Кибербезопасность 
Грамотное управление ИИ снижает риски безопасности. Оно ограничивает права доступа до минимально необходимых, защищает рабочую информацию и учетные данные, а также делает все действия ИИ прозрачными...
опубликованный , дата публикации: 23 сентября, 2026
В конце июля 2026 года злоумышленники атаковали средства удаленного мониторинга и управления более чем 30 коммунальных систем водоснабжения в Миннесоте. Впоследствии о кибератаках на объекты водоснабжения сообщили как минимум в 12 штатах. Однако уязвимости OT-сред, сделавшие эти атаки возможными, встречаются не только в системах водоснабжения. Энергетика, промышленность, транспорт и госсектор используют схожее OT-оборудование и привлекают сторонних интеграторов для его обслуживания. Многие из этих систем изначально не рассчитывались на подключение к интернету. Критически важная инфраструктура нуждается в нулевом доверии, поскольку доступ в таких средах до сих пор часто зависит от местоположения пользователя или устройства в сети. Злоумышленники уже активно этим пользуются.
Далее мы расскажем, почему традиционных моделей безопасности уже недостаточно, как ИИ помогает хакерам и как принцип нулевого доверия защищает критическую инфраструктуру.
Почему традиционная модель безопасности больше не защищает критическую инфраструктуру
Контроллеры, доступные из интернета, учетные данные по умолчанию и постоянный доступ поставщиков давно считаются уязвимыми местами. Для их эксплуатации злоумышленникам не нужны сложные технологии или высокая квалификация. Причина всех этих рисков заключается в доверии по умолчанию. Плоская или слабо сегментированная сеть строится на предположении, что всему внутри периметра можно доверять. Если инженерная рабочая станция имеет доступ ко всем контроллерам, система слепо верит, что за ней всегда находится авторизованный сотрудник. Пароль по умолчанию предполагает, что устройство физически недоступно для посторонних.
Атаки на системы водоснабжения в США вскрыли и менее очевидную проблему. Часть доступного извне оборудования, включая сотовые модемы и устройства от поставщиков, вообще не проходит стандартные проверки безопасности. Большинство таких сред создавались с учетом условий, которые существовали на момент установки. С тех пор эти исходные представления переходили от одной команды к другой и не пересматривались. Никто не оставляет ПЛК открытыми для доступа из интернета намеренно. Однако по мере сближения IT- и OT-сред границы периметра изменились, а модель доверия осталась прежней.
Почему из-за ИИ остается все меньше времени на закрытие уязвимостей в OT
В совместном бюллетене AA26-231A, опубликованном 19 августа 2026 года, АНБ, CISA, ФБР, Министерство энергетики и Агентство по охране окружающей среды США сообщили, что киберпреступники маскируют сгенерированные ИИ скрипты под легитимные средства мониторинга для разведки ПЛК Siemens S7, доступных из интернета. Ведомства предупредили, что применение ИИ снижает порог входа для злоумышленников и ускоряет разработку хакерских инструментов. В бюллетене не сообщается о новых уязвимостях нулевого дня. Зафиксированная активность носила разведывательный характер и не привела к подтвержденным сбоям в работе систем. Сами уязвимости остались прежними и уже упоминались в рекомендациях федеральных ведомств. Изменились лишь доступность инструментов и скорость подготовки атак.
Риски, связанные с ИИ, затрагивают и управление нечеловеческими идентичностями. 27 августа 2026 года более 100 организаций подписали открытое письмо о коллективной киберзащите. Его авторы предупредили, что ИИ-атаки вскоре станут масштабнее. В качестве потенциальных целей названы больницы, водоочистные сооружения и интернет-инфраструктура. Авторы письма призвали поддержать ИБ-специалистов, защищающих критическую инфраструктуру в условиях нехватки ресурсов.
Как модель нулевого доверия меняет защиту OT в критической инфраструктуре
Нулевое доверие — это модель безопасности, исключающая доверие по умолчанию. Доступ предоставляется не на основе местоположения в сети, а после строгой проверки цифровой идентичности пользователя или устройства. При этом права ограничиваются необходимым минимумом, а все действия фиксируются в журнале. В OT-средах это означает, что одного подключения к сети управления уже недостаточно для получения доступа к находящемуся в ней оборудованию. Вместо защиты периметра основной акцент переносится на контроль цифровой идентичности и доступа. Поэтому модель нулевого доверия особенно актуальна для сред, где сетевой периметр уже размыт, а оборудование невозможно быстро заменить.
