КАТЕГОРИРОВАНИЕ ОБЪЕКТОВ КРИТИЧЕСКОЙ ИНФОРМАЦИОННОЙ ИНФРАСТРУКТУРЫ МЕТРОПОЛИТЕНА НА ОСНОВЕ АНАЛИЗА ЦЕПОЧЕК КРИТИЧЕСКИХ ПРОЦЕССОВ

Аннотация. В статье рассматривается подход к ранжированию объектов критической информационной инфраструктуры метрополитена на основе анализа цепочек критических процессов. Показано, что нормативная процедура категорирования определяется Федеральным законом № 187-ФЗ и Постановлением Правительства № 127, а предложенная модель индекса критичности используется как аналитический инструмент для поддержки решений комиссии по категорированию.

Ключевые слова: критическая информационная инфраструктура, категорирование, метрополитен, критический процесс, цепочка процессов, индекс критичности, информационная безопасность.

Метрополитен представляет собой сложную социо-кибер-физическую систему, в которой информационные и автоматизированные системы управления интегрированы во все технологические циклы — от обеспечения безопасности движения поездов до обслуживания пассажиров. В соответствии с Федеральным законом от 26 июля 2017 г. № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» [1] метрополитены относятся к субъектам КИИ, функционирующим в сфере транспорта, что обязывает их проводить категорирование принадлежащих им объектов КИИ.

Центральным механизмом дифференциации требований по защите информации выступает категорирование объектов КИИ [2], порядок которого определён Постановлением Правительства РФ от 8 февраля 2018 г. № 127 [2]. Данным постановлением утверждены Правила категорирования и перечень показателей критериев значимости, включающих социальный, политический, экономический и экологический ущерб, а также ущерб для обеспечения обороны страны, безопасности государства и правопорядка. Отраслевая специфика транспорта учтена в Методических рекомендациях Минтранса России [6] и Перечне типовых отраслевых объектов КИИ [7]. Кроме того, ФСТЭК России разработаны Рекомендации по оценке показателей критериев экономической значимости, устанавливающие детальные формулы и методические подходы к расчёту показателей ущерба субъекту КИИ, ущерба бюджетам и прекращения финансовых операций.

Вместе с тем практика категорирования в метрополитенах выявила ряд методологических трудностей. Действующие методики ориентированы преимущественно на оценку изолированного объекта КИИ, тогда как реальная деградация функций метрополитена при компьютерных атаках часто носит каскадный характер: отказ одной системы через цепочку технологических зависимостей приводит к нарушению работоспособности других, увеличивая суммарный ущерб. Эта проблема согласуется с подходами к анализу взаимосвязанных систем, где подчёркивается необходимость комплексного анализа уязвимостей.

Как указано в п. 2.5 Рекомендаций ФСТЭК, если осуществление критического процесса зависит от иного критического процесса, оценка экономического ущерба должна проводиться исходя из совокупного масштаба возможных последствий [10] от нарушения или прекращения функционирования всех непосредственно взаимосвязанных процессов. Таким образом, возникает противоречие между объективной потребностью в учёте взаимовлияния систем и фрагментарным подходом, доминирующим в существующей методической базе.

Цель работы — предложить и апробировать аналитический подход к ранжированию объектов КИИ метрополитена, основанный на анализе цепочек критических процессов и позволяющий количественно оценить вклад каждой информационной системы в устойчивость технологической платформы метрополитена.

Нормативно-правовая база категорирования КИИ

Базовым правовым актом является Федеральный закон № 187-ФЗ, который ввёл понятия «критическая информационная инфраструктура», «субъект КИИ», «объект КИИ» и установил обязанность субъектов КИИ проводить категорирование принадлежащих им объектов, а также выполнять требования по обеспечению безопасности в зависимости от присвоенной категории значимости.

