0: Непосредственно руководителя региона, который понимал, знал цели и задачи проведения данного мероприятия, а также мы непосредственно вовлекали первых лиц компании, потому что когда 1 лицо компании организация понимает,

1: Что происходит и каков результат тех действий? Он соответствующим образом реагирует. Мы разговаривали, по сути дела, на языке руководителя организации. Я вот сейчас на предыдущей сессии рассказывал то, что когда вы приходите к руководителю организации, говорите там.

2: Давайте проведём там пинтест, пентест, там, не знаю, там фишинг Мишин. Неважно, что главное, что он то не понимает. Зачастую последствия всего этого. А если понимает, то эти последствия не ярко выражены, когда руководитель организации говорит, что он

3: Хотел, чтобы было бы сделано для того, чтобы он понял серьёзность последствий или непосредственно какие могут быть санкции в отношении компании, в отношении его как руководителя единого исполнительного органа. Здесь уже непосредственно, немножко другие подходы. Поэтому мы

4: Увлекли, по сути дела, первых лиц организации. Я сегодня думаю, коллеги ещё коснутся, расскажут про результаты. Результаты оказались в итоге впечатляющие. И в связи с этим у нас в 2026 году ключевой задачей является дальнейшее развитие системы.

5: Киберзащищенности для постоянного отраслевого механизма повышения защищённости объектов тэк. Наши предложения внесены в стратегическое направление в области цифровой трансформации топливно физического комплекса, которое было утверждено в этом году. Поэтому

6: В этом сейчас, в настоящее время мы формируем перечень регионов, перечень компаний, которые поучаствуют в киберучениях в 2026 году. Поэтому давайте я тогда представлю наших спикеров. Мы уже пообсуждаем непосредственно нашу тему.

7: Евгений Владимирович Хасин, директор департамента обеспечения кибербезопасности минцифры России наши друзья партнёры Дмитрий Викторович Серебрянников, директор по анализу защищённости позитив технолоджис.

8: Я, коллеги, у меня, может быть там замена не у всех. Поэтому, если что, вы тогда представляйтесь и говорите. Александр Евгеньевич Ковалевский, генеральный директор группы компании гарда. Спасибо, Иван Дмитриевич Шальков не вижу.

9: Знаю, не вижу. А а а, вкс. Да, тогда, Иван Дмитриевич, добрый день. Заместитель вице президента пао транснефть Артём Юрьевич Головатый директор, директор, директор по информационным технологиям концерна росэнергоатом.

10: Дмитрий Александрович Шепелявый директор по развитию ооо эстейдж. Я за него, а вы за него Денис Талдыкин, Андрей Борисович Будко, генеральный директор ооо расу.

11: Международного бизнеса.

12: Дмитрий Александрович Шепелявый, директор по развитию международного бизнеса ооо эстейдж. Я за него, а вы за него Денис Талдыкин, Андрей Борисович Будко, генеральный директор ооо расу.

13: И Рустам Мухтарович Рустамов, заместитель генерального директора ооо ред софт. Спасибо, Евгений Владимирович, ну вот, чтобы обозначить позицию относительно результатов выработанной методики, а у нас по итогам была как бы методика

14: А также планов по проведению масштабных кибер испытаний в соответствии со стратегическим направлением цифровой трансформации тэк до 36 года. Расскажите, пожалуйста, там о планах, может быть, ну, минцифры по развитию эксперимента, по оценке защищённости

15: А вы курируете защищённость, в том числе государственных информационных систем. Как вы знаете, у нас в стране достаточно большое количество гисов, поэтому работы у вас, в принципе, очень много по этому направлению. Так вот, как вы оцениваете?

16: Развитие эксперимента по оценке защищённости гис для отраслевых организаций субъектов кии и возможности проведения оценки защищённый гис отраслевых информационных систем через постоянные кибер испытания. Ну, по сути дела, сделать то, что мы сделали в татарстане, о чем я уже сегодня говорил.

17: Эдуард Михайлович, спасибо большое за вопрос. Ну, краткий, краткая история, эксперимент по повышению защищённости гисов. Как он вообще в целом называется? Постановление правительства? 860 постановление ведётся 22.

18: Года. То есть уже 4 год мы эти, эти работы сопровождаем. Мы считаем, что это анализ защищённости, как 1 шаг является ключевым элементом в области обеспечения информационной безопасности систем вообще. То есть

19: Ресурсов это вообще действие, которое всегда лежит в основе любого дальнейшего движения, любого проекта, любого мероприятия, но при этом, безусловно, это не является целью эксперимента, то есть целью является, как я уже сказал, именно повышение защищённости

20: 1 шаг анализ, принятие мер, необходимых и в дальнейшем возможный контроль сказать с целью актуализации поддержания, вопрос, связанный с анализом защищённости, непрерывностью сказать прописанный сейчас в новой версии приказа стэк 117.

21: Приказ, анализ защищённости, оценка принимаемых мер должны проводиться на регулярной основе в рамках рейтинга цифровой трансформации для регионов и для федеральных органов исполнительной власти есть показатель, тоже связанный с анализом.

22: Защищённости, причём сказать, как есть анализ защищённости там своими силами проводимый, так и независимость привлечения сторонних организаций. И в дальнейшем, как минимум до конца текущего года, сказать, данные работы будут продолжены в рамках эксперимента просто в рамках с учётом имеющегося постанов

23: Что хотелось бы отметить, из основных направлений развиваются технологии, да, для повышения защищённости. Анализироваться должны все нововведения, все новшества, которые есть в системах, должны проводиться.

24: Актуализация, приниматься меры, с 1 стороны. С другой стороны, ну, кто-то так или иначе, наверняка сталкивался о том, что анализ прошёл, меры приняты, анализ комиссии, комиссия уехала, все повтыкали обратно, да, то есть

25: Все, что делали сегментацию, отключили все средства защиты, которые установили и которые не смогли нормально работать, но как бы приняли меры обратно сказать, перевели в дефолтные настройки там и так далее. Вот, чтобы это не было для контрольных, для ключевых систем.

26: Наиболее таких значимых, с нашей точки зрения, мероприятия такие будут проводиться регулярно, чтобы не просто принимать, проводить анализ, но и выявлять необходим принятые выявлять нарушения в принятых мерах, в исполнении рекомендаций, а также

27: С учётом выявлять уязвимость, с учётом появления внедрения новых технологий. Это 1 направление. 2 направление, это слово, без которого сегодня, наверное, сказать, цифр можно было бы считать неполным, сказать, если его исключить из повестки. Это искусственный интеллект, да, так сказат.

28: Тема, которая звучит сейчас на всех, по моему, мероприятиях, здесь, за редким исключением, и искусственный интеллект является сейчас уже, ну, становится де факто, как 1 из необходимых, 1 из необходимых, сказать, элементов в области информационных технологий, используемых

29: Системах, который несёт, кроме возможностей, безусловно сказать, сам является объектом, может являться объектом атаки и на прошлой неделе. Сказать, в рамках этого пилота у нас началась работа. 1 работа по анализу безопасного применения систем искусственного интеллекта в системах. Даже сказать была раз

30: На новость соответствующая. И в этом направлении мы тоже будем проводить.

31: Работы, то есть актуализировать методики, актуализировать подходы, накапливать опыт, накапливать опыт формирования рекомендаций, накапливать опыт безопасного применения, который, безусловно, по результатам будет доводиться до регуляторов и

32: И, соответственно, сказать ими уже, и в том числе с нашим участием, да, участников данного процесса, ну, для тех, кого проверяем. Ну, вот, наверное, сказать, это ключевые такие элементы, в направлении которых мы будем двигаться. Хотелось бы ещё отметить.

33: 1 такой важный момент. У нас сейчас в рамках 117 приказа появился такой термин, как нежелательные последствия, которые, по сути собой представляют цели принятия мер по информационной безопасности, которые

34: Должны также также лежать. В основе для анализа защищённости принятия необходимых мер были разработаны ранее методические рекомендации для регионов. Они у нас размещены на сайте. Сейчас с учётом новой нормативки сказать, актуализирована немножко их терминологии.

35: Но смысл заключается в том, что 1 из важнейших элементов является инвентаризация не только инфобеза в ходе анализа защищённости, но it инфраструктуры, то есть что такое нежелательные последствия это разобраться в том, нужно сказать, как система работает, что для неё важно, что.

36: Для неё нежелательно. И после этого, так сказать, уже принимать необходимые меры по тому, чтобы это нежелательные, как говорится, мероприятия, не случились, нежелательные события, нежелательные последствия не наступили. Ну вот это ещё сказать, 1 такой, так сказать,

37: Направление, в котором будет, по которому будут проводиться работы и в рамках которого будет развитие

38: Вестись, Евгений Владимирович. Большое спасибо, но действительно

39: Направление, в котором будет, по которому будут проводиться работы и в рамках которого будет развитие вестись Евгений Владимирович. Большое спасибо, но действительно

40: Вот меняются технологии, меняются способы, там действия злоумышленников, меняются последствия, поэтому нормативка и в целом регуляторика в этом вопросе, я так понимаю, будет также меняться оперативно. Я вижу, что ваше ведомство там прилагает максимум усилий.

