Водоканалы, предприятия водоснабжения и водоотведения
защита АСУ ТП насосных и очистных сооружений, телеметрии, диспетчерских
ЖКХ и городская инфраструктура
Информационная безопасность в сфере ЖКХ и городской инфраструктуры
Защищаем управляющие компании, ресурсоснабжающие организации, расчётные центры и операторов городской инфраструктуры: автоматизированные системы управления и диспетчерские, биллинг и данные жильцов, системы учёта ресурсов, видеонаблюдение и домофонию, взаимодействие с государственными информационными системами.
Внедряем защиту без нарушения подачи ресурса, работы диспетчерских и расчётного периода.
Отраслевые сегменты
С кем мы работаем
У водоканала главный риск в технологическом контуре, у управляющей компании — в базе жильцов и биллинге, у оператора городской инфраструктуры — в диспетчерских и полевом оборудовании.
Ресурсоснабжающие организации
Теплоснабжающие организации и котельные
защита систем управления теплоснабжением, узлов учёта, автоматики
Электросетевые организации
защита распределительных сетей, подстанций, систем телемеханики
Газораспределительные организации
защита технологического контура и удалённых объектов
Управление жилым фондом и расчёты
Управляющие компании и ТСЖ
защита данных жильцов, начислений, систем взаимодействия с собственниками
Единые расчётные и информационно-расчётные центры
защита биллинга, платёжных операций, больших массивов персональных данных
Региональные операторы по обращению с ТКО
защита учётных систем, логистики, данных плательщиков
Городская инфраструктура
Операторы систем «умного города»
защита платформ, датчиков, диспетчерских центров
Наружное освещение, дорожная и транспортная телематика
защита систем управления и каналов связи
Городское видеонаблюдение и системы контроля доступа
защита от несанкционированного доступа к камерам и записям
Лифтовые и диспетчерские службы
защита систем диспетчеризации жилого фонда
Отрасль
ЖКХ — отрасль, где инцидент жители видят в тот же день
В большинстве отраслей у компании есть время: обнаружить, локализовать, восстановить, объясниться. В ЖКХ этого времени нет. Отключение теплоснабжения, невыставленные квитанции, неработающая диспетчерская, отключённые домофоны — это обращения жителей, публикации в местных пабликах и запросы из администрации в течение суток.
При этом отрасль защищена хуже почти всех остальных: технологический контур часто построен на оборудовании, которое старше требований к нему, штатной службы информационной безопасности обычно нет, а бюджет считается по остаточному принципу.
Технологический контур с длинным сроком службы
Контроллеры, телеметрия и системы диспетчеризации работают десятилетиями. Обновить их так же быстро, как офисный компьютер, нельзя.
База жильцов — самая чувствительная комбинация данных
Фамилия, точный адрес, состав семьи, телефон, показания приборов учёта, задолженность. Вместе это говорит не только о том, кто где живёт, но и о том, когда квартира пустует.
Биллинг как критичный бизнес-процесс
Остановка расчётной системы означает сорванный расчётный период, невыставленные квитанции и кассовый разрыв у самой организации.
Требования как у промышленности, ресурсы как у малого бизнеса
Ресурсоснабжающая организация может подпадать под требования КИИ и отвечать по тем же приказам ФСТЭК, что и крупный завод, имея при этом одного системного администратора.
Много подрядчиков и удалённых объектов
Обслуживание автоматики, приборов учёта, лифтов, камер, котельных ведут внешние организации, и у каждой свой доступ.
Ключевые риски
От чего мы защищаем
Атаки на АСУ ТП водоснабжения, теплоснабжения, электросетей
Нарушение подачи ресурса потребителям, аварийные ситуации, риск для здоровья и имущества людей.
Компрометация диспетчерских систем и телемеханики
Потеря контроля над удалёнными объектами, искажение показаний, ошибочные управляющие воздействия.
