Аудит информационной безопасности промпредприятия: как выбрать подрядчика

Для промышленного предприятия уязвимости информационной безопасности — это угроза финансовых и операционных потерь. Кибератаки могут привести к сбою технологических процессов и поломке оборудования, а утечка данных — к репутационным потерям. Локализовать эти риски помогает аудит ИБ.  Разберемся, как должен быть устроен такой аудит и что предприятие должно получить по его итогам.

Почему «офисные» методы не работают: специфика аудита ИБ на предприятии

Шаблоны аудита, которые подходят для банков или ритейла, неприменимы в промышленном контуре. В лучшем случае предприятие потратит деньги на поиск несуществующих угроз, в худшем — стандартные офисные программы-сканеры могут перегрузить память чувствительного заводского оборудования, спровоцировав остановку производства. Чтобы аудит принес реальную пользу, подрядчик должен понимать специфику промсектора. Рассмотрим ее на примере горнодобывающих предприятий — ключевого для компании «Голд Линк» направления, в рамках которого компания реализовала более 20 комплексных проектов.

Опыт специалистов «Голд Линк» и мировая практика обеспечения информационной безопасности в горнодобывающей отрасли позволяют выделить пять факторов, которые напрямую влияют на состав и методы аудита:

Фактор 1. «Слепые зоны» в инфраструктуре

По данным исследования EY 2026 года, только 18% опрошенных представителей компаний горнометаллургического сектора сообщили о полной видимости своих ПЛК- и SCADA-систем. Иными словами, на производстве годами могут находиться «теневые» контроллеры, забытые тестовые стенды и сервисные шлюзы. Хакеру не нужно взламывать защиту центрального сервера — он может проникнуть через такую точку доступа, о которой предприятие не подозревает.

Поэтому при аудите важно не полагаться только на существующие схемы и перечни оборудования, а учитывать фактический состав технологической инфраструктуры и реальные связи между ее компонентами. В частности, необходимо определить:

• какие устройства и системы фактически используются;
• какие протоколы и сервисы работают;
• какие компоненты не отражены в актуальной документации;
• какие связи между системами существуют в действительности.

Фактор 2. Достоверность производственных данных

На ГОКе киберинцидент может не только остановить систему или привести к утечке информации. Опасна и ситуация, когда система продолжает работать, но использует искаженные данные.

В материале EY приводятся несколько характерных для горнодобывающей отрасли сценариев: изменение цифровой модели рудного тела может исказить план добычи; вмешательство в данные диспетчеризации и навигации автономной техники — повлиять на маршруты движения техники и отгрузку руды; подмена показаний геотехнических датчиков — скрыть признаки нестабильности откосов или хвостохранилища.

Поэтому в ходе аудита важно проверить, как обеспечивается целостность производственных данных:

• кто и при каких условиях может их изменять;
• фиксируются ли такие изменения;
• можно ли обнаружить подмену и установить источник некорректной информации.

Такой подход согласуется и с российской практикой оценки уязвимостей АСУ ТП: в Банке данных угроз ФСТЭК отдельно рассматривается угроза несанкционированной модификации или искажения технологической информации — в том числе конфигурационной, управляющей и измерительной.

Фактор 3. Безопасность проверки в действующей АСУ ТП

Неверный подход к аудиту безопасности может остановить производство быстрее, чем реальная кибератака: если нанять команду, которая умеет проверять только офисные сети, они запустят стандартные автоматические сканеры. Но то, что нормально для офисного сервера, губительно для производства. Агрессивный поток запросов может легко перегрузить память старого промышленного контроллера (ПЛК), он зависнет, и производственная линия встанет. Национальный институт стандартов и технологий США в руководстве по безопасности технологических систем (2023) указывает, что активное сканирование таких сетей может привести к сбою оборудования или нарушить ход производства.

Поэтому методы проверки подбираются с учетом конкретной системы и режима ее работы:

• пассивный анализ используют там, где нежелательно активно обращаться к устройствам;
• активные проверки проводят после оценки возможного воздействия и при необходимости переносят в согласованное технологическое окно;
• отдельные изменения или совместимость средств защиты предварительно проверяют на испытательном стенде.

Фактор 4. Связи между корпоративной и технологической инфраструктурой

На современных горнодобывающих предприятиях в общую цифровую среду включаются SCADA, архивы технологических данных, периферийные шлюзы, центры управления, автономные самосвалы, буровые установки и другие производственные системы. Поэтому при аудите важно проверять не только защищенность отдельных компонентов, но и связи между ними. Даже хорошо защищенный сервер АСУ ТП может оказаться доступен через менее защищенную промежуточную систему. В ходе аудита необходимо проверить:

• какие соединения существуют между корпоративным и технологическим сегментами;
• для чего каждое из них используется;
• какие системы могут инициировать обмен;
• насколько ограничены разрешенные направления и типы трафика;
• можно ли через промежуточные системы получить доступ к более критичному сегменту.

Фактор 5. Удаленный доступ к промышленным системам

Удаленный доступ к технологическим системам создает дополнительный путь для атаки. Для промышленных предприятий риск особенно существенен, поскольку удаленно к АСУ ТП и оборудованию могут подключаться не только штатные специалисты, но и интеграторы, сервисные организации и поставщики. По данным SANS State of ICS/OT Security 2025, за последний год с инцидентами в промышленной инфраструктуре столкнулись 22% опрошенных организаций, и в половине зафиксированных случаев атака начиналась с несанкционированного внешнего доступа. При этом около 40% этих инцидентов приводили к нарушениям работы технологических систем, а 19% потребовали больше месяца для полного восстановления.