41: Для того, чтобы, как минимум, быть наравне, скажем так, с теми изменениями, которые происходят в бизнесе вообще в этой, в этом направлении, а иногда даже и на шаг впереди. Поэтому можем пожелать только удачи. Мы как ведомство, которое

42: Obladaet, там достаточно большим количеством оборудования в целых различных информационных систем. Вам в помощь всегда можете на нас рассчитывать. Ну и поскольку пилотный проект был не был бы возможен непосредственно, без организации участия, скажем так, экспертных организаций.

43: Которые непосредственно проводили само тестирование, формировали результаты, скажем так, фиксировали доказательства, а также помогали нашим компаниям.

44: Формировать план ликвидации и нивелирования тех найденных уязвимостей. Поэтому вот непосредственно командовал всей этой бандой Дмитрий Викторович Серебрянников. Поэтому, Дим, я хотел бы попросить в 2 словах рассказать

45: Пожалуйста, о ключевых итогах проекта, скажем так, как, как говорится, глазами хакера и непосредственно о планах, какие есть мысли, как мы с вами будем дальше продолжать. Так, добрый день, коллеги, как Эдуард Михайлович уже сказал,

46: В 2025 году мы провели действительно уникальный проект. То есть никогда ещё мы не смотрели отрасль целиком, отдельно взятого региона. Мы это сделали здесь в проекте участвовали как региональные, так и федеральные компании.

47: Это не было для них сюрпризом, это не была какая-то внезапная проверка, все были уведомлены заранее, все компании готовились, кто-то срочно отменял отпуска сотрудникам, кто-то с колёс пытался поставить на пилот какие-то продукты.

48: То есть все были в курсе, и все были максимально подготовлены. Это делалось намеренно, чтобы посмотреть, как компании будут отбиваться в режиме такой, ну, максимальной открытости. При этом каждая компания у себя

49: Определила какое-то недопустимое событие, до которого должны были, собственно, дойти наши эксперты и критерии, по которым можно было проверить, дошли они до них или нет в итоге в половине компаний нам удалось дойти до этих самых недопустимых событий.

50: Мы старались работать максимально приближённо к реальным атакам. У нас было, по сути, только 3 ограничения. То есть, во первых, мы не Ломали Подрядчиков, если они не являлись дочками этих организаций, хотя это на самом

51: Деле.

52: Самый такой часто частый способ проникновения сейчас в компании именно через Подрядчиков мы не удаляли сервера, на которых установлены сзи, чтобы не оставлять без глаз тех, кто защищается и

53: Деле самый такой часто частый способ проникновения. Сейчас в компании именно через Подрядчиков мы не удаляли сервера, на которых установлены сзи, чтобы не оставлять без глаз тех, кто защищается и

54: Не осуществляли никакого физического воздействия, то есть не проникали в офисы, не подстерегали сотрудников в подъездах вот исключительно техническими методами, но при этом мы атаковали и внешний периметр и рассылали фишинговые письма, и

55: Пытались проникнуть через вай Фай из неконтролируемой зоны по результатам проекта как только мы достигали недопустимого события, мы тут же отправлялись в ту компанию, в которой это получилось сделать, рассказывали подробно, шаг за шагом.

56: Как нам это удалось. И давали сразу же рекомендации, чтобы в срочном порядке закрыть эти вектора, чтобы по ним не мог пройти реальный злоумышленник. Все компании молодцы, все отбивались очень достойно. Мы видели противодействие постоянно. То есть

57: Мы куда-то проникаем, нас выбивают, блокируют. То есть это были такие настоящие, настоящие учения, максимально приближённые к реальности.

58: Но при этом мы понимаем, что это такая была, ну, по сути, разовая проверка, которая, безусловно, она сильно очень подняла уровень защищённости отрасли. И вот на момент, когда все компании закрыли обнаруженную

59: Отрасль тэк татарстана стала самой защищённой среди всех остальных регионов нашей страны. И, безусловно, нужно развивать этот проект дальше распространять его на новые регионы, но мы понимаем, что силами 1 компании

60: Или даже всей всех компаний, которые на рынке бы представлены. Такое большое количество работ провести невозможно. И нужно привлекать к этому вообще всех исследователей, которые есть в нашей стране, чтобы они поработали все вместе на

61: Защищённость. Поэтому мы видим себе планомерным развитием использование такого механизма, как кибер, испытания, когда компания определяет недопустимое событие для себя, определяет критерии, выходит на кибер испытания и

62: И все исследователи нашей страны пытаются достичь этого недопустимого события, результатам передать отчёты, чтобы компании старались закрывать свои уязвимости, должны прийти к Такому состоянию, чтобы мало.

63: И по, ну мы.

64: И все исследователи нашей страны пытаются достичь этого недопустимого события и по результатам передать отчёты, чтобы компании старались закрывать свои уязвимости. Ну, мы должны прийти к Такому состоянию, чтобы мало

65: Квалифицированный низкоквалифицированный злоумышленник не мог сломать вообще все компании в нашей стране. Ну и в 1 очередь, вот мы начали с отрасли тэк. Если мы и дальше будем так развивать этот проект, то отрасль тэк, безусловно, станет самой защищён.

66: В нашей стране, и мы активно к этому идём. Плюс, когда мы рассматриваем все с точки зрения неприемлемого ущерба для государства, который могут нанести злоумышленники, мы видим такие цепочки, которые невозможно

67: Но.

68: В нашей стране, и мы активно к этому идём. Плюс, когда мы рассматриваем все с точки зрения неприемлемого ущерба для государства, который могут нанести злоумышленники, мы видим такие цепочки, которые невозможно увидеть.

69: Рассматривая защищённость 1 отдельно взятой компании, чтобы нанести неприемлемый ущерб, недостаточно взломать 1 компанию это должно быть одновременный взлом каких-то нескольких ключевых точек в каком-нибудь регионе. Это и генера.

70: И передача электроэнергии, и доведение её до потребителей. И это очень все важно отслеживать в комплексе. То есть, если бы была какая-то система, которая отслеживала бы атаки на энергетические компании, и она

71: Видела, что кто-то ломает не 1 компанию сейчас же, ну, атаки постоянно на нашу страну происходят, а видели бы, что кто-то конкретно в 1 отдельно взятом регионе атакует сразу все энергетические компании. Это точно повысило бы приоритет и

72: Дало бы понять, что кто-то пытается нанести неприемлемый ущерб именно к созданию такой системы, которая позволила бы отслеживать и вовремя реагировать на эти угрозы. Мы сейчас совместно с министерством и всеми регуляторами идём.

73: По результатам проекта была разработана методика оценки вместе с министерством, со всей отраслью бэ и со всеми нашими регуляторами. Она скоро, я так понимаю, будет опубликована. За основу взята методика оценки в стэк. Базовая оценка.

74: Объектов кии и их защищённости и добавлен как раз механизм кибер испытаний. То есть наша цель, как я уже говорил, сделать так, чтобы низкоквалифицированный злоумышленник не мог проникнуть в наши компании

75: Спасибо. Ну, я добавлю, что наша цель. Понятно, что мы присоединяемся к тому, что сказал Дмитрий, но нужно все-таки ещё повысить уровень и статус отношения руководства и в целом компании к

76: Этому направлению все должны понимать, что это серьёзно. Мы живём в быстро меняющемся в мире меняющихся, очень быстро меняющихся технологий. И знаете, я вот сейчас только что

77: Мире, говорил это

78: Этому направлению все должны понимать, что это серьёзно. Мы живём в быстро меняющемся мире, в мире меняющихся, очень быстро меняющихся технологий. И знаете, я вот сейчас только что говорил это

79: Ну, это как болезни, вирусы, бактерии. Мы с вами каждый раз там сталкиваемся все с новыми и новыми вызовами в области, в том числе здравоохранения. Только успеваем читать новый вирус, новый вирус. Здесь тоже самое. Всегда будут появляться новые технологии и

80: И в части взлома, и в части компетенции, и будут появляться ошибки в создаваемых продуктах, как бы долго и тщательно не тестировали эти продукты, но все равно это будет есть. Поэтому это реальность, с которой мы столкнулись. И здесь вопрос даже

81: Не в том, что сейчас есть определённые обстоятельства в виде там специальной военной операции, когда нас атакуют, просто потому, что делать нечего, как говорится. Ну просто потому, что нужно атаковать, нужно не забывать, что сейчас также

82: Возможны комбинированные различные атаки, да, это когда сначала там айтишка наваливается, потом уже непосредственно идёт физическая атака, поэтому мы тоже должны быть к этому готовы. И здесь нужно прилагать максимум усилий, но кроме технических мероприятий,

83: Ещё мы получили достаточно серьёзную практическую ценность, причём неоценимую, если можно так сказать, да, у нас была проделана значительная работа по анализу там исполнения текущих нормативных требований.

