорий документов, можно структурировать управление потоковой документацией внутри организации, приводящее к исполнению должностных обязанностей персонала организации в соответствии с действующим законодательством Российской Федерации [32]. Где данный формат позволяет решать поставленную задачу данной статьи по причине практической значимости для организации.


Данный формат является приемлемым за счет отсутствия необходимости найма дополнительных специалистов, аутсорсинговых компаний, так как организация самостоятельно может решать поставленные задачи не нагружая собственных специалистов дополнительной работой.


Система обеспечения документационного обеспечения управления организации


ДОУ согласуется с политиками организации [33] по областям действия организации. Используется несколько типовых форм, соответствующих специализированным стандартам и потребностям в принятии управленческих решений в организации, а также формату выдачи, запрете, подаче декларированного документооборота, для решения поставленного вопроса, со-гласно данной статьи:


  1. Форма 1 анкета гражданина, содержащая информацию о нем, носящую конфиден-циальный характер в соответствии с ПДн. Содержится информация такая как: фамилия, имя, отчество, дату и место рождения, сведения о паспортных данных и гражданстве, образовании и трудовой деятельности, СНИЛС, ИНН, о прохождении военной службы, родственниках и адресах проживания и регистрации. То есть сведения о фактах, являющихся и выступающих в соответствии с политикой обработки ПДн.
  2. Форма 2 документ о согласованности персонала и специальных подразделений внутри организации и смежных с оной. В документе отделы управления организаций проставляют специфичные отметки о согласовании сведений о гражданине с Управлением ФСБ, управлением МВД по области действия юридического лица. Применяемые при спецификации и необходимости, в том числе с пометками определенного рода в соответствии с положениями законодательства РФ и локальными НПА.
  3. Форма 3 непосредственная заявка-прошение. Формируемая персоналом кадрового подразделения организации в адрес отдела режимно-пропускного контроля. Содержащая список для нескольких граждан, либо на определенную дефиницу души представленного списка по населению. Применяемая с целью формирования запроса от лица граждан с запросом по целевым нуждам. Где применяются типовые запросы на выписку о публичных планах-мероприятиях организаций, дотаций, больничного листа, страховки, 2НДФЛ, запросов на вы-дачу специальных документов и тому подобное.
  4. Форма 4 мотивированное письмо в адрес отделов организаций для оформления специализированных видов документации. Применяемая по целевым нуждам внешних организаций. Где происходит формирования документа относительно необходимой документации в отношении сторонних организаций. Где применяются типовые справки о трудоустройстве, заработной плате и тому подобное. Также используемые для органов судебной, исполнительной, законодательной власти.
  5. Форма 5 документ согласования обособления, содержащая краткие сведения о гражданине. Направляемая в адрес Управления ФСБ, Управления МВД по области действия юридического лица. Данные регуляторы представляют специфичные отметки о согласовании и по целевым нуждам запросившего лица.
  6. Форма 6 заявления граждан с прошениями о выдачи разрешений для родственников, попечителей и тому подобное. Применяемые с указанием их персональных данных, с описанием причины и необходимости. Где обеспечение формируется относительно законодатель-ного характера РФ.
  7. Форма 7 документ заявление на временную дотационную, либо иного рода по-мощь. Также применяемая для бессрочной льготы для близких родственников гражданина. Приводится с указанием их персональных данных, как попечителя, либо попечителей, либо для данного лица. Используемая в случаях, согласованных и имеющих подтверждение на основа-нии ПП, ФЗ и НПА РФ.
  8. Форма 8 представление документа со списком родственников заявителя. Относительно которого происходит заведение личного дела. Используется для соблюдения протоколирования и режима работы организаций, так же в согласовании с законодательством РФ.
  9. Форма 9 документ на согласование допуска через КПП в организации. Рассматриваемого как режимный объект любого вариативного рода. Рассматриваемый по основополагающим принципам и нуждам организации, с соблюдением законодательства РФ и тому подобное.
  10. Форма 10 сведения о разработке, утверждению и актуализации схем теплоснабжения и любого иного рода снабжения на территории образования действующей организации.
  11. Форма 11 концессионное соглашение. Применяемая для основания заключения, что концессионер по концессионному соглашению принимает на себя обязательства осуществлять определенные мероприятия. Мероприятия могут быть направлены на создание, либо реконструкцию недвижимости. Используемая на основании ФЗ от 21 июля 2005 года под 115 ФЗ о концессионных соглашениях и локальных НПА в области действия юридического лица.
  12. Форма 12 о формализации сведений о разработке, утверждении и актуализации, корректировки схем водоснабжения и водоотведения на территории организации. Рассматри-ваемая в том числе со всеми формами обработки и формализации, относительно обеспечения структурного рода их формирования.
  13. Форма 13 о сведениях о разработке, утверждении и внесению изменений в программе комплексного развития систем инфраструктуры на территории действия предприятия, организации.
  14. Форма 14 соответствующий документ, о информации об обеспеченности ТП аварийными бригадами и специализированной техники.
  15. Форма 15 соответствующий документ, носящий характер и содержание о аварийности на объектах и сетях ВП относительно КЗ.
  16. Форма 16 соответствующий документ, о состоянии резерва материально-технических ресурсов и факторов для ликвидации аварийных ситуаций в сфере ЧС и основополагающих действий.
  17. Форма 17 соответствующий документ, содержащий сведения о проведении технической инвентаризации основных фондов организации управления.
  18. Форма 18 соответствующий документ, носящий сводный баланс поставки основного обеспечения любого интерпретационного рода.
  19. Форма 19 соответствующий документ, носящий информацию паспорта готовности.
  20. Форма 20 соответствующий документ, носящий информацию готовности по ви-дам любого итерационного образа формирования организации.
  21. Форма 21 соответствующий документ, носящий информацию подготовки объек-тов социального и культурного назначения для обращения и обобщения политик действий.

Документооборот, реализованный на основании перечисленной документации, будет соответствовать действующему законодательству Российской Федерации [1-14], по причине практической реализации в организациях и формата распределения информации, отвечающим поставленным требованиями описанным в [15-25].


Данный перечень, в части касающейся ин-формационной безопасности позволяет решить проблему организации и оптимизации системы управления потоковым документооборотом и представить ДОУ. Представлено решение озвученной в данной статье проблему таким образом, что формат ДОУ будет оптимизирован по временному интервалу, где сможет быть масштабируемым и рентабельным.


Данный формат позволяет расширить функциональные возможности организации, что приведет к увеличению прибыли и структурированию организационного управления по ветвям иерархии в самой организации [26-35].


Применение положений локальных инструкций


Локальная инструкция документ, принятый организацией по территориальной значимости и соответствующий назначению структурного подразделения организации [34].


Если рассматривать положения о локальных инструкциях организации, о порядке ввода-вывода специального формата и рода документации, бумажные документы также должны быть сопровождены анкетными данными со специализированными пометками, что оказывает воздействие на ДОУ в дополнительной форме и требует структурированного определение новых вводных данных.


Составление сопроводительных листов и организационных записок, соотносящих декларированные документы и формы управления. Данные документы обособляются непосредственно самой первородной организацией. Формат физических и электронных носителей имеет единую структуру централизованной пакетной верификации используемого программного обеспечения. Рассматриваемого в том числе со стороны их обособления, сведения, модернизации и применения среди доверительного круга лиц в отношении системы управления инфор-мационной безопасности. В том числе рассматриваемая, относительно ДОУ. Является применяемой по аутентификации, верификации, на примере пакетов: MS Office Access, Excel, Word, также баз данных на примере: MariaBD, SQL, MySQL, Oracle и иного сводного перечня.


Перечь, который применяется организацией согласно лицензирования, является не утвержденным на сегодняшний день. Данный перечь является общим обособлением и итерационным исполнением формы реализации системы управления информационной безопасности, согласно [19]. Применяется посредством ДОУ. В свою очередь связывающего и соотносящего потоко-вый документооборот как на твердых носителях информации, так и цифровые форматы.


Данный формат приводит к тому, что документооборот пользуется собственными метками, так же регламентируемыми в отношении документационного обеспечения управления.


ДОУ использует в том числе обработчики информации по электронным-цифровым подписям, отметкам и пометкам непосредственно отмеченными сотрудниками управляющего кадрового состава, также политиками управления регламентирующийся специализированными приведенными документами и формами, сметами, регламентами, которые приведены выше по тексту статьи.


Данный формат позволяет определять и решать вопросы управленческой направленности и распределенности ДОУ внутри и вне организации.
Исходя из приведенных фактов, относительно специализированной информации ДОУ и распорядительных форм организации, включающих: отчетность, декларированные и консолидируемые форматы описания документов, и применимости структурных документов, согласно вышеописанным регламентам является корректным форматом адекватной работоспособности организации.


Потоковое обеспечение документооборота организации и смежных с ними дочерними организациями, либо сторонними организациями сопряжено с формированием чрезмерной бумажной документации на носителях информации. Данный факт может быть не контролируемым в непосредственной модернизации данных, в том числе анкетирования посредством электронных версий, либо распределения и перевода между спецификациями.


Следовательно, данное применение от части ликвидно в использовании среди кадрового состава исполняющего персонала и управленческого состава организации в целом, то есть по вертикали иерархии управленческой структуры.


Вывод


При решении поставленной проблемы с позиции ДОУ и спецификации системы управ-ления информационной безопасности приведен формат применения сводных политик под кон-кретные параметры организации и управления предприятием. Которые достигаются обеспечением надежного архивного и текущего хранения документации, обеспечения теории надежности и их формирований, а также соблюдения и структурирования порядка документационных потоков и образований. Являющиеся жестко установленными образцами, согласно фактическим и формализованным регламентам организации. Рассматриваемого, относительно потокового документооборота по всем ветвям управленческой деятельности по их совокупности, а также формата контроля управления.


Из приведенного формата перечня документов следует, что совокупности образований, являются применительными в организации, с действующими режимами конфиденциальности организации. Данный перечень документов является адекватным и корректным по решению применения приведенной структуры ДОУ, также приведенных форм корреляции политик со-гласования и контроля потокового документооборота, в части касающейся информационной безопасности.


Таким образом, действующая система документационного потокового обеспечения, внутри организации имеет в данный момент времени неликвидную скорость документационного оборота и политик его контроля и управления, в том числе формирования баз данных, а ее пропускная способность и скорость обмена информацией крайне низка во всех ее аспектах функционирования, а следовательно решение проблемы описанная в данной статье и представляется совокупностью потребности в формировании полной или частичной автоматизации потокового документооборота, в зависимости от целевых нужд организации, что в свою очередь предопределяет корректный формат решения поставленного вопроса в полном и частном формате.


Литература

[1] ГОСТ Р 7.0.8-2013 СИБИД. Делопроизводство и архивное дело. Термины и опре-деления;
[2] ГОСТ Р 53622-2009 Информационные технологии. Информационно-вычислительные системы. Стадии и этапы жизненного цикла, виды и комплектность докумен-тов;
[3] ГОСТ 16325-88 Машины вычислительные электронные цифровые общего назна-чения. Общие технические требования;
[4] ГОСТ 2.103-2013 Единая система конструкторской документации (ЕСКД). Стадии разработки;
[5] ГОСТ 20397-82 Средства технические малых электронных вычислительных ма-шин. Общие технические требования, приемка, методы испытаний. Маркировка, упаковка, транспортирование и хранение, гарантии изготовителя;
[6] ГОСТ 21552-84 Средства вычислительной техники. Общие технические требова-ния, приемка, методы испытаний, маркировка, упаковка, транспортирование и хранение;
[7] ГОСТ 28195-89 Оценка качества программных средств. Общие положения;
[8] ГОСТ 34.201-89 Виды, комплектность и обозначения документов при создании автоматизированных систем;
[9] ГОСТ 34.601-90 Информационная технология (ИТ). Комплекс стандартов на ав-томатизированные системы. Автоматизированные системы. Стадии создания;
[10] ГОСТ 34.602-89 Информационная технология (ИТ). Комплекс стандартов на ав-томатизированные системы. Техническое задание на создание автоматизированной системы;
[11] ГОСТ Р 15.301-2016 Система разработки и постановки продукции на производ-ство (СРПП). Продукция производственно-технического назначения. Порядок разработки и постановки продукции на производства;
[12] ГОСТ Р 24.601-86 Автоматизированные системы. Стадии создания;
[13] ГОСТ Р 51241-2008 Средства и системы контроля и управления доступом. Клас-сификация. Общие технические требования. Методы испытаний;
[14] ГОСТ Р 53114-2008 Защита информации. Обеспечение информационной без-опасности в организации. Основные термины и определения;
[15] ГОСТ Р 56938 -2016 Защита информации. Защита информации при использова-нии технологий виртуализации. Общие положения;
[16] ГОСТ Р 56939-2016 Разработка безопасного программного обеспечения. Общие требования;
[17] ГОСТ Р ИСО/МЭК 12119-2000 Информационная технология (ИТ). Пакеты про-грамм. Требования к качеству и тестирование;
[18] ГОСТ Р ИСО/МЭК 15288-2005 Информационная технология. Системная инже-нерия. Процессы жизненного цикла систем;
[19] ГОСТ Р ИСО/МЭК 9126-93 Информационная технология. Оценка программной продукции. Характеристики качества и руководства по их применению;
[20] РД 50-34.698-90 Методические указания. Информационная технология. Ком-плекс стандартов и руководящих документов на автоматизированные системы. Автоматизиро-ванные системы. Требования к содержанию документов;
[21] Федеральный Закон О коммерческой тайне от 29.07.2004 98-ФЗ;
[22] Экономика. Толковый словарь. М.: ИНФРА-М, Издательство Весь Мир. Дж. Блэк. Общая редакция: д.э.н. Осадчая И. М 2000;
[23] ГОСТ Р 51583-2014 Защита информации. Порядок создания автоматизирован-ных систем в защищенном исполнении. Общие положения;
[24] Федеральный закон "Об информации, информационных технологиях и о защите информации" от 27.07.2006 149-ФЗ;
[25] ГОСТ Р 53647.3-2010. Менеджмент непрерывности бизнеса. Часть 3. Руковод-ство по внедрению;
[26] ГОСТ Р 54837-2011 Информационная технология (ИТ). Обучение, образование и подготовка. Менеджмент качества, обеспечение качества и метрики. Часть 3. Эталонные ме-тоды и метрики;
[27] ГОСТ Р ИСО/МЭК 27002- 2012 "СМИБ. Свод норм и правил менеджмента ин-формационной безопасности";
[28] ГОСТ Р 54101-2010 Средства автоматизации и системы управления. Средства и системы обеспечения безопасности. Техническое обслуживание и текущий ремонт;
[29] ГОСТ Р 51904-2002 Программное обеспечение встроенных систем. Общие тре-бования к разработке и документированию;
[30] ГОСТ Р 58256-2018 Защита информации. Управление потоками информации в информационной системе. Формат классификационных меток;
[31] ГОСТ Р 51624-2000 Автоматизированные информационные системы в защи-щенном исполнении;
[32] Федеральный закон "О персональных данных" от 27.07.2006 152-ФЗ;
[33] Федеральный Закон "Трудовой кодекс Российской Федерации" от 30.12.2001 197-ФЗ;
[34] Доктрина информационной безопасности Российской Федерации, утвержденной указом Президента РФ от 5 декабря 2016 года под 646;
[35] ГОСТ Р ИСО 15489-1-2007 СИБИД. Управление документами. Общие требования.