Недостаточная сегментация технологической и офисной сети
Проникновение из бухгалтерии или приёмной в контур управления оборудованием.
Шифровальщики в биллинге и учётных системах
Срыв расчётного периода, невыставленные квитанции, кассовый разрыв, остановка приёма платежей.
Утечка базы жильцов
Оборотный штраф за повторную утечку, проверки Роскомнадзора, массовые обращения собственников, использование данных мошенниками.
Мошенничество с начислениями и поддельные квитанции
Платежи жителей уходят третьим лицам, репутационный и правовой конфликт с собственниками.
Компрометация учётных записей в государственных информационных системах
Размещение недостоверных данных от имени организации, нарушение требований к раскрытию информации.
Атаки на системы приёма платежей и личные кабинеты
Недоступность оплаты, компрометация платёжных операций.
Несанкционированный доступ к видеонаблюдению и домофонии
Доступ к камерам во дворах и подъездах, нарушение прав жильцов.
Атаки на системы городской инфраструктуры
Нарушение работы освещения, диспетчеризации, датчиков, систем управления.
Компрометация доступа подрядных организаций
Проникновение в технологический и учётный контур через обслуживающие организации.
Уязвимости устаревшего оборудования и ПО
Эксплуатация известных уязвимостей, которые невозможно закрыть обновлением.
Инсайдерские действия
Выгрузка базы плательщиков, изменение начислений, доступ к данным собственников.
Нормативный контур
Требования, которые мы помогаем выполнить
Организации ЖКХ попадают под требования сразу с нескольких сторон: персональные данные жильцов, взаимодействие с государственными информационными системами, а для ресурсоснабжающих организаций — законодательство о критической информационной инфраструктуре и требования к защите АСУ ТП.
Основная нормативная база: 152-ФЗ, КоАП РФ в редакции 420-ФЗ
от 30.11.2024, 209-ФЗ «О государственной информационной
системе жилищно-коммунального хозяйства», ПП РФ № 1119, приказ
ФСТЭК № 21. Дополнительно — если применимо по статусу
организации и составу систем: 187-ФЗ, ПП РФ № 127, приказы
ФСТЭК № 31, № 117, № 235, № 239, Указ Президента РФ № 250.
Защита персональных данных собственников, нанимателей и сотрудников по Приказу ФСТЭК № 21 и 152-ФЗ
Определение уровня защищённости информационных систем персональных данных по ПП РФ № 1119
Порядок реагирования на утечку и уведомления Роскомнадзора: 24 часа на первичное уведомление, 72 часа на результаты внутреннего расследования
Категорирование объектов КИИ по ПП РФ № 127 и 187-ФЗ
Защита АСУ ТП по Приказу ФСТЭК № 31
Защита значимых объектов КИИ по Приказу ФСТЭК № 239 и создание систем безопасности по Приказу № 235
Подключение к ГосСОПКА и взаимодействие с НКЦКИ
Защита информации по Приказу ФСТЭК № 117 — если информационная система относится к государственной информационной системе либо иной информационной системе государственного органа, ГУП или государственного учреждения
Защищённое взаимодействие с государственной информационной системой жилищно-коммунального хозяйства и региональными системами
Учёт требований Указа Президента РФ № 250 — если организация относится к тем, на кого распространяется указ, либо является субъектом КИИ
Подготовка к проверкам ФСТЭК, Роскомнадзора и надзорных органов в сфере ЖКХ
Этапы проекта
Как мы выстраиваем защиту организации ЖКХ
Обследуем технологический и офисный контуры
Анализируем АСУ ТП и диспетчерские, телеметрию и каналы связи с удалёнными объектами, биллинг и учётные системы, рабочие места, видеонаблюдение и домофонию, доступы подрядных организаций.
Определяем состав систем и применимые требования
Выявляем информационные системы персональных данных, определяем, есть ли объекты КИИ, проводим категорирование, устанавливаем уровень и класс защищённости.