84: Потому что немножко, скажем так, мы в данном случае прошли там в рамках закона, в нормативки, но поняли, что действительно нужно менять определённый Пласт, определённые подходы. Ну, Дмитрий Александрович, у нас вместо него Денис неожиданно, как говорится,

85: Появился, я, прошу прощения, по отчеству, там по батюшке, не помню. Поэтому Владимирович, а Владимирович, Денис Владимирович, ну расскажите там о ключевых выводах в части синхронизации требований регуляторов и фактической реализации организации.

86: По повышению киберустойчивости. Почему вот, на ваш взгляд, текущий подход кб в тэк не обеспечивает устойчивость и вот как сделать так, чтобы наши регуляторы минцифры

87: В стек фсб были на шаг впереди, и чтобы они не застаивались на месте, потому что ещё раз технологии меняются очень быстро, подходы меняются, правила рушатся, да, зачастую границы там

88: И так далее, и так далее. Нужно как-то более быть гибкими, быстрыми. И вот что для нас учения в татарстане вынесли в части нормативки.

89: Да, спасибо, Эдуард, нет, а другая презентация, как standard?

90: Михайлович, да так можно. Управляемая защита киберустойчивости. Так?

91: Да, спасибо, Эдуард Михайлович. Да так, нет. А другая презентация, можно? Управляемая защита как standard киберустойчивости. Так.

92: Да, я пока расскажу, что у нас ключевой спикер не справился с логистическими проблемами, не долетел, поэтому я за него. А тут половину выступающих не справились с логистическими проблемами. Да, Евгений Владимирович, да, вот тут, ну, так случилось, что

93: Сегодня большое количество людей, к сожалению, выбрали ненадёжный транспорт. Не будем его называть этот транспорт. Поэтому сегодня Евгений Чаркин, главный айти директор ржд. Я когда ему сказал, что поезд это самый

94: Лучше он пошёл самым счастливым человеком дальше.

95: Да, да, спасибо, Эдуард Михайлович. В продолжение всего вышесказанного продолжение того, о чем рассказывал Дмитрий, про пилот в республике татарстан, хочу рассказать как раз-таки о том, какие системные выводы сделаны.

96: В основу развития, да, повышения киберустойчивости отрасли тэк, эти выводы легли. Тема моего выступления, управляемая защита, как standard киберустойчивости, тэк. Так вот, пилот, который прошёл

97: В прошлом году в республике татарстан он во многом, в том числе, и лёг в то стратегическое видение, которое было в конце февраля этого года, утверждено на 10 лет до 36 года, и важно то, что

98: То оно, это видение, включает в себя 3 параллельных вектора требований, 2 из них это технологическая независимость и покрытие айти, ландшафты, импорта. Ну, отечественные решения. По сути, импортозамещение это уже методологически регуляторно.

99: Достаточно сильно проработанное направление не без проблем, присущих им развивающихся, но важный момент, который включён в это стратегическое видение, это опора на независимые, объективные.

100: Методы контроля, которые будут стимулировать движение отрасли в сторону киберустойчивости, вот то, о чем говорил Дмитрий, это непосредственно кибер испытания, как инструмент такой объективной валидации, того состояния.

101: В части киберустойчивости, в котором находится субъект контроля, а также это внедрение рейтингов киберустойчивости, которые из вот такого абстрактного, хаотичного состояния

102: Позволяют упростить, стандартизировать оценку, сделать её внятной, понятной рынку и различным непосредственно.

103: Участников рынка, которые опираются на эту оценку и делают какие-то свои стратегические выводы и на них опираются. Если переходить от набора мер к системности, то тут можно выделить 3 взаимосвязанных направления. Измерен

104: То есть это 1, это что мы измеряем, а именно стандарты и метрики, они должны быть описаны, определены. 2, это опора на объективный контроль. Как я говорил, любая система, любые законы, любые формы контроля.

105: Они разбиваются и упираются в конфликт интересов, в невозможность постоянного, системного, непрерывного контроля, и в этом плане как раз-таки то движение.

106: В сторону которого идёт отрасль тэк, а именно вывод ключевых отраслевых предприятий на постоянные независимые кибер испытания это точно шаг к в сторону повышения киберустойчивости, основанного на объективном контроле.

107: И 3 непосредственно измерение, да, это экономика управления, то есть любой собственник бизнеса, любой руководитель, он опирается в 1 очередь на физи.

108: И финансовые показатели принятия своих решений важно сделать так, чтобы как раз-таки цифровая и киберустойчивость, она также была конвертирована в единую систему.

109: И была представлена в количественных, стоимостных, финансовых, объективных, измеримых показателях, которые в совокупности позволят принимать собственникам объективные решения, да, понимать и ориентироваться не только на физические

110: Регуляторные требования, но на экономическую целесообразность при принятии решения. Если говорить про инструменты, то ключевым является, как я уже говорил, это инструмент, который позволит обеспечить непрерывную телеметрию, поднимаемую снизу от

111: Физических показателей, которые ложается в тепловые карты в покрытие требований регулятора, на которые ориентируются те люди, на которых возложена ответственность деюра в части исполнения требований, а также

112: Уровень выше поднимаем это телеметрия, которая как раз-таки ложится в систему в единых показателях, измеренных в финансовых, количественных показателях, как я уже говорил, которые позволят принимать

113: Решение на основе экономической целесообразности. 2 инструментарий это методы объективного контроля на основе кибер испытаний. Я уже об этом говорил. Не буду останавливаться. Ну и если говорить про принципы построения такой системы, то они строятся на

114: 3 ключевых шагах. Да, 1, это нужно начинать с определения недопустимых событий, а не непосредственно опираться на технологии, потому что это позволит приоритизировать подходы к

115: В стратегии построения киберустойчивости субъекта контроля. 2 это внедрение объективных методов контроля. Конечно, они должны стать приоритетными над методами самооценки или какой-то эпизодической

116: Да, нерегулярных методов контроля. И 3 это интеграция айти иб и методов оценки непрерывности в единый контур управленческих решений. Вот совокупно.

117: Всех этих принципов, она позволяет строить системный подход к повышению кибер цифровой устойчивости отрасли. Спасибо. У меня все, спасибо, Денис Владимирович. Ну действительно, как я уже говорил,

118: Нормативки. В целом, для того, чтобы выстроить встроенную систему работы, очень много. Повторюсь, будем работать активно с регуляторами, потому что система должна быть выстроена, должна быть удобна, прозрачна и должна быть быстро изменяемая.

119: Адаптироваться под новые вызовы. Кибератаки, как вы знаете, являются 1 из значимых рисков устойчивости российской компании сегодня. Однако объекты субъекты кии подвержены угрозе, как

120: Физическом, так и в цифровом пространстве. Эти объекты нуждаются в комплексном подходе к построению систем процессов в этой связи, помимо готовности предприятий отражать атаки в реальном

121: Времени. Важно осветить вопрос долгосрочного обеспечения технологической независимости отрасли энергетики. И как раз учения в татарстане показали, что у нас были компании, которым

122: Команде удалось проникнуть там более 100 раз, но там 5, 6, 7 минут находились исследователи. Внутри периметра команда, которая сопротивлялась на той стороне, достаточно активно как бы отбивалась и в целом, в конце Концов плюнули, сказали так.

123: Надоел пинг понг, и засчитали им, что они мега мастера по умению отбиваться. У меня вопрос к артёму борисовичу поделитесь опытом госкорпорации в области стандартизации критериев доверия?

124: Обеспечение функциональности, надёжности, технологической устойчивости решений, которые применяются для критической инфраструктуры. Эдуард Михайлович, спасибо. Презентацию поставьте, пожалуйста, если ещё техническая команда, таймер может включить, тоже. Спасибо.

125: Немножко дисциплинирует с точки зрения доклад или там выступление. Хочу как бы рассказать и представить, из какой Роли я, мы как компания, ответственная в

126: Тайминга я прежде чем начну, буду это делать.

127: Росатоме за автоматизацию в 1 очеред.

128: Немножко дисциплинирует с точки зрения тайминга. Я прежде чем начну доклад или там выступление, хочу как бы рассказать и представить, из какой Роли я буду это делать. Мы как компания, ответственная в росатоме за автоматизацию в 1 очеред.

129: Атомных станций. Выступаем в Роли разработчика, изготовителя и системного интегратора и главного конструктора. Вот я сегодня буду из Роли главного конструктора системы автоматизации таких сложных инженерных объектов, как атомные станции. Рассказывать и начну. Я, ну, с цифр предлагаю

130: В них сильно не погружаться. Тут, наверное, ключевой тезис уже до меня прозвучал, что тэк является такой областью внимания с точки зрения кибератак, количество инцидентов растёт. И вот, наверное, обращу внимание на индекс угроз в тэк.

