MSC-FAL.1/Circ.3

5 июля 2017 г.

РУКОВОДСТВО ПО УПРАВЛЕНИЮ КИБЕРРИСКАМИ В МОРСКОЙ ОТРАСЛИ

 

1        Комитет по упрощению формальностей на своей 41 сессии (4 - 7 апреля 2017г.) и Комитет по безопасности на море на своей 98 сессии (7-16 июня 2017г.), учитывая насущную необходимость повысить осведомленность о киберугрозах и связанных с ними уязвимостях, одобрили Руководство по управлению киберрисками в морской отрасли, приведенное в приложении.

2        Данное Руководство содержит обобщенные рекомендации по управлению киберрисками в морской отрасли в целях защиты судоходства от имеющихся и возникающих киберугроз и уязвимостей. В Руководстве также представлены функциональные элементы, способствующие эффективному управлению киберрисками.

3        Правительствам государств-членов ИМО предлагается довести содержание настоящего циркуляра до сведения всех заинтересованных сторон.

4        Настоящий циркуляр заменяет временное руководство, содержащееся в циркуляре MSC.1/Circ.1526.

 

ПРИЛОЖЕНИЕ

РУКОВОДСТВО ПО УПРАВЛЕНИЮ КИБЕРРИСКАМИ В МОРСКОЙ ОТРАСЛИ

 

1         ВВЕДЕНИЕ

1.1     Настоящее Руководство содержит обобщенные рекомендации по управлению киберрисками в морской отрасли. Для целей настоящего Руководства понятие киберриск в морской отрасли отражает то, в какой степени тот или иной технологический ресурс подвержен угрозе, создаваемой возможными обстоятельствами или событиями, которые могут приводить к сбоям, связанным с эксплуатацией, безопасностью или защищенностью судов, вследствие повреждения, утраты или компрометации информации или систем.

1.2     Заинтересованные стороны должны предпринимать необходимые шаги для защиты морского транспорта от уже имеющихся и вновь возникающих угроз и уязвимостей, связанных с оцифровкой, интеграцией и автоматизацией процессов и систем в судоходстве.

1.3     Для получения подробных сведений и рекомендаций, связанных с разработкой и внедрением конкретных процедур управления рисками, пользователям настоящего Руководства следует обращаться к требованиям органов власти и администраций флагов отдельных государств-членов, а также к соответствующим международным и отраслевым стандартам и примерам передовой практики.

1.4     Управление рисками имеет основополагающее значение для обеспечения безопасности и защищенности судоходства. Управление рисками традиционно было нацелено на операции в физическом смысле, однако растущая зависимость от процессов оцифровки, интеграции, автоматизации и сетевой коммутации систем привела к увеличению потребности судоходной отрасли в управлении киберрисками.

1.5     Настоящее Руководство, нацеленное на обеспечение безопасности и защищенности судоходства на основе отказоустойчивости по отношению к киберрискам, содержит рекомендации, которые могут быть интегрированы в существующие процедуры управления рисками. В этом отношении Руководство дополняет методы управления обеспечением безопасности и защищенности, выработанные Организацией.

 

2          ОБЩИЕ ПОЛОЖЕНИЯ

2.1       Справочная информация

2.1.1    Кибертехнологии стали неотъемлемым элементом эксплуатации и управления работой многочисленных систем, жизненно важных для обеспечения безопасности и защищенности судоходства, а также охраны морской среды. В некоторых случаях эти системы должны соответствовать международным стандартам и требованиям администрации флага. Однако уязвимости, возникающие в связи с доступом к таким системам, их сопряжением или сетевой коммутацией, могут приводить к возникновению киберрисков, которые требуют внимания. К числу уязвимых систем, среди прочих, относятся:

.1         системы ходового мостика;

.2         системы обработки грузов и управления ими;

.3         системы управления двигательными установками, механизмами и энергетическими установками;

.4         системы контроля доступа;

.5         системы управления обслуживанием пассажиров;

.6         сети общего пользования для пассажиров;

.7         административные системы и системы бытового обслуживания экипажа; и

.8         системы связи.

2.1.2    Следует учитывать различие между технологическими системами информационного и эксплуатационного назначения. Информационные технологические системы могут рассматриваться как системы, нацеленные на использование данных в качестве информации. Эксплуатационными можно считать те технологические системы, которые главным образом используют данные для управления физическими процессами или их мониторинга. В дополнение к этому, следует учитывать необходимость защиты информации и обмена данными внутри этих систем.

2.1.3    Хотя эти технологии и системы в значительной степени способствуют повышению эффективности морской отрасли, они также создают риски для критически важных систем и процессов, связанных с работой систем, являющихся ключевыми для судоходства. Эти риски могут быть обусловлены уязвимостями, возникающими в результате ненадлежащего функционирования, интеграции, обслуживания и архитектуры киберсистем, а также преднамеренными и непреднамеренными киберугрозами.

2.1.4    В число угроз входят злонамеренные действия (например, взлом или внедрение вредоносного ПО) и непреднамеренные последствия добросовестных действий (например, обслуживание программного обеспечения или предоставление прав доступа пользователям). В целом, такие действия либо вскрывают уязвимые места (такие, как устаревшее программное обеспечение или неэффективные брандмауэры), либо связаны с преднамеренным использованием уязвимостей эксплуатационных или информационных технологий. Эффективное управление киберрисками должно учитывать оба этих вида угроз.

