Как устроена кибербезопасность в ТМК

Современные металлургические предприятия активно внедряют искусственный интеллект (ИИ), автоматизированные системы управления технологическими процессами (АСУ ТП) и облачные сервисы. При этом цифровизация неизбежно сопровождается новыми киберугрозами, способными не только остановить производство, но и привести к авариям, потенциально — с жертвами среди людей. Всё это — головная боль кибербезопасников, от слаженной работы которых зависит непрерывность производственных процессов. Директор по инфраструктуре и кибербезопасности ТМК Антон Кокин рассказал, как Трубная металлургическая компания (ТМК) проводит ИТ-учения и учения по катастрофоустойчивости ИТ-сервисов с переносом инфраструктуры и почему цифровая культура начинается с самих безопасников. 

— Как вы формируете кибергигиену внутри компании?

— Все знают фразу Питера Друкера о том, что «культура съедает стратегию на завтрак». И в моей профессии это не просто красивые слова. Какая бы у вас ни была серьёзная стратегия, какие бы современные продукты и сервисы не устанавливали — всё может перечеркнуть одна человеческая ошибка, к примеру, переход по фишинговой ссылке. И злоумышленники в обход всех систем безопасности тут же проникают в инфраструктуру. Самое слабое место, как известно, — это сам человек.

Поэтому я считаю, что культура начинается с себя. И даже если ты директор, то не можешь настаивать на каких-то правилах, если сам их нарушаешь.

— То есть вы сами часто меняете пароли?

— Регулярно. Знаете, это как хорошая привычка, которую приобрёл раз и навсегда. В нашей компании эта культура уже давно привита, но получилось донести до людей не сразу. Помогло то, что у нас первые лица сами подали пример.

А когда топ-менеджер придумывает пароль, соответствующий уровню сложности, то почему остальные должны игнорировать элементарные правила кибербезопасности? 

Плюс мы совместно с нашим корпоративным университетом ТМК2U разрабатывали обучающие программы Security Awareness, там всё доступно изложено, в том числе и потенциальные риски.

С паролями работаем отдельно, подбираем не просто по установленным правилам политики безопасности, а перебором по словарю, к примеру. Отдельно выводим графики смены паролей. И приятно, что это была не моя инициатива, а команды.

— Как изменилась кибергигиена за последние пять лет?

— Конечно же, киберкультура стала более зрелой. Если говорить о фишинге, то с 30% открытия вредоносных писем мы дошли до 5–7%. При этом нужно понимать, что можно создать такой фишинг, который откроют все, даже я.

Поэтому в компании мы регулярно проводим имитации фишинговых рассылок, проверяя бдительность сотрудников и оставляя маркеры в их памяти. Наша задача не поймать за руку, а сделать всё, чтобы они запомнили, куда смотреть и как отличить реальное сообщение от фейкового. Кроме того, если пользователь всё же переходит, то мы открываем страничку, в которой конкретно расписываем, как можно было обнаружить подвох: смотри, вот здесь вот надо было посмотреть на адрес отправителя внимательнее, там лишняя буква, а вот тут подпись не соответствует реальной.

— Как часто вы готовите аналитику по инфобезопасности для руководства ТМК?

— Регулярно. В том числе это касается и той же киберкультуры. А вообще, каждый такой отчёт наверх и есть маркер заинтересованности руководства, ведь вовлечённость первых лиц крайне важна в построении устойчивой кибербезопасности.

— Как изменилась ситуация в кибербезе после 2022 года?

— Здесь есть несколько пиков. Сразу после февраля 2022 года был резкий скачок DDoS-атак. Это касалось не только ТМК, но и в целом всего металлургического рынка. Причём их уровень зачастую был непрофессиональным. Второй пик наступил летом 2023 года. В этом время мы фиксировали целевые атаки с использованием шифровальщиков, программ-вымогателей (ransomware). Это сложные кибератаки, при которых злоумышленники сначала тщательно изучают жертву, а затем внедряют вредоносное ПО для шифрования критически важных данных с целью получения выкупа или сбора информации. К счастью, обошлось без серьёзных инцидентов. Я не считаю, что мы намного лучше коллег, раз мы справились, а кто-то пропустил такие атаки. Но есть фраза: везёт тем, кто везёт. Мы много работали и готовились.

— Если всё же злоумышленники проникнут в периметр, что делать?

— Такие угрозы у нас зафиксированы на уровне корпоративных рисков, и мы проводим достаточно масштабную работу по их устранению. Одно из главных наших достижений — масштабные киберучения, которые мы с 2021 года ежегодно проводим в рамках крупнейшего мероприятия ТМК — корпоративного форума «Горизонты». На киберучениях мы отрабатываем непрерывность бизнес-процессов. Что бы ни произошло, производство не должно останавливаться.

С 2023 года мы стали масштабировать киберучения, привлекать к участию в них не только киберзащитников, но и других участников процесса: специалистов по инфраструктуре, разработчиков и даже отдельные бизнес-подразделения. Работа в такой коллаборации над общей задачей позволила существенно повысить вовлечённость и взаимный обмен знаниями, сотрудники стали лучше понимать, как различные действия ИТ-специалистов влияют на инфраструктуру и безопасность конечного продукта. С другой стороны, киберзащитники начинают понимать процессы разработки и их проблематику. В этом году мы решили, что нашим опытом пора делиться, и планируем в марте 2027 года провести первые кроссотраслевые учения — «Кибер.Вызов». Участниками станут ИТ-команды крупных производственных компаний. За 5 дней они смогут прокачать навыки и найти новые точки взаимодействия.

Также для всех критичных информационных систем (а это очень большой список) мы подготовили DRP-план (Disaster Recovery Plan — план аварийного восстановления — прим. ред.) со своим резервным центром обработки данных. И речь не о переключении между двумя растянутыми кластерами. Это поднятие самостоятельной инфраструктуры на расстоянии 2000 км от Москвы. Это был настоящий рефакторинг — внутреннее преобразование систем с целью оптимизировать их алгоритмы, улучшить структуру и упростить понимание их работы.

Но мало подготовить инфраструктуру — надо протестировать её. И в момент, когда уже всё было готово, мы пришли к бизнесу и заручились поддержкой.

Выключили ключевые информационные системы в Москве, подняли их на Урале, проработали в таком режиме неделю. 

И потом переключились обратно: для критичных систем это заняло 7-8 часов, для остальных — сутки. И всё это время бизнес-процессы не прерывались: формировались заказы, происходила отгрузка.

— Как можно кратко обозначить роль кибербезопасности в ТМК?

— Мы занимаемся практическими вопросами: отвечаем за реальную инфраструктуру, держим баланс между кибербезопасностью, ИТ и бизнесом. Наша роль — не жандарм, который ограничивает производственные подразделения, а помощник для бизнеса. Благодаря выстроенным процессам и оперативной реакции мы на фоне повышенной активности хакеров эффективно защищаем бизнес-процессы от киберугроз.

Беседовал Егор Петров