131: Компонента, связанная с атаками на кии с 24 года в 25 выросла, выросла на 40%. И это как раз говорит о том, что риски, связанные с киберустойчивость, с киберинцидентами, растут. И когда мы говорим об последствиях этих рисков, сегодня тоже это прозвучало

132: Последствия будут, могут быть как бы в 2 факторах. 1 это прекращение функционирования объекта и влияние на его надёжность. И это такой экономический, наверное, эффект для владельца объекта. И 2, гораздо более опасный. Это когда что-то вмешательство позволяет

133: Или приводит к какому-то инциденту и аварии. И когда опасный производственный объект, ну, как бы перестаёт функционировать ещё и с воздействием на окружающую среду человека и так далее. Кстати, вот, Эдуард Михайлович, вы сказали такой тезис, что как сделать так, чтобы владельцы объектов как-то, ну,

134: Более ответственно подходили. У меня просто так, спонтанно родилась как пример такой вот, например, для объектов, связанных с использованием атомной энергии. Каждый руководитель объекта 3 раза раз в 3 года сдаёт экзамен в ростехнадзор на право допуска к

135: К эксплуатации этого объекта и все правила по безопасности, в 1 очередь ядерные, радиационные, прямо сдают экзамен как будто кажется, что требования, связанные с кибербезопасностью для значимых объектов кии либо опасных объектов кии, могут быть таким же от регулятора требованием.

136: Раз в 3 года иди сдай экзамен. Что ты вообще, в принципе, как руководитель компании, понимаешь, как бы, о чем идёт речь, когда мы говорим о кибер угрозах. Это такая идея, которая возникла без подготовки, что называется.

137: Ну, я в своё время, работая начальником службы зту 1 замечательной компании, раз в год проходил.

138: Связи в

139: Раз в 3 года иди сдай экзамен. Что ты вообще, в принципе, как руководитель компании. Понимаешь, как бы, о чем идёт речь, когда мы говорим о кибер угрозах. Это такая идея, которая возникла без подготовки, что называется. Ну, я в своё время, работая начальником службы зту связи в 1 замечательной компании, раз в год проходил.

140: То, о чем вы говорите на по 5 группе, как начальник реса, можно было действительно подумать о включении некого раздела. Там же есть медицина там.

141: Пожарная безопасность там и так далее и так далее. Там же куча разделов, поэтому можно было действительно добавить раздел хорошая идея. Спасибо про импортозамещение значимых объектов критической инфраструктуры в контуре росатома. Ну мы как бы все, все объекты идентифицировали.

142: Их разделили на значимые и там просто объекты кии. У нас на сегодняшний день в значимых объектах кии импортозависимые, там 100% нет импортозависимости в части по есть определённые цифры, которые показывают все-таки динамику движения росатома в части

143: Выполнение обязательств, но я сейчас не про это хотел сказать. Вот на следующем слайде развить тезис. Мы как-то уже так привыкли, что вот термином импортозамещения подменяем где-то там термином синонимом безопасности. Ну, на самом деле, на практике как бы происходит, наверное, не так, и

144: Как бы, да, может быть, импортонезависимости, импортонезависимость есть, но с точки зрения доверия, наверное, уверенно сказать, что этому можно доверять, наверное, точно нельзя. И мы как-то считаем, что отечественные решения, как бы по умолчанию считаются доверенными. Но, собственно, мы

145: В росатоме для себя определили, что при доверии доверии не столько страна происхождения, сама управляемость и проверяемость системы, контроль всей производственной цепочки, оно является тем самым признак.

146: О котором можно говорить про доверие. Ну если немножко термин доверия раскрыть, когда, ну там, на физическом уровне, там, на человеческом, когда я кому-то доверяю, это про то, что 2 сторона может гарантировать мне какие-то условия наших договорённостей и когда есть гарантии,

147: А гарантии, они обеспечиваются как раз таким сложным процессом. Тут как раз и про кадры, и квалификацию, и про процессы, и про все остальное. Отдельный акцент, который хотел бы сделать, что, ну, мы считаем, что решение, которое можно назвать доверенным, можно считать, если

148: Есть прозрачная, верифицируемая производственная цепочка, есть критерии, связанные с управляемостью на всем жизненном цикле, есть задокументированные результаты проведения тестирований, ну и, соответственно, есть там реализованный аппаратный корень доверия в программно аппаратны.

149: Комплексов, которые вот определённым образом в этом сочетании как раз и могут условно гарантировать безопасность. Если говорить немножко про нормативку, то 719 постановление, оно устанавливает требования или критерии российского происхождения пак, но критерия доверия, оно явно

150: Не формирует.

151: Теперь, собственно, про подходы к тестированию и оценке соответствия, которые мы используем для отдельных компонентов для программного обеспечения и программно аппаратных комплексов, есть классический набор, связанный с тестированием по на соответствие требованиям информационной компьютерно.

152: Безопасность не буду здесь перечислять на слайде. Ну, там вся классика есть система, которая относительно недавно начала работать. Это оценка соответствия по системе. И на сегодняшний день все эти процессы просто неразрывно связаны с жизненным циклом создания си,

153: Киссер.

154: Безопасность не буду здесь перечислять на слайде. Ну, там вся классика есть система, которая относительно недавно начала работать. Это оценка соответствия по системе Киссер. И на сегодняшний день все эти процессы просто неразрывно связаны с жизненным циклом создания си.

155: Система автоматизации для атомных станций. Ну и мы здесь пока находимся все-таки на уровне доверия к отдельным компонентам. И я здесь говорю только о требованиях. В части кибербезопасности. Есть ещё огромный объём функциональных тестирований, которые происходит, которые проходит

156: Каждая система, решение для атомных станций в зависимости от требований по надёжности требований безопасности и так далее. И вот тут я хочу такой, как главный конструктор, определённый там тезис, наверное, внести, что, например, с точки зрения надёж

157: Функции безопасности или функции аварийной защиты реакторной установки стандартами ростехнадзора установлен чёткий критерий отказ 10 минус 5, вероятность отказа 10 минус 5. Соответственно, ни 1 техническое решение, каким бы они доверенным, протестированным не было, не со.

158: Способна такую вероятность отказа реализовать, если оно 1, это реализуется через архитектуру, через комплекс разных решений, с учётом различных принципов. Например, принцип интересный, который прям описан в нормативке по ядерной безопасности. Принцип отказа

159: Причине. Если мы используем одни и те же технические решения в архитектуре системы автоматизации, и мы допускаем, что по причине отказа программного обеспечения могут все технические средства отказать, то, соответственно, уровень надёжности мы в принципе не можем даже математическими методам.

160: Не доказать и не обеспечить. Дальше. Собственно, переходим к следующему уровню. Я уже об этом немножко сказал. Это про уровень архитектуры, что как бы говоря об угрозах и как бы киберугрозах это безусловно

161: Это как уровень, связанный с функционированием объекта. То есть угрозы являются системными. И ответ на такие системные угрозы должен формироваться, на наш взгляд, на уровне архитектуры, на уровне архитектуры. Это все, что касается принципов проектирования, учёта, рисков, угроз.

162: Это вот абсолютно тоже правильный был тезис в начале про то, что вектора атак, сами технологии, принципы, которые будут, с помощью которых будут атаковать объекты, они будут меняться, ну и соответствующие, как бы, объективные.

163: Данные по моделям угроз, по вероятностям, по там описанию нарушителя должны учитываться на этапе проектирования при создании объекта. Ну и в 1 очередь, конечно, должны следовать предписанным регуляторами требованиям.

164: Следующий тезис. Это безопасная разработка на всех технологических уровнях. Это применение технологии разработки безопасного по неожиданный эффект для себя получили. Мы создавали скада систему для электроэнергетики. И, кстати, там системный оператор сейчас пользуется нашей скадой.

165: Которая пока единст.

166: Следующий тезис. Это безопасная разработка на всех технологических уровнях. Это применение технологии разработки безопасного по неожиданный эффект для себя получили. Мы создавали скада систему для электроэнергетики. И, кстати, там системный оператор сейчас пользуется нашей скадой, которая пока единст,

167: В стране имеет сертификат 1 категории значимости. Мы сделали все в соответствии с гостом по технологии рбпо и сертификат. Стек со всеми лабораторными испытаниями получили в 2 раза быстрее, потому что был

168: Все артефакты создания этого продукта, чем классически, мы бы это раньше делали за год, мы меньше чем за полгода получили все анализы, все испытания, тесты. И это такой прямой эффект для бизнеса, с точки зрения готовности продукта, с точки зрения гарантий безопасности, это вот

169: Скажем так, встроенный корень доверия это удостоверяющий центр, цифровая подпись аппаратных решений, коды операционных систем приложений, идентификация и аутентификация отдельных компонентов. Это не факт. То есть такого сейчас на данный момент нет, но это целевое состояние. Куда мы дви.

170: Я чуть позже в конце об этом расскажу. Тут, наверное, на картинку, наверное, смотреть не стоит. Это как раз про развитие, защищённое от оттп. Это вот про такие основные базовые принципы, которые мы в архитектуре систем автоматизации.

171: Для себя положили в 1 очередь это, конечно, устойчивое функционирование, это надёжность и информационная безопасность как важнейший элемент безопасности наряду с ядерной, радиационной, промышленной и другими видами безопасности, это гарантия целостности.

172: В том числе криптографическими методами. И это конструктивная безопасность. Об этом я уже говорил. Это проектирование на основе рисков угроз, это доверенные системы из менее доверенных компонентов, это

173: Миграция безопасности в различные уровни. Здесь представлена такая очень теоретическая модель, но она достаточно комплексная, как с уровня государства, уровня регуляторов до конкретных плк. С помощью системных технологий можно вот это вот нужный уровень защищённости.