Детальный механизм категорирования раскрыт в Постановлении Правительства № 127. Оно содержит Правила категорирования и перечень показателей критериев значимости, сгруппированных по видам ущерба. Процедура предполагает создание субъектом КИИ специальной комиссии, определение перечня объектов, подлежащих категорированию, сбор исходных данных, расчёт показателей и оформление акта категорирования. Государственный контроль в данной области осуществляется в соответствии с Правилами, утверждёнными Постановлением Правительства от 17 февраля 2018 г. № 162. Реестр значимых объектов КИИ ведётся ФСТЭК России в порядке, установленном Приказом от 6 декабря 2017 г. № 227.

ФСТЭК России, в соответствии с полномочиями, определёнными Положением, утверждённым Указом Президента № 1085 (в ред. Указа от 25 ноября 2017 г. № 569), разработала Рекомендации по оценке показателей критериев экономической значимости. В них детализированы методические подходы к расчёту трёх показателей: ущерба субъекту КИИ, ущерба бюджетам и прекращения финансовых операций.

Для метрополитена как государственного унитарного предприятия применим показатель № 8, рассчитываемый как отношение снижения уровня доходов к усреднённому за пятилетний период объёму доходов. При этом снижение уровня доходов определяется как суммарный экономический ущерб от прекращения или нарушения всех критических процессов, обеспечиваемых объектом КИИ. В свою очередь, ущерб по каждому процессу рассчитывается по формуле из Рекомендаций ФСТЭК, включающей затраты на медицинское лечение, возмещение вреда, ликвидацию аварии, зарплату за время простоя, недополученную прибыль и иные составляющие.

Принципиально важно, что в п. 2.5 Рекомендаций ФСТЭК прямо указано: если нарушение критического процесса непосредственно влияет на иной критический процесс, оценка ущерба проводится исходя из совокупного масштаба последствий. Это положение является нормативным обоснованием для предлагаемого процессного подхода.

Обзор научных подходов к оценке критичности информационных систем

Проблема объективного определения критичности информационных систем в составе крупных инфраструктурных комплексов активно исследуется как в российской, так и в зарубежной научной литературе. В работах по тестированию на проникновение проведён сравнительный анализ зарубежных и отечественных методик, выявлены их достоинства и недостатки. Авторы указывают на необходимость формирования практического подхода к аудиту на основе экспериментальных исследований, что перекликается с задачей моделирования каскадных отказов в цепочках критических процессов. Работы по имитационным моделям испытаний критически важных информационных объектов посвящены анализу поведения систем в условиях компьютерных атак, а исследования киберучений адаптируют методологию сценарного анализа, которая может быть полезна при оценке устойчивости метрополитена к целенаправленным деструктивным воздействиям.

Вместе с тем анализ публикаций показывает, что существующие методики либо носят универсальный характер и не учитывают внутреннюю архитектуру метрополитена, либо фокусируются на аспектах тестирования на проникновение, не формализуя процедуру ранжирования объектов КИИ в рамках конкретной технологической цепочки. Восполнению этого пробела и посвящена настоящая работа.

Технологическая архитектура метрополитена как основа для анализа

Для построения аналитической модели цепочек критических процессов метрополитен представим как совокупность взаимодействующих информационных и автоматизированных систем. Их можно классифицировать по четырём основным группам (Таблица 1) [5, 6].

Таблица 1.

Модели цепочек критических процессов

Приведённая декомпозиция позволяет перейти к построению графа взаимосвязей систем в рамках конкретных критических процессов. При этом одна и та же система может участвовать в нескольких процессах одновременно, а прерывание одного процесса способно инициировать каскад отказов в смежных.

Методология категорирования на основе анализа цепочек критических процессов

Принцип процессного подхода.

Под «цепочкой критического процесса» понимается упорядоченная совокупность технологических операций, реализуемых несколькими информационными системами, нарушение любой из которых приводит к невыполнению конечной функции метрополитена, значимой с точки зрения критериев Постановления № 127 [2]. Примером является процесс «Безопасная эвакуация пассажиров при пожаре», в котором задействованы системы пожарной сигнализации, тоннельной вентиляции, видеонаблюдения и связи.

