Информационная безопасность (кибербезопасность)

Управление киберрисками в рамках систем управления безопасностью (СУБ)

1. После 1 января 2021 года киберриски необходимо учитывать в системе управления безопасностью (СУБ), которую должна разработать, задействовать и поддерживать каждая компания в соответствии с требованиями Международного кодекса по управлению безопасной эксплуатацией судов и предотвращением загрязнения (МКУБ).

2. Киберриски должны быть учтены в СУБ, и чтобы при освидетельствовании СУБ в компаниях и на судах после 1 января 2021 года, наряду с оценкой эффективности выполнения элементов МКУБ, были оценены принятые каждой Компанией меры по оценке и управлению киберрисками, а также эффективность мер по организации защиты от выявленных киберинцидентов.

3. Подходы к управлению киберрисками могут зависеть от многих факторов, но при этом должны основываться на соответствующих международных нормах, правилах Государства флага и учитывать применимые кодексы, руководства и стандарты, рекомендованные ИМО, Морскими Администрациями, классификационными обществами и организациями морской индустрии, как это определено в пункте 1.2.3.2 МКУБ.

4. Специфические требования, связанные с управлением киберрисками, каждая компания может вносить в существующую СУБ.

5. При этом, доказательством того, что вопросы управления кибербезопасностью учтены в СУБ и находятся в управляемых условиях можно считать следующее:

• Компанией проведена оценка рисков, связанных с кибератаками или киберинцидентами, для обеспечения бесперебойной работы своих береговых подразделений и судов в соответствии с процедурами оценки рисков установленными в СУБ; «Руководство по обеспечению кибербезопасности»;
• Управление киберрисками начинается на уровне высшего руководства. В компании внедрена культура понимания киберрисков на всех уровнях организации для обеспечения гибкого режима устойчивости к кибератакам и киберинцидентам. Высшее руководство понимает важность оценки и управления киберрисками;
• Компания должна разработать принципы защиты от кибератак и киберинцидентов, таких как отключение, взлом, внедрение вредоносных программ, блокировка компьютерных систем и т.д. на основе оценки рисков;
• Должны быть распределены функции и обязанности персонала по использованию и обслуживанию, установлена система доступа и правила использования; определены данные и ресурсы, при сбое в работе которых возникают риски, связанные с выполнением судовых операций;
• Должны быть разработаны защитные меры, включая меры немедленного реагирования на случаи сбоев в работе компьютеризированных систем для обеспечения непрерывности выполнения морских операций; разработаны и реализованы меры для своевременного обнаружения сбоев в работе компьютеризированных систем;
• Разработаны и внедрены мероприятия по восстановлению выполнения судовых операций альтернативными методами в случае сбоев в работе компьютеризированных систем; определены меры по резервному копированию и восстановлению компьютеризированных систем в случае нарушения их работы;

6. Интеграция необходимых мер для управления кибербезопасностью в СУБ компании может быть реализована через следующие элементы СУБ:

• Компания должна установить, что цели интеграции системы управления кибербезопасностью соответствуют целям МКУБ, а именно обеспечению безопасности на море, предотвращению несчастных случаев или гибели людей и предотвращению нанесения вреда окружающей среде, в частности морской среде, и имуществу;
• Высшее руководство компании должно оценить и, в случае актуальности проблемы кибератак и киберинцидентов в рамках эксплуатации судов, признать необходимость изменения СУБ компании для внедрения процессов кибербезопасности. Политика в области управления безопасностью может быть пересмотрена с учетом проблем кибератак и киберинцидентов и необходимости принятия ответных мер. Кибербезопасность, наряду с другими вопросами управления безопасностью, должна стать предметом регулирования со стороны высшего руководства и обязательной для исполнения судовым и береговым персоналом;
• Главная ответственность в области кибербезопасности остается за высшим руководством. Может быть рассмотрен вопрос о назначении в компании ответственного за управление кибербезопасностью, защиту от кибератак и киберинцидентов;
• Компания должна соблюдать обязательные для выполнения международные и национальные требования, а также должны быть оценены и приняты во внимание применимые кодексы, рекомендации и руководства ИМО, Морских Администраций, классификационных обществ;
• С помощью установленных в СУБ процедур по оценке рисков должны быть определены основные риски, связанные с кибератаками и киберинцидентами, и способы защиты от негативных последствий.
• Результаты оценки рисков и меры по защите от кибератак и киберинцидентов должны быть учтены в СУБ компании. Это могут быть процедуры, инструкции, руководства и т.д. Все принятые изменения в СУБ должны быть проведены в соответствии с процедурами компании и доведены до сведения соответствующего берегового и судового персонала
• В СУБ должны быть определены требования к квалификации капитана в области IT, чтобы он был способен выполнять возложенные на него обязанности связанные с его должностью;
• Должна быть определена береговая структура поддержки капитана и судна в случаях необходимости: реагирования на кибератаки, реагирования на последствия киберинцидентов; восстановления работоспособности компьютеризированных систем;
• При приеме на работу новый судовой персонал и сотрудники береговых подразделений должны ознакомиться с правилами компании в области кибербезопасности. Должны быть распределены обязанности и разработаны инструкции для всех лиц, имеющих задачи по кибербезопасности, а также для персонала, использующего судовые компьютеризированные системы каким-либо способом;
• Компания должна разработать и внедрить меры по ограничению как физического, так и логического доступа к информационным ресурсам и компьютеризированным системам, а также меры по использованию съемных носителей информации и подключению других компьютеризированных систем;
• Для судов и береговых подразделений компании в СУБ должны быть предусмотрены планы действий в чрезвычайных ситуациях при возникновении кибератак и киберинцидентов. Также должны быть предусмотрены проведения учений и тренировок по вопросам действий в чрезвычайных ситуациях при возникновении кибератак и киберинцидентов;
• В систему технического обслуживания и ремонта судовых механизмов и устройств должны быть добавлены меры безопасности, которые должны соблюдаться при обслуживании и ремонте компьютеризированных систем. Эти меры должны быть определены на основании оценки рисков. В СУБ должны быть установлены критерии по выбору поставщиков услуг
• С целью совершенствования системы сообщения о кибератаках и киберинцидентах должны направляться в ответственные подразделения компании для оценки, анализа и разработки корректирующих действий в соответствии с процедурами, установленными в СУБ;

7. Интегрированная в СУБ компании система управления кибербезопасностью, ее функционирование и эффективность должны периодически проверяться и оцениваться компанией в соответствии с требованиями, установленными МКУБ.

8. Компания должна учитывать постоянные изменения и выявленные недостатки в собственной системе и обеспечивать обновление оценки рисков и СУБ, инициируя тем самым непрерывный процесс улучшения.