Компьютерная безопасность информационных и управляющих систем АЭС: кибернетические угрозы

Abstract

Статья посвящена изучению кибернетических угроз как одного из аспектов компьютерной безопасности информационных и управляющих систем АЭС. Кратко рассмотрены базовые понятия, термины и определения в области компьютерной безопасности. Дан анализ потенциальных кибернетических угроз на стадиях разработки и эксплуатации информационных и управляющих систем АЭС. Указаны основные типы угроз, среди которых вредоносные закладки в программном обеспечении и технических средствах (в частности покупных), компьютерные атаки по сетям передачи данных, внесение вредоносных программ с внешних носителей информации и портативных устройств. Особое внимание уделено влиянию программного обеспечения более низких классов безопасности на программное обеспечение более высоких классов безопасности. Приведены примеры реальных инцидентов на ядерных установках, вызванных умышленными кибернетическими атаками или неумышленными компьютерными ошибками при работе с программным обеспечением систем, важных для безопасности АЭС.Статтю присвячено вивченню кібернетичних загроз як одного з аспектів комп’ютерної безпеки інформаційних та керуючих систем АЕС. Коротко розглянуто базові поняття, терміни й визначення у сфері комп’ютерної безпеки. Дано аналіз потенційних кібернетичних загроз на стадіях розробки й експлуатації інформаційних та керуючих систем АЕС. Наведено основні типи загроз, серед яких шкідливі закладки в програмному забезпеченні й технічних засобах (зокрема покупних), комп’ютерні атаки по мережах передачі даних, внесення шкідливих програм із зовнішніх носіїв інформації та портативних пристроїв. Особливу увагу приділено впливу програмного забезпечення низьких класів безпеки на програмне забезпечення більш високих класів безпеки. Наведено приклади реальних інцидентів на ядерних установках, спричинених умисними кібернетичними атаками або ненавмисними комп’ютерними помилками під час роботи з програмним забезпеченням систем, важливих для безпеки АЕС.The paper is devoted to cyber threats, as one of the aspects in computer security of instrumentation and control systems for nuclear power plants (NPP). The basic concepts, terms and definitions are shortly addressed. The paper presents a detailed analysis of potential cyber threats during the design and operation of NPP instrumentation and control systems. Eleven major types of threats are considered, including: the malicious software and hardware Trojans (in particular, in commercial-off-the-shelf software and hardware), computer attacks through data networks and intrusion of malicious software from an external storage media and portable devices. Particular attention is paid to the potential use of lower safety class software as a way of harmful effects (including the intrusion of malicious fragments of code) on higher safety class software. The examples of actual incidents at various nuclear facilities caused by intentional cyber attacks or unintentional computer errors during the operation of software of systems important to NPP safety