OT/ICS Security: как защитить АСУ ТП и промышленные сети
OT/ICS Security — это защита автоматизированных систем управления технологическими процессами (АСУ ТП) и промышленных сетей: контроллеров (ПЛК), SCADA, операторских станций и промышленных протоколов. Главное отличие от классической IT-безопасности в приоритетах: в офисной сети важнее конфиденциальность, а на производстве — **доступность и непрерывность процесса**. Остановка линии, котла или насосной из-за «обновления антивируса» здесь недопустима так же, как взлом. **Если коротко:** АСУ ТП нельзя защищать теми же методами, что и офис. Оборудование живёт 10–20 лет, работает на устаревших ОС и протоколах без аутентификации (Modbus, OPC, PROFINET), а агрессивное сканирование или активный агент способны «уронить» контроллер. Поэтому в основе подхода — **сегментация по модели Purdue**, пассивный мониторинг без вмешательства в процесс и выполнение требований 187-ФЗ и приказов ФСТЭК по защите КИИ. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге систем защиты АСУ ТП](/rating/ot-ics-security).
Промышленная сеть требует видимости без остановки процесса
В OT и АСУ ТП защита строится вокруг пассивной инвентаризации, сегментации и аккуратной проверки промышленных протоколов.
Рейтинги подрядчиков по теме исследования
Если после чтения нужен короткий список исполнителей, начните с профильных рейтингов cyber-index.ru: в них видны компании, кейсы, интервью, категории экспертизы и доверительный индекс.
Как проверять выводы исследования
Используйте материал как основу для shortlist: сопоставьте выводы с профилями компаний, связанными рейтингами, кейсами, интервью клиентов и источниками. Если в статье есть список источников, начинайте проверку с него; если источников мало, дополнительно запросите у подрядчика методику, baseline и примеры работ.
Авторы и проверка материала
У каждого исследования есть персональные авторы, профиль экспертизы, дата публикации, список источников и редакционная проверка выводов.
Авторы закреплены по теме исследования и опираются на практические разборы страниц, кейсов, источников и рыночных выборок.
В профиле автора указаны зона экспертизы, роль в редакции, регалии и темы, за которые он отвечает.
Материалы связаны с методологией cyber-index.ru, внутренними рейтингами, карточками компаний и источниками.
Позиции не продаются, выводы отделены от рекламы, а проверяемые утверждения поддержаны источниками и датами обновления.
Чем OT отличается от IT и почему это важно
OT (Operational Technology) — это «железо и софт, которые управляют физическим миром»: датчики, исполнительные механизмы, ПЛК, SCADA. Перенести сюда привычные IT-практики напрямую нельзя — слишком разные приоритеты и ограничения.
- **Доступность важнее конфиденциальности.** Триада IT обычно ставит на первое место конфиденциальность, в OT — доступность и целостность процесса. Незапланированный простой стоит дороже и опаснее, чем утечка конфигурации. - **Долгий жизненный цикл и legacy.** Контроллеры и панели операторов работают десятилетиями на ОС без обновлений. «Просто пропатчить» нельзя — патч может не выйти или требует остановки производства. - **Протоколы без защиты.** Modbus, OPC (Classic/UA), PROFINET, DNP3 проектировались для изолированных сетей и часто не имеют аутентификации и шифрования. Любая команда принимается как доверенная. - **Чувствительность к воздействию.** Активное сканирование портов или установка тяжёлого агента способны вызвать сбой ПЛК. Поэтому инструменты защиты OT работают преимущественно **пассивно**.
OT-безопасность: коротко в цифрах
Оборудование переживает несколько поколений IT
Непрерывность процесса важнее конфиденциальности
От датчиков (0) до корпоративной сети (4–5)
Анализ копии трафика без вмешательства в процесс
Модель Purdue и сегментация промышленной сети
Базовый принцип защиты АСУ ТП — разделение сети на уровни и контроль переходов между ними. Эталонная модель Purdue описывает уровни от полевого оборудования до корпоративных систем, а ключевая граница проходит между технологической (OT) и корпоративной (IT) сетями.
- **Уровни 0–1 — полевой и контроллеры.** Датчики, исполнительные механизмы, ПЛК. Здесь любое прямое воздействие наиболее опасно. - **Уровни 2–3 — управление процессом.** SCADA, операторские станции, серверы АСУ ТП, историзаторы. Зона мониторинга и контроля доступа. - **Уровень 3.5 — промышленная DMZ.** Буфер между OT и IT: через него идёт контролируемый обмен данными, чтобы IT-сеть не имела прямого доступа к контроллерам. - **Уровни 4–5 — корпоративная сеть.** ERP, почта, интернет. Самая «грязная» зона, из которой чаще всего и приходят угрозы.
