ГОСТ Р М ЭК 62443-2-1— 2015
В.7 Мероприятие «Выбор и реализация контрмер»
На рисунке В.7 показаны шаги по реализации мероприятия «Выбор и реализация контрмер».
Выбори реализация контрмер
Определенно
границ
допустимости
рисков
(А.3.2.6.3)
ч
Выбор
контрмер
(А.3.3)
-
Реализация
контрмер
(Л.3.4.2)
-
Разработка
новых
или модификация
существующих
систем
/
I
Выбор
общепринятых
контрмер
(Л.3.4.2)
I
Рисунок В.7 — Действия и взаимосвязи для мероприятия «Выбор и реализация контрмер»
Выбор контрмер является техническим процессом управления рисками. Границыдопустимости рисков орга
низации. заранее выбранные общепринятые контрмеры и результатыпредварительной и детальной оценок рисков
определяют подход управления рисками к выбору контрмер. Если организация внедряет новую систему или из
меняет существующую систему, это приводит к необходимости предварительной актуализации идетальной оценки
рисков для сценария внедрения такой новой системы. Затем проводится выбор контрмер, относящихся к новой
или измененной системе на основе обновленной информации о рисках. Разработка или модификация систем тре
бует актуализации планов непрерывности бизнеса и реагирования на инциденты.
В.8 Мероприятие «Поддержание CSMS»
Как показано на рисунке В.8. мероприятие «Поддержание CSMS» требует проведения периодических про
верок и улучшений системы на основе результатов анализа. Исходной информацией для такой проверки являются
результаты мер повышения эффективности и аудитов соответствия при внутреннем контроле самой CSMS. Так же
исходной информацией является внешняя информация о доступных контрмерах, развивающихся отраслевых
практиках и новых или измененных законах или нормах.
При проверке CSMS выявляются недостатки и предлагаются улучшения, что в свою очередь приводит к
совершенствованию системы. Некоторые из этих изменений могут принимать форму контрмер или улучшения
реализации контрмер. В других случаях это могут быть изменения политики и процедур или улучшение их реали
зации. Анализ результатов несоответствия может указывать на необходимость совершенствования обучения или
распределения организационных обязанностей.
118