Точкой контроля становится цифровая идентичность, а не местоположение в сети
Любой пользователь, поставщик, сервисная учетная запись и ИИ-агент при взаимодействии с вашей средой обязаны иметь проверяемую цифровую идентичность. Именно она, а не IP-адрес или местоположение в сети, определяет права доступа. Общая учетная запись оператора нарушает этот принцип. Она позволяет определить роль, но не конкретного человека. Схожие принципы применяются и к ИИ-системам. В коллективном письме отмечается, что машинные учетные записи автономных ИИ-агентов должны быть прослеживаемыми, а ответственность за их действия — четко определенной. Это обязательство со стороны разработчиков систем, а не операторов инфраструктуры. Этот же принцип разумно применять к поставщикам ИИ и всем агентам внутри вашей среды. Их действия должны быть привязаны к конкретной цифровой идентичности, а постоянный доступ необходимо исключить.
Наименьшие привилегии и доступ «точно в срок» (JIT) вместо постоянного доступа
Представьте интегратора, который раз в шесть месяцев обслуживает очистные сооружения и каждый раз нуждается в доступе лишь на несколько часов. В традиционной модели кибербезопасности у такого поставщика есть постоянная учетная запись VPN. В результате его учетные данные служат открытым каналом в вашу сеть круглый год, хотя по факту нужны лишь на пару часов. При этом безопасность подключения во многом зависит от того, как защищается сам поставщик. Доступ «точно в срок» (JIT) устраняет эту проблему. Он предоставляется только на время запланированных работ, ограничивается конкретной системой и автоматически отзывается по истечении установленного срока. Сетевой доступ с нулевым доверием (ZTNA) переносит этот же принцип на само подключение. Если VPN открывает поставщику доступ ко всей сети, то ZTNA предоставляет доступ исключительно к целевой системе, оставляя остальные ресурсы невидимыми.
Ограничьте радиус поражения на границе IT и OT
Не стоит рассчитывать, что несанкционированный доступ удастся предотвратить в 100% случаев. Гораздо важнее заранее ограничить возможности злоумышленника на случай успешного прорыва. Сегментация границы IT/OT, ограничение связей между инженерными рабочими станциями и контроллерами, а также отказ от постоянного доступа резко сокращают радиус поражения. Та же логика применима к ИИ-агентам, работающим сразу в нескольких системах. Со временем их разрешения могут незаметно накапливаться и давать им значительно больше доступа, чем требуется. Воспользуйтесь нашим калькулятором радиуса поражения ИИ-агента, чтобы оценить, до каких систем сможет добраться один скомпрометированный ИИ-агент.
Непрерывно проверяйте доступ, отслеживайте активность и записывайте сеансы
При традиционном подходе право доступа часто проверяется только при входе. Непрерывная проверка позволяет заново оценивать его по мере изменения условий и при необходимости отзывать. Мониторинг и запись сеансов точно фиксируют все действия во время привилегированного подключения к контроллеру. Поэтому подозрительный инцидент можно расследовать на основе объективных данных, а не восстанавливать картину задним числом.
Как внедрить модель нулевого доверия в OT-средах
Для OT-сред ключевое значение имеют доступность систем и безопасность эксплуатации, поскольку отказ системы управления может оставить людей без воды или электричества. Руководство CISA по внедрению нулевого доверия в OT связывает результаты с шестью функциями NIST CSF 2.0, учитывая ограничения устаревших систем, специфику эксплуатации и требования безопасности. В нем прямо говорится, что в OT принципы нулевого доверия необходимо адаптировать, а не переносить без изменений из традиционной IT-среды. Именно в этом заключается практический подход к внедрению нулевого доверия в OT. В бюллетене AA26-231A операторам также рекомендуется использовать компенсирующие меры защиты, если устаревшее устройство невозможно обновить или перенастроить без планового простоя. Схожий подход поддерживается и в коллективном письме. Даже если на устаревший контроллер нельзя установить исправления, можно контролировать и отслеживать, кто получает к нему доступ, откуда и на какое время. Рекомендации для старта внедрения модели нулевого доверия в OT-средах
- Проведите инвентаризацию всех путей удаленного доступа к OT, включая учетные записи поставщиков, сотовые модемы и оборудование, установленное в обход процесса управления изменениями.