Подробнее..

Recovery mode Спецификация ИБ в структуре ДОУ организации

27.08.2020 16:05:58 | Автор: admin

Аннотация


В статье рассматривается формирование политик по обработке и структурированию документационного обеспечения управления. Формирование политик выполняется на основании частной спецификации информационной безопасности организации. Процесс рассматривается с позиции системы управления информационной безопасности организации. Рассматривается задача разработки и проектирования документационного обеспечения управления потокового документооборота организации, в отношении формата информационных сред организации, и унифицированных, и специализированных характеристик управления структурой организации для внедрения в промышленную эксплуатацию. Представленное решение применяется к структуре организации. Формирование документационного обеспечения управления базируется на системе управления информационной безопасности организации. Данная система представляет из себя пример требований для обеспечения целостности, доступности и конфиденциальности информации, которая обрабатывается посредством документационного обеспечения управления. Представляется спецификация информационной безопасности разработанного решения может быть внедрена в промышленную эксплуатацию, относительно документационного обеспечения управления организации. Исследование проведено с учетом действующего законодательства по обеспечению информационной безопасности критических информационных инфраструктур. Решение поставленной задачи представляет формат оптимизации действующих мощностей организации.


Введение


Информационная среда это обобщенная совокупность информационных, технологических и программно-аппаратных средств обработки и хранения информации, в том числе ее управления [1]. Обеспечение информационной безопасности (ОИБ) организации в системе управления информационной безопасности выполняется относительно документационного обеспечения управления организации. Рассматривается обработка, хранение и передача данных по информационно-коммуникационным каналам связи, которые определяются форматам социально-экономических, организационно-правовых и управленческих условий реализации основных и второстепенных бизнес-процессов организации. Данное представление является основополагающей проблемой практического применения информационной безопасности в организации. Актуальность проблемы подтверждается организационными и технических регламентами по обеспечению документационного управления информатизацией в организации [2].


Для корректного соблюдения условий функционирования системы управления информационной безопасности организации и рентабельности ее работы рассматривается задача по реализации сводной спецификации обеспечения информационной безопасности организации. В исследовании приведены организации в сфере коммерческой и государственной направленности. Информационная система и ее внутренняя среда информатизации по обеспечению потокового документационного оборота представляется физическими носителями документации, архивным делом и средствами съёмных носителей информации.


На момент проведения исследования у подавляющего большинства организаций системы для обеспечения документированного потока информации отсутствует программно-аппаратное обеспечение, отвечающее за функциональные возможности данных бизнес-процессов. Подавляющее большинство организаций коммерческой направленности на рынке предоставления и потребления услуг используют типовые решения, которые не удовлетворяют специализированным целевым нуждам организации и выполняют только конкретный и узкий перечень функциональных возможностей [3].


В условиях тенденции всеобщей информатизации Российской Федерации для организаций не коммерческой направленности: государственных федеральных и муниципальных учреждений; организаций коммерческой направленности, актуальна данная задача, а именно, требование работы перечисленных организаций с использованием облачных решений (согласно Информационная инфраструктура и Цифровая экономика РФ [4]). В коммерческом секторе, где специальные подразделения организаций используют в своей работе средства автоматизации технологических процессов, которые применяются посредством взаимодействия с автоматизированными рабочими местами и средствами вычислительной техники, на базе штатного лицензированного программного обеспечения. Указанный формат влечет изменение классификации, приведенной в действующем законодательстве и адаптацию типовых решений под нужды организацию.


Совокупность технических требований и программно-аппаратной составляющей для информационной среды документационного обеспечения управления


Технические требования организации к программному обеспечению следует формировать согласно техническому заданию, техническим требований, персонализации технологической и программно-аппаратной части управления организации. Информационная система организации является отказоустойчивой, в состав которой входят компоненты средств вычислительной техники, объеденные в общие локальные вычислительные сети с унифицированными автоматизированными рабочими местами.


Автоматизированные рабочие места используются независимо от их физического местоположения, с конкретными параметрами по обеспечению доверительного круга лиц, согласно внутренним моделям нарушителя, моделям угроз и атак организации.


В соответствии с положениями законодательной части Российской Федерации и приказов в области обеспечения информационной безопасности ФСТЭК России и ФСБ России [5-10] следует формировать структуру системы управления информационной безопасности, которая строится на управлении потоковым документооборотом. Управление потоковым документооборотом выполняется в рамках аттестации и сертификации средств вычислительной техники на соответствие условиям обработки на них информации, составляющими конфиденциальную и общедоступную информацию. Данный формат обеспечивает целостность, доступность и конфиденциальность информации внутри и вне организации при применении разрешительных и запретительных политик.


Применение средств вычислительной техники относительно локальных вычис-лительных сетей организации


С целью определения корректного формата применения средств вычислительной техники в локальных вычислительных сетях организации рассматривается произвольный формат данных, циркулирующей в организации. В бизнес-процессы организации внедряются специализированными программно-аппаратными средствами защиты информации, имеющие сертификаты соответствия качества и применимости согласно сертификации ФСТЭК России [10].


Определим параметры программного обеспечения организационной структуры определяются в условиях нехватки программно-аппаратного и технологического обеспечения, следующих форматов:


  1. Формат ограничительных функциональных мощностей технических средств и возможностей организации, представляемый устаревшим техническим оборудованием и параметрами.
  2. Формат вынужденного ограничения функциональных возможностей программного обеспечения от технического оборудования, которые заставляют минимизировать и ограничивать функциональные возможности, по формату его оптимизации, масштабируемости, вариативности и ликвидности.
  3. Формат не полноценной осведомленности, представляются как не актуальные и отстающие от вычислительных мощностей основополагающие системы функционирования программного обеспечения, по формату несоответствия с техническими требованиями программного обеспечения.
  4. Формат ограничительной функциональной возможности персонала организаций, в различных поставках пакетных комплектаций, а также для кого из должностных лиц предназначаются данные пакетные решения по функциональным возможностям.
  5. Формат соблюдения действующего законодательства Российской Федерации, согласно формирования корректности регуляторами в области финансовых затрат бюджетных средств.
  6. Формат ограниченного субсидирования и софинансирования, связанного с понижением ликвидной скорости обработки бизнес-процессов организации, а также функционирования документационного обеспечения управления.
  7. Формат предопределения и распределения организационных и управленческих требований относительно законодательства Российской Федерации и регулирующих органов власти, опосредованно замедляют модернизацию и оптимизацию программного обеспечения.
  8. Формат сертифицированного оборота организации и финансовой составляющей ее итогового продукта, в Российской Федерации средства защиты информации и соответствующие им информационные политики чаще всего носят запретительный характер [2].
  9. Формат распределения организационных мер, представляющийся кадровым составом организации, где должностные обязанности и инструкции являются формализованными действиями, связанными с процессами выдачи и подачи заявлений, смет, сопроводительной документации различного рода и обращения структурных подразделений организации. Таким образом, минимальное изменение в действующей структуре организации, также программно-аппаратной базы может привести к появлению психологического дискомфорта кадрового состава, что влечет замедление процесса оформления документационных носителей информации под целевые нужды организации.
  10. Формат организационного управления использования не только конфиденциального потокового документооборота, но и доступных к публичному доступу информационных документов, смет, форм и иного рода документации.
  11. Формат функционирования в структурной информационной среде организации информационных подсистем, смежных и обособленных с бизнес-процессами организации, которые представляют частичный формат автоматизации документационного обеспечение управления потокового документооборота. Таким образом, создается потребность интеграции в промышленную эксплуатацию персонализированных форматов программного обеспечения.
  12. Формат обработки потоковой документации, посредством определенной политики обращения физических и электронных носителей внутри организации, который выполняется в соответствии с определенной иерархической структурой управления посредством заверения данных, их обработки и верификационных изменений.
  13. Формат актуализации рабочих зон персонала организации на автоматизированных рабочих местах, в том числе аутсорсинговых организаций по делегированию функциональных возможностей и мощностей.

Отметим, что данные форматы отображают организационно-управленческие меры, в части касающейся обеспечения информационной безопасности организации. Для повышения эффективности, работоспособности и ликвидности системы управления информационной безопасности требу-ется принять меры по использованию данных форматов и выделить соответствующие мощности организации.


Внедрение в промышленную эксплуатацию потокового документооборота по специализированным направлениям организации


В подавляющих сферах деятельности на территории Российской Федерации производится введение в промышленную эксплуатацию частичной и полной автоматизации электронного документационного обеспечения по потоковому документообороту посредством готовых решений и индивидуальных разработок, которые не соответствуют положениям, указанным в [2-5].


Поэтому для решения поставленной задачи в статье предлагается сводная спецификация обеспечения информационной безопасности организации, как конкретный перечень следующих документов:


  1. Документы финансирования, софинансирования и субсидий, смет и финансов в целом внутри организации, относительно финансово-кредитных организаций.
  2. Документы платежных систем, регламенты для обработки связей между контрагентами.
  3. Документы носящие информационно-правовые аспекты, приказы, постановления по формированию управления.
  4. Документы справочно-информационного характера, методического формата, в зависимости от структурной направленности организации.
  5. Документы носящие специализированные сведения, необходимые для осуществления строительной, инвестиционной и иной хозяйственной деятельности, проведения землеустройства и проведения закупок.
  6. Документы носящие специфичные сведения о заседаниях, коллегиях организации (предприятия), общественного совета.
  7. Документы, носящие информационный характер о публичных и не публичных декларациях организаций.
  8. Документы, описывающие анонсы для организации посредством средств массовой информации (СМИ).
  9. Документы, предоставляющие сведения о государственных информационных системах, стандартах государственных услуг и СМИ.
  10. Документы, носящие инструктивно-методический характер для обеспечения обучающего процесса и повышения квалификации персонала организации.
  11. Документы, в которых содержится информация об актах гражданского содержания и политик.
  12. Документы, носящие информацию по учету муниципального и государственного имущества, запланированного имущества на построение и разработку.
  13. Документы, представляющие управление в отношении информационного портала официального сайта организации/предприятия.
  14. Документы, освещающие реестры по различным вопросам организации.
  15. Документы, определяющие изменение зависимостей по разным бизнес-процессам организации.
  16. Документы, предоставляющие информационные материалы, относительно публичных данных организации.
  17. Документы, содержащие определенную отчетную деятельность организации по специфичным аспектам деятельности, формирования, смет, аналитики, аудита и реорганизации.

Следовательно, приведенный перечень документов необходим и достаточен для покрытия технических требований организации, в части касающейся информационной безопасности, так как определяет формат потоковой документации организации и его управление.


