そして、この質問はプロセス制御システムに関連して正しく提起されていますか？
CIA（機密性、完全性、可用性）モデルは時の試練に合格し、恩知らずの追求に疑問を投げかけています。 しかし、プロセス制御システムの詳細に関連して、このモデルの適用性を修正する価値があると思います。 プロセス制御システムの情報セキュリティをどの程度適切に記述しているか、および変更が必要かどうかを理解する必要があります。
管理上の意思決定の観点から、機密性、完全性、アクセシビリティを確認してください。 私たちの目標を達成するために、情報に基づいた意思決定とそのさらなる実施を行うための情報が必要です。
機密性が侵害された場合、私たちの決定は敵に知られるようになり、それは彼らの反応を引き起こし、私たちの目標を達成することを許しません。 すべての活動の結果は否定的であり、目標は達成されていません。
整合性が侵害された場合、歪んだ情報に基づいているため、判断が誤りになります。 情報が歪んでいることを知ると、状況がわからないため、状況は複雑です。 アクティビティの結果は同じです。
アクセシビリティが侵害された場合、私たちはまったく決定を下すことができません。 良いニュースは、情報がないことを知っていることです。さらに時間があれば、それを取得する機会がまだあります。 アクティビティの結果は同じです。
非常に一般的なアプローチは上記で説明されています。 このアプローチは、プロセス制御システムを保護するために必要ではありません。 プロセス制御システムの詳細および詳細によって絞り込むことができます。 すなわち：
- 技術情報（発生するイベント、入力データ、および出力コマンド）は、本質的に典型的、運用的、ローカルなものです。つまり、そのようなシステムでは典型的であり、それぞれの関連性を非常に迅速に失い、同じシステム内でそれぞれ意味があります。
- 決定は、発生したイベントや入力データ（情報収集）に基づいて、特定のアルゴリズム（ソフトウェア）に従って、プロセス制御システムのコントローラーとオペレーター、およびコンピューティングデバイス（プログラマブルロジックコントローラーなど）によって行われます。
- 決定（チーム）は、職務または運用担当者、および実行メカニズムによって実行されます。
- 決定を下して実行する時間は厳密に制限されています。
- プロセス制御は、自動化（人間の関与あり）または自動化（人間の関与なし）のいずれかです。
- プロセス制御ループ（ループ）は、収集フェーズ、決定フェーズ（自動処理または計算）、およびコマンドフェーズで構成されます。
- プロセス制御システムの情報セキュリティの主題は、不正アクセスに対する保護です（情報に関連する他の問題はプロセス制御システムにとって目新しいものではなく、たとえば産業安全を使用して解決できます）。
- プロセス制御システムは、犯罪者（テロリストなど）にとって重要な情報を処理および保存できます。 たとえば、技術プロセスのリソースの会計に関する情報は、違法な利益を得て犯罪の痕跡を隠そうとする犯罪者にとって興味深いものです。
最初の段落に基づいて、プライバシー保護は不要になります。 キャプチャされたネットワークトラフィックの分析の結果として、技術プロセス（制御オブジェクト）のタイプを決定することに専念する多くの研究が知られているため、ここで追加のコメントを与える必要があります。 しかし、この場合、この方法で得られた知識は、制御システムの制御目標の達成に影響を与えることはできませんが、攻撃者が制御システムへの攻撃を開発するのに役立ちます。 次に、この知識は、プロセス制御システム内で処理される技術情報ではなく、プロセス制御システムに関する情報のタイプに起因する必要があります。 そして、自動プロセス制御システムに関する情報の機密性を保護する必要があります。 このタイプの情報には、プロセス制御システム（プロセス制御システムのみに関する個人データなど）を識別および説明するための設計および運用のドキュメントとその他の情報が含まれます。
限られた時間（第4段落）の条件では、プロセス制御システムのアクセシビリティと整合性は同等になります。なぜなら、技術プロセスに対するソリューションの欠如（アクセシビリティの違反の結果）または誤ったソリューション（整合性の違反の結果）の結果は同じだからです。 指定された時間枠では、適切なソリューションのみが受け入れられます。
したがって、自動化されたプロセス制御システムの情報セキュリティ全体が、完全性-可用性またはアクセシビリティ-整合性という1つの事柄を防御するために低下します。 なんとなく予想外！ そのようなモデルは便利ですか？
したがって、機密性、完全性、アクセシビリティの優先度について議論することは無意味です。 投稿の冒頭で質問に対する回答を得て、新しい質問をしました。
理論的な研究から離れて、実践に移りましょう。 しかし、実際には、プロセス制御システムの情報セキュリティを確保するための、つまりプロセス制御システムのセキュリティ情報の全体的なアクセシビリティに対する不正アクセスの脅威から保護するための技術的手段と組織的手段を見つける必要があります。 このような問題の声明で何をする必要があるのか、何人の人が理解するでしょうか？ そして最も重要なことは、プロセス制御システムのコントローラーとオペレーターは、プロセス制御システムの情報セキュリティに単に必要な「プロセス制御システムの保護」の重要性と妥当性を感じますか？ 私の意見では、これらの質問に対する答えは否定的です。
したがって、CIAに基づいた次のモデルに基づいて、プロセス制御システムではより適切な、不正なアクセスからプロセス制御システムを保護することをお勧めします。
- 閉ループプロセス制御-技術情報の整合性と可用性、および制御サイクル全体のパラメーターとソフトウェアの整合性を保護します。
- -プロセスの可視性-技術情報の整合性と可用性の保護、ならびに制御サイクル情報の情報収集段階のパラメーターとソフトウェアの整合性。
- -プロセスの制御性-技術情報の整合性と可用性の保護、および制御サイクルコマンドフェーズのパラメーターとソフトウェアの整合性。
- -技術プロセスの正常性-制御サイクルの自動処理段階のパラメーターとソフトウェアの整合性の保護
- プロセス制御の継続性-事故、シャットダウン、または重大な遅延に対する保護
- これとは別に、経済犯罪および犯罪犯罪（完全性、証明可能性）の予防と開示があります。
このモデルは、Habrahabrの読者であるあなたにとって判断するのにどれだけ適切で、実際に役立つか。