- Закройте прямой доступ из интернета к ПЛК, HMI и jump-серверам.Федеральные ведомства неоднократно называют такой доступ одним из наиболее серьезных рисков. Это изменит способ подключения к устройствам, но не повлияет на принцип их работы.
- Откажитесь от учетных данных по умолчанию и общих учетных записей. Для точек удаленного доступа внедрите устойчивую к фишингу многофакторную аутентификацию. Пароли по умолчанию и контроллеры, доступные из интернета, неоднократно упоминались среди уязвимых мест при недавних атаках на системы водоснабжения. Уникальные учетные данные и аппаратные методы аутентификации не создают задержек в самом процессе управления.
- Замените постоянный доступ поставщиков контролируемым доступом, ограниченным по времени, и записывайте сеансы. Интегратор по-прежнему сможет подключаться во время запланированных работ, но его учетная запись больше не будет оставаться постоянной точкой входа в сеть.
- Сегментируйте границу IT/OT и контролируйте проходящий через нее трафик. Сначала включите мониторинг, определите нормальный профиль сетевого взаимодействия и только после этого вводите ограничения, чтобы не нарушить работающие процессы.
- Поставьте измеримую цель. Оценивайте не количество развернутых инструментов, а то, насколько быстро удается сдержать вторжение и сохраняют ли защитные меры эффективность при повторной проверке. Такой показатель позволяет руководству оценивать реальный результат.
Защитите критически важную инфраструктуру с помощью Keeper
Недавние инциденты и отчеты регуляторов доказывают необходимость жесткого контроля привилегированного и удаленного доступа на объектах критической инфраструктуры. Особенно это актуально там, где устаревшие OT-системы невозможно быстро обновить или заменить. Организации могут снизить риски, контролируя, кто получает доступ к критически важным системам, какие ресурсы доступны каждому пользователю, как долго сохраняются права и какие действия разрешены. KeeperPAM® помогает организациям, отвечающим за критическую инфраструктуру, защищать привилегированный доступ и управлять им в средах IT и OT. Keeper Gateway обеспечивает безопасный удаленный доступ к инфраструктуре без открытия входящих портов брандмауэра и без раскрытия учетных данных конечным пользователям. Архитектура KeeperPAM основана на принципах нулевого доверия и нулевого разглашения. Решение поддерживает доступ «точно в срок» (JIT), позволяет настроить ротацию учетных данных, обеспечивает соблюдение принципа минимальных привилегий и управление привилегированными сеансами. Попробуйте KeeperPAM бесплатно, чтобы закрыть пути доступа, которыми уже пытаются воспользоваться злоумышленники.
Вопросы и ответы
Что такое нулевое доверие для OT?
Модель нулевого доверия для OT исключает доверие по умолчанию в промышленных средах. Доступ больше не зависит от местоположения пользователя или устройства в сети. Каждое подключение проверяется на основе цифровой идентичности, права ограничиваются необходимым минимумом, а для всех действий ведется журнал.
Требует ли CISA внедрять модель нулевого доверия для критически важной инфраструктуры?
Для операторов частного сектора модель нулевого доверия не является обязательным требованием. CISA публикует рекомендации и модели зрелости, которые сами по себе не имеют обязательной силы. Руководство CISA для OT представляет собой дорожную карту, а не нормативное предписание. Для федеральных ведомств действуют отдельные директивы по нулевому доверию, а отраслевые регуляторы, включая TSA и EPA, устанавливают собственные правила. Поэтому конкретные требования зависят от отрасли и юрисдикции.
Можно ли применять модель нулевого доверия к устаревшим ПЛК, на которые нельзя установить исправления?
Чтобы выстроить защиту устаревших ПЛК по принципам нулевого доверия, самим устройствам необязательно поддерживать современные методы аутентификации. Если старое оборудование невозможно обновить, риски устраняются компенсирующими мерами. В их число входят сегментация сети, удаленный доступ на основе цифровой идентичности, принцип минимальных привилегий, мониторинг сеансов и временное ограничение доступа.
