ГОСТ Р МЭК 62443-2-1—2015
Окончание таблицы 6
Описание работ
Требование
4.3.2.5.7 Проверка и обновление
плана бизнес-непрерывности
План бизнес-непрерывности должен проверяться на постоянной основе и
обновляться по мере необходимости
4.3.2.6 Элемент «Политики и процедуры безопасности»
Цель.
Рассмотреть способы, которыми организация может пользоваться для определения безопасно
сти. управлять своей программой безопасности, определять свое отношение к допустимости риска и
пересматривать свои программы для введения дополнительных усовершенствований.
Описание:
Политики в области кибербезопасности для среды IACS должны разрабатываться на основе дей
ствующих политик высокого уровня, описанных рисков и уровней допустимости риска в соответствии с
решением руководства. Процедуры кибербезопасности разрабатывают, исходя из политик в области
информационной безопасности, и определяют способы реализации таких политик.
Обоснование:
Такие письменные политики и процедуры дают четкое представление для сотрудников, подрядчи
ков. сторонних организаций и аналогичных лиц о взгляде компании на вопрос информационной безо
пасности и ролях и обязанностях таких организаций и сотрудников в рамках обеспечения безопасности
объектов компании.
Требования
Таблица 7 — Политики и процедуры в области безопасности: требования
Описание работ
Требование
4.3.2.6.1 Разработка политики без
опасности
Организациядолжна разработать политики обеспечения информационной
безопасности высокого уровня для среды IACS. одобренные руководством
4.3.2.6.2 Разработка процедуры
безопасности
Организация должна разработать и одобрить процедуры кибербезопасно-
сти. в основе которых лежат процедуры кибербеэопасности, и предоста
вить указания по выполнению требований, изложенных в таких политиках
4.3.2.6.3 Сохранение соответ
ствия систем управления рисками
Политики и процедуры кибербезопасности, направленные на защиту от
рисков для IACS. должны соответствовать или являться продолжением по
литик. созданных в рамках других систем управления рисками
4.3.2.6.4 Определение требова
ний к политике и процедурам ин
формационной безопасности
Политики и процедуры кибербезопасности для среды IACS включают в
себя требования о соответствии.
4.3.2.6.5 Определение уровня до
пустимости риска для организа
ции
Организация должна определить и документально оформить свое пони
мание допустимости рисков в качестве основы для разработки политики и
проведения работы по управлению рисками
4.3.2.6.6 Доведение политики и
процедуры в области информаци
онной безопасности до сведения
персонала
Политики и процедуры кибербезопасности для среды IACS должны дово
диться до сведения всего соответствующего персонала
4.3.2.6.7 Изучение и актуализация
политики и процедуры в области
информационной безопасности
Политики и процедуры кибербезопасности должны пересматриваться на
постоянной основе, должна проводиться их аттестация, подтверждающая,
что они являются актуальными, выполняются и поддерживаются в акту
альном состоянии в соответствии с требованиями, что гарантирует их со
ответствие требованиям
4.3.2.6.8 Демонстрация поддерж
ки руководства в реализации ин
формационной безопасности
Высшее руководство должно продемонстрировать собственную ответ
ственность за обеспечение информационной безопасности, утверждая по
литики в области информационной безопасности
15