40% систем управления промышленными процессами уязвимы для хакеров

40% систем управления промышленными процессами уязвимы для хакеров

Более 40% подключенных к интернету автоматизированных систем управления технологическим процессом (АСУ ТП), применяющихся на предприятиях в энергогенерирующей, нефтеперерабатывающей и других отраслях, уязвимы для простейших хакерских атак, в результате чего целые заводы могут быть выведены из строя, говорится в исследовании российской компании Positive Technologies, опубликованном в среду.

Системы АСУ ТП в настоящее время применяются практически в каждой отрасли: начиная с транспортной (скоростные поезда «Сапсан», метрополитен), заканчивая атомными и гидроэлектростанциями, и даже сетями распределения электроэнергии и водоснабжения. Последствия успешной хакерской атаки на любую из таких систем могут оказаться катастрофическими, однако, как выяснили специалисты Positive Technologies, безопасность современных АСУ ТП оставляет желать лучшего, сообщает digit.ru.

«Как минимум 42% доступных через интернет систем АСУ ТП содержат уязвимости, которыми без труда может воспользоваться злоумышленник. Доля систем, безопасность которых была достоверно подтверждена в ходе исследования, составляет всего лишь 17%», — говорится в тексте исследования.

Специалисты отмечают рост числа именно подключенных к сети систем (еще несколько лет назад такие примеры были редкостью и АСУ ТП в основном работали автономно). США и Европа лидируют по числу доступных из интернета систем АСУ ТП, при этом 54% доступных извне систем в Старом Свете и 39% в США уязвимы и могут быть взломаны. На третьей позиции — Азия (32%). В России уязвима половина интернет-доступных систем АСУ ТП.

Большинство проблем безопасности IT-систем управления связаны с ошибками конфигурации (например, со стандартными паролями) и отсутствием обновлений. В подобных ситуациях системы могут быть взломаны даже непрофессиональными хакерами. В настоящий момент 35% всех представленных уязвимостей АСУ ТП имеют эксплойты (готовые средства для использования уязвимости), которые свободно распространяются в виде отдельных утилит, входят в состав программных пакетов для проведения тестов на проникновение, либо описаны в уведомлениях об уязвимости, отмечают исследователи.

Отчасти в подобной ситуации виноваты сами производители систем АСУ ТП. По данным исследователей, примерно каждая пятая уязвимость «закрывалась» с серьезной задержкой, а в некоторых случаях так и не была устранена. Например, Siemens устранил и выпустил обновления для 92% уязвимостей, тогда как Schneider Electric ликвидировал только чуть больше половины (56%). Исследование охватило период с 2005 года до 1 октября 2012 года. В период с 2005 года по 2010 год было обнаружено всего 9 уязвимостей в системах АСУ ТП. Однако после появления червя Stuxnet в 2010 году, который, предположительно, атаковал ряд ядерных объектов Ирана, за 2011 год было найдено уже 64 уязвимости.

За первые восемь месяцев 2012 года появились сообщения о 98 новых уязвимостях: это больше, чем за все предыдущие годы. При этом около 65% уязвимостей относятся к высокой и критической степени риска. «Этот показатель значительно превышает аналогичный показатель в прочих IТ-системах, что свидетельствует о низком уровне развития информационной безопасности систем АСУ ТП», — отмечают эксперты Positive Technologies.

Наибольший интерес для злоумышленников представляют такие составляющие АСУ ТП, как системы SCADA (системы сбора и анализа информации о работе производства) и интерфейсы управления Human Machine Interface, в которых обнаружено 87 и 49 уязвимостей соответственно. В программируемых логических контроллерах (устройствах, контролирующих работу оборудования) различных производителей за отчетный период найдены 20 уязвимостей.

Инициатива Минцифры по помощи вузам рискует снизить инвестиции ИТ-компаний

По оценкам участников отрасли, требование Минцифры направлять вузам 3% от средств, сэкономленных за счёт налоговых льгот, может привести к сокращению инвестиций ИТ-компаний в образование и науку на 30–50%. Представители рынка считают, что предложенный министерством механизм сужает круг возможных направлений для поддержки и тем самым снижает вклад бизнеса в формирование кадрового резерва отрасли.

Это требование Минцифры появилось в декабре 2025 года. К июню компании со штатом более 100 человек и выручкой свыше 1 млрд рублей должны будут заключить соглашения с профильными вузами о финансовой поддержке и содействии в подготовке кадров.

В феврале 2026 года был опубликован проект приказа Минцифры, определяющий порядок взаимодействия ИТ-компаний и вузов. В частности, как пишет «Коммерсантъ», участникам рынка предлагается разрабатывать проекты основных образовательных программ, привлекать сотрудников компаний к преподаванию, а также финансировать стажировки, создание контента для школ, программы повышения квалификации и мероприятия в рамках федеральных проектов.

В марте на проект поступили отзывы от ИТ-компаний и профильных объединений. Так, Ассоциация разработчиков программных продуктов (АРПП) «Отечественный софт» и Российский союз промышленников и предпринимателей заявили, что документ «существенно ограничивает виды поддержки и не в полной мере учитывает интересы сторон». В числе возможных последствий они назвали сокращение текущих расходов компаний на образование и науку на 30–50%, а также сужение перечня образовательных инициатив, которые сможет поддерживать бизнес.

Отраслевые объединения предлагают расширить список допустимых мер поддержки. Среди возможных вариантов — именные стипендии и гранты, организация и проведение хакатонов, передача лицензий на программное обеспечение и оборудования, а также освобождение от НДС всех операций по передаче средств от ИТ-компаний образовательным учреждениям.

Как отметил источник издания на ИТ-рынке, вопрос поддержки образования остаётся для отрасли крайне важным, особенно для крупных компаний. Это связано в том числе с действующими налоговыми и неналоговыми льготами, однако у бизнеса по-прежнему остаётся немало вопросов о том, как учитывать такие расходы.

В Минцифры, в свою очередь, заявили, что включили в проект приказа те меры, которые, по оценке ведомства, дают наибольший эффект. При этом в министерстве добавили, что «вопрос расширения перечня видов мероприятий может быть рассмотрен в дальнейшем».

«Эксперты АРПП проанализировали опыт реализации пилотного проекта, посвящённого взаимодействию ИТ-компаний и образовательных организаций, и сформулировали предложения по доработке инициативы. На рабочей встрече в Минцифры эти предложения были рассмотрены. Сейчас мы ведём совместную работу по совершенствованию проекта», — рассказал исполнительный директор АРПП «Отечественный софт» Ренат Лашин.

RSS: Новости на портале Anti-Malware.ru