ГОСТ Р М ЭК 62443-2-1— 2015
Желательным результатом мероприятия «Инициация программы создания CSMS» является обеспечение
участия, поддержки и финансирования создания CSMS со стороны руководства. Для достижения этого первыми
шагами, как показано на рисунке В.2, является разработка экономического обоснования, которое будет оправды
вать создание программы для руководства, и предполагаемой сферы применения программы. Одновременно с
этими шагами на основе обоснования и сферы применения программы определяются и привлекаются лица, яв
ляющиеся заинтересованными сторонами. Наиболее эффективным является необходимость заранее определить
эти заинтересованные стороны при появлении такой возможности и вовлечь их в работу по обеспечению участия в
программе руководства. Затем может быть построена организационная структура безопасности. Распростра
ненным заблуждением является попытка инициировать создание CSMS даже без предварительного обоснования,
соотносящего кибербезопасность с конкретной организацией и ее миссией. Мероприятия по обеспечению кибербе-
зопасности требуют получения ресурсов от организации, и. несмотря на то. что программа гложетбыть начата при
всеобщем мнении о том. что кибербезопасность необходима, вотсутствие экономического обоснования движущая
сила может быть быстро потеряна перед более насущными потребностями.
В.4 Мероприятие «Предварительная оценка рисков»
На рисунке В.З показаны шаги по реализации мероприятия «Предварительная оценка рисков».
Рисунок В.З— Действия и взаимосвязи для мероприятия «Предварительная оценка рисков»
Мероприятие «Предварительная оценка рисков» включает в себя выбор методик выявления и определения
приоритетности рисков и последующее применение этих методик. Необходимо определить такие методики зара
нее. чтобы они образовали структуру для дальнейшей оценки рисков. На рисунке В.З показана важность привле
чения заинтересованных сторон, определенных во время проведения мероприятия «Инициация создания CSMS». к
процессу выявления иоценки приоритета рисков. Последний шаг, заключающийся вдокументировании результа тов
и обоснования, имеет большое значение, поскольку эти записи являются бесценными при подтверждении или
актуализации оценки рисков в будущем.
В.5 Мероприятие «Детальная оценка рисков»
Как показано на рисунке В.4. мероприятие «Детальная оценка рисков» обеспечивает более детальную оцен
ку рисков путем, в первую очередь, проведения инвентаризации конкретных систем, сетей и устройств IACS. Огра
ничения ресурсов или временные ограничения могут не позволитьпровести подробное изучение всех этих имуще
ственных объектов. В этом случае угрозы, последствия и типы уязвимостей, определенные при предварительной
оценке рисков, используются при определении приоритетности конкретных систем, сетей и устройств, на которых
необходимо сфокусироваться. Другие факторы, например, непосредственная поддержка или история проблем,
также способствуют определению ориентиров для детальной оценки рисков. Детальное определение уязвимостей
зависит от типов уязвимостей, определенных при предварительной оценке рисков, но не ограничивается этими
114