Системы кибербезопасности для нефтегазовых объектов в РФ: а есть ли импортозамещение? 

Системы кибербезопасности, как подчёркивал г-н Царёв в первой части нашего большого материала, не являются неделимым объектом и состоят из компонентов — решений различных классов. В каждом отдельном классе, отмечает он, присутствуют достаточно зрелые отечественные решения, но вот их комплекты, так называемые «типовые проекты», фактически отсутствуют — на это нет запроса покупателей, в том числе из нефтегазовой отрасли. Каждый считает свою защищаемую систему уникальной и просит индивидуальный проект, максимум, типовой на несколько идентичных участков.

После ухода западных вендоров промышленных систем автоматизации для решения задач импортозамещения нефтяникам пришлось за короткий период сделать то, на что раньше закладывались «пятилетки», отметил Алексей Шанин. Однако, подчеркнул он, Россия всегда находилась в числе мировых лидеров по обеспечению промышленной кибербезопасности: 

«И мы давно научились защищать распределённые объекты — от разрозненных скважин до центральных пунктов сбора нефти на собственных, отечественных решениях. Но есть узкое горло: не хватает инженеров, которые одновременно глубоко знают и нефтепромысловую автоматику, и основы кибербезопасности.

Многие системы сегодня работают в режиме мониторинга, а не активного блокирования, потому что высок риск ошибочно остановить технологический процесс, тем самым нанеся ущерб, возможно, больший, чем нанесли бы злоумышленники».

В каких решениях нуждается отечественный нефтегаз?

Так, огромное количество интеграторов АСУ ТП участвуют в импортозамещении в нефтегазовой отрасли (ПАО «Газпром автоматизация», ООО «Комита Автоматизация», ООО «ВЕГА-ГАЗ» и т. д.). До 2022 года, по словам Алины Шихвердиевой,  даже в самых «простых» решениях АСУ ТП применялись зарубежные решения (даже в системах телемеханики использовалось программное обеспечение, которое могло работать на серверах и автоматизированных рабочих местах исключительно под управлением ОС Windows и ОС Windows IoT). 

В 2022 году, когда импортозамещение набрало обороты и появились первые российские решения в области АСУ ТП (включая нижний уровень), огромное количество вендоров средств защиты информации начало активное сотрудничество с целью совместных испытаний и проверки решений ИБ на жизнеспособность. Главный принцип для решений ИБ АСУ ТП — невлияние на саму АСУ ТП, считает г-жа Шихвердиева.

«На текущий момент ИБ-решения для АСУ ТП в России активно развиваются, что касается не только нефтегазовой области. Затраты российских нефтегазовых компаний на информационные технологии выросли на 155% и достигли 135 млрд рублей.

Таким образом, отрасль заняла третье место по объёму инвестиций, уступив лишь финансовому и транспортно-логистическому секторам. Основные приоритеты: импортозамещение критических систем и усиление кибербезопасности». 

Основные проблемы, которые можно выделить: 

• Зависимость от зарубежных технологий: всё ещё сохраняется, момент ухода огромного количества компаний создал дефицит технологий, и российский промышленный сектор, а также ИТ-сектор, готовы не были.
• Кадровый дефицит: на текущий момент прослеживается нехватка высококвалифицированных кадров как в АСУ ТП, так и в ИБ АСУ ТП.
• Регуляторные и экологические ограничения.
• Рост сложности атак.
• Интеграция ИБ-решений и АСУ ТП.

Для качественного скачка в росте и развитии ИБ АСУ ТП, считает эксперт, необходимо акцентировать внимание не только на самой ИБ, но и на технологиях АСУ ТП:

— Безопасность протоколов АСУ ТП: многие промышленные протоколы изначально не предусматривали встроенных механизмов защиты. Например, Modbus TCP (который в России активно использовался и используется по сей день).

— Использование российских плат и модулей в программируемых логических контроллерах: российские производители продолжают развивать технологии, совершенствуя аппаратную часть, расширяя линейку модулей и улучшая совместимость с различными системами.

— Специальное и прикладное программное обеспечение: замечается огромный скачок в данном направлении у интеграторов АСУ ТП. Но имеется необходимость сделать упор на встроенные средства обеспечения безопасности, например, гибкое разграничение доступа, расширение возможностей системы логирования для успешной интеграции с СИЕМ-решениями и т. д.

— Датчики нижнего уровня АСУ ТП: имеется положительная динамика (локализация, интеграция с отечественными ПЛК и SCADA, поддержка стандартных интерфейсов и адаптация к погодным условиям в РФ), но в производстве датчиков используются зарубежные микроконтроллеры, сенсоры и пассивные компоненты (резисторы, конденсаторы), полное импортозамещение элементной базы пока не достигнуто. Имеется отставание по точности и надёжности, а также имеются сложности в кибербезопасности и интеграции с огромным количеством систем. 