2.1.5    Уязвимости могут быть результатом недостатков проектирования, интеграции и/или обслуживания систем, а также нарушений кибердисциплины. В целом, когда уязвимые места эксплуатационных и/или информационных систем вскрываются или преднамеренно используются либо напрямую (например, в случае несанкционированного доступа вследствие слабости паролей), либо косвенно (например, в случае недостаточной сегрегированности сети), могут возникать соответствующие последствия для обеспечения защищенности, а также для конфиденциальности, целостности и доступности информации. Кроме того, когда вскрываются или намеренно используются уязвимые места эксплуатационных и/или информационных систем, это может влиять на безопасность, особенно в тех случаях, когда под угрозой оказываются критически важные системы (например, системы управления навигационным оборудованием ходового мостика или главной двигательной установкой).

2.1.6    Эффективное управление киберрисками должно также учитывать последствия для обеспечения безопасности и защищенности, связанные со вскрытием или преднамеренным использованием уязвимостей информационных технологических систем. Они могут быть результатом ненадлежащего подключения к эксплуатационным технологическим системам или нарушений установленных процедур эксплуатационным персоналом или третьими лицами, что может поставить эти системы под угрозу (например, при ненадлежащем использовании съемных носителей информации, таких как флешкарты).

2.1.7    Дальнейшую информацию об уязвимостях и угрозах можно найти в дополнительных рекомендациях и стандартах, указанных в разделе 4.

2.1.8    Быстрые темпы изменения технологий и угроз затрудняют устранение соответствующих рисков с помощью одних только технических стандартов. Поэтому в настоящем Руководстве рекомендован подход к управлению киберрисками, который основывается на отказоустойчивости и формируется как естественное дополнение к существующим методам управления обеспечением безопасности и защищенности.

2.1.9    При анализе потенциальных источников угроз и уязвимостей и связанных с ними стратегий снижения рисков необходимо также рассматривать возможность применения для управления киберрисками ряда методов контроля, включая, среди прочего, инструменты управленческого, эксплуатационного или процедурного и технического контроля.

2.2       Применение

2.2.1    Настоящее Руководство предназначено прежде всего для всех организаций судоходной отрасли и направлено на содействие применению методов управления обеспечением безопасности и защищенности в киберсфере.

2.2.2.   С учетом того, что в судоходной отрасли не бывает двух одинаковых организаций, в данном Руководстве используются обобщенные формулировки, с тем чтобы обеспечить его широкое применение. На судах с киберсистемами ограниченного охвата простого следования Руководству может оказаться достаточно, тогда как на судах со сложными киберсистемами может потребоваться более высокий уровень защиты, для обеспечения которого следует изыскивать дополнительные ресурсы во взаимодействии с надежными партнерами из числа отраслевых структур и государственных органов.

2.2.3    Настоящее Руководство носит рекомендательный характер.

 

3          ЭЛЕМЕНТЫ УПРАВЛЕНИЯ КИБЕРРИСКАМИ

3.1       Для целей настоящего Руководства управление киберрисками означает процессы идентификации, анализа, оценки и коммуникации, связанные с киберрисками, а также принятия, предотвращения, переноса или смягчения таких рисков до приемлемого уровня с учетом затрат и выгод, обусловленных предпринимаемыми действиями, для заинтересованных сторон.

3.2       Цель управления киберрисками в морской отрасли - обеспечение безопасности и защищенности судоходства и его отказоустойчивости по отношению к киберрискам.

3.3       Эффективное управление киберрисками должно начинаться на уровне высшего руководства. Руководители высшего звена должны внедрить культуру осведомленности о киберрисках на всех уровнях организации и создать целостный и гибкий механизм управления киберрисками, который должен работать в непрерывном режиме и постоянно оцениваться с помощью эффективных механизмов обратной связи.

3.4       Один из принятых подходов к достижению вышеизложенных целей заключается во всесторонней оценке и сравнении существующих и желаемых моделей управления киберрисками в организации. Такое сравнение способствует выявлению пробелов, которые могут быть устранены для достижения целей управления рисками на основе ранжированного по приоритетам плана управления киберрисками. Этот подход, основанный на факторах риска, позволит организации наилучшим образом использовать свои ресурсы с наибольшей эффективностью.

3.5       В настоящем Руководстве представлены функциональные элементы, способствующие эффективному управлению киберрисками. Эти функциональные элементы не являются последовательными: все они должны реализовываться параллельно и непрерывно, будучи надлежащим образом интегрированы в систему управления рисками:

.1          Идентификация: определение задач и обязанностей персонала по управлению киберрисками и выявление систем, ресурсов, данных и функциональных возможностей, которые в случае сбоев могут представлять угрозу для эксплуатации судна.

.2          Защита: реализация процедур и мер контроля рисков; планирование действий на случай чрезвычайной ситуации с целью предотвращения киберпроисшествий и обеспечения бесперебойной эксплуатации судна.