Блог

Интересный случай из жизни безопасности критических инфраструктур произошел на прошлой неделе в США и был описан на страницах информационного агентства Reuters.  Из повестки и без того закрытой конференции, проводимой где-то «там у них», в последнюю минуту были сняты два доклада о потенциальных уязвимостях атомных электростанций, через которые могут быть совершены кибер-атаки. И сняты они были с повестки, по  информации организаторов конференции, после того, как им пригрозил судом вендор оборудования, ссылаясь на то, что доклады раскрывают слишком много информации об их устройствах (точнее, видимо, об его уязвимостях). [spoiler]При этом руководством АЭС презентации были одобрены. Более того, в результате данного инцидента участники конференции узнали, что компании, занимающиеся техническим аудитом контрольно-измерительного оборудования в критически важных системах, не могут сообщить о найденных уязвимостях даже официальным властям США, опасаясь судебного преследования вендоров. Сообщения о том, что доклад о способах взлома SCADA систем был отменен по просьбе вендора оборудования, попадались в новостях и ранее (к примеру, такой случай был с Siemens), но об угрозе судом, я например, прочитал впервые. Видимо на фоне увеличивающегося вала обнаружений уязвимостей в промышленных компьютерных системах вендоры вынуждены спасаться судебной защитой.

Эти вопросы вполне могут быть актуальны и для нашей страны, и ответ на них не однозначен. С одной стороны, информация эта действительно очень критична и знание уязвимостей в программном обеспечении конкретного оборудования широкими массами может выступить дополнительной уязвимостью в системе безопасности объекта в целом, а с другой стороны, как раз злоумышленники, скорее всего этой информацией завладеют и без наших презентаций, ведь у них проблем с разглашением и обменом информацией нет, в то время, как потенциальные жертвы будут находиться в неведении об уязвимости своих систем.
Вопрос этот очень важен, и у меня, к примеру,  нет готового на него ответа. И было бы полезно всем вместе его поискать, пока еще есть на это время…

Вообще, хотя издание не специализированное, но статья подняла много острых вопросов безопасности в промышленных системах, и все они не вмещаются в формат блога. Кому интересно, могут почитать более подробные комментарии.