Моделируем актуальные угрозы
Описываем сценарии: движение из офисной сети в технологическую, компрометация подрядчика, шифровальщик в биллинге, выгрузка базы жильцов, атака на диспетчерскую и удалённые объекты.
Проектируем архитектуру защиты с учётом бюджета
Сегментация технологического и офисного контуров, межсетевое экранирование, защита биллинга и данных жильцов, безопасный удалённый доступ, резервное копирование, мониторинг. Приоритизируем меры: сначала то, что закрывает наибольший риск на единицу бюджета.
Внедряем без нарушения подачи ресурса и расчётного цикла
Поэтапно: обследование → пилот → тестовый режим → настройка политик → перевод в промышленную эксплуатацию. Работы планируем с учётом отопительного сезона и расчётного периода.
Передаём систему в сопровождение
Мониторинг, регламенты реагирования, отчётность для регуляторов, обучение диспетчеров и системных администраторов, поддержка.
Направления работ
Что мы делаем для организаций ЖКХ и городской инфраструктуры
01
КИИ и технологический контур
- Категорирование объектов КИИ и подготовка пакета документов
- Защита АСУ ТП по Приказу ФСТЭК № 31
- Защита значимых объектов КИИ по Приказу ФСТЭК № 239
- Создание систем безопасности значимых объектов КИИ по Приказу № 235
- Разработка модели угроз и модели нарушителя для АСУ
- Сегментация технологической и офисной сетей
- Защита диспетчерских систем и удалённых объектов
- Подключение к ГосСОПКА и взаимодействие с НКЦКИ
02
Персональные данные и биллинг
- Защита персональных данных по 152-ФЗ и приказу ФСТЭК № 21
- Определение уровня защищённости информационных систем персональных данных и разработка модели угроз
- Защита биллинга и расчётных систем
- Резервное копирование и проверка восстановления биллинга, базы плательщиков и начислений перед расчётным периодом
- Защита от утечек (DLP) и контроль выгрузок базы плательщиков
- Разграничение доступа сотрудников к данным жильцов
- Разработка организационно-распорядительной документации
- Порядок реагирования на утечку и уведомления Роскомнадзора
03
Защита инфраструктуры и доступа
- Защита периметра и сегментация корпоративной сети
- Защита каналов связи с удалёнными объектами: VPN, резервные каналы, контроль подключений и журналирование сеансов подрядчиков
- Безопасный удалённый доступ для сотрудников и подрядных организаций (VPN + 2FA)
- Контроль привилегированных пользователей (PAM) и фиксация действий подрядчиков
- Замена иностранных средств защиты на отечественные
- Резервное копирование и катастрофоустойчивость
- Защита видеонаблюдения, домофонии и систем контроля доступа: разграничение доступа к камерам и архивам записей, журналирование действий операторов, контроль удалённого доступа обслуживающих организаций
- Защита датчиков, шлюзов и оконечных устройств городской инфраструктуры
04
Публичные сервисы
- Защита сайта, личного кабинета и систем приёма платежей (WAF)
- Защита от DDoS
- Защищённое взаимодействие с государственными информационными системами
05
Мониторинг и реагирование
- Внедрение SIEM и построение SOC
- Управление уязвимостями
- Тестирование на проникновение
- Защита АРМ и серверов: антивирусы, EDR
- Информационная безопасность на аутсорсинг
- Обучение сотрудников основам информационной безопасности
Технологии
Подбираем решения под технологический контур и бюджет организации
Подбираем отечественные решения с учётом требований регуляторов, наличия сертификатов ФСТЭК для конкретной версии продукта, категории объектов, состояния оборудования, количества удалённых объектов и ограничений по бюджету.