Ну а в части ИБ АСУ ТП следует стремиться к развитию следующих направлений: 

— Развитие импортозамещения: проблема на стыке ИБ АСУ ТП и самой АСУ ТП.

— Более широкое применение технологий искусственного интеллекта (ИИ) и машинного обучения, а также развитие методов по обеспечению ИБ: внедрение в процесс АСУ ТП — это одно направление (особенно для беспилотных производств), но применение ИИ в ИБ и понимание, как обеспечить ИБ при применении ИИ — это совершенно иной уровень. Законодательная база в РФ только начинает постепенно формироваться и внедряться.

— Защита данных от ПЛК, датчиков, в том числе данных с месторождений: ранее технологическая информация и каналы связи, которые охватывали нижний уровень АСУ ТП, считались никому не интересными с точки зрения кибератак. Но текущие тенденции показывают потребность защиты не только верхнего диспетчерского уровня АСУ ТП, но и нижнего. Необходимо развитие таких методов защиты (в том числе криптографических), которые не будут оказывать влияние на сам технологический процесс.

— Развитие безопасности интернета вещей: IoT-устройства часто имеют ограниченные механизмы защиты, что делает их уязвимыми для атак. За 11 месяцев 2025 года число атак на умные устройства в России выросло на 25–27% по сравнению с 2024 годом. До 35% утечек данных в российских компаниях начинаются с уязвимостей IoT- и сетевых устройств.

— Подготовка к защите 5G-сетей: IoT-устройства и беспилотные системы в промышленности сталкиваются с ограничениями сетей 4G. 

Как в РФ регулируются вопросы кибербезопасности в нефтегазовой отрасли

Основным регулятором, отмечает Евгений Царёв, выступают ФСТЭК и ФСБ России. Главные документы, регулирующие данный сегмент, — это 187-ФЗ и подзаконные акты, такие как постановление правительства № 127, различные приказы ФСТЭК и т. д.

«Если говорить о КИИ, то количество НПА, регулирующих безопасность в этой сфере, достаточно велико. Мы с коллегами в УЦСБ проводили анализ и выяснили, что общее количество НПА, регламентирующих деятельность в области обеспечения безопасности объектов КИИ, введённых в действие в период с 15.01.2013 по 31.03.2026, составило 120. 

Сюда входят и указы Президента, и постановления Правительства, и приказы федеральных органов исполнительной власти и иных государственных структур.

Несмотря на такое, казалось бы, большое количество НПА, у каждого объекта КИИ есть свои особенности, обусловленные спецификой технологического процесса (главным образом, в силу специфики нефтегазовой отрасли к объектам КИИ в этой сфере отнесены автоматизированные системы управления технологическим процессом). В связи с чем при создании систем обеспечения информационной безопасности (СОИБ) на конкретных значимых объектах КИИ из-за их отраслевых особенностей может потребоваться не только применение действующих нормативных правовых документов, но и разработка собственных локальных методических документов в области категорирования объектов КИИ, построения СОИБ, проведения единого контроля обеспечения безопасности объектов КИИ. У ключевых предприятий отрасли, как правило, сформирована своя локальная нормативная база, учитывающая такие особенности», — добавил Алексей Шанин. 

Итак, основными нормативными требованиями к ИБ в нефтегазовой области, резюмировала Алина Шихвердиева, являются:

— ФЗ № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации»: определяет общие требования к защите объектов КИИ, включая предприятия нефтегазовой отрасли. Устанавливает обязанности субъектов КИИ по созданию систем безопасности, проведению оценок рисков и инцидентов, а также взаимодействию с государственными органами.

— ФЗ № 256-ФЗ «О безопасности объектов топливно-энергетического комплекса»: в статье 11 закона прямо указано, что субъекты топливно-энергетического комплекса обязаны создавать на объектах системы защиты информации и информационно-телекоммуникационных сетей от неправомерного доступа, уничтожения, модифицирования, блокирования информации и иных неправомерных действий.

— ФЗ № 116-ФЗ «О промышленной безопасности опасных производственных объектов»: регулирует вопросы безопасности производственных процессов, включая аспекты, связанные с информационными системами, используемыми на опасных производственных объектах.

— Постановление Правительства РФ от 8 февраля 2018 года № 127 «Об утверждении Правил категорирования объектов критической информационной инфраструктуры Российской Федерации, а также перечня показателей критериев значимости объектов критической информационной инфраструктуры Российской Федерации и их значений»: определяет порядок категорирования объектов критической информационной инфраструктуры России. Нефтегазовые объекты как часть ТЭК подлежат категорированию в соответствии с данным документом.

— Указ Президента РФ от 30 марта 2022 г. № 166 «О мерах по обеспечению технологической независимости и безопасности критической информационной инфраструктуры Российской Федерации»: с 1 января 2025 г. органам государственной власти, заказчикам запрещается использовать иностранное программное обеспечение на принадлежащих им значимых объектах критической информационной инфраструктуры.