Вывод


При решении поставленной задачи с позиции документационного обеспечения управления определены форматы по обеспечению документационного потока внутри организации коммерческой и государственно направленности [11-16], что достигается использованием персонализированных решений вместе с существующими и форматами документов в области информационной безопасности. Приведенные в статье форматы отражают функционирование организации с позиции ее ликвидности. Что может положительно сказаться на ее конечном продукте в целом и улучшить рентабельность организации. Решение поставленной задачи является одним из вариантов формирования технических требований к программному и техническому обеспечению организации, которые в полной мере соответствуют действующему законодательству Российской Федерации.


Из приведенного формата перечня документов следует, что потенциальная автоматизация потокового документооборота и документационного обеспечения управления выполняется в ограниченных условиях ресурсов и программно-аппаратных средств организации.


Литература

[1] ГОСТ Р 43.0.2-2006 Информационное обеспечение техники и операторской деятельности. Термины и определения;
[2] Федеральный закон "О безопасности критической информационной инфраструкту-ры Российской Федерации" от 26.07.2017 187-ФЗ;
[3] СЭД системы потокового распознавания [Электронный ресурс]. Ре-жим доступа: http://www.tadviser.ru/index.php/СЭД_-_Системы_потокового_ распознавания (Дата обращения: 17.11.2018);
[4] Правительство Российской Федерации Распоряжение от 28 июля 2017 г. 1632-р;
[5] Федеральный закон "Об общих принципах организации законодательных (предста-вительных) и исполнительных органов государственной власти субъектов Российской Федера-ции" от 06.10.1999 184-ФЗ;
[6] Федеральный закон "О лицензировании отдельных видов деятельности" от 4 мая 2011 г. 99-ФЗ;
[7] Федеральный закон "Об информации, информационных технологиях и о защите информации" от 27.07.2006 149-ФЗ
[8] Федеральный закон "Об электронной подписи" от 06.04.2011 63-ФЗ;
[9] Серия ГОСТ Р ИСО/МЭК 27000 Информационная технология. Методы и сред-ства обеспечения безопасности. Системы менеджмента информационной безопасности;
[10] Положение о системе сертификации средств защиты информации от 03.04.2018 55;
[11] Доктрина информационной безопасности // Средства массовой информации пост-советской России: Учеб. пособие / Я.Н. Засурский, Е. Л. Вартанова, И.И. Засурский. М., 2002. С.262-301: [Электронный ресурс]. URL: https://rg.ru/2016/12/06/doktrina-infobezobasnost-site-dok.html (Дата обращения: 06.11.2017);
[12] Журнал Вопросы Кибербезопасности: построение модели системы защиты в об-лачных технологиях на основе многоагентного подхода с использованием автоматной модели: Боровский А. С., Ряполова Е. И.: [Электронный ресурс]. URL: http://cyberrus.com/wp-content/uploads/2017/10/10-20-422-17_2.pdf (Дата обращения: 19.11.2017);
[13] Лебедев А.Н. Способ рассылки защищенных данных с регулированием доступа к отдельным их разделам // Вопросы кибербезопасности. 2015. 5. C. 70-72;
[14] Домарев В.В. Безопасность информационных технологий. Методология создания систем защиты. М.: ДиаСофт, 2002. 693 с.;
[15] Сабанов А.А. Некоторые аспекты защиты электронного документооборота // Connect! Мир связи. 2010. 7. С. 6264. 5. Черкасов Д.Ю., Иванов В.В. Защита документов при помощи электронной цифровой подписи // Economics. 2016. 6 (15). С. 51-53;
[16] Рибер Г., Малмквист К., Щербаков А. Многоуровневый подход к оценке безопас-ности программных средств // Вопросы кибербезопасности. 2014. 1 (2). С. 36-39.

Подробнее..

Recovery mode Реалии применимости СЭД с ЭП законодательство и коммерция

24.09.2020 22:04:44 | Автор: admin

Аннотация


В статье представляется исследование спецификации действующей нормативно-правовой базы РФ для СЭД (системы электронного документооборота) в автоматизированном исполнении, действующей на рынке РФ в плане применимости к ЭП, на базе ФЗ РФ 63. Исследование рассматривается как в коммерческом секторе, так и в бюджетных образованиях. Представляется применение автоматизации СЭД в практическом формате со сводными спецификациями в целом и частном аспекте ПИБО (политике информационной безопасности организации), включая изучение и разбор действующего законодательства по ОИБ (обеспечению информационной безопасности) с применением ЭП для исполнения: целостности, доступности, конфиденциальности, в частности проводится анализ коммерческого сектора по рынку продуктов СЭД в защищенном исполнении, согласно ГОСТ Р 56939, в том числе в условиях импортозамещения. Рассматривается практический этап применения ЭП в судебно-исполнительной практике РФ в начальном формировании СЭД. Данные аспекты рассматриваются с упором на ключевые инциденты по судебно-исполнительной части в формате первичного применения ЭП, при этом не рассматривается eIDAS и соответствующим им форматам по работе с ЭП. Рассматривается формат приведения принципов и методов межведомственного электронного потокового документооборота. Также приводится политика движения рынка по СЭД в коммерческом секторе на сегодняшний день.


Введение


На базе прослеживаемой тенденции последних нескольких лет, согласно базы ежегодных отчетов от TadViser, в области автоматизации СЭД по рынку РФ, сформировался обобщенный рост интереса государства, в том числе коммерческого сектора к автоматизации потокового документооборота внутри и вне организаций для оптимизации основных и второстепенных БП (бизнес-процессов). Данная автоматизация осуществляется посредством СЭД, в том числе на уровнях межведомственных структур, как в коммерции, так и в бюджетных организациях. Стоит отметить, что под данную категорию попадет КИИ, вокруг которой до сих пор ходят споры в плане ОИБ, согласно ПП РФ 127 (для детализации понимания следует обратиться к приказам ФСТЭК России 227, 235, 239 и ФЗ РФ 187) который в данной статье не будет рассматриваться, так как эту серию планирую представить для изучения и разбора в следующих статьях с приведенной спецификацией по ним.


Действующая законодательная часть РФ по ЭП


Следует отметить, что для интеграции и соответствующей автоматизации СЭД внутри и вне организации следует выполнять определенный список-перечень требований, для корректного формирования работы и соблюдения действующего ГК, УК РФ, в частности из-за формирования законодательной базы КИИ.


Рассмотрим нормативно-правовую базу по автоматизации СЭД, относительно ИС, которая закрепляется в следующей законодательной документации, такой как:


  1. Постановление Правительства РФ от 8 сентября 2010 года под 697 "О единой системе межведомственного электронного взаимодействия" с правками на 4 сентября 2020 года;
  2. Федеральный закон Об электронной подписи 63 ФЗ от 06 апреля 2011 года, а именно: под Ст.2.п.1 Электронная подпись информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию, также Ст.4.п.3 Недопустимость признания электронной подписи и (или) подписанного ею электронного документа не имеющими юридической силы только на основании того, что такая электронная подпись создана не собственноручно, а с использованием средств электронной подписи для автоматического создания и (или) автоматической проверки электронных подписей в информационной системе;
  3. Федеральный закон Об информации, информационных технологиях и защите информации 149 ФЗ от 27 июля 2006 года, а именно: под п. 4, 11 В целях заключения гражданско-правовых договоров или оформления иных правоотношений, в которых участвуют лица, обменивающиеся электронными сообщениями, обмен электронными сообщениями, каждое из которых подписано электронной подписью или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном федеральными законами, иными нормативными правовыми актами или соглашением сторон, рассматривается как обмен документами;
  4. Гражданский кодекс РФ (часть первая), а именно: под ст. 160 п. 2 Использование при совершении сделок электронно-цифровой подписи либо иного аналога собственноручной подписи допускается в случаях и в порядке, предусмотренных законом, также ст. 434 п. 2 Договор в письменной форме может быть заключен путем составления одного документа, подписанного сторонами, а также путем обмена документами посредством почтовой, телеграфной, телетайпной, телефонной, электронной или иной связи, позволяющей достоверно установить, что документ исходит от стороны по договору;
  5. Федеральный закон О бухгалтерском учете 402 ФЗ от 6 декабря 2011 года;
  6. Налоговый кодекс РФ (часть вторая) в редакции Федерального закона 229 ФЗ от 27 июля 2010, а именно: под ст. 169 п. 1 Счет-фактура может быть составлен и выставлен на бумажном носителе и (или) в электронном виде, также ст. 169 п. 6 Счет-фактура, составленный в электронном виде, подписывается электронной цифровой подписью руководителя организации либо иных лиц, уполномоченных на это приказом;
  7. Арбитражный процессуальный кодекс РФ, а именно: под ст. 75 п. 3 Документы, полученные посредством факсимильной, электронной или иной связи, в том числе с использованием информационно-телекоммуникационной сети Интернет, также документы, подписанные электронной подписью или иным аналогом собственноручной подписи, допускаются в качестве письменных доказательств в случаях и в порядке, которые установлены настоящим Кодексом, другими федеральными законами, иными нормативными правовыми актами или договором либо определены в пределах своих полномочий Высшим Арбитражным Судом Российской Федерации;
  8. Гражданский процессуальный кодекс РФ, а именно: под ст. 71 п. 1 Письменными доказательствами являются содержащие сведения об обстоятельствах, имеющих значение для рассмотрения и разрешения дела, акты, договоры, справки, деловая корреспонденция, иные документы и материалы, выполненные в форме цифровой, графической записи, в том числе полученные посредством факсимильной, электронной или другой связи либо иным позволяющим установить достоверность документа способом;
  9. Законодательная часть по КИИ РФ, которая была приведена во Введении.

Практический опыт судебных дел по применимости ЭП в первичном применении


Рассмотрим несколько публичных примеров, которые сыграли важную роль на формирование ЭП, в плане ношения юридической силы и приемлемости на территории РФ:


  1. Постановление Федерального арбитражного суда Волго-Вятского округа от 11 августа 2010 года по делу под N В3-5226/2010: ФАС Волго-вятского округа признал юридическую силу ЭЦП (так как ранее было применимо данное наименование ЭП), где истец требовал взыскания задолженности с ответчика за неоплаченный факсимильный товар, так как ответчик не признавал электронные документы, подписанные ЭЦП и утверждал, что данные документы подписаны неуполномоченным лицом, без какого-либо удостоверяющего центра с классом (речь идет о классах типа: квалифицированная подпись). По факту данного дела суд установил, что документы составлены в соответствии с формализованными требованиями, следовательно, между обеими сторонами было заключено дополнительное соглашение к первородному договору, в котором предусмотрено применение СЭД с использованием ЭЦП при составлении первичной документации, так как был представлен сертификат ЭЦП удостоверяющего центра (в отличии от нынешней механики взаимодействия), следовательно, суд постановил, что документы были подписаны уполномоченным лицом ответчика надлежащим образом;
  2. Постановление Федерального арбитражного суда северо-западного округа от 1 июня 2009 по делу Г6-28501/2008: приведенный довод ИФНС об отсутствии у ОАО оснований для предъявления к вычету НДС по счету-фактуре, подписанному штампом-факсимилом воспроизводящим личную подпись руководителя организации-поставщика, что представленная подпись является не обоснованной, поскольку действующее законодательство РФ, в тот момент времени, не устанавливает допустимые форматы способов подписания счетов-фактур, в том числе не предусматривает запрет на подпись руководителя проставлением факсимильной подписи, которая представляется способом выполнения оригинальной личной подписи руководителя, что является альтернативой решения в плане применимости ЭП на тот момент времени;
  3. Определение Высшего арбитражного суда Российской федерации от 13 февраля 2009 года под ВАС-16068/08: передача дела по заявлению о признании незаконными актами налогового органа по начислению налогов, начислению пеней, привлечении к налоговой ответственности по п. 1 ст. 122 НК РФ для пересмотра надзора судебных актов, где было отказано, поскольку представленные доказательства подтверждают наличия хозяйственных операций между заявителями и ООО. Отметим, что проставления на счетах-фактурах факсимильной подписи при наличии соглашения, не является нарушением обществом ст. 169 НК РФ, так же как альтернативное решение вышеописанных двух пунктов.

Следует сделать промежуточный вывод, что законодательство РФ по поводу электронного документооборота с применением ЭП, расширяет возможности переходов на безбумажные носители из года в год, перенимая наружную практику на базе КСЗИ, в зависимости от соблюдения локальных и федеральных ПП, НПА и ФЗ РФ о принятии решений в развитий данной семантики документооборота в цифровом варианте. Также первоочередные функций для СЭД были установлены нормами внутреннего потокового документооборота по БП. Данные нормы применялись в формате обмена данных, посредством электронных сообщений через почтовые ресурсы, взаимодействующих организаций которые далее подверглись стандартизации на базе архивных дел бумажных носителей. Вследствие течения нескольких лет по положениям законодательства РФ имело место тенденции унификации СЭД в государственных и муниципальных учреждениях, что в свою очередь позволило коммерческим организациям войти на рынок, в плане импортозамещения по запрашиваемым форматам автоматизации БП, где данный формат обязывает действовать подрядчиков по действующему законодательству РФ на организацию обеспечения ЗИ, ИБ так как данная документация подвергалась значительным утечкам, что в свою очередь не было достаточным для ОИБ по НСД.


