CISA запустила инициативу CI Fortify и выпустила рекомендации для операторов критической инфраструктуры. Главная идея простая: электросети, водоснабжение, транспорт, медицина, связь и другие жизненно важные сервисы должны заранее уметь работать в аварийном режиме, если внешние подключения, подрядчики, телеком-каналы или часть внутренних систем внезапно станут недоступны.
CISA говорит о двух аварийных навыках: изоляции и восстановлении. Изоляция нужна, когда заражение или вторжение надо остановить до перехода в технологическую сеть. Восстановление нужно, когда изоляции уже недостаточно: часть систем повреждена, зашифрована, недоступна или потеряла доверие.
Речь идёт прежде всего об OT-средах, то есть технологических системах, которые управляют физическими процессами: насосами, турбинами, клапанами, подстанциями, конвейерами, очистными сооружениями, транспортной автоматикой. В обычной ИТ-сети сбой часто означает простой сервиса или потерю данных. В OT сбой может остановить подачу воды или электричества, производство или транспортное сообщение. Поэтому в CISA разработали сценарий, когда атака уже случилась, но базовая услуга должна продолжать работать.
CI Fortify строится на неприятном допущении: во время крупного кризиса нельзя считать надёжными интернет, связь с подрядчиками, внешние сервисы, поставщиков и upstream-зависимости. CISA также предлагает операторам исходить из того, что злоумышленник уже может иметь доступ к части OT-сети. Это меняет логику подготовки: план должен быть написан не для идеального восстановления после чистого бэкапа, а для грязной ситуации, где часть инфраструктуры работает, часть вызывает сомнения, а часть связи оборвана.
Изоляция в этом контексте — не «выдернуть кабель и молиться». Оператор должен заранее определить, какие системы действительно нужны для минимальной поставки критической услуги, где находятся точки отключения, какие процессы после разрыва сетей придётся выполнять вручную и как долго объект сможет существовать в таком режиме. SecurityWeek пишет, что CISA призывает строить OT-среды, способные переживать длительную изоляцию и киберкомпрометацию, а не только короткий сетевой сбой.
В австралийской версии CI Fortify, на которую ориентировалась американская инициатива, прямо указана цель: уметь изолировать жизненно важные OT- и вспомогательные системы от интернета, корпоративных и сторонних сетей на срок до трёх месяцев, сохраняя критические услуги. Это не значит, что каждый объект должен три месяца работать в изоляции уже завтра. Но планирование уже должно учитывать длительную автономность, а не только ситуации с переждать пару часов до приезда интегратора.
Вторая часть — восстановление. Здесь CISA делает упор на документацию, актуальные резервные копии, понимание реальных зависимостей и регулярные тренировки. Оператору нужно доказать, что он может восстановить скомпрометированный компонент, заменить систему или перейти на ручное управление, если автоматизированный контур больше нельзя считать безопасным.
В ИТ резервная копия часто воспринимается как файл или образ виртуальной машины. В OT восстановление шире: нужны конфигурации ПЛК, прошивки, инженерные станции, схемы сетей, версии проектов, список зависимостей, доступные запасные части, контакты вендоров, инструкции для операторов смены и понятный порядок восстановления работы системы. Без этого бэкап есть, а сервиса всё равно нет.
CISA отдельно указывает на работу с поставщиками, интеграторами и провайдерами управляемых услуг. Они должны помогать операторам понимать коммуникационные зависимости, обходные маршруты, ограничения оборудования и реальные варианты изоляции. Иначе план на бумаге развалится в момент, когда выяснится, что лицензия, удалённая поддержка, телеметрия или критическая диагностика завязаны на внешний канал.
CI Fortify не заменяет классическую кибергигиену. Патчи, сегментация, контроль учётных записей, резервное копирование, журналирование и план реагирования остаются базой. Разница в том, что CISA просит проверять способность пережить уже начавшийся инцидент.
Агентство также планирует проводить целевые оценки устойчивости у участников инициативы. Cybersecurity Dive пишет, что CISA уже начала пилотные проверки и будет смотреть, насколько операторы способны работать изолированно и восстанавливаться после компрометации. Для разных отраслей критерии будут отличаться: энергокомпания, транспортный оператор и водоканал не могут одинаково выбирать, какую услугу оставить, а какую временно урезать.
Есть новость? Станьте автором.
Мы сотрудничаем с независимыми исследователями и специалистами по кибербезопасности. Отправьте нам новость или предложите статью на рассмотрение редакции.
