ГОСТ Р М ЭК 62443-2-1— 2015
Приложение В
(справочное)
П роцесс разработки си стем ы управления киб ор бозопасностью
В.1 Обзор
В разделе 4 и приложении А настоящего стандарта рассмотрены отдельные элементы, связанные с ком
плексной CSMS. Разработка функционирующей CSMS представляетсобой процесс, который может занять месяцы
или даже годы. Настоящее приложение описывает упорядочивающий и повторяющейся характер мероприятий,
связанных с разработкой элементов CSMS. Целями настоящего приложения являются:
- обеспечение понимания того, как успешные организации определяют последовательность таких мероприя
тий и рассмотрение наиболее распространенных заблуждений, относящихся кпорядку создания элементов CSMS:
- предоставление пошагового руководства, которым организация может пользоваться в начале процесса
создания CSMS:
- предоставление пошагового руководства по использованию настоящего стандарта.
В.2 Описание процесса
На рисунке В.1 показано шесть мероприятий верхнего уровня CSMS и взаимосвязь между ними. На рисун
ках, представленных далее в настоящем приложении, эти элементы будут показаны более подробно. В то время,
как на рисунке В.1 показаны взаимосвязи между всеми мероприятиями, не все из этих взаимосвязей будут под
робно показаны далее в настоящем приложении. Это было сделано для сбалансирования краткости изложения с
полнотой рассматриваемых тем.
Рисунок В.1 — Мероприятия верхнего уровня для создания CSMS
Мероприятие «Инициация программы создания CSMS» создает прочную основу для программы путем опре
деления цели, организационной поддержки, ресурсов и масштабов системы. Первоочередная реализация данного
мероприятия максимизирует эффективность работ аналогично любой программе с широким влиянием. Начальный
масштаб может быть меньше, чем необходимо, но он может увеличиваться по мере развития программы.
Содержание CSMS определяется оценкой рисков. Мероприятие «Предварительная оценка рисков» включа
ет описание угроз, вероятности их материализации, общих типов уязвимостей и последствий. Детальная оценка
рисков добавляет подробную техническую оценку уязвимости в общую картину рисков. Распространенным за
блуждением является использование ресурсов на ранней стадии для проведения детальной оценки уязвимости
и последующее получение апатичной реакции на эти результаты, поскольку не был определен общий контекст
общей укрупненной оценки рисков.
112