Принципы и методы по ДОУ на базе СЭД с применением ЭП


Приведем спецификацию по утвержденным постановлениям и законодательным актам основополагающих принципов и методов межведомственного электронного потокового документооборота по ключевым БП, которые включают:


  1. Предоставление обеспечения технологической возможности электронного документооборота определенным числом его участников;
  2. Электронное сообщение, подписанное ЭП или иным аналогом собственноручной подписи, является электронным документом, равнозначным документу, подписанному собственноручной подписью, также устанавливается, что обмен электронными сообщениями, каждое из которых подписано ЭП или иным аналогом собственноручной подписи отправителя такого сообщения, в порядке, установленном ФЗ, иными НПА или соглашением сторон, рассматривается как обмен документами являющимся форматом СЭД;
  3. Устанавливание требований и регламентационной базы в порядке расположения квалифицированного сертификата ЭП;
  4. Устанавливание процедур взаимодействия участников электронного документооборота, в рамках выставления и получения счетов-фактур в электронном виде по информационно-телекоммуникационным каналам связи с применением ЭЦП, покрывающим ТЗКИ;
  5. Документация в электронной форме, создается организациями, то есть участниками информационного взаимодействия в СЭД, в соответствии с требованиями законодательства РФ, а также внутренних НПА, устанавливающих правила (порядок) документирования, документооборота и использования документов;
  6. Порядок документирования и организации работы с документами в формате ПИБО, устанавливается Инструкциями определенного рода, приказами руководителя организации, где Инструкция по делопроизводству детально регламентируют все делопроизводственные процессы применительно к документации в электронной форме, включающие методики по АСУ ТП;
  7. Документы являются основой гражданских правоотношений и содержат основополагающие понятия, такие как сделка и договор;
  8. Согласно п. 2 ст. 26.7 содержащая положения о том, что документы могут содержать сведения, зафиксированные как в письменной, так и в иной форме, к такой формации документов отнесены материалы фотосьемки и киносъемки, звукозаписи и видеозаписи, информационных баз данных, а также систем управления ими и иные носители информации в формате СКСН;
  9. Установление состава реквизитов документации, требований к оформлению реквизитов документов, требований к бланкам документов, в том числе электронным;
  10. Стандартизация регулирования процессов управления документацией, предназначенной для внутреннего или внешнего пользования посредством СЭД;
  11. Положения специализированного стандарта, которые являются рекомендациями в создании систем управления документами в автоматизированном исполнении, обеспечения соответствия документов установленным характеристикам: аутентичность, достоверность, конфиденциальность, целостность, пригодность для использования и тому подобное;
  12. Установление требований к составу и содержанию реквизитов, придающих юридическую силу документам на машинном носителе и машинограмме;
  13. Содержание положений, позволяющих рассматривать электронные документы в качестве вещественных доказательств, при обязательном условии удостоверения документов при наличии ЭП, согласно УЦ;
  14. Отраслевые кодексы, содержащие положения с электронными документами в соответствующих сферах деятельности;
  15. Налоговый кодекс РФ в ст. 80, который содержит разрешение представлять налоговую отчетность в электронном виде;
  16. Таможенный кодекс РФ в п. 8 ст.63, который закрепляет, что документация, необходимая для таможенного оформления может быть представлена в электронной форме;
  17. Трудовой кодекс РФ в главе 49.1, в которой предусмотрено взаимодействие дистанционного работника или ответственного лица, поступающего на дистанционную работу, а также работодателя путем обмена документами на базе СЭД, в которых используются усиленные квалифицированные ЭП дистанционного работника, где в примечании указываются изменения по ТК РФ, которые были внесены введением в силу ФЗ РФ 60 от 05 апреля 2013 г. О внесении изменений в отдельные законодательные акты Российской Федерации;
  18. Использование СЭД выявляет необходимость в ОИБ КДОУ (конфиденциального документационного обеспечения управления) и защиты обрабатываемой, и хранящейся информации, за исключением ФЗ РФ 149 и доктрины информационной безопасности, где в следствии которых следует употреблять положения ФЗ РФ 5485 О государственной тайне от 21 июля 1993 года и ФЗ РФ О коммерческой тайне от 29 июля 2011 года под 98 с определенным форматом ДСП для градации информации на С, СС, ОВ, либо конфиденциальной информации ОД, а также служебной, профессиональной тайне и иное. В этом случае если в деятельности организации создается информация, составляющая данные виды тайн, а также имеющие к ним отношения в соответствии с приказами от ФСТЭК России 17 от 11 Февраля 2013 г. и приказа ФСТЭК России 21 От 18 Февраля 2013 г. со всеми вытекающими форматами по ОИБ смежных и совокупных данных обрабатываемых СЭД;
  19. Нормативные документы, предназначенные для определения сроков хранения, отбора на хранение и уничтожения типовых управленческих документов;
  20. Нормы времени на работы по документационному обеспечению управленческих структур федеральных органов исполнительной власти, утвержденные Постановлением Минтруда 23 от 6 марта 2002 г.;
  21. Уполномоченные лица межведомственных структур организации в применяемой СЭД с совместимыми технологиями ИС, ПО, в том числе форматов, протоколов информационного взаимодействия и унифицированных программно-технических средств;
  22. Применение СПО и сертифицированных программно-технических средств на базе БДУ ФСТЭК России и классификации по модели атаки, и нарушителям, обладающих лицензиями от ФСТЭК России и ФСБ России, применяемого для участников межведомственного электронного документооборота в соответствии с действующим законодательством РФ;
  23. Обеспечение основополагающих принципов ИБ, на базовом уровне, таком как: целостность, доступности и конфиденциальности передаваемой информации опосредованно внутри и вне СЭД;
  24. Минимизация издержек, рисков по СУИБ, согласно семейства ISO/IEK 27000, включая KPI, в том числе финансовых и временных издержек, при осуществлении информационного взаимодействия между участников и уполномоченных лиц, также межведомственного электронного документооборота посредством СЭД в целях ОИБ организации;
  25. Обеспечение конфиденциальности передачи и получения информации, посредством ТЗКИ, обладающих сертификатами соответствия от ФСТЭК России и ФСБ России, внутри, а также вне СЭД для ОИБ по действующему законодательству РФ.

Сделаем промежуточный вывод, где вследствие указанных принципов и методов применяемых в формирования СЭД, посредством автоматизации, прослеживается семантика для централизации и адаптации БП, согласно потокового документооборота. Вследствие чего был сформирован комплекс стандартов, где основным является ГОСТ Р 53898 от 2010 года Системы электронного документооборота. Взаимодействие систем управления документами. Требования к электронному сообщению на которые опирается автоматизация СЭД по основным и второстепенным БП, а также устанавливают политики состава и содержания электронного сообщения, с применением ЭП, которые обеспечивают информационное взаимодействие между систем управления, согласно ГОСТ и ОСТ РФ.


Движение рынка СЭД с изменением законодательства РФ


Рассмотрим формат движения рынка ЭДС с динамикой последних 5 лет, основываясь на статистике TadViser, включая законодательство РФ:


  1. ПП РФ 1 от 1 января 2016 года, который заключил положения в плане запретительных политик на закупку зарубежного ПО для государственных и муниципальных нужд в ситуациях, когда имеется на отечественном рынке аналоги, не уступающие по качеству и функционалу с соответствующими, опираясь на сертификаты соответствия с ФСТЭК России. Как пример: ФЗ РФ 44;
  2. СЭД интегрируются с BPM (Business Process Management) решениями, по программному обеспечению для автоматизации бизнес-процессов, также с сервисами интеллектуального поиска, бизнес-аналитики и коллективной работы сотрудников, в том числе для СУИБ на стандартах РФ, включая ИСО/МЭК;
  3. Для предпринимателей, коммерческой структуры РФ по IT, представились преимущества облачных решений, как модель обеспечения сетевого доступа посредством сети, которые используются с минимальными эксплуатационными затратами или обращениями к провайдеру, по следующим причинам:
    3.1. Автоматизация СЭД по облачным решениям позволяет планировать финансовые затраты в формате минимизации на потреблении дополнительного серверного оборудования в формате DevOps;
    3.2. Перевод организационно-корпоративных данных в частное или публичное облако позволяет расширить параметры ИС организации и реорганизовать удалённый доступ для авторизованных пользователей (стоит отметить, что все зависит от типа информации для обеспечения ДОУ/КДОУ), разграничив согласно ФЗ и НПА, ПП РФ, что дает сотрудникам структурных подразделений организации возможность совместной работы над едиными управленческими и документационными задачами в режиме онлайн;
  4. Наблюдается увеличение числа пользователей мобильных приложений ЭДС и самих исполнителей данных задач автоматизации и потокового обмена данных, в том числе по формату аутсорсинга, так как мобильные приложения дают возможность наблюдения за изменениями информации и контроля деятельности. Так за период 2015 года свыше 300 000 пользователей установили себе мобильное приложение 1С: Документооборот;
  5. Лица могут воспользоваться персональной ЭП для формирования договоров или отчетной документации для заверения и обособленности информации.

Выводы


Частичная или полная автоматизация СЭД является целевым и первоочередным форматом развития организаций в настоящее время, с перспективами дальнейшего роста, как в бюджетных, так и коммерческих образованиях. Автоматизация СЭД в государственных и муниципальных учреждениях РФ ставится с целью ликвидного повышения эффективности, оптимизации, адаптивности, работоспособности органов структурных подразделений, где несмотря на тотальный контроль со стороны нормативных, организационных, управленческих, методических норм прослеживается формат развития законодательной части и государственного строя, как пример: законодательная часть в области КИИ.


Представленная регламентационная спецификация определяет статусность процессов автоматизации и работы СЭД, как в коммерческой сфере, так и в бюджетных образованиях и их деятельности в сферах в зависимости от их сфер деятельности. Помимо этого, автоматизация и внедрение СЭД в промышленную эксплуатацию, используется с целью оптимизации и масштабирования потокового электронного документооборота организации. В том числе применяется в формате нормативных актов внутри федеральных органов исполнительной, судебной, законодательной власти, которые заинтересованы в моментальной и точной передаче потоковой информации с полноценной структурой ОИБ, относительно законодательных актов РФ от финансовых органов, налоговой, таможенной службы и др. При использовании СЭД учитываются локальные акты субъектов РФ и правовые акты, принимаемые органами исполнительной власти.


В статье приведены форматы работы смежных оценочных спецификаций, относительно законодательных и нормативных актов РФ, относительно автоматизированных СЭД, где достигнут эффект приведения практических особенностей и политик взаимодействий потокового документооборота, что показывает в свою очередь современное представление обеспечения СЭД по РФ в целом и частном опираясь на практическую часть реализацию ПИБО, согласно действующей законодательной части с приведением качественного и количественного исследования.


P.S.: если ставите минус, прокомментируйте, пожалуйста, дабы в будущем мне не допускать подобных ошибок.


Литература

[1] Постановлении Правительства РФ от 08 сентября 2010 года под 697 "О единой системе межведомственного электронного взаимодействия" с правками на 11 августа 2016 года: [Электронный ресурс]. URL: http://base.garant.ru/199319/.;
[2] Федеральный закон Об электронной подписи N 63 ФЗ от 06 апреля 2011 года: [Электронный ресурс]. URL: http://base.garant.ru/12184522/;
[3] Федеральный закон Об информации, информационных технологиях и защите информации 149 ФЗ от 27 июля 2006 года: [Электронный ресурс]. URL: http://base.garant.ru/12148555/;
[4] Федеральный закон О бухгалтерском учете 129 ФЗ от 21 ноября 1996 года: [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_doc_LAW_12441/;
[5] Налоговый кодекс РФ (часть вторая) в редакции Федерального закона N 229 ФЗ от 27 июля 2010: [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_doc_LAW_103118/;
[6] Арбитражный процессуальный кодекс РФ: [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_doc_LAW_37800/;
[7] Гражданский процессуальный кодекс РФ: [Электронный ресурс]. URL: http://www.consultant.ru/document/cons_doc_LAW_39570/;
[8] Постановление Федерального арбитражного суда Волго-Вятского округа от 11 августа 2010 года по делу под N В3-5226/2010: [Электронный ресурс]. URL: https://www.lawmix.ru/volgo-vyat/1933;
[9] Постановление Федерального арбитражного суда северо-западного округа от 1 июня 2009 по делу Г6-28501/2008: [Электронный ресурс]. URL: https://www.diadoc.ru/docs/laws/postanovlenie-A56-28501-2008;
[10] Определение Высшего арбитражного суда Российской федерации от 13 февраля 2009 года под ВАС-16068/08: [Электронный ресурс]. URL: http://mvf.klerk.ru/otvets/otv0107.htm;
[11] ГОСТ Р 6.30-2003 Унифицированная система организационно-распорядительной документации: [Электронный ресурс]. URL: http://img.artlebedev.ru/kovodstvo/sections/102/GOST_R_6.30-2003.pdf;
[12] ГОСТ Р 7.0.8.-2013 "Делопроизводство и архивное дело Термины и определения": [Электронный ресурс]. URL: http://legalacts.ru/doc/gost-r-708-2013-natsionalnyi-standart-rossiiskoi-federatsii/;
[13] ГОСТ 6.10.4-84 Придание юридической силы документам на машинном носителе и машинограмме, созданным средствами вычислительной техники: [Электронный ресурс]. URL: http://www.alppp.ru/law/informacija-i-informatizacija/42/pridanie-yuridicheskoj-sily-dokumentam-na-mashinnom-nositele-i-mashinogramme-sozdavaemym-s.html;
[14] ГОСТ 6.10.5-87 Унифицированные системы документации. Требования к построению формуляра-образца: [Электронный ресурс]. URL: http://docs.cntd.ru/document/1200012305;
[15] Астахова Л.В. Теория информационной безопасности и методология защиты информации: методическое пособие / Л.В. Астахова. Челябинск: Изд-во ЮУрГУ, 2007. 359 с;
[16] Положение ЦБР от 29 декабря 2010 года под 365-П О порядке направления в банк поручения налогового органа, решения налогового органа, а также направления банком в налоговый орган сведений об остатках денежных средств в электронном виде: [Электронный ресурс]. URL: http://www.garant.ru/products/ipo/prime/doc/12082717/;
[17] Федеральный закон от 13 июля 2015 года под 263-ФЗ О внесении изменений в отдельные законодательные акты Российской Федерации в части отмены ограничений на использование электронных документов при взаимодействии физических и юридических лиц с органами государственной власти и органами местного самоуправления: [Электронный ресурс]. URL: http://base.garant.ru/71127906/;
[18] ФЗ под 60 от 05 апреля 2013 г. О внесении изменений в отдельные законодательные акты Российской Федерации: [Электронный ресурс]. URL: http://base.garant.ru/70353420/;
[19] Лебедев А.Н. Способ рассылки защищенных данных с регулированием доступа к отдельным их разделам // Вопросы кибербезопасности. 2015. 5. C. 70-72;
[20] Марков А.С., Цирлов В.Л. Руководящие указания по кибербезопасности в контексте ISO 27032 // Вопросы кибербезопасности. 2014. 1 (2). С. 28-35.

