Від 18 липня  – моменту 1-го зібрання ТК 185, пройшов майже місяць. Тому оцінити перший місяць варто. Як з метою залучення широкого загалу, так і для самих членів ТК- з метою оптимізації нашої роботи, а також активного обговорення питань, що назрівають.

Перші підсумки

Крім вже опублікованих результатів від 18 липня, найбільший прогрес продемонструвала за цей місяць група «кібер-безпека». По-суті, саме в цій підгрупі формуються певні внутрішні стандарти та правила, що будуть найближчим часом масштабовані на роботу всього ТК.

Отже, що ми маємо на середину серпня:

1. На виході 1-ий документ «Базові рекомендації щодо кібер безпеки АСУТП». Він підготовлений вказаною вище групою спеціалістів і базується на міжнародному стандарті МЕК 62443. Головна мета документу – вирівняти розуміння щодо базових положень та заходів кібер-безпеки в АСУТП для всього ринку. Пояснювати важливість такого документу – в контексті кібер-атак, що продовжуються, а також нашого рівня зрілості мабуть зайве. Офіційний реліз документу планується до 20 серпня.
2. В процесі обговорення та інколи зовсім непростих дебатів група виробила спільні погляди на ряд положень щодо діяльності всього ТК

a. «Чи повинен ТК займатись просвітницькою діяльністю?» Питання виникло в зв’язку з тим, що початковий документ «базові рекомендації» буде коротким і не може претендувати на всі відповіді на питання «як» (це зробити). Відповідь групи – «так, має займатись». Оскільки рівень просвіти ринку по більшості напрямків АСУ ТП як був, так і залишається низьким.
b. Система знань, що розвивається в ТК базується на 3-х класичних рівнях, притаманних більшості хай-тек ринків

1) Базові знання: наприклад, як вказані вище «базові рекомендації…» – як правило це є серія загальних, базових рекомендацій, призначена в першу чергу для керівників різного рівня. Також сюди ж відноситься легкий, просвітній контент.
2) Професійні стандарти: самі стандарти в промислових системах (IEC/ISO) + чисельні освітні матеріали, що популяризують їх окремі положення (вебінари, семінари, статті тощо).
3) Експертний рівень: тренінги та гайди, що призначені для сертифікації спеціалістів в цій сфері.

Подібна система існує в багатьох асоціаціях, що ми беремо за приклад – наприклад, ISA.

c. Відношення до кращих практик брендів. Відзначаючи головну роль світових брендів – постачальників продуктів та рішень для АСУТП у реалізації стандартів, а також їх безумовну приналежність до всіх вказаних рівнів, ТК 185 утримується від прямого включення так званих «кращих практик» окремо взятих брендів в офіційні положення та рекомендації ТК (policy papers). Подібна пропозиція активно пропонувалась одним з учасників групи «кібер-безпека». Причина на поверхні – подібні включення несуть значний ризик конфронтації, тоді коли мета ТК полягає в протилежному – консолідації гравців ринку навколо загальновизнаних міжнародних стандартів. ТК притримується позиції, що сукупність цих кращих практик, їх концентрована суть – і є саме ті стандарти (IEC/ISO/IEEE…), про які ми говоримо. І ми знаємо, що більшість цих стандартів напрацьована саме в співпраці світових вендорів з великими промисловими замовниками. Водночас, вищесказане зовсім не виключає демонстрацію кращих практик брендів в будь-яких просвітніх матеріалах, тренінгах тощо. Як в рамках ТК 185, але перш за все в інших каналах та групах (АППАУ та Індустрія 4.0). Які вже давно існують, в рази більш релевантні для цього (оскільки відкрито заявляють про лобіювання інтересів свої членів) й де ми постійно закликаємо учасників демонструвати ці самі кращі практики.

3) Вироблені певні правила роботи в групах та ведення дискусій. Не вдаючись тут в деталі – головним принципом є асертивність. Кожен член ТК може мати свою думку з приводу тих чи інших питань, може її змінювати та відстоювати. Водночас, кожен з нас погоджується з принципами відкритого діалогу, демонструє повагу до інших колег, позитивне мислення та вміння досягати компромісу. Саме в такому поєднанні ми прагнемо досягти максимального індивідуального залучення кожного експерта.

До позитивних результатів ми відносимо також активність членів ТК всіх головних категорій – ВНЗ, вендорів, інжинірингових компаній та кінцевих замовників. Ми бачимо всіх їх в нашій групі «ТК 185» на Фейсбук, що є відкритою для членів спільноти АППАУ та 4.0.

Відкриті питання – для рефлексії та визначення стратегічних позицій

Питання що йдуть далі представляють виключно мою особисту думку – вони не мають відношення до будь-яких колективних позицій чи рішень ТК 185. Водночас, з тих чи інших причини вони важливі для озвучення – обговорення та визначення цих позицій.