174: Архитектуру системы автоматизации реализовать, применяя даже где-то не самые доверенные компоненты внутри. Ну и теперь вот как бы несколько тезисов про как мы видим и куда идём на сегодняшний день мы занимаемся и в этом году планируем, что

175: Первые такие тестовые решения в части отдельных компонентов, связанные с плк интеграцией вокруг продукта скада, системы, о которой я уже сказал, будут реализованы. Здесь в 1 очередь мы делаем акцент на внутреннего нарушителя, считаем, что

176: Внутренний нарушитель это на сегодняшний день, ну, 1 из таких серьёзных рисков, вот коллега из позитива рассказывал, что да, атаковали извне, прямо сказал на старте, что вот этим и этим мы не занимались. Там компрометация внутреннего там специалиста, либо комп.

177: Документация подрядчика это тот инструмент, который, ну, работает на сегодняшний день. Социальный инжиниринг, ну, как-то, мягко говоря, достаточно эффективно. Это уже к концу этого года планируем реализовать, соответственно, и у себя будем

178: Пробовать в росатоме и будем предлагать, в том числе и крупным отраслям на тестирование. Это аппаратную часть, горизонт 27, 28 год, это защищённый асотп, это как раз с встроенным аппаратным

179: Доверия с обеспечением, гарантия целостности. Вся разработка, связанная с системами, ведётся по технологиям рбпо, ну и соответствующая аттестация сертификация использования системы и assert, и горизонт 30 года такая конструктивная безопа.

180: Классная платформа асутп, которая включает в себя весь комплекс, и нормативка, и среда разработки, и конкретные компоненты, и определённые метрики, правила, которые устанавливают требования к системам автоматизации, ну и завершая, наверное,

181: Хотел бы такой вывод провести, что там доверенность это или доверие, это контроль над характеристиками и надёжностью компонентов, сама защищённая сутп сложно.

182: Опасного объекта, это архитектура, и это архитектурный уровень, включая нужного нужной надёжности компоненты, ну и импортозамещение без реальной доверенности это, ну, такая иллюзия защиты, доверенность без защи.

183: Архитектуры это контроль без результата, и только в связке они дают ту самую нужную киберустойчивость объектов кии. И, наверное, ещё 1 тезис хотел бы, уже слушая докладчиков, озвучить крайне важна ролл.

184: Квалифицированного заказчика или квалифицированного владельца продукта. Вот когда коллеги рассказывали про результаты тестирования, ну, на самом деле, да, только в процессе уже атаки, в процессе, когда показали владельцу объекта, какие риски и с чем может он столкнуться только после этого.

185: Начинаем владелец задумываться о том, что, ну да, слушайте, надо че то поделать. Поэтому роль квалифицированного владельца, определённые способы формирования квалифицированных требований со стороны владельца объекта. Это, на наш взгляд, ну как минимум половина успеха достижения тех целей.

186: Которые перед государством и перед промышленностью стоит. Спасибо, Андрей Борисович. Спасибо большое. Ну, мне очень понравился, на самом деле, вот подход по организации процессов организации процессов соблюдения критериев доверенности, потому что та

187: Такая была в начале. Такое интересное там сообщение о том, что, ну, российский не значит доверенный, да, доверенный, это не страна происхождения доверенный. Это все-таки немножко другое. Артём Юрьевич, я знаю, что в росэнергоатоме

188: Вы также разделяете системный подход в части организации и к управлению информационной безопасностью. Поделитесь со своей стороны, какой сегодня модели придерживается ваша организ?

189: И как учитывается необходимость предотвращения событий с неприемлемым воздействием на объекты, да, вот продолжение коллег как раз вот с точки зрения систематизации росатом и росэнерго,

190: Естественно, мы подошли с первоначально, сформировали приказом, утвердили перечень систем, которые требуют импортозамещения для того, чтобы эту работу систематизировать с точки зрения, чем импортозамещать, был создан в отрасли центр.

191: Исследования, тестирование апробации импортозамещенных решений, вот, который помогает всей отрасли определиться с целевыми системами, на которые будем защищаться. Также был создан вот уже коллегами упомянутый орган там

192: Инструмент хороший. Это key cert, который как раз нам позволяет уже из выбранного импортозамещенного понять, а что из этого импортозамещенного действительно для нас может являться доверенным. Вот, соответственно, определены после этого реестры кии, про который мы говорили после

193: Того, какие был определён, были назначены ответственные лица, прошли. Прошло категорирование очень такой длинный, непростой процесс. Вот. Соответственно, после проведения категорирования были расставлены приоритеты. Вот, и в рамках этих приори,

194: Началась программа импортозамещения. И как раз мы понимаем, что импортозамещение айти инфраструктуры, информационных систем, работающих на них, это там такой основной, наверное, кирпичик или фундамент нашей киберустойчивости, соответственно,

195: В рамках проведения всей этой программы параллельно, естественно, происходят работы, связанные с требованиями информационной безопасности и уже моей зоны ответственности. Это обеспечение киберустойчивости самой эти инфраструктуры. Для этого мы

196: Как коллеги рассказывали, мы тоже проводим внутренние мероприятия, оценки защищённости. То есть это не уже не бумажная работа. То есть сначала мы систематизировали на бумаге, какие критерии, что должно быть. Далее, мы пошли уже в практические действия, ну там в силу определён

197: Ограничений мы делаем это самостоятельно. Имеется ввиду в отрасли у нас есть специализированные компетенции, вот с привлечением там определённых коллег. Поэтому этот процесс идёт. И создали мы сок, по сути, свой, да, там, который

198: 4 на 7 работает, но сейчас уже приходим к следующему уровню, который вот в самом начале Эдуард Михайлович сказал, и вот все это происходит. То есть мы научились достаточно системно, там, не берусь сейчас оценивать, но системно подходить

199: С точки зрения железа, программы там и определённых действий, которые вот их называют, там пассивная защита, плюс реактивная, там реакция такая, да, то есть, грубо говоря, мы там реагируем хорошо на события, быстро знаем, что делать, как на это делать и так далее. Но это все такая

200: Активная история. Мы сейчас с точки зрения вот этой систематизации такой подходим на модель, про которую тоже уже коллеги многие называли. Здесь оно по разному называется. Но суть про то, что пойти так от недопустимых событий, которые может могут произойти на моей

201: Инфраструктуре под недопустимыми событиями. Я имею ввиду то, что айти инфраструктура не должна приостановить бизнес процесс, который является критичным. То есть это уже парадигма такая немножко проактивная, когда мы разворачиваем

202: Фокус не то, что разворачиваем, включаем ещё 1 фокус, это уже с моей стороны там, да, какие сточности, это на на людей, да, на людей, которые как в it, как и в бизнесе, должны понимать, а что делать, как вообще реагировать и так.

203: Далее, потому что сейчас люди не совсем обучены, то есть мы проводим все эти проверки, но, как правило, это касается нас самих внутри себя. Вот, поэтому мне для обеспечения киберустойчивости там, it инфраструктуры, вот.

204: Вот прям чувствую, не хватает вот этой истории правильно общаться с бизнесом на предмет того, что для него является недопустимым. И, соответственно, мы, наверное, тоже будем как-то в такую модель заходить, потому что в это идёт отрасль, в это идёт, я имею ввиду, в данном

205: Случае отрасль вообще вся энергетическая, да, отрасль. Вот. Поэтому мы здесь все будем совместно действовать. Ну и хотелось бы ещё отметить из системного подхода, что вот нигде практически не озвучивалось ещё в рамках индустриального центра компетенции энергетика создан

206: Полный айти ландшафт архитектуры всех энергетических компаний верхнеуровневый, понятно. Но он создан, на котором он в рамках ключевых процессов сделан, и в нём видно определённые белые пятна, куда нам надо всем фокусироваться. Это очень классная история, потому что внутри

207: Уже отрасли, да, мы начинаем правильно расставлять приоритеты. Вот. Причём совместно это тоже очень такая хорошая модель именно системного подхода к решению наших задач. Вот. Поэтому здесь я уже за коллегами повторяться не буду. Вот хотел бы

208: Концентрироваться на этом, то, что системный подход, он очень важен. Для чего, чтобы правильно спланировать в условиях, что вы цифры уже от коллег видели, все измеряется тысячами. Да, я когда говорю там про kee, то есть, если за все хватануться, ну, мы просто ни к какому 30 году не успеем ничег.

209: Сделать. Поэтому наша задача очень правильно расставить приоритеты и как раз выполнить задачи, связанные со значимы кии. Вот, и параллельно, где можем, которые для нас важны с точки зрения бизнеса, которые просто реестровые системы, которые прост

210: В Киеве находится на этом, наверное, все. Эдуард, Артём, спасибо большое. Ну, правильно отметили, что в соответствии с планами масштабирования опыта пилотного проекта в масштабах страны нам потребуется координация непосредственно усилий.

