45
оперативного тока и исполнительным цепям путем размещения их на разных
кабелях, а также, по разным трассам;
- применение на электросетевых объектах, являющихся источниками
сильных электромагнитных помех (ЭМП), систем автоматической пожарной
сигнализации, имеющих степень жесткости (устойчивости) к ЭМП не ниже III;
- применение в системах автоматической пожарной сигнализации (АПС)
зданий:
а) волоконно-оптических каналов передачи цифровой информации от
ПКП к ПКУ (при высоком уровне ЭМП в местах прохождения цифрового
интерфейса связи);
б) точечных дымовых извещателей с цифровой микропроцессорной
обработкой сигнала;
- применение огнепреградителей в системах отвода масла;
- оснащение пожарной сигнализацией всех помещений, за исключением
помещений, относящихся к категории В4 и Д по пожарной опасности, венткамер
(приточных, а также вытяжных, не обслуживающих производственные
помещения категории А или Б), насосных водоснабжения, бойлерных и других
помещений для инженерного оборудования здания, в которых отсутствуют
горючие материалы; помещений с мокрыми процессами (душевые, санузлы,
помещения мойки и т.п.); лестничных клеток;
- применение для отделки эвакуационных путей материалов следующих
категорий пожарной опасности:
а) Г1, В2, Д2, Т2 - для отделки стен и потолков в вестибюлях, лестничных
клетках, лифтовых холлах;
б) Г2, В2, Д3, Т2 - для отделки стен и потолков в общих коридорах,
холлах и фойе;
в) Г2, В2, Д2, Т2 РП2 - для покрытия полов в вестибюлях, лестничных
клетках, лифтовых холлах;
г) Г3, В2, Д3, Т3 РП2 - для покрытия полов в общих коридорах, холлах и
фойе;
46
д) НГ или Г1 - для покрытия полов в помещениях зданий
производственного или складского назначения категорий А, Б и В1;
- использование негорючих материалов для устройства каркасов
подвесных потолков в помещениях и на путях эвакуации (окрашенные
лакокрасочными покрытиями каркасы из негорючих материалов должны иметь
группу горючести НГ или Г1), а также помещений для посетителей организаций
бытового и коммунального обслуживания с нерасчетным числом посадочных
мест (Центры обслуживания клиентов и т.п.);
- использование материалов для отделки стен и потолков с классом
пожарной опасности КМ0 и (или) КМ1для помещений книгохранилищ и
архивов, а также помещений, в которых содержатся служебные каталоги и
описи;
- оснащение систем вентиляции и кондиционирования воздуха
помещений АСУ ТП устройствами, обеспечивающими их отключение при
пожаре, как по месту их установки, так и со щита управления;
- устройство противопожарных перегородок, из огнезащитных
материалов в местах прохода кабелей из кабельных сооружений в лотки с
пределом огнестойкости не менее EI 45, а также в местах разветвлений на
территории ОРУ и через каждые 50 м по длине. В качестве огнезащитных
покрытий строительных конструкций, кабелей и устройства кабельных
проходов в стенах и фундаментах должны применяться огнезащитные
материалы, имеющие сертификаты соответствия требованиям Федерального
закона № 123-ФЗ от 22.07.2008 г. «Технический регламент о требованиях
пожарной безопасности»;
- устройство маслосборника силовых масляных трансформаторов, за
пределами здания на ПС, оснащенных КРУЭ;
- применение объемно-планировочных решений и средств,
обеспечивающих ограничение распространения пожара за пределы очага;
- применение систем коллективной защиты (в том числе
противодымной) и средств защиты людей от воздействия опасных факторов
пожара;
47
2.2.3. Промышленная безопасность
Основным принципом Положения в области промышленной
безопасности является приоритет жизни и здоровья сотрудников Общества,
персонала, находящегося на опасных производственных объектах (далее ОПО)
Общества и третьих лиц по отношению к результатам производственной
деятельности, а также обеспечение уровня защищенности от аварий на ОПО и
последствий указанных аварий в соответствии с требованиями Федеральным
закона Российской Федерации от 21.07.97 № 116-ФЗ «О промышленной
безопасности опасных производственных объектов».