Формальное представление графа взаимосвязей.

Пусть множество рассматриваемых информационных систем метрополитена образует конечное множество вершин V={v1​,v2​,…,vn​}. Для каждого критического процесса строится ориентированный граф, дуги которого показывают передачу информации или управляющих воздействий между системами. На основе объединённого графа вычисляются простые сетевые характеристики: для каждой системы определяется её входящая связность и исходящая связность. Эти характеристики нормируются на максимальное значение.

Интегральный индекс критичности.

Для каждой системы рассчитывается интегральный индекс по формуле:

где  – это нормированная собственная значимость системы, а  и  - нормированные входящая и исходящая связности. Весовые коэффициенты определены методом анализа иерархий Т. Саати [11] на основе экспертных оценок: w1​=0,55, w2​=0,25, w3​=0,20. Собственная значимость включает социальный и экономический ущерб; для метрополитена, как показал анализ, доминирует социальная составляющая.

Апробация методики

Исходные данные.

Рассмотрен процесс «Управление движением поездов» с четырьмя системами: АСУ ДП (диспетчерская), СЦБ (сигнализация и блокировка), ССМ (связь), СУСП (управление стрелками). Построен граф взаимосвязей, определены входящие и исходящие связи.

Расчёт социального и экономического ущерба.

Для верификации экономической составляющей использованы данные ГУП «Петербургский метрополитен» за 2024 год [12]. Совокупный годовой доход составил около 36,7 млрд руб. При отказе АСУ ДП на 2 часа недополученный доход оценён в 8,0 млн руб., дополнительные затраты — около 1,6 млн руб. Относительный ущерб составил менее 0,03 %, что значительно ниже порога даже третьей категории (3 %). Социальный ущерб при остановке движения достигает десятков тысяч затронутых пассажиров, что превышает порог первой категории (5000 человек). Таким образом, именно социальный критерий определяет категорию.

Результаты расчёта индекса критичности.

В таблице 2 приведены итоговые значения интегрального индекса для рассматриваемых систем.

Таблица 2.

Интегральный индекс критичности систем процесса «Управление движением поездов»

Валидация модели. Для проверки адекватности индекса проведено имитационное моделирование каскадных отказов (10 000 прогонов на ЭВМ). Ранжирование систем по ожидаемому ущербу полностью совпало с ранжированием по индексу. Корреляция с расчётами структурной важности по дереву отказов составила 0,96. Анализ чувствительности (изменение весов на ±10 %) показал, что АСУ ДП сохраняет первую категорию во всех сценариях, СЦБ — вторую в 90 % случаев, остальные системы — третью. Это подтверждает устойчивость предложенного подхода.

Предложенный индекс наиболее полезен для систем, у которых ни один из единичных критериев Постановления № 127 не является заведомо доминирующим. Для систем, непосредственно влияющих на жизнь и здоровье людей (например, АСУ ДП), социальный показатель уже гарантирует первую категорию. Однако расчёт интегрального индекса позволяет выполнить тонкое ранжирование внутри одной категории для определения очерёдности финансирования и реализации защитных мер.

Заключение

Разработана и апробирована методология категорирования объектов КИИ метрополитена на основе анализа цепочек критических процессов. Предложенный интегральный индекс критичности объединяет собственную значимость систем, рассчитанную по методике ФСТЭК, и их структурную роль в графе взаимосвязей. Это позволяет количественно учесть каскадные эффекты отказов. Верификация на реальных данных Петербургского метрополитена подтвердила доминирование социального ущерба и работоспособность методики. Подход полностью согласуется с п. 2.5 Рекомендаций ФСТЭК и даёт комиссиям по категорированию обоснованный инструмент для присвоения категорий значимости и приоритизации мероприятий по защите информации.