ГОСТ Р 56205—2014
Л
юбая полноценная методика оценки риска предполагает поэтапный анализ всех задейство
ванных систем, начиная с систем непосредственно доступных для угрозы, и далее к системам менее
доступным. Базовый метод оценки риска состоит из следующих трех этапов:
1) оценка исходного риска;
2) реализация контрмер по смягчению риска;
3) оценка остаточного риска.
При необходимости этапы 2 и 3 данного метода повторяют для снижения остаточного риска до
допустимого уровня. В частности, второй этап включает в себя оценку существующих мер защиты и
реализацию планов по добавлению корректирующих или дополнительных контрмер. В последующей
части МЭК 62443 будет представлено более детальное описание метода определения риска.
Типичные риски, принимаемые во внимание, включают в себя;
a) риски для безопасности персонала, такие как смерть или травмы;
b
) риски для технологической безопасности, такие как повреждения оборудования или сбои в
коммерческой деятельности;
c) риски для информационной безопасности, такие как финансовые, правовые нарушения или
потеря репутации торговой марки;
d) экологический риск, такой как уведомление о нарушении, правовые нарушения или значи
тельный ущерб;
e) риски для бизнеса, такие как сбои коммерческой деятельности.
5.6.4.2 Уровень допустимости риска
Выходными данными качественного анализа риска является перечень объектов или сценариев
со сводной вероятностью возникновения и градацией последствий. В обязанности руководства вхо
дит определение соответствующих мер воздействия по пунктам на основе таких градаций. Некоторые
организации приемлют относительно высокие уровни риска (в частности, динамично развивающиеся
компании), а некоторые консервативны и являются противниками риска. А значит, определенный
уровень остаточного риска может быть приемлем для одной организации и неприемлем для другой.
Даже в пределах одной организации отдельные предприятия могут иметь разные пожелания
относи тельно рисков или их допустимости. Руководству следует четко определять и осознавать,
каковы его пожелания относительно рисков или их допустимости, чтобы лучше продумывать уровень
своих от ветных действий по отношению к выявленным остаточным рискам.
Решение проблем, связанных с безопасностью систем промышленной автоматики и контроля, в
целом не привносит новых рисков, но может способствовать новому восприятию уже существующих
рисков. Например, в контексте промышленной автоматизации рискам, связанным с безопасностью,
обычно уделяют больше внимания.
Безопасность систем промышленной автоматики и контроля не требует переосмысления спосо
ба определения уровня допустимости рисков; этот способ заимствуют из других методик управления
рисками в организации.
5.6.4.3 Меры воздействия на риск
Существует несколько возможных мер воздействия на риск. В зависимости от обстоятельств ор
ганизации могут прибегать к той или иной комбинации мер в каждой ситуации;
a) исключение риска из проекта: одна из форм смягчения риска — изменить проект системы та
ким образом, чтобы исключить этот риск. Некоторые риски сущест- вуют просто потому, что возможен
доступ к чему-то. несмотря на то. что доступ никогда не потребуется. Смягчить риск можно
путем полной отмены ненужной функции или блокирования к ней доступа. Организации могут
принимать соответствующие бизнес-решения, чтобы исключить риск. Такая мера воздействия может
включать в себя сознательный отказ от чего-либо, будь то новый продукт поставщика, система или
заключение договоренности;
b
) снижение риска: риск можно снизить до допустимого уровня путем реализа-ции контрмер, ко
торые уменьшают вероятность атаки или ограничивают ее последствия. Принципиальный момент в
данном случае — достичь достаточного уровня безопасности, но не исключить риск полностью;
c) принятие риска: всегда есть вариант принять риск, рассматривая его как часть издержек экс
плуатации предприятия. Организации должны брать на себя некоторые риски, и их не всегда удается
смягчить или передать при оптимальных затратах;
d) передача или распределение риска: возможно заключить какой-либо договор страхования
или соглашение по передаче всего риска или его части стороннему субъекту. Типичный пример —
субподряд на определенные операции или услуги. Такое решение может быть не всегда эффективно.
24