Для реализации требований промышленной безопасности необходимо
выполнение следующих ключевых мероприятий:
- организация и осуществление производственного контроля на опасных
производственных объектах за соблюдением требований промышленной
безопасности;
- обеспечение получения лицензий на осуществление конкретного вида
деятельности в области промышленной безопасности, подлежащего
лицензированию в соответствии с законодательством Российской Федерации;
- обеспечение проведения экспертизы промышленной безопасности
зданий, сооружений и технических устройств, применяемых на опасном
производственном объекте, а также проведение диагностики, испытаний,
освидетельствований сооружений и технических устройств, применяемых на
опасном производственном объекте, в установленные сроки;
- обеспечение получения положительного заключения экспертизы
промышленной безопасности проектной документации на техническое
перевооружение, консервацию и ликвидацию опасного производственного
объекта, а также осуществление регистрации опасных производственных
объектов в государственном реестре опасных производственных объектов;
- планирование и осуществление мероприятия по локализации и
ликвидации последствий аварий на опасных производственных объектах II, III
класса опасности, предусмотренных пунктами 1, 4, 5 и 6 приложения 1 к № 116-
ФЗ «О промышленной безопасности опасных производственных объектов»;
48
- обеспечение заключения договоров страхования гражданской
ответственности за причинение вреда в результате аварии на опасном объекте;
- обеспечение проведения подготовки и аттестации работников в области
промышленной безопасности, обучения и проверки знаний персонала,
обслуживающего технические устройства опасного производственного объекта;
- переоформление лицензий на эксплуатацию взрывопожароопасных и
химически опасных производственных объектов I, II и III классов опасности,
согласно статье 22 пункту 6.1, закона № 99-ФЗ (ред. от 30.12.2015) «О
лицензировании отдельных видов деятельности» в срок, не позднее 30.09.2017.
- осуществление взаимодействия по вопросам промышленной
безопасности с государственными органами контроля (надзора).
2.2.4. Информационная безопасность
Основными целями Положения в области обеспечения информационной
безопасности ЭСК являются:
- создание условий для устойчивого функционирования ЕЭС России в
части безопасного управления объектами ЭСК;
- повышение безопасности объектов ЭСК при применении современных
информационных технологий;
- защита интересов субъектов ЭСК путём предотвращения возможности
нанесения ущерба или причинения иного вреда субъектам информационных
отношений в результате нарушения установленных режимов обработки
информации ограниченного доступа, уничтожения, искажения и блокирования
информации, используемой для принятия управленческих решений.
Для достижения целей обеспечения информационной безопасности ЭСК
требуется решение следующих основных задач:
- создание вертикально интегрированной комплексной системы
информационной безопасности;
- прогнозирование, выявление и оценка угроз информационной
безопасности и их источников;
- разработка и внедрение современных методов и средств обеспечения
информационной безопасности;
49
- организация контроля состояния и оценки эффективности системы
обеспечения информационной безопасности и реализация мер по её
совершенствованию;
- поддержание системы обеспечения информационной безопасности в
состоянии, устойчивом к существующим и вновь выявляемым угрозам в
информационной сфере.
Реализация указанных задач позволит достичь целевой модели
комплексной системы информационной безопасности ЭСК
Основные принципы развития информационной безопасности.
1. Основным принципами развития комплексной системы
информационной безопасности ЭСК является формирование доверия к
автоматизированным системам, и обрабатываемой в них информации в
условиях работы в недоверенной среде и высокого потенциала нарушителя, и не
пересечения функционала по созданию, модернизации и эксплуатации
автоматизированных систем и обеспечению информационной безопасности на
указанных этапах жизненного цикла автоматизированных систем.
2. Указанные принципы реализуется посредством разработки
требований к встроенным средствам защиты информации корпоративных и
технологических АСУ ЭСК Общества и ДЗО, и процессам управления
информационной безопасностью для обеспечения условий, при которых
создание, модернизация и применение на объектах ЭСК Общества и ДЗО
корпоративных и технологических АСУ и оборудования, являющегося частью
указанных систем не влечет к возникновению угроз информационной
безопасности или снижению уровня защищенности объектов ЭСК от
деструктивных воздействий извне, а напротив, значительно увеличивало
способность противостоять им с одновременным сокращением финансовых,
материальных и трудовых ресурсов, затрачиваемых на обеспечение
информационной безопасности ЭСК, посредством реализации в составе
автоматизированных систем и оборудовании функций и механизмов
безопасности.