NGFW / Межсетевые экраныUserGate, Континент, PT NGFW, Ideco
Защита АСУ ТПPT ISIM, специализированные решения мониторинга промышленных протоколов
Средства защиты от НСДSecret Net Studio, Dallas Lock, Аккорд
SIEMMaxPatrol SIEM, Kaspersky KUMA, RuSIEM
EDR / антивирусKaspersky, Dr.Web
DLPInfoWatch Traffic Monitor, СёрчИнформ КИБ
PAMIndeed Privileged Access Manager
WAFPT Application Firewall, SolidWall
Сканеры уязвимостейMaxPatrol VM, RedCheck, Сканер-ВС
Криптографическая защитаViPNet, КриптоПро, Континент TLS
Резервное копированиеКибер Бэкап, RuBackup
Когда обращаются
В каких ситуациях мы помогаем
Если у вас одна или несколько из перечисленных ситуаций — поможем выстроить защиту, подготовить документы и взаимодействовать с регулятором.
- Нужно провести категорирование объектов КИИ и подготовить документы для ФСТЭК
- Требуется выполнить требования приказов ФСТЭК № 31, № 239 или № 235
- Нужно разделить технологическую и офисную сети
- Произошёл инцидент или подозрение на утечку данных жильцов
- Шифровальщик остановил биллинг или учётные системы
- Требуется привести обработку персональных данных в соответствие с 152-ФЗ
- Получено требование или запрос от Роскомнадзора или ФСТЭК
- Нужно организовать безопасный доступ подрядных организаций к оборудованию
- Требуется защитить диспетчерскую и связь с удалёнными объектами
- Нужно защитить видеонаблюдение и домофонию от несанкционированного доступа
- Требуется заменить иностранные средства защиты на отечественные
- Нет штатного специалиста по информационной безопасности и нужен внешний
Результат
Что получает заказчик
По итогам нашей работы вы получаете не «папку с документами», а понятную систему защиты и план её развития:
01
Карту текущего состояния технологического и офисного контуров, включая удалённые объекты
02
Определение, относится ли организация к субъектам КИИ, и результаты категорирования
03
Модель угроз и модель нарушителя для АСУ и информационных систем персональных данных
04
Архитектуру сегментации технологической и офисной сетей
05
Модель доступа подрядных организаций к оборудованию и системам
06
Меры по защите биллинга, расчётных систем и базы плательщиков
07
План резервного копирования и проверки восстановления биллинга, базы плательщиков и диспетчерских систем
08
Определение уровня защищённости информационных систем персональных данных и комплект документации
09
Порядок реагирования на инцидент и уведомления Роскомнадзора: 24 часа на первичное уведомление, 72 часа на результаты внутреннего расследования
10
Перечень организационных и технических мер защиты с приоритизацией по бюджету
11
Рекомендации по подбору отечественных СЗИ и план импортозамещения
12
План внедрения с учётом отопительного сезона и расчётного периода
13
Сопровождение системы и поддержку при взаимодействии с регуляторами
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- 4+ региона присутствия
- Лицензии ФСТЭК и ФСБ — работаем со сведениями, составляющими государственную тайну, и оказываем услуги по технической защите конфиденциальной информации
- Опыт проектирования систем защиты АСУ объектов инженерной инфраструктуры, включая распределительную подстанцию электроснабжения
- Опыт работы с государственными и муниципальными организациями: аттестация, реагирование на проверки, выполнение требований ФСТЭК
- Полный цикл услуг: консалтинг, аудит, проектирование, внедрение, сопровождение
- Информационная безопасность на аутсорсинг — рабочий вариант, когда штатную службу ИБ содержать нецелесообразно
- Команда сертифицированных инженеров по ключевым отечественным решениям
Начать проект
Получить план защиты вашей организации
Расскажите о задаче — категорирование КИИ, защита АСУ ТП и диспетчерских, разделение технологической и офисной сетей, защита биллинга и данных жильцов, приведение обработки персональных данных в соответствие с 152-ФЗ или комплексная защита. Мы проведём первичное обследование и предложим план работ.