211: Компетенции, наличие людей, непосредственно общих подходов, координация нормативного регулирования. Мы сегодня уже об этом говорили. Широкая экспертиза нужна. Ну, в конце Концов, я извиняюсь, для того, чтобы там провести

212: 2 этап киберучений, а у нас перечень регионов определённых несколько. Перечень компаний также определён, их много. Я намеренно не называю конкретные цифры по 1 простой причине, что и мы

213: Договаривались, что и по результатам татарстана у нас есть секретный документ, как бы официально секретный, там изложены все детали и кто имеет определённый допуск, он, соответственно, с этим документом может ознакомиться. Все остальное мы не афишируем по 1 простой причине, что, ну, не хотелось

214: Чтобы было определённое внимание, как бы и в целом этот соревновательный процесс мы сохранили в тайне, но соревновательный процесс, он в данном случае здесь расширяется, и нам нужны действительно ресурсы, нужна кооперация.

215: Как я уже сказал, компании нормативного регулирования, координации между участниками, поэтому у меня вопрос к рустаму мухтаровичу поделитесь позицией относительно потенциала развития в России, единой как бы it экосистемы в целом.

216: Как нам все-таки вот дальше там двигаться? Как консолидироваться? Спасибо.

217: Спасибо за вопрос. Ну, значится, мы здесь как бы представляем инфраструктурное программное обеспечение. И вот, когда вопросы встали о переходе, рынок же был весь иностранный. Вот.

218: По этим классам программного обеспечения и важная стояла задача обеспечить совместимость, совместимость. Это что такое? Вот начинали мы таких простых вещей, что прикладное по должно работать на нашей, на операционной системы.

219: Вот, и в самом начале вопрос стоял достаточно тяжело, потому что вот нашим вендорам российского, по который широко используется, это было не нужно. Заказчикам тоже не очень нужно. И вот это вот

220: Совместимость, она изначально это такая была непростая задача. Мы с самого начала, когда начали разрабатывать операционную систему, понимали, что это такой важный, важная составляющая. И что если

221: Если эту задачу не решить, то никакую экосистему не построить, никакого фундамента не получится. И постепенно нам удалось эту задачу решить. Это в 22 году дало соответствующий толчок. То есть мы почувствовали это

222: Дало результат в целом, переходя уже к экосистеме. А чем это вот надо задуматься, чем отличается экосистема партнёров технологического? Ну, экосистема технологических партнёров совместимых

223: Решение, чем от точной совместимости отличается. Вот мы на самом деле, 2 года назад на петербургском международном газовом форуме был круглый стол, где этот вопрос там широко поднимался, и обсуждались проблемы совместимости решений между собой. Что приходите, ребята, у вас там

224: Сертификат есть, совместимости ставишь, вроде на стендах работает, идёшь в бой, там что-то ещё поставили, что-то добавили, оно падает, либо падает. Через какое-то время мы как бы с пониманием этому к этому подходим. И что для себя

225: Видим, что, во первых, ну, количество тестирований нужно расширять, увеличивать, они должны быть глубже, а затем должна быть предсказуемость. Особенно с точки зрения инфраструктурного по. Мы вот с нашими партнёрами обсуждаем, какие чувствительные вещи есть, какие пакеты им нужны, какие пакеты для них.

226: Действительно, и заранее договариваться, какой версии, какой пакет будет стоять в операционной системе, в течение какого времени это появится. И это даёт предсказуемость. И, собственно, вот обеспечивает ту совместимость, когда она не точечная.

227: А вот действительно, при переходе с версии на версию ничего не ломается, не падает, не останавливаются процессы.

228: Вот, особенно это со средствами защиты информации, когда нужно ещё и в формуляр попасть заранее. Поэтому тут такая достаточно сложная задача решается, как идти дальше, как дальше строить экосистему вот сейчас широко

229: Обсуждается вопрос применения агентов по генеративному искусственному интеллекту. И как бы кажется, ну, раз экосистема, то заказчик ожидает, что вот техническую поддержку можно организовать как-то, чтоб в целом

230: Или как-то вот чтобы это идеально обеспечить единую точку входа, а лучше построить модель, взять данные у этих всех вот участников экосистемы к себе затащить и чтобы это работало и вот здесь как

231: Как раз такая сложная история, потому что как, оказывается, наши базы знаний пока не готовы к тому, чтобы на них применяли искусственный интеллект. Это такая тяжёлая работа, и мы договаривались там с арсем с вк, что эти базы знаний попробуем объединить.

232: База знаний объединятся и тогда заказчик как бы получит вот этот эффект бесшовности. Эффект экосистемы это наша задача вот ближайшего будущего. Помимо этого, ещё тяжелее задача стоит это

233: Дать доступ к базам технической поддержки, где решены определённые тикеты, достаточно сложные тикеты, в которых решались проблемы совместимости нескольких продуктов между собой. И вот когда мы

234: Вот эти штуки сможем объединить и они будут как бы, как говорят сейчас, готовы к применению искусственного интеллекта. Вот тогда я думаю, что экосистема станет российских решений более зрелой и от этого заказчики ещё больше уверенность

235: Получат. Ну, в целом, мы чувствуем хорошо темп. Думаю, что это получится. Спасибо большое. Я маленькое отключение сделаю. У нас в министерстве уже не 1 год используется операционная система.

236: Присутствующего здесь спикера. Я как бы, дабы рекламу не делать, он вроде как не сказал, но все поняли. Недавно у нас возникла необходимость, ну, как необходимость, она всегда была. Мы просто обратили внимание, что мы не можем подключаться к абонентам, которые используют там на вк.

237: У нас также отечественное решение по вкс, которое работает с отечественной операционной системой, зелёненькое такое, там, знаете, истинная конференция. Если переводить с колхозно английского на русский, вот, значит,

238: И не работает авая, и не работает там zoom понятно, этот не православный и мы к производителю обратились операционная система говорим ну-ка там подшаманьте там вы ж там там туда сюда там Кодык 05.10 нас.

239: Послали бабочек ловить. Не буду говорить, куда мы сначала разозлились. Думаем, как так-то? Вы че там вообще что ли, это?

240: Ну, мы то вроде как купили денег, платим, а вы там доработать не хотите. Потом сели такие, подумали, думаю, ёлки палки, а вот это тоже некий элемент такой подхода защиты, да, определённой. Но нам объяснили компетентно ваши коллеги, почему этого нельзя сделать?

241: Или, точнее можно сделать, но какие риски есть? Это отрадно то, что, во первых, как бы вот этот момент с безопасностью он как бы учитывается, в том числе, казалось бы, там, че там кодеки, да, но в конечном итоге там это тоже ещё 1 элемент.

242: Скажем так, отказа, точка воздействия. И это хорошо, что в компаниях не только, надеюсь, вашей как бы делают определённую оценку. И мы как бы успокоились. Мы теперь всем, кто хочет нам подключиться там через ава или через зум, или ещё че-нибудь пишем, не могём.

243: Не участвуем, как бы, поэтому мы уже достаточно давно пользуемся отечественной операционной системой отечественной, как бы офисным пакетом, но в целом, как бы, знаете, ничего страшного, люди буквально там пару недель побухтели в хорошем

244: Этого слова. Потом все, все привыкли и забыли, как бы я вообще с 96 года работаю на юниксе. Я ничего не понимаю в виндовсе так получилось, что я линуксоид, мне повезло, поэтому они все одинаковые дистрибутивы, их 50 штук, они все одинаковые, там картинка только разная, ну,

245: В целом, давайте вернёмся к теме. Извиняюсь за отвлечение небольшое. Вот мы сегодня проговорили там по поводу подходов нормативки, там, как в наших уважаемых больших компаниях организовано это, но все равно требуется какая-то организация.

246: И вот какой-то подход к мониторингу, к некой такой, знаете, единому управляющему или хотя бы мониторящим элементу, извините за мой там косоязыкий слог и, может быть,

247: Нужно делать какие-то центры управления отраслевые, может быть это не обязательно там на каждую отрасль может быть это, ну у нас есть понятно, что определённый центр консолидации той или иной информации, там, гоопа там и так далее и так далее. Сегодня

248: Вводилось на слайде. У некоторых это многоуровневые системы подходы. Как вы. Вот, Александр Евгеньевич, у меня к вам вопрос. Поделитесь видением холдинга в отношении перспективы появления в ключевых отраслях экономики нашей страны.

249: Ну, в частности, в тэк, например, от центров, которые как бы отвечали бы за обеспечение защищённости. Есть ли в этом смысл? И, ну, что это в конечном итоге даст, потому что мы сейчас перед выбором, понимаете, мы сейчас следующее.

250: Регионы сделаем, потом следующие регионы сделаем и в целом, потом у нас будет за cyber учениями ещё будет кибер испытания это у нас. Вот мы только с Дмитрием понимаем разницу между этих 2 терминами да, киберучения это 1 раз.

251: Шёл и ушёл. А кибер испытания это трое детей ипотека. То есть это постоянный процесс, уже никуда не денешься. То есть это когда, грубо говоря, компании в постоянном режиме работают над мониторингом и своей безопасностью. Поэтому

252: Киберучения 1 раз и убежал. Кибер испытания остался до пенсии. Ну, нужно этим как-то всем управлять. Должны быть центры или мы все-таки как то заблуждаемся. Александр Евгеньевич, че думаете?