Практический смысл сегментации — чтобы заражение офисного ПК не доходило до ПЛК, а доступ к технологическому сегменту шёл только через защищённый шлюз и был полностью журналируем.
Как защищают АСУ ТП: мониторинг без вмешательства
Поскольку активные методы в OT рискованны, ядро защиты — **пассивный мониторинг технологического трафика**. Система получает копию трафика (например, через SPAN-порт или TAP), разбирает промышленные протоколы и строит модель «нормального» поведения процесса.
- **Глубокий разбор протоколов.** Понимание Modbus, OPC, PROFINET, DNP3 и команд внутри них — чтобы отличить штатную запись уставки от подозрительной команды на контроллер. - **Карта активов и связей.** Автоматическая инвентаризация устройств и их коммуникаций: без полной карты сети защищать АСУ ТП вслепую невозможно. - **Поведенческое обнаружение аномалий.** Отклонения от типового профиля (новые узлы, нетипичные команды, изменения логики ПЛК) — сигнал для расследования. - **Контроль изменений и доступа.** Журналирование подключений инженеров, съёмных носителей и загрузок прошивок; разграничение прав на технологический сегмент.
Дополняют пассивный мониторинг наложенные средства: промышленные межсетевые экраны и однонаправленные шлюзы (диоды данных), защита операторских станций и контроль съёмных носителей — выбираются под уровень и критичность объекта.
Приоритеты мер защиты АСУ ТП
Усреднённая редакционная оценка значимости направлений для типового объекта АСУ ТП по открытым практикам. Это не вендорский бенчмарк и не заменяет проектирование под конкретный объект.
Типовые угрозы АСУ ТП и меры защиты
Угрозы промышленным сетям отличаются от офисных: цель злоумышленника — не данные, а сам процесс. Ниже — ориентир «угроза → мера», который помогает связать риски с конкретными направлениями защиты.
| Угроза АСУ ТП | Чем опасна | Базовая мера защиты |
|---|---|---|
| Проникновение из IT-сети | Заражение офиса доходит до технологического сегмента | Сегментация по Purdue, промышленная DMZ, контроль шлюза |
| Несанкционированные команды на ПЛК | Изменение уставок и логики, риск аварии | Пассивный мониторинг команд, разбор протоколов, контроль доступа |
| Съёмные носители и подключение подрядчиков | Занос ВПО в обход периметра | Контроль USB, журналирование инженерных подключений |
| Эксплуатация legacy-уязвимостей | Старые ОС и прошивки без патчей | Компенсирующие меры, изоляция, контроль изменений |
| Незаметное присутствие в сети | Долгая разведка перед атакой | Инвентаризация активов, обнаружение аномалий поведения |
Требования регуляторов: 187-ФЗ и ФСТЭК
Если объект относится к критической информационной инфраструктуре (КИИ), защита АСУ ТП — это не только инженерная, но и нормативная задача. Рамку задаёт Федеральный закон № 187-ФЗ «О безопасности КИИ» и подзаконные акты ФСТЭК.
Общая логика без выдумывания конкретных номеров приказов такова: объекты КИИ подлежат категорированию по значимости, для значимых объектов формируется модель угроз и выстраивается система защиты, а применяемые средства защиты должны иметь подтверждённый статус — наличие в реестре отечественного ПО и сертификацию ФСТЭК под нужный класс и тип. Точные требования к вашему объекту определяются по результатам категорирования; проверяемые первоисточники — текст 187-ФЗ, [reestr.fstec.ru](https://reestr.fstec.ru/) и [reestr.digital.gov.ru](https://reestr.digital.gov.ru/).
Чек-лист защиты АСУ ТП
С чего начать защиту АСУ ТП: 6 шагов
-
01
Категорирование и периметр
Определите объекты КИИ, границы технологической сети и зоны ответственности.
-
02
Инвентаризация активов
Постройте полную карту устройств, протоколов и коммуникаций — без неё защита вслепую.
-
03
Проект сегментации
Спроектируйте уровни по Purdue, промышленную DMZ и контролируемые точки обмена с IT.
-
04
Пассивный мониторинг
Разверните систему обнаружения на копии трафика, настройте профиль нормального поведения.
