Организации критической инфраструктуры зависят от подключенных систем, которые не просто передают данные или управляют производством. Контроль физического доступа, видеонаблюдение, системы ОВК (отопление, вентиляция и кондиционирование), инженерные системы зданий и инфраструктура объектов — все это может влиять на безопасность, время безотказной работы и повседневные операции.
Это делает объединение кибербезопасности и физической безопасности практической необходимостью. Специалисты по кибербезопасности должны понимать, какие подключенные системы входят в область действия, кто имеет к ним доступ и как сбой может повлиять на работу до того, как произойдет инцидент.
Рассмотрим центр обработки данных, в центре управления безопасностью которого работают аналитики по кибербезопасности и сотрудники физической безопасности. Система ОВК центра обработки данных подключена к сети АСУ ТП для централизованного управления и оптимизации энергопотребления.
Однажды утром команда по кибербезопасности обнаруживает, что контроллер ОВК связывается с неавторизованным внешним IP-адресом. Аналитики выясняют, что на сервер управления ОВК было установлено вредоносное ПО, которое пытается распространиться на другие узлы.
Команда по кибербезопасности изолирует затронутые активы, блокирует исходящий трафик и собирает криминалистические данные. Группа физической безопасности изучает журналы пропусков, записи с камер видеонаблюдения и данные о посетителях. Эти записи показывают, что двумя днями ранее внешний подрядчик заходил в аппаратную ОВК и подключал обслуживающий ноутбук к инженерной рабочей станции.
Совместно группы находят предполагаемый источник — вредоносное ПО, занесенное через обслуживающий ноутбук подрядчика. Кибернетические улики показывают, что произошло в сети. Физические улики показывают, кто получил доступ к оборудованию и как вредоносное ПО могло проникнуть в среду.
Практическая ценность заключается в скорости и надежности. Команды кибербезопасности и физической безопасности могут видеть, как развивался инцидент, и выбирать шаги реагирования, которые не подвергают операции дополнительному риску.
В отчете Honeywell Technologies 2026 OT Cybersecurity Benchmark Report отмечается, что 43% респондентов не включают системы физической безопасности в свою программу защиты АСУ ТП, а 44% не включают инфраструктуру объектов. Это оставляет значительную часть подключенных систем за рамками кибербезопасности АСУ ТП, даже несмотря на то, что эти системы все чаще поддерживают бесперебойную работу, безопасность, работу объектов и реагирование на инциденты.
Специалисты по безопасности должны знать не только то, где появилось предупреждение. Они должны знать, что делает затронутая система и что может произойти, если ее отключить.
Предупреждение о вредоносном ПО на рабочей станции сотрудника — это одна проблема. Такое же предупреждение на контроллере ОВК или сервере контроля доступа может нести иной уровень операционного риска. Охлаждение, уход за пациентами, производство и доступ на объект — все это зависит от систем, которые в очереди киберпредупреждений могут выглядеть заурядно.
Именно здесь важно объединение. Когда команды кибербезопасности, физической безопасности и инфраструктуры заранее делятся контекстом, руководители могут принимать более безопасные решения по реагированию. Они могут решить, стоит ли изолировать систему, привлекать службу эксплуатации зданий или передавать вопрос на уровень АСУ ТП до того, как техническое действие создаст операционную проблему.
Конвергенция кибер- и физической безопасности зависит от четкого разграничения ответственности. Во многих организациях эксплуатация зданий, кибербезопасность и физическая безопасность контролируют лишь часть общей картины. Во время инцидента в кибер-физической системе эти разрозненные роли должны обеспечивать единый процесс реагирования.
Эта координация должна быть определена до возникновения сбоя. Команды должны знать, кто может санкционировать действия со зданием или системой объекта, где хранятся улики и когда необходимо консультироваться со специалистами по АСУ ТП или эксплуатации зданий. Без такой ясности стандартный IT-ответ, такой как блокировка доступа или изоляция устройства, может привести к операционному сбою.
Директорам по информационной безопасности (CISO) и руководителям по безопасности АСУ ТП следует заранее определить маршрут принятия решений. Четкое распределение зон ответственности помогает всем командам работать быстрее, сокращать количество передач задач между отделами и избегать мер реагирования, которые решают одну проблему, создавая другую.
Кибернетические расследования часто начинаются с технических сигналов от сетей, конечных точек и систем аутентификации. В кибер-физической среде эти сигналы могут показать, что произошло с системой, но они могут не объяснить, как началась эта активность.
Данные физической безопасности могут помочь восполнить недостающие детали. Записи пропусков, кадры с камер видеонаблюдения, журналы посетителей и охранная сигнализация могут показать, связана ли недавняя активность на объекте с киберинцидентом. Предупреждение на рабочей станции может выглядеть рядовым, пока видео не покажет, как кто-то подключает неавторизованное устройство. Подозрительное соединение может приобрести новый смысл, когда записи доступа показывают недавнее обслуживание оборудования подрядчиком.
При правильном использовании данные физической безопасности могут превратить техническое оповещение в более четкую последовательность событий. Это может помочь командам понять, сыграли ли роль недавнее техническое обслуживание, доступ на объект или активность рядом с затронутой системой.
План реагирования может выглядеть безупречно на бумаге. Настоящая проверка наступает тогда, когда командам нужен доступ к журналам, видео, записям посещений, истории систем и лицам, принимающим операционные решения.
Настольные учения могут выявить пробелы до того, как произойдет реальный инцидент. Они показывают, доступны ли улики, знают ли нужные команды, когда следует подключаться, и были ли проверены действия по реагированию на предмет их влияния на операции. Они также помогают убедиться, что ИТ, АСУ ТП, службы эксплуатации зданий, физическая безопасность, юридический и комплаенс-отделы понимают свои роли до возникновения инцидента.
Эта подготовка может повлиять на продолжительность простоя. Наш отчет показал, что 21% пострадавших от инцидентов организаций с реактивными программами или программами, основанными на отдельных инструментах, сообщали как минимум о суточном простое по сравнению с 12% организаций с плановыми или проектными программами.
Для CISO и руководителей по безопасности АСУ ТП планирование кибер-физической безопасности должно учитывать системы объектов, материалы расследований и шаги реагирования, которые защищают время безотказной работы, безопасность и непрерывность процессов.
Honeywell Technologies помогает организациям критической инфраструктуры укреплять безопасность АСУ ТП в рамках систем зданий, сооружений и физической безопасности. Наша поддержка включает в себя оценку кибербезопасности в соответствии с отраслевыми стандартами и нормативными требованиями, такими как NIST CSF и NIS2, оценку уязвимостей и тестирование на проникновение (VAPT) для АСУ ТП, мониторинг, планирование реагирования на инциденты, настольные учения и экспертную поддержку во время критических киберинцидентов.
Honeywell Technologies также предлагает такие решения, как Cyber Insights, которые помогают организациям улучшить видимость активов, выявлять киберриски, обнаруживать угрозы и укреплять общую защищенность АСУ ТП.
Свяжитесь с нами, чтобы узнать больше.