Подробнее..

Кибербезопасность промышленных сетей угрозы и решения

23.10.2020 12:08:13 | Автор: admin
Эта статья условно разделена на две части. В первой мы рассмотрим общие проблемы безопасности систем типа АСУ ТП, их слабые места и теоретические способы защиты. Во второй части ознакомимся с аппаратными и программными продуктами защиты, сравним их по основным параметрам: обнаружение угроз нулевого дня и аномалий, интеграция, анализ трафика, инвентаризация устройств, особенности.

Угрозы


Термин АСУ появился как только в системы управления была внедрена вычислительная техника. Первые простейшие АСУ состояли всего из двух уровней: сбор информации и принятие решения. Информация поступала от объекта управления оператору, который обменивался данными с ЭВМ и осуществлял управление объектом. Здесь вычислительные мощности выступали в качестве помощника к человеческому управлению и принятию решений.

Со времен первых ЭВМ автоматизированные системы управления технологическим процессом совершили гигантский скачок. Но их особенностью до сих пор остается автоматизированный машинный процесс, за которым следит человек.

Эти системы предназначены для использования исключительно в технологических процессах. Будучи задействованными в критически важных инфраструктурах, АСУ ТП строятся на основе отказоустойчивой, высоконадежной вычислительной техники. Это техника промышленного исполнения созданная специально для долговременной, круглосуточной эксплуатации на индустриальных объектах. Последствия сбоя или отказа работы систем представляет серьезную угрозу для оборудования, для жизни и здоровья людей.

Несмотря на такую ответственность бесперебойности процесса, о необходимости повышать уровень безопасности АСУ ТП заговорили только недавно. Массовый интерес к теме привлекли вирусные атаки, ставшие регулярными где-то с середины 2010-тых. Вот, например, некоторые из атак, случившихся за последнее десятилетие:

  • В 2012 году был обнаружен вирус Flame, атаковавший иранские ядерные объекты, гос.учреждения и промышленные объекты многих стран. Большего всего пострадали Индия и Китай.
  • В 2014 году хакерам удалось проникнуть в компьютер сталелитейного завода, управляющего доменной печью и установить вредоносную программу, что заставила печь перегреться и расплавиться.
  • В августе 2017 года, после атак на критическую инфраструктуру ряда организаций на Ближнем Востоке, был обнаружен вредонос Triton, известный еще как Trisis/HatMan.

    Triton был предназначен для автоматического завершения промышленных процессов или перевода системы в небезопасный режим. Проникнув в сеть предприятия, злоумышленники выжидали почти год, незаметно изучая ее и только затем использовали доступ к автоматической системе функциональной безопасности.
  • В феврале 2018 г. в СМИ появилось сразу несколько сообщений о заражении промышленных предприятий вредоносным программным обеспечением с функцией майнинга криптовалюты. В одной из водоочистных станций в Европе зараженными оказались четыре сервера под управлением операционной системы Windows XP. Вредоносное ПО замедляло работу HMI и SCADA-серверов, используемых для мониторинга технологических процессов.
  • В июне 2018 г. стало известно о масштабной кибератаке с территории Китая на телекоммуникационные предприятия, операторов спутников связи и некоторых оборонных объектов США и Азии. В ходе атаки злоумышленники инфицировали компьютеры, используемые для управления спутниками связи и сбора данных геопозиций.
  • В 2018 году злоумышленникам удалось получить доступ к серверам, на которых располагались компоненты медицинской информационной системы МЕДИАЛОГ в Тюмени, Россия. Система использовалась в качестве базы данных для снимков, результатов анализов и другой информации, необходимой в процессе лечения пациентов.

    В результате, в момент экстренной операции на головном мозге 13-летней пациентки, обнаружилось, что система МЕДИАЛОГ недоступна из-за того, что файлы, необходимые для работы сервисов, были зашифрованы вредоносной программой (операцию удалось завершить вручную).

Уязвимости


АСУ ТП имеет стандартную трехзвенную структуру, и какой бы ни была ее отказоустойчивость, средний уровень SCADA-системы, является наиболее уязвимым и позволяет злоумышленнику производить ряд манипуляций с технологическим процессом, в том числе вопреки отказоустойчивости. Важно при этом отметить, что последняя имеется обычно на уровне механики. На уровне же управления этой механикой да, кое-где есть сигнализация, но в целом, если оператор отдаст команду принудительно повысить давление, то давление повысится. Если прикажет все датчики отключить все датчики отключаются, и так далее. При этом и отказоустойчивость встречается не всегда. Допустим, в серьезных системах атомной энергетики она действительно присутствует, там выполняется двойное или тройное резервирование и к вопросам безопасности вообще подходят ответственно. Но в нефтегазовой отрасли, в промышленности, в энергетике все обстоит несколько иначе.
Алексей Косихин, руководитель направления по работе с ТЭК Центра информационной безопасности компании Инфосистемы Джет

Среди киберугроз, свойственных АСУ ТП, можно выделить три класса:

  • угрозы техногенного характера;
  • угрозы антропогенного характера;
  • угрозы несанкционированного доступа.

К угрозам техногенного характера относится физическое влияние на компоненты АСУ ТП. К антропогенным преднамеренные и непреднамеренные действия людей, занятых обслуживанием АСУ ТП, ошибки персонала, ошибки в организации работ с компонентами АСУ ТП. Угрозы несанкционированного доступа для АСУ ТП рассматриваются при наличии взаимодействия ее компонентов с локальной вычислительной сетью предприятия. Такая связь существует для передачи информации о состоянии технологической среды и управления воздействиями на технологические объекты.

На общую защищенность систем влияет переплетение этих факторов. Это и отказ даже минимальных мер безопасности, и использование Windows как основной операционной системы для рабочих станций и серверов, и слабая дисциплина сотрудников.

Защита


Реализация системы Информационной Безопасности АСУ ТП представляет собой комплексную задачу. Ее решение зависит от выполнения правил на всех уровнях:

  • административный: формирование руководством программы работ по информационной безопасности;
  • процедурный: определение норм и правил для персонала, обслуживающего сеть;
  • программно-технический: управление доступом;
  • обеспечение целостности;
  • обеспечение безопасного межсетевого взаимодействия;
  • антивирусная защита;
  • анализ защищенности;
  • обнаружение вторжений;
  • непрерывный мониторинг состояния, выявление инцидентов, реагирование.

Системы контроля уязвимостей один из эффективных методов противодействия промышленным киберугрозам. Это узкопрофильные программы, разработанные специально для промышленных систем автоматизации. Они позволяют определить целостность внутренней среды устройства, зафиксировать все попытки изменить прикладную программу контроллера, изменения в конфигурации сетевых устройств защиты и управления в энергосетях.

Многие разработчики продуктов кибербезопасности в первую очередь указывают на необходимость повышения видимости внутри сети. Как показывает опыт, это действительно важно. Незамеченная вовремя компрометация сети может работать месяцами с неактивированными эксплойтами. Специализированные средства обнаружения и предотвращения киберугроз позволяют не только обнаружить уязвимости, но и выявляют угрозы нулевого дня.

Много рисков информационной безопасности связано с устаревшим оборудованием и программным обеспечением например, существуют системы SCADA, которые способны работать только с Windows NT или Windows 98. Некоторые из таких рисков можно снизить при помощи современных технологий виртуализации, но это не всегда возможно. С этим связан еще один тип защиты изоляция. Серверы SCADA и OPC (OLE for Process Control), PLC и другие компоненты систем автоматизированного управления должны быть изолированы от Интернета.

Отдельно стоить выделить платформы для создания распределенной инфраструктуры ложных целей, DDP (Distributed Deception Platform). Они позволяют развернуть сеть поддельных устройств-приманок, практически неотличимых от реальных, что привлекают злоумышленников.

Теперь, когда у нас есть общее представление о том, как должна работать киберзащита АСУ ТП, мы переходим ко второй части этой статьи. Она будет посвящена обзору практических защитных решений, представленных в таблице сравнения.

Для статьи мы выбрали лишь некоторые ключевые пункты из таблицы, такие как обнаружение угроз нулевого дня, интеграции, обнаружение аномалий и анализ трафика, инвентаризация устройств, особенности продукта.

Решения


Dragos Industrial Cybersecurity Platform


Dragos компания из США, основанная в 2016 году. Несмотря на свой юный возраст, она уже успела получить множество мировых наград в области киберзащиты индустриальных систем.

Это команда экспертов, специализирующаяся на защитных промышленных решениях и Интернете вещей. Их флагманским продуктом является именно платформа, но также Dragos предоставляет услуги реагирования на инциденты, анализ угроз вашей сети и проводит тренинги по кибербезопасности.

Dragos Industrial Cybersecurity Platform это защитное решение для промышленных сетей, которое автоматически находит и идентифицирует активы сети. Программа сканирует активы, находя неправильные настройки, возможности улучшения конфигурации.

В случае выявления подозрительной активности, платформа предоставляет пошаговое руководство к расследованию и реагированию на инцидент и инструменты для устранения неполадок.



Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика: да
Интеграции: SIEM
Поддерживаемые системы: DCS, PLC
Особенность: пошаговое руководство по управлению безопасностью от экспертов команды, оформленное в плейбук.

CyberX OT


До создания CyberX, ее команда успела поработать в сфере защиты критических инфраструктур США. Их гордостью, кроме защиты на уровне Пентагона и сотрудничества с лидерами мирового рынка, является запатентованный способ машинного обучения. Именно благодаря ему их продукты молниеносно выявляют любые аномалии в индустриальных сетях.



Работа платформы CyberX OT базируется на пяти ключевых элементах: поведенческий анализ активов для выявления любых нетипичных действий; мониторинг нарушения протоколов; обнаружение зловредных агентов (в том числе продвинутых угроз); нахождение операционных неполадок; выявление связей между машинами, которые не должны коммуницировать.

Решение способно полноценно интегрироваться в ваш стэк безопасности благодаря открытому API. Такая интеграция решит проблему безопасности как в ИТ-среде так и в промышленной среде.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: да
Обнаружение аномалий: да
Анализ трафика: да
Интеграции: файрвол, CMDB, IDS/IPS, SIEM, SOC
Поддерживаемые системы: DCS, PLC, RTU
Особенность: самообучаемая машинная аналитика, которая сводит ложные срабатывания к нулю.

Cyberbit SCADASchield


С 2015 года Cyberbit поставляет на рынок решения по кибербезопасности. Специализация компании эмуляция атак и тренинги команд информационной безопасности, защита конечных точек, защита промышленных сетей, оркестровка и автоматизация систем безопасности.

SCADAShield обеспечивает беспрецедентную видимость в сети, обнаружение известных и неизвестных аномалий и ошибки в операционных технологиях. А благодаря 7-уровневой глубокой проверке пакетов (DPI) решение находит отклонения от эксплуатационных ограничений.

Визуальное отображение всей вашей сети происходит в режиме реального времени и включает IP и не IP-устройства.