-
05
Наложенные меры
Добавьте промышленные МЭ, диоды данных, контроль доступа и съёмных носителей под критичность.
-
06
Соответствие и эксплуатация
Закройте требования ФСТЭК, проверьте статус СЗИ в реестрах, наладьте реагирование.
Кто на рынке систем защиты АСУ ТП
Среди отечественных решений для OT/ICS Security чаще всего упоминают PT ISIM (Positive Technologies), Kaspersky Industrial CyberSecurity (KICS) и InfoWatch ARMA. Это **ориентир**, а не рейтинг: места, баллы и подтверждённые сигналы смотрите в [рейтинге категории](/rating/ot-ics-security) и в разборе [российских решений АСУ ТП против Claroty и Nozomi](/research/rossiyskie-resheniya-asu-tp-vs-claroty-nozomi).
cyber-index.ru не продаёт места в рейтинге. Поставщики сравниваются по проверяемым сигналам: подтверждённые внедрения и кейсы, отзывы и интервью клиентов, внешняя репутация, специализация и прозрачность данных. Перед закупкой сверяйте актуальный статус в [реестре отечественного ПО](https://reestr.digital.gov.ru/) и [реестре сертифицированных СЗИ ФСТЭК](https://reestr.fstec.ru/).
Следующий шаг
Разобрались с подходом — переходите к сравнению поставщиков: **[рейтинг систем защиты АСУ ТП →](/rating/ot-ics-security)**. Полезно прочитать рядом: [российские решения АСУ ТП против Claroty и Nozomi](/research/rossiyskie-resheniya-asu-tp-vs-claroty-nozomi), [рейтинг систем защиты АСУ ТП и КИИ 2026](/research/reyting-sistem-zashchity-asu-tp-2026) и [187-ФЗ и приказы ФСТЭК: как закрыть требования по защите КИИ](/research/187-fz-fstek-kii-trebovaniya).
Частые вопросы
Чем OT/ICS Security отличается от обычной IT-безопасности?
Приоритетами и методами. В OT на первом месте доступность и непрерывность процесса, а оборудование живёт десятилетиями на устаревших ОС и протоколах без защиты. Поэтому активное сканирование и тяжёлые агенты опасны, а защита строится на сегментации и пассивном мониторинге.
Можно ли просто поставить антивирус и патчи, как в офисе?
Не везде. Многие контроллеры нельзя останавливать для обновления, а патч может вообще не выходить. Вместо «обновить всё» применяют компенсирующие меры: изоляцию сегментов, контроль доступа и изменений, мониторинг аномалий.
Что такое модель Purdue простыми словами?
Это способ разделить промышленную сеть на уровни — от датчиков и ПЛК до корпоративных систем — и контролировать переходы между ними. Ключевая идея: между OT и IT ставится буфер (промышленная DMZ), чтобы офисные угрозы не доходили до контроллеров.
Нужно ли выполнять 187-ФЗ и требования ФСТЭК?
Если объект относится к КИИ — да. Объект категорируется по значимости, строится модель угроз и система защиты, а средства защиты должны иметь статус в реестре отечественного ПО и сертификат ФСТЭК. Точные требования определяются по итогам категорирования.
Где сравнить конкретных поставщиков защиты АСУ ТП?
В рейтинге систем защиты АСУ ТП — там компании ранжированы по подтверждённым сигналам, а не по рекламе.
Источники и метод проверки
OT/ICS Security — это защита автоматизированных систем управления технологическими процессами (АСУ ТП) и промышленных сетей: контроллеров (ПЛК), SCADA, операторских станций и промышленных протоколов. Главное отличие от классической IT-безопасности в приоритетах: в офисной сети важнее конфиденциальность, а на производстве — **доступность и непрерывность процесса**. Остановка линии, котла или насосной из-за «обновления антивируса» здесь недопустима так же, как взлом. **Если коротко:** АСУ ТП нельзя защищать теми же методами, что и офис. Оборудование живёт 10–20 лет, работает на устаревших ОС и протоколах без аутентификации (Modbus, OPC, PROFINET), а агрессивное сканирование или активный агент способны «уронить» контроллер. Поэтому в основе подхода — **сегментация по модели Purdue**, пассивный мониторинг без вмешательства в процесс и выполнение требований 187-ФЗ и приказов ФСТЭК по защите КИИ. Сравнить поставщиков по подтверждённым сигналам можно в [рейтинге систем защиты АСУ ТП](/rating/ot-ics-security).