ГОСТ Р МЭК 62443-2-1—2015
Оценка должна быть направлена на системы, сопряженные с IACS, и должна гарантировать, что они не
будут подвергать риску безопасность IACS и наоборот. В качестве примера можно привести системы, которые обе
спечивают возможности онлайн-разработки, и системы регулирования среды и силовые системы, из-за которых
могут появиться недопустимые риски.
В некоторых случаях ответственность запоявление уязвимости лежит на поставщике. Для гарантии качества
от поставщика и контроля на этапе проектирования может потребоваться проведениеоценки уязвимости. Это осо
бенно важно при заказе запасных частей или обновлений.
На этом этапе процесса оценки необходимо провести детальную проверку сети с физической и эксплуата
ционной точки зрения, чтобы можно было обнаружить соединения, не показанные на первоначальных простых
сетевых схемах. После проведения нескольких оценок такие соединения будут обнаружены.
Приведенные ниже потенциальные источники уязвимостей, связанных с возможностями сетевого соедине
ния. ранее были определены как слабые места в определенных системах и должны быть идентифицированы и
проверены:
- точки беспроводного доступа, особенно в случае применения плохо защищенных технологий, например,
ранние версии IEEE 802.11;
- модемные соединения, особенно без посылки обратного вызова и не предусматривающие шифрование;
- ПО для дистанционного доступа (например, pcAnywhere®1) иTimbuktu1®), обычно применяющиеся для до
ступа специалистов внутри организации или за ее пределами для поддержки систем или операций. Такие прило
жения обеспечивают достаточный контроль и доступ к конфигурированию для неавторизованного лица;
- технологии дистанционной работы с окнами, например X Windows1®;
- внутренние сетевые соединения:
- соединения Интернет;
- телеметрические сети;
- любые сетевые подключения к системе, не являющиеся непосредственным компонентом IACS:
- любые сетевые соединения, используемые для сопряжения компонентов SCADA или системы управления,
которые не являются частью специальной физически защищенной сети IACS. Другими словами, любая сеть, вы
ходящая за рамки одной зоны безопасности или проходящая через незащищенные зоны или используемая и для
IACS, идругих функций одновременно. В состав оборудования, включенного в сетевые соединения, входит радио
телеметрия и внешние сервисы, например, ретрансляция кадров, применяемая для связи между географически
разделенными участками.
Большое число промышленных источников обеспечивают безопасность системы управления и содержат
списки стандартных уязвимостей, которые можнообнаружить входе детальной оценки уязвимости (см. [27] и [29]).
Конечным результатом работы группы является список уязвимостей, расставленных в порядке приоритета с
учетом их влияния на риск. После идентификации уязвимостей группа связывает их с угрозами, последствиями и
прочими вероятными результатами реализации угрозы иуязвимости. В таком анализе учитывается потенциальное
снижение риска после принятия мер физической безопасности. Уязвимости, которые приводят к наибольшим ри
скам. обычно не представляют сложности. Чтобы завершить процесс оценки уязвимости, методика группы должна
включать в себя согласованный метод определения приоритетов уязвимостей, связанных с рисками среднего и
низкого уровня.
Результатыдетальной оценки рисков оформляются документально, после чего должны быть приняты меры
на основе соответствующих рекомендаций (см. А.3.4.2).
Документы сдетальным описаниемуязвимостей, обнаруженных входедетальногоанализа риска, как прави
ло. включают в себя (в отношении каждой обнаруженной уязвимости)дату анализа, идентификацию включенных
объектов, описание уязвимости, фамилию лица, которое вело наблюдения, средства или методы, использованные
в процессе. Кроме обнаруженных уязвимостей в такой документации должны быть указаны уязвимости проверен
ные. но не найденные, а также способ проверки для каждого объекта анализа. Это допускается оформить в виде
простого контрольного листа. Документы с описанием уязвимостей являются полезным средством, когда вносятся
изменения воценку риска и возникают определенные вопросы вотношении объектов. Предыдущие контрольные
списки и результаты формируют основу для усовершенствования процедур оценки уязвимости в будущем и обе
спечения соответствия внутри организации. Организация должна принимать их именно в таком значении, а не
рассматривать в качестве статичного определения компонентов такой оценки.
Задачи и документы, связанные с процедурами укрупненного и детального анализа, описанными в настоя
щем подпункте, ипроцессом управления рисками в соответствии сА.3.4.2. могут быть объединены вцелях эффек
тивности. что позволит выполнить требования определенной организации.
Результатыдетальной оценки риска должны периодически обновляться и подвергаться повторной проверке.
Кроме того, поскольку детальная оценка риска может устаревать из-за изменений в среде системы управления, в
управление программой изменений должны встраиваться триггеры для обновления процедуры оценки риска. Это
pcAnywhere®,Timbuktu®1и X Windows®— это примеры подходящих продуктов, имеющихся на рынке. Дан
ная информация приводится для удобства пользователей настоящего стандарта и не является одобрением таких
продуктов со стороны ISA.
50