1. Співпраця з російськими колегами
Будь-яка демонстрація «експертного рівня» в більшості напрямків АСУТП буде впиратись сьогодні дефіцит тих самих експертів. Це вже яскраво проявилось в дебатах групи «кібер-безпека» – насправді, на мою думку, дебати про «кращі практики брендів» явно передчасні – їх, тобто, саме таких, що ‘made in Ukraine’ в області кібер-безпеки АСУТП – просто немає. Якби вони були, – ми б бачили в тому чи іншому вигляді їх демонстрацію на вказаних вище рівнях 1,2,3. Натомість, ми точно знаємо, що десятки наших фахівців, включно з інтеграторами та замовниками черпають знання та досвід з російської групи «Кібер-безпека АСУТП», що керується лабораторію Касперського. Матеріали там – завжди зрозумілі (відсутність мовного бар’єру), коментується спеціалістами в цій сфері, йдуть регулярно та системно. Отже, маємо дещо дивну та делікатну ситуацію – ми консультуємось та обмінюємось досвідом в тих самих «кращих практиках» з експертними групами держави, що є потенційним агресором в світовій кібер-війні. Звісно, в мене немає й краплі сумнівів що Антон Шипулін (модератор вказаної групи) робить дуже корисну та важливу роботу для всього російськомовного простору. А заодно й постійно показує прогрес російських інституцій в цій сфері, що не менш корисно. Водночас, яка буде позиція ТК 185 в подібних ситуаціях обмінів – тобто, незважаючи на всю риторику «прагматизму» чи є тут морально-етичні чи професійні межі, як не можна переступати? І коли в нас з’являться свої «Антони»?

2. Ентузіасти vs Бренди

Для мене майже очевидно, що поява представників брендів в ТК 185 – це виключно позиція самих менеджерів, – а не їх керівництва. Окремі колеги від локальних філій Festo, Schneider Electric, Phoenix Contact просто проявили ініціативу та професійну зацікавленість. Але не менш, очевидно, що ця волонтерська ініціатива в рази менш ефективна ніж «захід зверху» через керівництво та з підтримкою штаб-квартир. Просто уявіть та порефлексуйте над опціями в тій же кібер-безпеці:

• ProductCERT від Siemens активно інтегрується в спроби ТК налагодити взаємодію з національними CERT, – а саме – передати їм досвід по організації локальних CERT на рівні АСУТП (по нашим даним питання АСУТП наразі повністю ігнорується на рівні нац. органів)
• При підтримці брендів – членів АППАУ ми пишемо наступний грантовий проект (є вже чимало calls на цю осінь), що можуть в рази прискорити формування широкої проф. спільноти в кібер-безпеці АСУТП
• При підтримці брендів ми запускаємо 1-ий тренінговий центр з підготовки спеціалістів по кібер-безпеці в АСУТП (до речі, в ІТ галузі таких вже багато)
• При підтримці брендів ми значно прискорюємо загально-український дискурс та розуміння IIoT ≠ IoT – тим самим, залучаючи до співпраці десятки молодих стартапів, а також нівелюючи нові вразливості, що ростуть на наших очах
• і т.п. і т.д.

Все це реально можливо. І я впевнений, що «німецька машина» (умовно називаю всі глобальні корпорації) рано чи пізно включиться та запрацює в Україні. Але наш інтерес – і перш за все, нашого ринку та замовників в тому, щоб це було якомога раніше. Питання координації з АППАУ та ТК 185 тому є головним, – адже наївно припускати, що бренди завтра інвестують сотні тисяч доларів у створення в Україні власних центрів експертизи.

3. Пробудження ВНЗ – тренд чи випадок?
Очолення групи «кібер-безпека» Юліаном Грудзинським, старшим викладачем кафедри АТЕП-ТЕФ КПІ є добрим сигналом для всієї спільноти ВНЗ АППАУ. Рішення було прийнято в червні, після відвідання GCS-2017 і з того часу вже виконана велика робота. Це є гарним прикладом по декільком причинам:

• Як і раніше, я вірю, що швидший прогрес в просвіту та освіту ринку можуть зробити саме ВНЗ (а не бренди) – просто тому, що умовно вільних (доступних) людських ресурсів в перших в рази більше. І по своїй природі (суті) вони начебто й мають виконувати місію просвіти та освіти. Найбільш яскравий наш приклад та доказ цього – робота Олександра Пупени та його команди з НУХТ
•  Поєднання зусиль в ланцюжку «Університет (Просвітній та навчальний Центр) – Вендор (Постачальник) –Інтегратор (розробник) – Замовник» в спільних проектах та робочих групах – ідеальна конфігурація, про яку в АППАУ ми мріємо від самого початку роботи асоціації. Оскільки це і є взаємодоповнююче «ядро» чи ДНК, з якої стартує справжня та велика еко-система хай-тек. Сьогодні всі вказані представники є в групі кібер-безпека.
• Я також вірю в те, що подібні маленькі приклади лідерства є найбільш ефективним методом поверненням довіри до ВНЗ та їх прогресу. Адже на фоні тотальної деградації вищої освіти та відсутності справжніх реформ в ВНЗ ця довіра втрачається на очах.

Але головне питання яке тут постає – чи є цей приклад маркером, – тобто дійсним початком нового тренду? Чи це просто випадковість – тобто, чергове виключення, що підтверджує загальну картину деградації ВНЗ? Яких до речі в АППАУ аж 14. Час покаже, але досі жоден інший ВНЗ не продемонстрував подібного лідерства у взятті на себе іншого стандарту – яких в області промислової автоматизації десятки. І 95%  яких не переведені на рівень національних стандартів. Між тим, половина груп в ТК 185 залишається напів-пустими.

Подібних питань ще багато. Обговоримо їх сьогодні на вебінарі.

Юрчак О.В. голова ТК 185