Характеристики:

Инвентаризация устройств: нет
Обнаружение угроз нулевого дня: да
Обнаружение аномалий: да
Анализ трафика: нет
Интеграции: Cyberbit EDR, SIEM
Поддерживаемые системы: N/A
Особенность: формирование карты информационных потоков между активами сети, автоматическое формирование правил

Claroty Platform


Миссия Claroty защита индустриальных сетей. Это команда, сформированная из профессионалов из разных областей знаний: там есть и бывший адмирал по кибербезопасности армии США, и специалист по космическому проектированию, и специалист по страхованию.

Claroty Platform предоставляет группам безопасности исключительную видимость в промышленных сетях управления и мониторинг в режиме реального времени. Мониторинг способен распознать продвинутые угрозы и вовремя выявить уязвимости сети.



Платформа позволяет сегментировать сеть, контролировать и предоставлять безопасный удаленный доступ, составлять детализированные политики доступа и записывать сеансы.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: да
Обнаружение аномалий: да
Анализ трафика: нет
Интеграции: SIEM, SOC
Поддерживаемые системы: HMI, PLC
Особенность: управление удаленным доступом, ускоренное и четкое реагирование на инциденты безопасности

Veracity Cerebellum


Цель Veracity сделать вашу промышленную сеть отказоустойчивой и безопасной. Компания поставляет локальное, централизованное решение для оптимальной конфигурации, управления и мониторинга сети.



Флагманский продукт, Veracity Cerebellum, разработан по аналогии с мозжечком человека. Функция мозжечка принимать сигналы от спинного и головного мозга, сенсорных систем и на основе данных регулировать движения тела.

Платформа Veracity Cerebellum выполняет аналогичные функции в промышленных сетях. Она реагирует на сенсорные данные и управляет заранее спроектированной реакцией производственного процесса.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика: да
Интеграции: OT
Поддерживаемые системы: N/A
Особенность: создание моделей безопасности по шаблонам или с нуля, развернутое управление устройствами в сети (в т.ч карантин), сегментация сети и выделение безопасных зон

Waterfall Unidirectional Security Gateways


Waterfall Security Solutions защищает критически важные промышленные сети с 2007 года. Unidirectional Security Gateway их запатентованное решение, обеспечивающие надежную интеграцию и обмен данными между сетями ИТ и ОТ. Это решение позволяет проводить облачный удаленный мониторинг и диагностику, защищает от несанкционированного доступа. При этом оно лишено уязвимостей, которые есть при соединении через брандмауэр.

Unidirectional Security Gateways обеспечивает аппаратную защиту периметра сети. Решение состоит из аппаратного (модуль TX оптоволоконный передатчик, модуль RX оптический приемник) и программного компонента (соединители промышленного прикладного ПО).



Такая конфигурация обеспечивают одностороннюю передачу и репликацию серверной информации из сети OT во внешнюю сеть, при этом предотвращая распространение любого вируса, атаки DOS, человеческой ошибки или любой кибератаки.

Характеристики:

Инвентаризация устройств: нет
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика: да
Интеграции: IT/OT
Поддерживаемые системы: N/A
Особенность: репликация серверов, эмуляция промышленных устройств, перевод промышленных данных в облачные форматы

Nozomi Networks Guardian


Nozomi Networks предлагает единое решение для контроля кибер рисков в режиме реального времени. Высокая точность и минимальность ложных срабатываний достигается за счет инновационного использования искусственного интеллекта и машинного обучения.

Технологии Nozomi Networks Guardian позволяют ему автоматически отображать и визуализировать всю вашу промышленную сеть, включая активы, соединения и протоколы. Решение отслеживает сетевые коммуникации и поведение на предмет рисков и предоставляет информацию, необходимую для быстрого реагирования.



Интегрированная инфраструктура безопасности включает встроенные интеграции для систем управления активами, тикетами и идентификацией, SIEM.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: да
Обнаружение аномалий: да
Анализ трафика: да
Интеграции: IT/OT, SOC
Поддерживаемые системы: N/A
Особенность: масштабируемость, визуализация сети, продвинутое распознавание аномалий и угроз, самообучаемость

Indegy Industrial Cybersecurity Suite


Основанная с целью защиты промышленных сетей, команда Indegy может похвастаться уникальным сочетанием опыта в области кибербезопасности и практическими знаниями в области промышленного контроля.

В руководящие и научно-исследовательские группы компании входят специалисты по безопасности, промышленной эксплуатации и обороне, в том числе несколько выпускников элитных израильских подразделений кибербезопасности.

Развернутое как сетевое или виртуальное устройство, безагентное решение Indegy Industrial Cybersecurity Suit предоставляет комплексные инструменты безопасности для персонала Информационной Безопасности и инженеров OT.



Платформа обеспечивает отслеживание активов, обнаружение и смягчение угроз, управление уязвимостями и обеспечение целостности устройства. Она способна защитить сеть не только от зловредного вмешательства, но и от непреднамеренных человеческих ошибок.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика:
Интеграции: CMDB, SIEM
Поддерживаемые системы: DCS, PAC, PLC, RTU
Особенность: безагентное подключение к сети, оповещения на основе настраиваемых политик и их рассылка по почте, технология активного обнаружения для обеспечения целостности устройств

ICS CyberVision


Sentryo была основана двумя предпринимателями и ветеранами в сфере информационной безопасности. Теперь они применяют свой многолетний опыт работы в среде программного обеспечения, хакерства и киберзащиты в мире промышленной кибербезопасности.

Компания разработала уникальные алгоритмы ИИ для предоставления полной информации о промышленных активах. Их искусственный интеллект способен выявлять уязвимости, обнаруживать аномалии в режиме реального времени и совместно работать с ИТ-командой, отражая кибератаку.

ICS CyberVision использует уникальный язык OT для автоматической маркировки каждого актива и сетевой активности. За счет этого вы сразу видите функции устройства, марки систем, используемые протоколы, поведение OT или IT и сведения о сети.



Решение позволяет группировать активы и определять их влияние на промышленность, чтобы вы сами могли приоритизировать действия в соответствии с целями безопасности.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика: нет
Интеграции: файрвол, CMDB, SIEM, SOC
Поддерживаемые системы: N/A
Особенность: пассивный мониторинг без влияния на систему, контекстуализированные события, группировка и приоритизация активов в сети по их влиянию на безопасность

Forescout Platform


Forescout, основанная в 2000 году, разрабатывает в собственной лаборатории решения для видимости устройств, контроля поведения и кибербезопасности любого типа сетевого устройства. Их команда стремится улучшить способность организаций выявлять, понимать и управлять угрозами, связанными с постоянно расширяющейся экосистемой устройств.

Forescout Platform единая платформа безопасности, которая позволяет получать полную ситуационную осведомленность о корпоративной среде и организовывать действия по снижению любых рисков.

Продукт позволяет применять адаптивные, детализированные политики и
быстро просматривать результаты, используя существующую физическую и виртуальную сетевую инфраструктуру.



Платформа масштабируется на 2 миллиона устройств за одно развертывание в инфраструктуре предприятия, центре обработки данных, облачных сетях и сетях OT.

Характеристики:

Инвентаризация устройств: да
Обнаружение угроз нулевого дня: нет
Обнаружение аномалий: да
Анализ трафика: нет
Интеграции: CMDB
Поддерживаемые системы: N/A
Особенность: масштабируемость, динамическое сегментирование устройств, исправление несовместимых устройств во время подключения

Рассмотрев все продукты, условно их можно сгруппировать так:


Более детальный перечень функций каждого из решений вы можете посмотреть в таблице сравнения, а составить собственную таблицу сравнения с интересующими вас решениями здесь.

Автор: Наталка Чех, для ROI4CIO
Подробнее..

Из песочницы АСУшник смотрит на ИБ

14.11.2020 12:04:35 | Автор: admin
Не так давно большая армия российских специалистов в сфере автоматизации и эксплуатационный персонал промышленных объектов стали сталкиваться с немного непонятными и устрашающими людьми, которые появляются на объектах и суют нос туда, куда собственно не всех своих без присмотра пускают. Оказалось, что эти люди пришли внедрять информационную безопасность АСУ ТП. В данной статье я постарался изложить свой взгляд на то, что отличает ИБ АСУ ТП от ИБ ИТ, какие факторы надо учитывать при проектировании ИБ АСУ ТП и разработке сценариев реагирования на инциденты или угрозы ИБ на промышленном объекте.

image


Вот уже более 15 лет я работаю в небольшой, но достаточно известной в узких кругах российской компании из Новосибирска Модульные Системы Торнадо, которая занимается разработкой и внедрением программно-технических комплексов для АСУ ТП объектов энергетики. За эти годы я занимался совершенно разными направлениями: программированием специализированных программных систем верхнего уровня для МП РЗА, наладкой систем телемеханики и АСУ ТП, участием в разработке современного промышленного компьютера и продажей комплексных проектов на многие десятки миллионов рублей. Такое разнообразие производственных задач, возможно, предопределило то, что меня заинтересовало это новое направление ИБ АСУ ТП.

Но обо всем по порядку. Сейчас может показаться, что текущий, можно сказать лавинообразный рост рынка оборудования, ПО и услуг для решения задачи ИБ АСУ ТП обусловлен появлением угроз влияния на технологические процессы извне, что приводит также к закономерному росту нормативной базы регулятора ФСТЭК и т.д. Это мнение во многом справедливо, однако, мне кажется, что фундаментом этих процессов является неконтролируемое распространение интерфейса Ethernet как стандарта де-факто для организации промышленных сетей АСУ ТП. Почему неконтролируемое? Разве можно так утверждать? На мой взгляд, для этого есть все основания. Тема ИБ АСУ ТП появилась не так давно, и до этого любой проектировщик АСУ или подсистемы легким движением руки соединял сети энергоблока, ОРУ станции, главного щита управления и еще многих мелких и не очень систем контроля и управления. Все это делалось по заданиям заказчика в целях обеспечения большей наблюдаемости объекта и повышения качества контроля и управления.

К каким результатам привели эти благие намерения? Специалисты по обслуживанию технологических систем контроля и управления во многом потеряли представление о процессах, происходящих в этих ЛВС, и об их возможном влиянии на сохранение работоспособности технологического процесса. Можно подумать, что это следствие низкой квалификации персонала. Но во многих случаях это не справедливо. Дело в том, что масштаб информации для анализа персоналом влияет на адекватность восприятия состояния объекта управления. Объем промышленных сетей и число активных устройств на сегодня таково, что даже квалифицированный специалист не может предвидеть возможные последствия внесения изменений в настройки контроллеров АСУ ТП, сетевого оборудования, установки новых устройств или даже вывода подсистем управления в режимы ремонта или режимной наладки. И я пока не касаюсь вопросов внешних хакеров с различными задачами и средствами проникновения и воздействия.

Таким образом появление специалистов по ИБ на проходных промышленных объектов в общем то органично совпало с этим возрастающим напором промышленных сетей, под которым уже начали сгибаться спины доблестного эксплуатационного персонала. Эти рыцари файрволлов, антивирусных защит и систем обнаружения вторжения должны были подхватить знамя безопасности промышленного объекта, и обеспечить его бесперебойную работу в современных условиях с подключениями к интернету, удаленными каналами связи, MES и ERP всасывающими гигабайтами данные с АСУ ТП.

Считаю, что во многом эта задача современными разработчиками систем ИБ для АСУ ТП решается, или будет решена в основном объеме в ближайшие годы. Конечно, есть трудности, не все АСУ стойко переносят интеграцию средств ИБ в свои чувствительные архитектуры. Но это рабочие моменты. Однако, я думаю, что существует и ряд концептуальных вопросов, которые должны быть проанализированы поставщикам и интеграторам средств ИБ АСУ ТП.

Для того, чтобы понять эффективность средств обеспечения ИБ АСУ ТП, полезно рассмотреть те средства, которые обеспечивают ее целевые задачи. Основными задачами АСУ ТП в порядке приоритета являются:

1. Поддержание технологического процесса
2. При невозможности 1го сохранение технологического оборудования и жизни персонала

image

В случае развития технологической аварии существуют два варианта развития ситуации. Развитие аварийной ситуации может быть остановлено автоматическим действием подсистемы защит в составе ПТК АСУ ТП, либо остановкой технологического процесса дежурным персоналом с помощью аварийной панели управления. В данном случае будет реализована штатная остановка технологического процесса. Если же по каким-то причинам данные меры не позволили штатно остановить технологический процесс, может произойти развитие аварийной ситуации с непредсказуемыми последствиями. Итак, все современные АСУ ТП включают в свой состав программно-технические и простые аппаратные средства, предназначенные для автоматической или ручной безопасной остановки технологического процесса.