253: Да, Эдуард Михайлович, спасибо за вопрос. Добрый день. Коллеги здесь хотели бы от x безопасность поделиться своим опытом именно отраслевых центров киберустойчивости в некоторых других министерствах?

254: Прежде всего мы говорим про опыт общения и взаимодействия по данному вопросу с минтрансом, с минстроем, и здесь давайте так немного апеллируем к тезису.

255: Этой сессии, да, это киберустойчивость кии тэк в масштабах страны. Я как раз сейчас, наверное, воспользуюсь тем, что могу обобщить все сказанные тезисы, да, коллегами, участниками. Единственное, что ещё Иван Дмитриевич, да, будет по вкс, наверное, участвовать, подклю

256: Ну хорошо, тогда обобщу, что уже успели сказать здесь, смотрите, мы здесь, да, смотрите, какой у нас интересный момент получается. Да, мы говорим про, то есть название киберустойчивость кии тэк, да, в масштабах страны. То есть это не про цифровую трансформа.

257: На закуску оставили.

258: Ну хорошо, тогда обобщу, что уже успели сказать здесь, смотрите, мы на закуску оставили здесь, да, смотрите, какой у нас интересный момент получается. Да, мы говорим про, то есть название киберустойчивость кии тэк, да, в масштабах страны. То есть это не про цифровую трансформа.

259: Да, хоть у нас и цифры, то есть это не какой-то процесс, да, который там можно выполнить за, там полтора, 2 года, да, и поставить, поднять флажок и сказать, что мы импортозаместились, это даже не про защищённость, да, когда мы, опять же, на уровне всего министерства.

260: Можем сказать, что у нас на определённый процент защищена, имеет уровень защищённости. Вся отрасль это именно про устойчивость. То есть это все-таки про определённый такой действительно динамический процесс, да.

261: Прежде всего, наверное, столкновение с этими атаками и реагирование на них, да, почему? Почему так получается? Прежде всего, потому, что, если смотреть со стороны министерства, да, нужно понимать, что министерство, скорее всего, опять же, по опыту взаимодействия вот с

262: Минтранс минстроем, да, можно сказать, что министерство отвечает за стратегию, да, а непосредственно за оперативное управление все-таки отвечают организации, да, корпорации. И нужно понимать, что у каждой корпорации организации есть своя, скорее всего, стратегия.

263: Информационной безопасности. Есть некоторые экономические характеристики, да, у кого-то, может быть профицит бюджета, у кого-то есть инвестиционные направления, вообще создание некоторых своих цифровых решений, а у кого-то может быть дефицит бюджета, да, и нехватка средств в целом.

264: На реализацию даже обычных базовых требований регулятора, да, то есть то, что мы говорим про стек. Да, и вот вопрос как раз-таки эффективности или неэффективности, зачастую неэффективность получается просто из за того, что присутствует

265: Дефицит необходимых ресурсов на реализацию этих требований. И здесь хотелось бы вот как раз, да, поделиться опытом в части именно не оперативного управления, потому что оперативное управление, оно будет делаться именно организациями, да, есть непосредственно генеральные директора.

266: Команды менеджмента, которые реализуют стратегию, реализуют требования и определяют оперативное управление. Вот что можно было бы сделать со стороны именно министерства, например, министерства энергетики. Да, и вот здесь как раз пойдём, если по порядку. Евгений Владимирович сказал,

267: Про инвентаризацию, да, и как 1 шаг к повышению в целом защищённости, да, организации и, соответственно, всей отрасли. В целом, действительно, это так и есть. Почему? Потому что самое основное, наверное, это на уровне министерства понимать.

268: Какое самое слабое место, да, то есть, с 1 стороны, у нас есть задача повышения среднего уровня защищённости министерства энергетики всех предприятий, туда входящих, да, путём вот реализации как раз-таки кибер испытаний понимания, какие технологии используются, насколько

269: Идёт импортозамещение, цифровизация предприятий и внедрение соответствующих средств защиты информации. С другой стороны, вот мы, например, наблюдали, вот, в том числе Андрей Борисович, дааа, показывал презентацию и некоторых их подходов, которые они, они используют там, в части доверенности д.

270: Это очень как раз-таки правильные, правильные шаги для повышения своей устойчивости, но нужно понимать, что злоумышленники вряд ли массово будут стремиться атаковать такую организацию, потому что это будет достаточно затратно и

271: И не нести в себе некоторого ожидаемого результата. Они будут стараться ударить в самые слабые, незащищённые места именно в организации, у которых есть некоторые сложности, да, там с дефицитом бюджета и в целом с внедрением определённых средств защиты информации. И 1 из ключевых задач на уровне

272: Министерство это как раз-таки понимать, а какие такие слабые места вообще есть и куда могут ударить это как раз-таки вот касается в части сбора информации и отраслевого центра да, то есть это все же центр не какой-то супер там security operation center или

273: Команда, которая будет мониторить и защищать все инфраструктуры, всех организаций. Ну это несколько такая идиллия получается. Нет. Мы же говорим именно про ситуационный центр для принятия решений на уровне министерства в целом понимать какие

274: Наиболее вероятные цели могут быть и что будет происходить? Да, вот также упоминалось. Здесь я пометил, Денис Владимирович упоминал про риски в рублях, да, в презентации было. И нужно понимать, что когда мы, да, в финансовой отрасли достаточно легко посчитать.

275: Финансовые риски, особенно когда получилось получить доступ к счетам и непосредственно сумму куда-то перевести прямые финансовые издержки. А то, что мы сейчас видим в текущий в прошлый год, именно так кибератаки, которые случаются на энергетическую

276: Промышленность, они скорее даже идут не ради нанесения финансового ущерба. Конечно, это становится проблемой непосредственно организации, да, простой и финансовый ущерб, который ей наносится. Но в части энергетики, да, и у нас вот здесь в заголовке есть кии, да, киберустойчивость кии, что

277: Кокии, как и в случае с другими отраслями, то, что мы говорим. Транспорт, строительство это прежде всего нанесение ущерба. То есть, когда граждане не могут получить значимые сервисы, да, например, передаётся там сбой в подаче.

278: Электроэнергии, сбой в транспортной промышленности, да, и граждане не могут получить доступ, да, к каким-то критически социально значимым сервисам. И именно это является уже, наверное, 2 ключевой вещью, да, то есть, помимо понимания, какие же у нас слабые места.

279: В в целом, в отрасли энергетики есть понимание, что злоумышленники не будут размениваться на в целом выгадывание какой-то там своей финансовой выгоды, они будут действовать именно с точки зрения разрушения. И вот если мы говорим, что у нас есть, ну, предположим, что они могут быть

280: Да, потому что у нас же каждая компания в, ну, которую может курировать министерство энергетики, у них есть свои, прежде всего задачи, да, там, вот, в рамках там, и цк, и общей цифровизации импортозамещения, у них есть свои дедлайны, сроки перехода на

281: Импортозамещение, цифровую трансформацию проведения и никуда не перестаёт деваться коммерческая, да, эффективность и рентабельность ведения бизнеса. И при этом здесь у нас все время параллельная линия идёт. Вот все, что мы сейчас обсудили, некоторые требования по

282: Кибербезопасности, которые надо выполнять, да, но при этом мы понимаем, что это достаточно сложно, скажем так, доставить и имплементировать, да, в жизненный цикл каждой отдельно взятой отдельной организации и со стороны министерства. Поэтому и

283: Предлагается, по опыту отраслей минтранса минстроя, создавать отраслевые центры, которые будут координации, которые будут на уровне министерства показывать, где предположительно может случиться следующая атака и какой примерно.

284: А вообще масштаб, ну, условно говоря, деструктивного воздействия может быть получен. И, соответственно, что для этого нужно сделать? Это как раз-таки группа там, реагирования, которая точно также может быть реализована в этом отраслевом центре и далее уже

285: Принятие каких-то определённых алгоритмов, да, по восстановлению, потому что, опять же, если мы говорим про киберустойчивость кии, вопрос как раз-таки не расследования инцидента, да, хотя расследование инцидента важная задача понять точка входа, почему это случилось, да, и зачастую

286: Как раз-таки вот на главной пленарной сессии, как раз мы, наверное, все видели, что несмотря на большое количество отраслей, разработчики решений, в основном это компании достаточно ограниченный перечень, да, и сразу встаёт вопрос атаки на цепочку поставок.

287: Да, и прежде всего, не на вендоров, опять же, у которых там все защищено, там что откуда-нибудь из серьёзной системы похитят, сертификат, им начнут подписывать, а скорее речь идёт про, в том числе интеграторов, да, которых также ограниченное количество, которые непосредственн.

288: Внедряют эти решения в организации, входящие в минэнерго, поэтому, наверное, таким основным тезисом и заключением как преимуществ отраслевого центра киберустойчивости в минэнерго.