50
3. Это становится возможным за счет установления единых и прозрачных
критериев оценки возможности применения на объектах ЭСК Общества и ДЗО
тех или иных автоматизированных систем и их подсистем, включая
оборудование с позиции обеспечения информационной безопасности.
4. Акцент в деятельности информационной безопасности при создании
новых или модернизации старых электросетевых объектов, включая
автоматизированные системы и их подсистемы в краткосрочной перспективе
должен сместится в сторону защиты конечных автоматизированных систем и
АРМ.
Основные технические требования к ИБ.
1. Основной единицей доверия принимается сертификат открытого
ключа и связанный с ним закрытый ключ, изготовленный удостоверяющим
центром Общества, размещенный на защищенным от копирования ключевом
носителе.
2. Составные элементы ИС / АСТУ с т.з. объектов защиты информации:
- автоматизированные рабочие места,
- промышленные серверы,
- телекоммуникационное оборудование,
- каналы связи,
- протоколы передачи данных,
- программируемые логические контроллеры, исполнительные
устройства с установленным микропрограммным обеспечением,
- программное обеспечение (в том числе микропрограммное,
общесистемное, прикладное),
- средства защиты информации.
3. Комплекс организационных и технических мер защиты информации в
автоматизированных системах должен предусматривать:
- идентификацию и аутентификацию субъектов доступа и объектов
доступа;
- управление доступом субъектов доступа к объектам доступа;
- ограничение программной среды;
51
- защиту машинных носителей информации;
- регистрацию событий безопасности;
- антивирусную защиту;
- обнаружение (предотвращение) вторжений;
- контроль (анализ) защищенности информации;
- целостность автоматизированной системы управления и информации;
- доступность технических средств и информации;
- защиту среды виртуализации;
- защиту технических средств и оборудования;
- защиту автоматизированной системы и ее компонентов;
- безопасную разработку прикладного и специального программного
обеспечения;
- управление обновлениями программного обеспечения;
- планирование мероприятий по обеспечению защиты информации;
- обеспечение действий в нештатных (непредвиденных) ситуациях;
- информирование и обучение персонала;
- анализ угроз безопасности информации и рисков от их реализации;
- выявление инцидентов и реагирование на них (управление
инцидентами);
- управление конфигурацией автоматизированной системы управления и
ее системы защиты.
4. Принимаемые организационные и технические меры защиты
информации не должны оказывать отрицательного влияния на штатный режим
функционирования автоматизированной системы управления. Выбор средств
защиты информации осуществляется с учетом их стоимости, совместимости с
программным обеспечением и техническими средствами, функций безопасности
этих средств и особенностей их реализации.
5. Для наиболее критичных автоматизированных систем управления
рекомендуется организовать авторизованный ввод управляющих команд в
АСТУ двумя работниками с последующей программной сверкой результатов
ввода на совпадение (принцип «двойного управления»).
52
6. В качестве основных технических механизмов при обеспечении
информационной безопасности автоматизированных систем должны выступать:
- строгая многофакторная идентификация и аутентификация
взаимодействующих субъектов и объектов, включая связи между объектами на
базе основной единицы доверия;
- электронная подпись и криптографическая защита данных,
передаваемых по каналам связи, от перехвата и модификации;
- разграничение доступа на всех технологических уровнях (физический,
сетевой и т.д.);
- централизованная регистрация событий безопасности по защищенным
каналам;
- встроенные механизмы резервирования и восстановления
конфигурации и данных.
7. В качестве защищенных сетевых протоколов должны применяться
протокол TLS 1.3 и выше, защита каналов сетей передачи данных должны
формироваться с соблюдением стандарта протокола IPSec (RFC 2401 –
RFC2412, RFC2451), стандарта IKE (RFC2409) с использованием сертификатов
X.509 v3 (RFC2459), с поддержкой возможности подключения удаленных
пользователей с использованием технологий TLS VPN. При этом обеспечение
доступа к сети не должно являться основанием для доступа к
автоматизированным системам с применением незащищенных механизмов.
8. В качестве защиты сетевых протоколов беспроводной передачи
данных по стандарту IEEE 802.11 использовать алгоритм шифрования WPA2.