— Постановление Правительства PФ от 14 ноября 2023 г. № 1912 «О порядке перехода субъектов критической информационной инфраструктуры Российской Федерации на преимущественное применение доверенных программно-аппаратных комплексов на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации»: с 1 сентября 2024 г. не допускается использование субъектами критической информационной инфраструктуры Российской Федерации на принадлежащих им значимых объектах критической информационной инфраструктуры Российской Федерации программно-аппаратных комплексов, приобретённых субъектами критической информационной инфраструктуры Российской Федерации с 1 сентября 2024 г.

— Указ Президента РФ от 1 мая 2022 года № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации»: с 1 января 2025 г. органам (организациям) запрещается использовать средства защиты информации, странами происхождения которых являются иностранные государства, совершающие в отношении Российской Федерации, российских юридических лиц и физических лиц недружественные действия.

— Приказ ФСТЭК России от 21 декабря 2017 года № 235 «Об утверждении Требований к созданию систем безопасности значимых объектов критической информационной инфраструктуры Российской Федерации и обеспечению их функционирования»: устанавливает обязательные требования к субъектам КИИ по созданию и эксплуатации систем безопасности значимых объектов КИИ.

— Приказ ФСТЭК России от 25 декабря 2017 года № 239 «Об утверждении Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры Российской Федерации»: устанавливает обязательные требования к субъектам КИИ по защите значимых объектов КИИ.

— Методический документ «Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах» (Утверждён ФСТЭК России 12 апреля 2026 г.): необходимо обратить внимание на появление принципиально новых мер по обеспечению ИБ, таких, как защита технологий «интернета вещей» и обеспечение защиты информации при использовании искусственного интеллекта.

А что реально работает? 

Завершить наш большой обзор хотелось бы примерами реальных решений, стоящих на страже российского нефтегаза сегодня, в 2026 году. Главный специалист по экспертизе проектов ИБ компании Б-152 поделилась с нами следующими данными:

Евгений Генгринович также поделился с редакцией «Нефтегазовой промышленности» примером реализации проекта на одном из нефтегазоконденсатных месторождений, где компании «Газпром добыча Оренбург» и «Газпром автоматизация» решили задачу безопасного мониторинга удалённых скважин с применением встраиваемых СКЗИ ViPNet SIES: 

«Эти объекты десятилетиями работали без автоматизации и линий электропередачи. Классическая проводная телеметрия в таких условиях неприменима, а регулярная проверка состояния оборудования выездными бригадами обходится дорого.

В рамках исследования необходимо было предложить оптимальный способ контроля показателей работы оборудования при минимальном энергопотреблении и, что важно, с гарантированной защитой данных по открытому радиоканалу. По итогам анализа ситуации эксперты решили использовать автономные устройства на базе технологии LoRa (дальность до 20 км, низкое энергопотребление) со встраиваемыми средствами криптографической защиты информации. В отличие от наложенных средств, такие чипы и модули монтируются прямо на плату телеметрического устройства и шифруют данные ещё до того, как те попадут в эфир.

В результате компаниям удалось организовать централизованный контроль параметров работы скважин, снизить эксплуатационные расходы благодаря оперативному выявлению нарушений и обеспечить полное соответствие передаваемых данных требованиям информационной безопасности».

Вопрос-ответ

Какие проблемы остаются при импортозамещении кибербезопасности в нефтегазовой отрасли?

Среди основных проблем эксперты выделяют зависимость от отдельных зарубежных технологий и компонентов, кадровый дефицит специалистов по промышленной кибербезопасности, сложности интеграции средств информационной безопасности с АСУ ТП, а также постоянный рост числа и сложности кибератак на объекты ТЭК.

Какие российские решения используются для защиты нефтегазовых объектов?

Сегодня в отрасли применяются отечественные продукты различных классов: системы защищённой передачи данных, средства мониторинга событий безопасности, решения для защиты промышленных сетей и конечных устройств, платформы анализа уязвимостей, а также специализированные продукты для обеспечения безопасности АСУ ТП и объектов критической информационной инфраструктуры.

Какие нормативные документы регулируют кибербезопасность объектов нефтегаза?

Ключевыми документами являются Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации», Федеральный закон № 256-ФЗ «О безопасности объектов топливно-энергетического комплекса», а также подзаконные акты Правительства РФ и требования ФСТЭК России, устанавливающие порядок защиты значимых объектов КИИ и автоматизированных систем управления.

Какие направления развития кибербезопасности считаются наиболее перспективными для нефтегазовой отрасли?

Эксперты отмечают развитие отечественной элементной базы и программного обеспечения, повышение защищённости нижнего уровня АСУ ТП, обеспечение безопасности IoT-устройств и промышленного интернета вещей, применение технологий искусственного интеллекта для выявления инцидентов, а также подготовку инфраструктуры к использованию промышленных сетей нового поколения.