ГОСТ Р М ЭК 62443-2-1— 2015
А.3.4.3.9.2 Дополнительные практические методы
Кдополнительным практическим методам относятся следующие действия:
a) внедрение отдельных сред разработки, тестирования и эксплуатации:
b
) применение независимых процедур верификации и валидации компонентов;
c) применение независимых верификационных и валидационных процедур для этапа интеграции;
d) применение независимых процедур верификации и валидации системы;
e) интеграция процедур управления изменениями IACS с существующими процедурами PSM.
А.3.4.3.10 Использованные ресурсы
Данный элемент частично основан на материалах [23]. [38]. [39].
А.3.4.4 Элемент «Управление информацией и документацией»
А.3.4.4.1 Описание элемента
Управление информацией и документацией является процессом классификации всех данных, защиты ин
формации. управления документами и обеспечения доступности информации, связанной с IACS и CSMS. Управ
ление документами IACS может быть включено в общую систему организации по хранению данных и управлению
документацией. Управление информацией и документацией гарантирует, что данные будут доступны на протяже
нии требуемого периода времени в зависимости от внутренних (например, политики организации и обслуживание
устройств) или внешних (например, правовых, регулятивных или политических) требований.
А.3.4.4.2 Аспекты управления информацией идокументацией
Информация, связанная с CSMS организации, является важной, а зачастую секретной, поэтому необходимо
осуществлять надлежащий контроль и управление такой информацией. В связи с этим организациям необходимо
использовать комплексные политики управления информацией идокументацией, относящейся к CSMS. Информа
ция. связанная с разработкой и внедрением CSMS. анализы рисков, исследования последствий для бизнеса, про
фили допустимости рисков и аналогичная информация может являться секретной для организации и нуждаться в
защите, наряду с контрмерами, принципами и стратегиями внедрения. Кроме того, меняются условия бизнеса, что
требует актуализации анализов и исследований. Необходимо уделять внимание защите этойинформации, а также
сохранению необходимых версий. Существенной здесь является система классификации информации, которая
позволяет обеспечивать надлежащий уровень защиты информационных ресурсов.
Одним из первых шагов создания системы управления информацией и документацией IACS является опре
деление уровней классификации информации. Необходимо определить классы информации (например, конфи
денциальная. для ограниченного доступа и общедоступная) для управления доступом и контролем информаци
онных ресурсов. Уровни и соответствующие практические методы должны включать совместное использование,
копирование, передачу и распространение информационных ресурсов в соответствии с требуемыми уровнями
защиты.
После определения основных уровней информация, связанная с IACS (например, информация о строении
системы управления, оценки уязвимости, сетевые схемы и программы производственного управления), должна
быть классифицирована для определения требуемого уровня защиты. Такой уровень зашиты определяется на ос
нове секретности информации и возможных последствий ее распространения. Уровень по классификации должен
указывать на необходимость и приоритетность информации, а также на ее секретность. Политики и процедуры
доступа к информации и документации должны быть связаны с процедурами контроля доступа, указанными в
А.3.3.5—А.3.3.7.
Для этой цели должен быть разработан и реализован процесс управления документацией жизненного
цикла. Данный процесс должен включать подтверждение безопасности, доступности и пригодности конфигура
ции системы управления. Сюда входит логика, использованная при разработке конфигурации или программи
ровании жизненного цикла IACS. Данный процесс также должен включать механизм обновления при внесении
изменений.
Должны быть разработаны политики и процедуры, детализирующие хранение, защиту, уничтожение и утили
зацию информации компании, включая письменные и электронные записи, оборудование и другие носители, со
держащие информацию, сучетом выполнения нормативно-правовых требований. Политики и процедуры, разрабо
танные для системы управления информацией и документацией IACS. должны соответствовать и быть включены в
корпоративные системы управления информацией и документацией. Необходимо проводить юридическую про
верку политики хранения на предмет соответствия законодательству и нормативными требованиями. Необходимо
выявлять документы, требующие хранения, и документально определять период хранения.
Также необходимо принимать надлежащие меры для обеспечения того, чтобы записи, хранящиеся длитель
ное время, могли быть извлечены (т. е. конвертировать данные в более новые форматы, сохранять устаревшее
оборудование, которое может считать данные). Следует разработать методы и процедуры для предотвращения
повреждения резервных копий данных. Резервные копиидолжны сохраняться на регулярной основе. Такие резерв
ные копии необходимо проверять на предмет их читаемости. Также необходимо регулярно проверять и проводить
испытания процедур восстановления.
Следует проводить периодический анализ уровней классификации информации и документации. Во время
такого анализа должна оцениваться необходимость в принятии специальных мер контроля или особого обращения с
конкретной информацией или документацией. Также необходимо разрабатывать методы повышения или сниже ния
уровня классификации конкретной информации или документации.
102