Удаленный доступ выделен и в актуальной методической базе ФСТЭК как самостоятельный процесс защиты информации. Поэтому при аудите недостаточно просто установить наличие VPN или другого средства удаленного подключения. Необходимо оценить:

• кому предоставлен удаленный доступ к технологическим системам;
• является ли он постоянным или включается только на время работ;
• к каким системам и устройствам может подключаться пользователь;
• используется ли многофакторная аутентификация;
• регистрируются ли действия во время удаленной сессии;
• прекращается ли доступ после завершения сеанса.

От обследования к решениям: этапы аудита ИБ

1. Определение задач и границ аудита

Масштаб и глубина проверки всегда зависят от целей аудита — будь то общая оценка защищенности, аудит критического сегмента или выполнение нормативных требований. Если задача связана с комплаенсом (проверкой соответствия предписаниям регуляторов), состав работ полностью определяется законодательством. Например, для значимых объектов КИИ критерии оценки задают 187-ФЗ и приказ ФСТЭК № 239.

2. Подбор индивидуальных методов проверки

В зависимости от специфики систем предприятия, условий их функционирования исполнителю необходимо комбинировать методы: опросы сотрудников, анализ конфигурационных файлов, поиск уязвимостей, тестирование на проникновение (пентест) и другие инструменты.

3. Исследование фактической инфраструктуры

Качественный аудит никогда не опирается только на документацию и опросы сотрудников. Инфраструктура крупных предприятий постоянно развивается, и скрытые изменения часто становятся главными источниками угроз. Поэтому любой аудит всегда включает в себя снятие фактической конфигурации оборудования и сверку переданных заказчиком документов и фактических настроек.

4. Анализ результатов

Техническое обнаружение недостатков — это лишь половина дела. Финальный этап аудита заключается в том, чтобы оценить каждую уязвимость ИБ в контексте конкретных процессов компании и определить приоритет и способы её устранения.

От перечня уязвимостей — к дорожной карте: каким должен быть результат аудита

Главная ценность аудита — это получение применимого на практике документа, на основе которого руководство может принимать обоснованные инвестиционные и управленческие решения. Простой отчет автоматического сканера со списком из сотен уязвимостей не имеет практической пользы.

Итоговый отчет должен включать:

1. Полное описание выявленных проблем и перечень затронутых ими систем.
2. Оценку значимости каждой уязвимости для непрерывности производства.
3. Приоритеты устранения (какие уязвимости необходимо ликвидировать в первую очередь, а какие — в рамках плановых работ).
4. Рекомендации по защите предприятия (что необходимо изменить и в какой последовательности это целесообразно делать).

Аудит также должен показывать, что далеко не всегда нужно покупать новые дорогостоящие средства защиты информации. Часто для минимизации рисков достаточно изменить конфигурацию текущего оборудования, пересмотреть права пользователей или корректно настроить правила межсетевого экранирования. В более сложных случаях результаты аудита ложатся в основу более масштабных работ: сегментации сети, изменения архитектуры и формирования долгосрочной стратегии ИБ.

Практический подход: пример обследования ИБ предприятия

Рассмотрим, как описанный подход реализуется на практике, на примере комплексного аудита информационной безопасности, проведённого специалистами «Голд Линк» на одном из крупных предприятий горнодобывающей отрасли на Дальнем Востоке России. В работе над проектом команда опиралась на опыт проведения аналогичных обследований на предприятиях горно-металлургического, нефтегазового и топливно-энергетического секторов.

Аудит инфраструктуры АГМК выполнялся для решения трёх практических задач:

• формирования объективного среза текущего состояния информационной безопасности ИТ- и технологической инфраструктуры;
• подготовки базы для категорирования объектов КИИ в соответствии с Федеральным законом № 187-ФЗ;
• сбора исходных данных для разработки технического задания на проектирование системы обеспечения информационной безопасности (СОИБ).

Аудит охватил корпоративные информационные системы, сети передачи данных, технологический контур АСУ ТП, действующие регламенты и документы, а также физические меры защиты объектов. Обследование технологического контура проводилось с учётом требований законодательства в области защиты КИИ, в том числе Федерального закона № 187-ФЗ и применимых требований ФСТЭК России.

Поскольку работы проходили на действующем производстве, порядок сбора диагностической информации и конфигураций заранее согласовывался с заказчиком. Специалисты использовали анкетирование персонала, анализ эксплуатационной документации, конфигурационные файлы и диагностические данные, полученные в том числе с помощью подготовленных скриптов.

Аудит позволил не только выявить риски информационной безопасности предприятия, по и сформировать основу для подготовки к категорированию объектов КИИ по 187-ФЗ и проектированию СОИБ. Это исключило затраты на предпроектные изыскания в будущем.

Таким образом, задача аудита — не просто обнаружить технические уязвимости, а дать предприятию достоверное понимание уровня защищенности и связанных с ним рисков. Поэтому ключевой критерий при выборе подрядчика — способность обеспечить именно такую оценку. От нее зависит, насколько обоснованными будут дальнейшие решения предприятия в области информационной безопасности.