«Россети» потратят 140 млн на импортозамещение ИБ: что встанет на вооружение в Центр инжиниринга единой энергетической системы

Центр инжиниринга и управления строительством единой энергетической системы (ЦИУС ЕЭС) Россетей планирует масштабную модернизацию собственных систем. В планах внедрение системы сетевой безопасности (СБ), создание отказоустойчивого класса виртуализации (ОКВ) и миграция виртуальных машин на новый кластер с заменой базового ПО на российские аналоги. Помимо этого, планируется внедрение системы класса PAM (Privileged Access Management) для контроля за действиями системных подрядчиков. Общий масштаб работ составит почти 140 млн рублей, следует из материалов госзакупок.

16 сентября ЦИУС ЕЭС Россетей разместил две закупки:

• Выполнение работ по внедрению систем сетевой безопасности информационной инфраструктуры и отказоустойчивого кластера серверной виртуализации с начальной ценой в 81,3 млн руб.; 
• Выполнение комплекса работ на создание системы контроля привилегированных пользователей, оказание услуг на внедрение и техническую поддержку с начальной ценой в 53,5 млн руб. 

Работы затронут исполнительный аппарат (ИА) в Москве, ЦОД «Китай-город», а также филиалы организации по всей стране. Речь идет о филиалах в Хабаровске, Красноярске, Екатеринбурге, Пятигорске, Санкт-Петербурге и Москве — всего девять площадок.

В планах на установку в подсистеме сетевой безопасности:

• 3 межсетевых экрана (МЭ) UserGate D500;
• 4 МЭ UserGate D200;
• 1 центр управления МЭ UserGate E1000 MC;
• 3 криптошлюза Континент 3.9 IPC-R3000;
• 3 криптошлюза Континент 3.9 R1000 KC3;
• 16 криптошлюзов Континент 3.9 IPC-R800 / R550 КС3.

Также планируется покупка коммутаторов уровня доступа и маршрутизаторов Eltex и Aquarius. Для подсистемы виртуализации и хранения закупят 14 серверов VEGMAN R220 G2, 7 штук YADRO X3-205, столько же систем хранения данных Tatlin.Flex.Pro и платформу виртуализации zVirt.

Среди примечательных нюансов расположения оборудования: два UserGate D200 планируют установить в Мелитополе, а один UserGate D200 перенесут из Мелитополя в Симферополь. Работы по установке и настройке системы в этих городах будут выполняться в дистанционном формате: удаленный доступ предоставят Россети.

Из технической документации следует, что до сих пор Россети имеют часть иностранного оборудования в своей инфраструктуре: межсетевые экраны ASA 5520, ASA 5510, ASA 5505, маршрутизаторы и коммутаторы доступа от Cisco, коммутаторы от Huawei и облачные маршрутизаторы Cloud Router CRS326 от MikroTik. При этом от подрядчика требуется предоставление как минимум одного специалиста с сертификатом «Cisco Certified Network Associate (CCNA)».

В рамках внедрения СБ, заказчик должен мигрировать инфраструктуру Россетей на новую систему — переключить сетевые сегменты, перенести маршрутизацию и скорректировать политики безопасности. Филиалы также мигрируют на вновь созданный канал L2 заказчика от ПАО «Ростелеком» до центральной площадки в ЦОД.

Одним из финальных этапов работ станет перенос виртуальных машин. От подрядчика ожидается, что он выполнит подготовку к переносу машин существующей системы антивирусной защиты Kaspersky Security Center и системы управления корпоративными мобильными устройствами ПП «Аврора». А затем: «выполняет перенос существующей системы антивирусной защиты Kaspersky Security Center с существующего гипервизора на Систему ОКВ (отказоустойчивой виртуализации) с миграцией операционной системы и базы данных на российские аналоги». ПО и лицензии на ОС и базу данных предоставят Россети.

Касательно внедрения системы PAM в Россетях хотят внедрить систему Privileged Access Manager от Indeed. От исполнителя хотят получить пакет лицензий на 10 одновременных подключений (сессий) с технической поддержкой на 36 месяцев. Под систему выделят виртуальное оборудование — сервер управления и СУБД в ИА, серверы доступа в ИА и филиалах. Примечательно, что закупка на PAM связана с контрактом на СБ — от системы привилегированного доступа ожидается, что она будет поддерживать установку в среде виртуализации KVM (в том числе zVirt).