Вода под угрозой: закон против кибератак

Два американских сенатора предложили новый законопроект Water Cyber Shield Act для усиления кибербезопасности жизненно важной водной инфраструктуры США и выделения Агентству по охране окружающей среды (EPA) дополнительных средств и инструментов для оценки угроз. Планируется ежегодно вкладывать 300 миллионов долларов в модернизацию объектов водоснабжения. Это связано с участившимися скоординированными атаками на системы водоснабжения: только в этом месяце от иранских хакеров пострадали 30 коммунальных служб в Миннесоте, а всего за последние годы атаки затронули 12 штатов.

Впрочем, не только государство пытается навести порядок в кибербезопасности: после двухлетнего пилотного проекта частная группа Water Watch Center теперь следит за почти 91% из примерно 50 тысяч американских муниципальных водоканалов. Группу организовали DEF CON Franklin и Национальная ассоциация сельских водоканалов, а услуги по обнаружению и реагированию на инциденты предоставляют пять частных компаний в сфере кибербезопасности.

Американские ведомства, начиная от ФБР, CISA и АНБ, регулярно предупреждают — водоснабжение стали рассматривать как уязвимую, но важную мишень. Множество элементов управления, так называемые устройства OT (операционные технологии) и логические контроллеры, подключены ко всеобщей сети и позволяют удалённо направлять воду или открывать стоки — в случае захвата такого оборудования хакером последствия могут быть катастрофическими.

Проблема усугубляется тем, что эти железки рассчитаны на десятки лет эксплуатации, а обновления программного обеспечния им часто перестают поступать. В новых условиях они становятся лакомым кусочком для государства-хакера.

Но надёжности парламентских попыток американские эксперты, мягко говоря, не доверяют. Так, Давид Шлосс из Suzu Labs вспоминает, что предыдущие попытки провести похожие законы заканчивались фиаско: законопроекты просто "умирали" в комитетах Конгресса. За два последних созыва в дело даже толком никто не вмешивался, и, судя по всему, и текущий закон ждёт та же судьба. По его мнению, частные инициативы киберспециалистов делают для защиты воды больше, чем все законотворцы вместе взятые.

По мнению другого эксперта, Джона Стрэнда из Black Hills Information Security, нововведение хоть и своевременно, но приходит с солидной задержкой: подобные меры нужно было принимать десять лет назад, а не реагировать по факту. Пока программа вступит в силу, уязвимые города могут ещё дважды пострадать.

Деймон Смол из Xcape, Inc. отмечает, что заложенные средства распределяются на 50 тысяч объектов, так что каждому достанется около 6 тысяч долларов — хватит разве что на беглый анализ, но не на реальное увеличение безопасности. По его словам, в отрасли уже есть необходимые стандарты, нужна не новая методичка, а реальное выполнение стандартов и строгая изоляция промышленных сетей.