Теперь рассмотрим целевые задачи ИБ АСУ ТП. Компании разработчики программных и аппаратных средств ИБ АСУ ТП исторически являются разработчиками таких же решений для рынка ИТ. Но задачи ИБ ИТ и ИБ АСУ ТП идеологически разные. В части ИБ ИТ задача заключается в сохранении работоспособности всей ИТ инфраструктуры организации, включая все связи (связь с интернет, vpn до филиалов и т.д.). Можно даже сказать, что работоспособность этих связей является одним из главных приоритетов, поскольку полезный продукт многих организаций при отключении, например, связи с сетью интернет стремится к нулю. В части же ИБ АСУ ТП сегодня основная задача формулируется как:

1. Обеспечение функционирования АСУ ТП включая все связи

image

Обращает на себя внимание то обстоятельство, что в случае развития инцидента ИБ его исход может быть любым, вплоть до технологической аварии, и практически никак не зависит от дежурного персонала объекта. В настоящее время SOC для объектов с АСУ ТП практически не встречаются, а их появление может сдерживаться оценкой их финансовой и особенно целевой эффективности для АСУ ТП. Это означает что существующая парадигма развития ИБ АСУ ТП отличается отсутствием средств активного влияния на развитие инцидента ИБ АСУ ТП после момента успешного проникновения в ЛВС АСУ ТП.

На самом деле, на промышленном объекте мы можем декомпозировать все промышленные сети на условно изолированные сегменты, которые сами по себе обеспечивают работу технологического процесса. Таким образом, в критических ситуациях, или ситуациях с повышенным уровнем опасности по ИБ промышленного объекта, связи таких подсетей не являются ценными с точки зрения технологического процесса. И здесь есть первый диссонанс специалисты по ИБ привыкли видеть своей целью сохранение работоспособности всей инфраструктуры организации, в то время как в части ИБ АСУ ТП они должны начать понимать, что не все связи являются ценными. Следовательно, в определенных ситуациях их можно физически отключать для минимизации или остановки распространения деструктивных процессов в сети АСУ ТП.

Приведу один пример. Всем нам известна авария на Саяно-Шушенской ГЭС. Я не буду касаться собственно этого объекта, развитие аварии достаточно хорошо описано. Одним из факторов, приведших к ней, стал перевод Саяно-Шушенской ГЭС в режим регулирования частоты в энергосистеме. Причина этого перевода заключается в том, что в помещении связи Братской ГЭС, являющейся основным регулятором частоты в энергосистеме Сибири, произошел пожар. В результате чего основной диспетчерский центр ОДУ Сибири потерял в полном объеме связь со всеми автоматизированными системами Братской ГЭС, включая автоматическую систему регулирования частоты и мощности. Таким образом, один из ключевых объектов энергетики Сибири выпал из автоматического процесса регулирования. Связь автоматизированных систем нарушилась. Как это повлияло на функционирование собственно Братской ГЭС? Да собственно почти никак. Конечно, станция больше не выполняла регулирование в автоматическом режиме, однако генераторы остались в работе, управление станцией велось по голосовым каналам связи из ОДУ Сибири, станционные системы автоматизации работали. Этот пример показывает, что даже потеря важных каналов контроля и управления может не приводить к остановке технологического процесса. Что же говорить про многочисленные, по сути, информационные связи АСУ ТП передача данных в ERP и MES, общие щиты управления объектом, каналы удаленного доступа и т.д. Следовательно, в части обеспечения мер по ИБ АСУ ТП должен появиться новый принцип не все связи ЛВС АСУ ТП являются ценными, такие связи должны выявляться при разработке проектов ИБ АСУ ТП, проектом необходимо предусматривать возможность физического отключения таких связей.

Второй диссонанс, который я чувствую, относится к реагированию на инциденты ИБ АСУ ТП. Мне, как человеку причастному к АСУ ТП, привычно, что при появлении какого-либо возмущения система управления своими алгоритмами компенсирует это возмущение. То есть имеет место активная реакция. А что же имеется в виду под термином Реагирование на инцидент ИБ АСУ ТП? В большинстве случаев на промышленном объекте данное действие подразумевает постанализ инцидента и принятие мер по корректировке защит и настроек в части ИБ и АСУ ТП для недопущения подобного случая в будущем. Один случай штатной остановки и последующего перезапуска крупного технологического узла может стоить десятки миллионов рублей, остановка технологического узла с повреждением технологического оборудования может стоить сотни миллионов рублей. И что, все атаки и проникновения происходят настолько быстро, что дежурный персонал (специалист по ИБ объекта по крайней мере сейчас дежурным персоналом не является) не может ничего предпринять? В большинстве случаев нет. Современные программные средства СОВ вместе с анализом ценности связей ЛВС АСУ ТП позволяют сформировать эффективные сценарии реагирования дежурного персонала объекта на инциденты в промышленных сетях АСУ ТП.

image

Отключение ненужных связей может остановить атаку, или предотвратить ее развитие на другие связанные ЛВС АСУ ТП. Конечно, в данном вопросе необходимо сформировать определенные сценарии анализа сообщений СОВ и оценки адекватности управляемости объекта в условиях инцидента, на основе которых необходимо формировать инструкции по действиям оперативного и дежурного персонала в условиях угрозы или реализации инцидента ИБ. Для реализации функции отключения ненужных связей может предусматриваться Аварийная Панель Управления ЛВС АСУ ТП, содержащая в своем составе размыкатели Ethernet.

И последний аспект в части внедрения современных систем СОВ для АСУ ТП. Мне кажется, что по крайней мере на сегодня основной опасностью для АСУ ТП является собственный персонал объекта или командированные специалисты. Причем, я считаю их опасными даже при условии что они не имеют установки на повреждение АСУ ТП или сами не знают что на их флэш накопителе есть программа для проникновения в АСУ ТП, активирующаяся автоматически. Сегодняшние реалии таковы, что перенастройка какого-нибудь терминала защит может на 10% увеличить загрузку сети в нормальном режиме функционирования техпроцесса. Это может привести к отказу ЛВС в момент перехода технологического процесса в предаварийный и аварийный режимы и возможному отказу технологических защит, повреждению оборудования. Данное обстоятельство должно подтолкнуть разработчиков СОВ к созданию средств отображения ключевых метрик технологических сетей АСУ ТП. Таких как: загрузка различных сегментов сетей (средняя на интервале, максимальная), время отклика, отображение потоков информации между разными подсетями для диагностики недостаточного сегментирования ЛВС и др. Такая информация, как мне представляется, будет востребована эксплуатационным персоналом и позволит поддерживать необходимый уровень гигиены процесса обмена технологическими данными в промышленных сетях АСУ ТП.
Подробнее..

Встраиваемый компьютер AntexGate. От прототипа к серийному производству

08.07.2020 14:22:16 | Автор: admin
image

Не так давно мы с командой разработали небольшой встраиваемый компьютер для решения задач IIoT и промышленной автоматизации. Первую статью о нашем устройстве можно посмотреть здесь.

Разрабатывать устройство решили на распространенном и оттестированном модуле Raspberry CM3+, что позволило нам создать компьютер с большими вычислительными способностями, огромным сообществом и простотой его использования. Под катом расскажу по этапам, от чего отталкивались и к чему пришли в итоге.

Муки выбора корпуса


Для устройств даже в промышленной сфере очень важен внешний вид устройства и законченность, таким образом начались долгие поиски корпуса, подходившие под наши требования по размеру. Хотелось максимально много уместить в одну коробку и самые минимальные параметры платы получались 10*10 см.

После того, как мы заказали несколько вариантов корпусов, пришлось большее количество из них выбросить, так как они подходили только для домашних поделок и продавать их людям в таком виде не представлялось возможным. Основным претендентом на тот момент стал алюминиевый корпус с пластиковыми крышками 10*10*5 см (рисунок 1).

image
Рисунок 1 Первый вариант корпуса

Получив этот корпус в руки, было принято решение остановиться на нем. В этот же момент разработка платы подходила к концу и уже можно было по чертежам предварительно оценить, каким образом обрабатывать торцы для выводных разъемов. Однако пластиковые крышки корпуса после механической обработки сделали вид не товарным и мы опять пришли к поделке, а не к законченному коммерческому продукту.

Глянец весь быстро поцарапался и в этой блестящей рамке отверстия выглядели очень асимметрично (рисунок 2). Ожидание и реальность, как говорится.

image
Рисунок 2 Пластиковые крышки корпуса

Однако отказываться от корпуса не пришлось, потому что у производителя был такой же, но с алюминиевыми торцами, мы быстро его заказали и удивились, насколько он идеально выглядел (рисунок 3). Торцы очень красивые, матовые и бонусом была дополнительная помехозащищенность. Стоил такой корпус уже немного дороже, но красота требует жертв.

image
Рисунок 3 Металлический корпус

Вторая попытка обработать торцы была гораздо удачнее. Технологию надписей мы выбрали путём гравировки (рисунок 4), однако были недостатки которые пришлось решать. Самое главное это то, что гравер (сверло) очень маленький и нежный, скорость нанесения гравировки достаточно низкая. Плюс само сверло часто ломается. Из-за всего этого сильно растёт цена из-за потребляемой электроэнергии и трудозатрат. Также внутрь гравировки набивается грязь и постепенно окисляется алюминий, делая надписи менее заметными.

image
Рисунок 4 Гравировка металлического корпус

Эту технологию пробовали менять на лазерную гравировку, но получилось некрасиво. Лазер выжигал краску некорректно, а надписи получались темными.

В итоге мы пришли к шелкографии с запеканием в печи (рисунок 5). Эта технология оказалась самой быстрой и очень крепкой. Всё свелось к тому, чтобы заказать единожды шаблон (фотовывод) и по нему делать партию до 50 штук в день.

image
Рисунок 5 Шелкография корпуса

Исправление недоработок


С корпусом закончили, а вот с платой оставались недоработки. Задумка нашего компьютера в том, чтобы любой пользователь мог спокойно установить дополнительное оборудование в устройство, открутив четыре болта на корпусе, как в свой ноутбук. Я думаю прошли те времена, когда на корпуса клеили наклеечки Не вскрывать, потеря гарантии.

Внутри корпуса есть периферия для прошивки вычислительного модуля, SIM-карта и многое другое. Однако была одна проблема с монтажом платы в корпус, а именно выводные светодиоды на ножках, которые постоянно гнулись у наших клиентов, взявших прототипы на тест (рисунок 6).

image
Рисунок 6 Выводные светодиоды на ножках

В этой связи пришлось поменять диоды на ножках на SMD-светодиоды, которые светят в бок и проблема с установкой платы в корпус решилась, больше ничего не гнулось (рисунок 7).

image
Рисунок 7 SMD-светодиоды

Индикация была глубоко внутри корпуса и чтобы увидеть свет приходилось смотреть под прямым углом на торец. В голову пришла идея световодов из полимерных прозрачных материалов (рисунок 8). Оставалось найти бюджетный, но эстетически красивый вариант. В голову пришел молочный плексиглас с прозрачностью 20% с толщиной листа 3 мм, в первой же фирме лазерной резки подобрали диаметр миниатюрного цилиндра, он был равен диаметру отверстия в корпусе. Особенность в том, что станок при лазерной резке дает небольшой скос нижнего диаметра на 0.1 мм и таким образом мы получили мешок миниатюрных усеченных конусов с нижним диаметром 2,9 мм и верхним 3 мм, а высота была 3 мм как и толщина торцов нашего корпуса. Вставляем конус в отверстие и запрессовка крепко загоняет эти световоды в отверстие, а небольшая капелька клея с обратной стороны фиксирует их намертво.

image
Рисунок 8 Световоды из плексигласа

Итак, устройство получило эстетичный вид при небольших вложениях в корпус, однако этот путь хорош на старте производства и уменьшение издержек планируется путем изготовления подобного корпуса при наращивании производства. Литье из пластика не рассматривается в виду дорогого запуска производства и низких экранирующих способностей по сравнению с металлом.

Итог


image

Спасибо за внимание! Надеемся, что мы вдохновим читателей на переработку Ваших личных проектов в более масштабное производство с коммерческими перспективами. В нашей великой стране на полочках у инициаторов пылятся действительно нужные вещи, которые могут заменять зарубежные производства.

В следующей статье мы расскажем Вам историю тестирования и тонкости настройки mPCIe 3G-модема Huawei и mPCIe LoraWan-модуля MikroTik.
Подробнее..

Встраиваемый компьютер AntexGate 3G-модем. Полезные настройки для более стабильного интернет-соединения

03.08.2020 14:12:05 | Автор: admin
image

В сфере промышленной автоматизации существует негласная парадигма, в которой многие производители промышленного оборудования делают контроллеры отдельно, а модемы отдельно. Как правило, каждое устройство помещается в свой корпус, имеет своё питание, большие габариты и высокую стоимость. Такой вариант разделения функционала имеет свои преимущества и недостатки, но, по нашему мнению, он ведет, скорее, к бльшей коммерциализации, чем обусловлен какими-то объективными причинами. Поэтому мы решили пойти немного по другому пути и сделали универсальное устройство, которое представляет из себя свободно программируемый контроллер на базе Linux с модемом в едином корпусе. Это нам позволило в своих проектах практически совсем отказаться от привычных всем щитов автоматизации и прийти к более мобильным решениям.

Под катом этой статьи мы поделимся с Вами тонкостями настройки модема и несколькими полезными скриптами для более стабильного 3G-соединения.

