UDV Group: кибератака на производство часто начинается с офисной сети

Российский разработчик решений в области киберустойчивости UDV Group отмечает рост рисков для промышленных предприятий на фоне сближения ИТ- и ОТ-сред. Для «умных» заводов критичным становится не только наличие средств защиты, но и понимание того, какие устройства, сервисы, подрядчики и каналы доступа связаны с технологическим контуром.

Промышленные предприятия становятся одной из наиболее чувствительных целей для кибератак. В I квартале 2026 года доля атакованных ICS-компьютеров в производственном сегменте выросла сразу в десяти регионах. В России показатель по ransomware в производстве увеличился в 2,3 раза. Для завода такие инциденты означают не только ИБ-риск, но и прямую угрозу непрерывности операций: остановку линии, срыв отгрузок, задержку выпуска продукции и возможное воздействие на оборудование.

По оценке UDV Group, для «умных» заводов эти риски усиливаются из-за тесной связи технологического контура с цифровыми сервисами. Производство все чаще опирается на АСУ ТП, датчики, диспетчеризацию, промышленный интернет вещей, аналитику, удаленное обслуживание и обмен данными между ИТ- и ОТ-сегментами. Такая архитектура повышает управляемость процессов, но одновременно расширяет поверхность атаки.

В UDV Group подчеркивают: ключевой риск связан не с цифровизацией как таковой, а с недостаточным контролем над связями, которые она создает. Атака на промышленное предприятие далеко не всегда начинается внутри АСУ ТП. На практике точкой входа часто становится корпоративная ИТ-среда: фишинг, украденная учетная запись, открытый удаленный доступ, скомпрометированный подрядчик или сервис, работающий на стыке ИТ и ОТ. Если сегменты разделены формально, обычный ИТ-инцидент может постепенно превратиться в угрозу для технологического процесса.

Для промышленной площадки критична не сама компрометация отдельного узла, а момент, когда атака получает возможность повлиять на производство. На современных предприятиях данные с оборудования передаются в аналитические системы, подрядчики подключаются удаленно, а производственные линии зависят от цифровых сервисов. Если компания не видит реальные взаимодействия между устройствами и не замечает нетипичную активность, атака может быть обнаружена уже тогда, когда возникает риск простоя.

«В промышленной среде нельзя реагировать на инцидент так же, как в офисной сети. В корпоративном сегменте подозрительный компьютер можно изолировать или перезагрузить. В АСУ ТП за конкретным узлом может стоять участок производства, оборудование или контур управления. Неправильное действие способно само привести к остановке. Поэтому защита технологической сети должна начинаться с видимости активов, контроля изменений и мониторинга промышленного трафика», - отмечают в UDV Group.

Видимость сети для промышленного предприятия означает не формальную схему для отчета, а понимание реального состояния технологического сегмента: какие устройства работают в контуре, какие протоколы используются, какие соединения являются штатными, а какие появились впервые или выглядят нетипично. Без такого уровня контроля атака часто выявляется не на этапе разведки или перемещения внутри сети, а уже после того, как злоумышленник приблизился к критичным системам.

Отдельную группу рисков составляют разрешенные связи. Это могут быть легитимный удаленный доступ, устаревшее правило на межсетевом экране, общая учетная запись, временный канал обмена данными, который давно стал постоянным, или сервисное подключение подрядчика. Формально такие каналы могут выглядеть штатными, но именно они часто дают атакующему возможность двигаться от корпоративной сети к технологическому сегменту.

По опыту проектов UDV Group, неучтенные связи в промышленной сети нередко оказываются опаснее отдельных технических уязвимостей. Уязвимость можно выявить и закрыть. С неучтенным каналом сложнее: он может существовать годами, пока предприятие не понимает, кто им пользуется, зачем он нужен и к каким системам ведет.

Особого внимания требует удаленный доступ подрядчиков. Он должен быть ограничен, журналируем и привязан к конкретной задаче. Если внешний специалист может подключаться в любое время, с широкими правами и без понятной зоны ответственности, такой доступ становится не инструментом обслуживания, а каналом риска. Контроль подрядчиков должен быть частью защиты АСУ ТП, а не отдельной административной процедурой.

В UDV Group считают, что промышленным компаниям необходимо переходить от формального контроля периметра к практической киберустойчивости технологического контура. Такой подход включает инвентаризацию активов, разделение ИТ- и ОТ-сегментов, контроль удаленного доступа, проверку действий подрядчиков, мониторинг промышленного трафика и регулярный анализ сценариев, которые могут привести к остановке производства.

Для предприятия отправной точкой должен стать не выбор нового инструмента, а оценка того, что именно может нарушить выпуск продукции. Какие связи между ИТ и ОТ критичны? Кто имеет удаленный доступ? Какие системы зависят от подрядчиков? Какие узлы нельзя отключать без участия технологов? Как предприятие узнает об атаке до того, как она повлияет на производственную линию?

Чем более цифровым становится завод, тем важнее видеть не только отдельные устройства, но и связи между ними. Кибератака становится критичной не в момент компрометации одной точки, а тогда, когда получает путь к производственному процессу. Поэтому защита АСУ ТП должна быть встроена в операционную модель предприятия и работать вместе с технологами, эксплуатацией и ИБ-службой.