9. Передача событий безопасности в системы мониторинга
информационной безопасности должны осуществляться с применением
защищенных сетевых протоколов.
10. При использовании криптографических средств защиты информации
(включая реализацию защищенных каналов и сетевых протоколов) допускается
применение только российских стандартов криптографии (а также действующие
на момент формирования или реализации требований по информационной
53
безопасности обновлений указанных стандартов): ГОСТ Р 34.10-2012, ГОСТ Р
34.11-2012.
11. Формирование требований к защите информации в
автоматизированных систем управления предприятием, оперативно-
технологического управления, технологического управления в защищенном
исполнении осуществляется в соответствии с ГОСТ Р 51583-2014 «Защита
информации. Порядок создания автоматизированных систем в защищенном
исполнении. Общие положения», ГОСТ Р 51624 «Защита информации.
Автоматизированные системы в защищенном исполнении. Общие требования»,
и стандартов организации ПАО «ФСК ЕЭС» СТО 56947007-29.240.01.147 – 2013
- СТО 56947007-29.240.01.151 - 2013.
12. Разработка автоматизированных систем в защищенном исполнении
осуществляется в соответствии с ГОСТ Р 56939-2016 «Разработка безопасного
ПО» ГОСТ 34.601, ГОСТ Р 51583, ГОСТ Р 51624 и стандартов организации.
13. Результаты проектирования системы защиты автоматизированной
системы управления отражаются в проектной документации (эскизном
(техническом) проекте и (или) в рабочей документации) на автоматизированную
систему управления (систему защиты автоматизированной системы
управления), разрабатываемых с учетом ГОСТ 34.201 «Информационная
технология. Комплекс стандартов на автоматизированные системы. Виды,
комплектность и обозначение документов при создании автоматизированных
систем» (далее – ГОСТ 34.201) и стандартов организации.
14. Защита сети связи осуществляется в соответствии с ГОСТ Р 62443
Сети коммуникационные промышленные. Защищенность (кибербезопасность)
сети и системы.
15. Защита информации при использовании технологий виртуализации
осуществляется в соответствии с ГОСТ Р 56938-2016 «Защита информации при
использовании технологии виртуализации»
16. Требования по обеспечению безопасности персональных данных
определены Постановлением Правительства РФ № 1119 от 1 ноября 2012 года в
зависимости от требуемого уровня защищенности персональных данных при их
54
обработке в ИС / АСУ. Защита ПДн обеспечивается в соответствии с Составом и
содержанием организационных и технических мер по обеспечению
безопасности персональных данных при их обработке в ИС / АСУ,
утвержденных приказом ФСТЭК России от 18 февраля 2013 г. № 21.
17. Требования по обеспечению безопасности государственной тайны
определены Приказом ФСТЭК России от 11 февраля 2013 г. N 17.
18. Требования в отношении функциональной безопасности
автоматизированных систем управления предприятием, оперативно-
технологического управления, технологического управления должны
соответствовать ГОСТ Р МЭК 61508-1-2012, 61508-2-2012, 61508-3-2012.
19. Должны применяться средства защиты информации, прошедшие
оценку соответствия в соответствии с законодательством Российской Федерации
о техническом регулировании.
20. В составе автоматизированных систем технологического управления,
оперативно-технологического управления должны применяться операционные
системы общего назначения, прикладное программное обеспечение,
программное обеспечение для диагностики и наладки, встраиваемые
операционные системы и встроенное программное обеспечение устройств,
передающих сигналы телеизмерения, телесигнализации и (или) формирующих
управляющие команды и (или) допускающих удаленное конфигурирование и
параметрирование, операционные системы реального времени прошедшие
оценку соответствия в системе сертификации ФСТЭК России на соответствие
Заданию по безопасности (ГОСТ ИСО/МЭК 15408) по классам ОУД 4 и НДВ.
2.2.5. Система безопасности охраны энергетических объектов и их
выделенной зоны.
Включает в себя наличие на объекте подразделения охраны и
технических систем обнаружения несанкционированного проникновения на
территорию, систем физической защиты.
Комплексная система безопасности включает в себя:
- систему видеонаблюдения и охранной сигнализации;
- систему контроля доступа;