Предпосылки и решения


При разработке своего устройства мы руководствовались тем, что оно должно выходить в мобильный интернет, чтобы подключаться к облачным платформам. Было два пути: напаивать модем на плату, либо использовать mPCIe-разъемы. Мы остановились на втором варианте и предусмотрели сразу два mPCIe-разъема (рисунок 1), поскольку такой вариант нам показался более интересным и гибким. Ведь установка и замена модема занимает считанные секунды, плюс для пользователя появляется необходимая вариативность и он может использовать такие комбинации mPCIe-модулей, которые ему необходимы под конкретный проект. Кроме 3G-модема это может быть LoraWan или Wi-Fi модули. Плюс ко всему mPCIe-решения зарекомендовали себя как достаточно надежные и качественные.

image
Рисунок 1 mPCIe-разъемы

В качестве основного 3G-модуля для нашего устройства мы рассматривали следующие варианты:

  • MikroTik R11e-LTE6
  • Quectel EC25-E
  • YUGA CLM920 TE5
  • HUAWEI MU709s-2p

Однако после проведения тестов наиболее предпочтительным для нас в плане надежности и соотношения цена-качество оказался модем фирмы HUAWEI (рисунок 2). Мы взяли его за основу и устанавливаем опционально в наши устройства. Поэтому в дальнейшем мы будем рассматривать настройку и скрипты относительного модема этой модели. Возможно, этот скрипт будет универсальным и будет полезен для других модемов, однако стабильность работы с другими моделями не гарантируется. Для Rasbian Buster и HUAWEI MU709s-2p всё работает отлично.

image
Рисунок 2 Модем HUAWEI MU709s-2p, установленный на плату устройства

Использование скрипта для перезагрузки 3G-модема


Для более устойчивой и безотказной работы мы написали скрипт, который будет пинговать заданный IP-адрес, а если же определенное в настройках количество пингов не прошло, то GSM-модем перезагрузится, тем самым восстанавливая зависшее сетевое соединение. Стоит отметить, что модем определяется в системе как сетевая карта lan1.

Архив со всеми необходимыми файлами можно скачать по этой ссылке. Также текст самих скриптов представим ниже.

Файл check_inet.sh необходим для проверки наличия интернет соединения. Если заданный IP-адрес не пингуется, то мы дергаем 19 ногу и перезапускаем модем по питанию. Код из себя представляет следующий вид:
#!/bin/bash#count=0;#echo "Start script"#echo 19 > '/sys/class/gpio/export'while [ true ]; do# sleep 30. /home/pi/igate.conf#echo $usb_port#echo 'AT^NDISDUP=1,1,''"'$apn'"''\r\n' #echo 'AT^NDISDUP=1,1,"internet.mts.ru"\r\n' flag=0for ((i = 1; i <= $ping_count; i++)); do#for i in {1..$ping_count}; do #делаем 5 пингов до сервера#ping -I eth1 -c 1 8.8.8.8 > /dev/null || flag=$(($flag+1))ping -I $interface -c 1 $ping_ip || flag=$(($flag+1))sleep 1doneif [ "$flag" -ge "$ping_error" ]; then #если потерь пакетов больше 3х#echo "рестарт модема - начало"#count=$((count+1))#echo $count#рестарт модемаsudo ifconfig eth1 downecho 19 > '/sys/class/gpio/export'echo out > '/sys/class/gpio/gpio19/direction'echo 0 > '/sys/class/gpio/gpio19/value'sleep 1echo 1 > '/sys/class/gpio/gpio19/value'sleep 15sudo ifconfig eth1 upsleep 1#echo -en 'AT^NDISDUP=1,1,"internet.mts.ru"\r\n' > /dev/ttyUSB3#АТ команда для записи настроек точки доступа APNecho -en 'AT^NDISDUP=1,1,''"'$apn'"''\r\n' > $usb_port#echo "рестарт модема - конец"fisleep $timeoutdone 

Файл start_inet.sh запускает check_inet.sh после перезагрузки устройства:
#!/bin/bash### BEGIN INIT INFO# Provides:          start_inet# Required-Start:    $remote_fs $syslog# Required-Stop:     $remote_fs $syslog# Default-Start:     2 3 4 5# Default-Stop:      0 1 6# Short-Description: Example initscript# Description:       This service is used to manage a servo### END INIT INFOcase "$1" in     start)        echo "Starting check_inet"        sudo /home/pi/check_inet.sh > /dev/null 2>&1 &        #/home/pi/check_inet.sh        ;;    stop)        echo "Stopping check_inet"        #killall servod        sudo kill -USR1 $(ps ax | grep 'check_inet' | awk '{print $1}')        ;;    *)        echo "Usage: /etc/init.d/check_inet start|stop"        exit 1        ;;esacexit 0

Также в архиве находится файл конфигурации igate.conf

Последовательность настройки:
1. Добавьте правило соответствия физического подключения COM-порта модема к концентратору USB. Для этого поправьте файл по следующему пути:
sudo nano /etc/udev/rules.d/99-com.rules

2. Добавьте в файл следующую строку:
KERNEL==ttyUSB*, KERNELS==1-1.5:2.4, SYMLINK+=GSM

3. Сохраните правила и перезагрузите устройство. Теперь порт Вашего модема будут определять по удобному псевдониму /dev/GSM;
4. Скачайте архив по предложенной выше ссылки, либо самостоятельно создайте файлы check_inet.sh, start_inet.sh и igate.conf;
5. Скопируйте файл check_inet.sh в папку:
/home/pi/

6. Сделайте файл check_inet.sh исполняемым:
sudo chmod +x /home/pi/check_inet.sh

7. Скопируйте файл start_inet.sh в папку:
/etc/init.d/

8. Сделайте файл start_inet.sh исполняемым:
sudo chmod +x /etc/init.d/start_inet.sh

9. Обновите конфигурацию автозагрузки выполнив команду:
sudo update-rc.d start_inet.sh defaults

10. Скопируйте файл igate.conf в папку:
/home/pi/

11. Настройте файл конфигурации. Ниже представлен файл конфигурации с комментариями:
#ip-адрес пинга. Скрипт будет пытаться пинговать этот ip-адрес, если определенное в параметре [ping_error] количество пингов не прошло, скрипт будет перезагружать GSM-модем, тем самым восстанавливая зависшее сетевое соединение.ping_ip=8.8.8.8#точка доступа APN. Это адрес точки доступа Вашего интернет-провайдера, он выдается вместе с сим-картой.apn=internet.mts.ru#период проверки соединения 3G (период пинга). Период выполнения скрипта. Каждые 30 секунд будет осуществляться проверка пингов.timeout=30#количество пингов. Общее количество пингов.ping_count=5#количество неуспешных пингов для рестарта модема. Количество неуспешных пингов, после которых необходимо выполнять перезагрузку модема. Не может быть больше чем [ping_count]. Процент потерянных пакетов нужно подбирать индивидуально в зависимости от качества покрытия сети.ping_error=3#LAN интерфейс модема. Сетевой интерфейс модема, обычно на устройстве AntexGate определяется как [eth1], посмотреть название можно выполнив команду ifconfiginterface=eth1#USB порт модема. Физический USB порт к которому подключена сетевая карта, обычно на устройстве AntexGate определяется как [ttyUSB4]usb_port=/dev/GSM


Управление скриптом


Запуск в фоновом режиме файла скрипта check_inet.sh:
/etc/init.d/start_inet.sh start

Остановить check_inet.sh:
/etc/init.d/start_inet.sh stop

Скрипт также автоматически запускается после перезагрузки устройства.

Варианты применения устройства


Рассмотрим основные задачи, под которые можно использовать устройство:
  1. Контроллер с выходом в интернет для передачи данных в облако;
  2. 3G-роутер для задач в поле;
  3. Контроллер для умного дома с резервирующим каналом 3G. То есть можно использовать LAN-порт как основной канал связи, а 3G в качестве резервного, чтобы всегда был доступ к устройству;
  4. Базовая станция LoRaWAN, то есть опрос устройств по LoRaWAN и передача данных в облако через сеть 3G или LTE;
  5. Устройство для мониторинга транспорта (подключение по CAN и стыковка с различными сервисами)

На самом деле, вариантов применения такого устройства может быть очень много и несомненным его плюсом является законченность, универсальность и мобильность. Одно устройство может заменить привычный шкаф автоматизации и стать незаменимым решением в Ваших проектах.
Подробнее..

Из песочницы Мониторинг данных АСУ ТП и не только

07.10.2020 12:08:05 | Автор: admin
Здравствуйте, пользователи сообщества Хабр.

Цель статьи: Демонстрация реализации дешевого решения для визуализации данных, которое можно применять в системах диспетчеризации.

С чего началось.

На одном из производств энергетического сектора было автоматизировано порядка 20 агрегатов с количеством сигналов более 10000, необходимо было разработать систему диспетчеризации для мониторинга данных АСУ ТП.

В связи с этим, мне было интересно реализовать IT-решение для визуализации данных в виде графиков и видеокадров (мнемосхем). Решение должно быть масштабируемым, кроссплатформенным, простым в использовании, web-приложением. И так, функционал мнемосхемы, графики. Поехали

Мнемосхемы


Для разработки мнемосхем необходим графический редактор.

Разрабатывать свой сложно, дорого, поэтому был выбран Visio.

Почему именно Visio?

1 поддерживает векторную графику;
2 имеет встроенный редактор vba;
3 позволяет создавать свою библиотеку графических элементов;
4 имеет возможность добавить к графическому объекту произвольный набор свойств (см. рис.1)
5- распространённый редактор, много пользователей.

Поэтому идеальным редактором для моих целей стал Visio.


Рис.1.

Графики


Тут было проще, сначала рассматривалась библиотека highcharts, но так как она платная,
выбор был сделан в пользу d3.js.

d3.js очень крутой framework, большие возможности, немного сложен в освоении, но на просторах сети много примеров.

Web-форма Графики позволяет просматривать графики на разных временных диапазонах, координатных плоскостях, задавать шкалы и другие возможности.

Платформа для разработки приложения


Для разработки web-приложения выбрана платформа web-программирования ASP.NET, framework ASP.NET MVC, в дальнейшем приложение было переведено на ASP.NET Core MVC.

Как работает приложение


Итак, как работает приложение?

Приложение получает данные через web api интерфейс и отображает их пользователю в виде графиком и мнемосхем.

Приложение может работать в двух вариантах.

Первый вариант:


Рис.2.

Как было уже сказано, в приложении реализован web api интерфейс, через который оно получает данные, непосредственно получением данных с источников занимаются сервисы данных (программные модули). В первом варианте работы видно, что сервисы реализованы внутри приложения, это удобно когда, например, приложение и источники данных находятся в одной сети.

Второй вариант:


Рис.3

Во втором варианте сервисы отдельные программные модули, к которым обращается приложение за данными. Второй вариант может использоваться, когда источники и приложение находятся в разных сетях, приложение, например, развернуто на хостинге.

Основным объектом в приложении является Tag переменная, измеренное значение технологического процесса. Набор методов (например GetTagOnline, GetTagArchive и др.) для работы с тегами реализует web api интерфейс.

Итак, приложение забирает данные с сервисов, подгружает мнемосхему, разработанную пользователем в Visio, и отображает эти данные.

Анимация графических объектов на мнемосхеме


Для анимации графических элементов мнемосхемы используется javascript. Для того, чтобы упростить пользователю разработку функций анимации, в приложении есть небольшая библиотека, которая включает, например следующие функции: printf(Text), SetText(Object, Index, Value), SetBackColor(Object, Index, Value), SetVisible(Object, Value), GetTag(TagName) и др.
Например, функция отображения измеренного значения:

Function Field (Object, Property) {var Tag = GetTag(Property.Tag1);SetText(Object,1,Tag.Value);}

Администрирование, настройка.

Для настройки используются конфигурационные файлы, где пользователь создаёт профили, добавляет сервисы и др. Данное приложение консольное, может работать как win-сервис.
Приложение использует встроенный кроссплатформенный веб-сервер Kestrel.

Статья называется Мониторинг данных АСУ ТП и не только.. Приложение может отображать в принципе любые данные, которые можно представить в виде схемы, диаграммы и т.п.
Всем спасибо, что дочитали, интересна критика, любые отзывы. Спасибо.

На этом всё, ниже несколько картинок работы приложения.

Пример мнемосхемы (была сделана из файла eplan >autocad ->visio. ):





Графики:



Подробнее..

Категории

Последние комментарии

  • Имя: Макс
    24.08.2022 | 11:28
    Я разраб в IT компании, работаю на арбитражную команду. Мы работаем с приламы и сайтами, при работе замечаются постоянные баны и лаги. Пацаны посоветовали сервис по анализу исходного кода,https://app Подробнее..
  • Имя: 9055410337
    20.08.2022 | 17:41
    поможем пишите в телеграм Подробнее..
  • Имя: sabbat
    17.08.2022 | 20:42
    Охренеть.. это просто шикарная статья, феноменально круто. Большое спасибо за разбор! Надеюсь как-нибудь с тобой связаться для обсуждений чего-либо) Подробнее..
  • Имя: Мария
    09.08.2022 | 14:44
    Добрый день. Если обладаете такой информацией, то подскажите, пожалуйста, где можно найти много-много материала по Yggdrasil и его уязвимостях для написания диплома? Благодарю. Подробнее..
© 2006-2024, personeltest.ru