289: Я бы вот выделил опять же, несколько тезисов, про которые сказал, да, это, с 1 стороны, повышение среднего уровня защищённости отрасли, но при этом оперативное наличие информации о самых слабых местах, да, о том, куда будет

290: Совершена атака. И 2 момент это восстановление, да, в случае, если все же атака произошла, это способность в кратчайшие сроки восстановить функционирование этого социально значимого, ну и прежде всего, да, объекта организации, которая

291: Входят там сегменты, относящиеся кии, там в рамках министерства энергетики, да, для того, чтобы их основной бизнес процесс был восстановлен, наверное. Все. Спасибо.

292: Хорошо, Александр Евгеньевич, спасибо. Ну и у нас, как я уже сказал,

293: Входят там сегменты, относящиеся кии, там, в рамках министерства энергетики, да, для того, чтобы их основной бизнес процесс был восстановлен, наверное. Все. Спасибо. Хорошо, Александр Евгеньевич, спасибо. Ну и у нас, как я уже сказал,

294: Последок осталась 1 очень хорошая, замечательная организация, Игорь Дмитриевич, на связи.

295: Игорь Дмитриевич, ну я надеюсь, вы послушали, послушали нашу замечательную дискуссию. Сегодня мы много говорили о стратегических и технологических процессах построения устойчивой отрасли, но в основе любой системы, как вы знаете, в 1 очередь

296: Находятся люди, это наши кадры, мы в целом живём в ситуации необходимого быстрого отказа от западных решений, быстрого импортозамещения, острого дефицита квалифицированных.

297: Кадров действительно, людей в определённых направлениях, областях у нас не хватает, с другой стороны, все на все это, скажем так, по повышению устойчивости бизнеса требуется определённый подход.

298: Ходы к оптимизации трудозатрат и правильной эксплуатации. Мы проводим регулярный анализ и смотрим, как дела у нас с компаниями отрасли. Хочу отметить, что компания транснефть достаточно активно адаптирует у себя эти задачи.

299: При создании единой системы защиты информации хотелось бы вот узнать, как вы оцениваете готовность компании в создании единой системы защиты информации и готовы ли поучаствовать в дальнейшем.

300: В наших кибер испытаниях киберучениях спасибо.

301: Спасибо выступить в цифровом виде на закуску надо было выбирать все-таки наземные виды транспорта.

302: Спасибо за возможность.

303: В наших кибер испытаниях киберучениях спасибо спасибо спасибо за возможность выступить в цифровом виде на закуску надо было выбирать все-таки наземные виды транспорта.

304: Чтобы добраться, я думаю, что вопросы кибербезопасности будут становиться все актуальнее и серьёзнее, и мы видим, что технологии развиваются, и мы уже думаем не только о части секьюрити в технологиях, но и о

305: В направлении физического искусственного интеллекта, это роботизированных физических систем. И говоря о повышении культуры, информационной безопасности в связи с дефицитом кадров. Конечно, это объективная проблема на рынке и

306: Формирование единой системы управления рисками. Транснефть не просто развивает культуру иб, но и мы обучаем всех сотрудников. Я думаю, как и многие компании, начиная не просто от работников иб.

307: Ну и заканчивая представителями рабочих профессий, товарных операторов, линейных трубопроводчиков и так далее, и мы стремимся к созданию единых стандартов иб по всей трубопроводной отрасли, обеспечивая совместную работу со всеми участниками цепочки.

308: Поставок, как вот сказал Александр Ковалевский, это очень важно. В 1 очередь работа с подрядчиками. И мы не только говорим о формальной части, то есть это штрафы, там негативные последствия для них

309: Но также и приглашаем наших Подрядчиков участвовать, разрабатывать в конвейере разработки, которые мы используем при создании it продуктов, консультировать их, ну и так далее для обеспе.

310: Обеспечение безопасности, в 1 очередь для нас. Говоря о том, как мы создаём единую систему, мы исходим из того, что информационная безопасность это не барьер. Мы

311: Работаем с представителями ит. Блока и вырабатываем главный принцип. Это ит как услуга, а не как стоп фактор там или жесточайший контроль. Как было раньше, мы стараемся придерживаться принципа равного раннего выявления ошибок.

312: И на стадии проектирования системы совместно с представителями it включаемся в архитектуру, безопасность кода и применяем и применяем стек технологий так называемый принцип шифт лефт.

313: Это касается не только работы с блоком айти внутри, но и с и заказчиками, но, как я говорил, с подрядчиками, и мы все нацелены на результат создание рабочей и киберустойчивости.

314: Наша метрика оценки единой и cyber устойчивой системы, она базируется не на количестве выявленных нарушений требований б уязвимости или опасных ошибок кода, а времени от момента.

315: Старта работ по созданию цифрового продукта до момента его промышленной эксплуатации безопасной, конечно. И Павлович, ещё раз спасибо за то, что когда нас пригласили участвовать в киберучениях в татар,

316: Мы считаем, что, конечно же, любая система невозможна без регулярных испытаний проверок, поэтому мы с радостью готовы участвовать и в испытаниях. Поэтому я считаю, что это очень важное направление, которое проводит минэнерго. Спасибо.

317: Вам, Дмитриевич, спасибо большое. Я надеюсь, что служебная необходимость, а не Любовь к быстрому транспорту вам сегодня не позволила оказаться здесь в любом случае. Ещё раз спасибо за участие, коллеги.

318: Я благодарен всем, кто дожил до конца нашей замечательной сессии, благодарен спикерам и хочу сказать о том, что та тема, которую мы с вами обсуждаем, это уже часть нашей жизни, часть нашего будущего и

319: Если раньше иногда это было баловство, иногда это была тренировка своих навыков, иногда это было какое-то там реализация своих каких-то комплексов, желание как-то выделиться, заявить о себе. Зачастую это были день.

320: Деньги киб, какой-то период. Это были деньги, когда люди просто делали для того, чтобы получить какую-то выгоду с минимальными затратами быстрого заработка, подточить свои компетенции и так далее и так далее. Сейчас немножко все

321: Менялась и обратно точно не вернётся сейчас это уже иногда политика, сейчас это иногда просто какая-то фобия в отношении какой-то страны, в данном случае там русофобия. Не знаю как это может угодно можно назвать, но

322: Мир давно отошёл от правил, и в этом вопросе тоже, я имею ввиду кибербезопасность, информационная безопасность. Я сегодня вот приводил пример, когда в своё время там 1 из преподавателей в учебном заведении, где учился, сказал, любая система защищены, не предназначена для защит.

323: Мы такие глазами похлопали. Думаю, как так-то, ёлки палки, он говорит она предназначена только лишь для соблюдения баланса, когда усилия, затрачиваемые на взлом, меньше чем точнее больше, чем деньги, потраченные на защиту системы, но меньше.

324: Выгоды, получаемой после взлома. То есть, если у вас 200000000, выгода на система потрачена на защиту 50000000, злоумышленник тратит 60, то это аксиома, система развалится до 22 года. Это, может быть и работало только сейчас. Это уже не работает в принципе.

325: Работает, но это уже не главный подход. Сейчас много политики, сейчас много вражеских настроений. И я говорю о том, что нам просто с этим жить, и это будет развиваться таким так же бурно и быстро, как развиваются технологии. Поэтому

326: Нужно принять это как данность, нужно развивать компетенции, нужно воспитывать, обучать людей, специалистов в этой области должно быть как можно больше. Мы, проводя свои киберучения и в дальнейшем кибер испытания, расширяя зоны действия совместно

327: С регуляторами преследуем. Как я уже сегодня говорил, 1 простую цель это показать серьёзность ситуации, показать, что на это нужно выделять деньги. Нужно культивировать это направление. Нужно поднимать эту отрасль. Слава Богу, что у нас так исторически сложилось.

328: Что, а есть хорошие программные продукты, которые писались десятилетиями нашими когда-то энтузиастами, а сейчас уже достаточно людьми с серьёзными продуктами. У нас есть и оборудование, пусть

329: Пока ещё не на российской элементной компонентной базы оборудования, защиты. Паяльник мы всегда в руках умели держать. Правильно. Тут че греха таить, как говорится, Бог нас этим не обидел. Вот. Но

330: Здесь, в этом плане, нам повезло, но все равно нужно быть на шаг впереди. Мы должны опережать наших вероятных противников, и нужно понимать, что в скором времени какие-то физические конфликты, которые будут, да, периодически появлять.

331: В разных точках нашего мира они все-таки будут уже в большей степени комбинированы. И, наверное, мы придём к тому, когда какой-то физической агрессии уже без, знаете, как раньше артподготовка была перед наступлением, да, сейчас

332: Будет практически через какое-то достаточно небольшое время. Я думаю, от сегодняшнего дня уже, в общем то, ни 1 физическая агрессия не будет обходиться без предварительного там cyber подготовки, да, там потом арт подготовка может быть. Зачем арт подготовка, если есть кибер, подготовка та.

333: Да, или кибератака предварительная. Вот эти комбинированные подходы, они должны все-таки адекватно нами нивелироваться, и нужно понимать, что и импортозамещение, и

334: Кадры и информационная кибербезопасность это залог нашего будущего счастливого будущего нашей независимости как нашей страны. Поэтому, коллеги, ещё раз всем спасибо. Хорошего вечера.