ГОСТ Р МЭК 62443-2-1—2015
CSMS должна охватывать вседеловые подразделения и все географические регионы, в которых присутству
ет организация. Если для данной работы изначально невозможно заручиться поддержкой руководства, необходи
мо определить меньший объем работ и использовать это в качестве возможности для построения надежности и
демонстрации ценности CSMS.
А.3.2.2.2 Разработка сферы применения CSMS
Руководство должно определить границы, в пределах которых CSMS применяется к организации, а также
установить направленность и сферу применения CSMS. Разработка четко определенной области действия позво
лит руководству достичь своих целей вобласти CSMS.
Сфера действия должна включать в себя все аспекты IACS. точки интеграции с бизнес-партнерами, за
казчиками и поставщиками. Для того, чтобы запустить и контролировать процесс внедрения и продолжающиеся
операции вобласти информационной безопасности внутри компании, необходимо определить основу управления
(например, организация).
Значение организации, отвечающей за определение и информирование о корпоративных политиках, связан
ных с информационной безопасностью, заключается в защите корпоративных объектов с точки зрения кибербезо
пасности. Компании должны понимать, что в современном деловом мире, использующем Интернет, возможность
электронного информационного сообщения является неотъемлемой частью деловой деятельности, и поэтому ин
формационная безопасность имеет большое значение. Коммерческие операции не только остаются в пределах
брандмауэра организации, но при этом доступ получают заказчики, поставщики, сторонние организации и партне
ры по аутсорсингу.
Общий объем работ должен быть определен с точки зрения трех различных аспектов: коммерческий, архи
тектурный и функциональный.
С коммерческой точки зрения сфера применения должна давать представление об ответах на следующие
вопросы:
- какие корпорации включаются;
- какие подразделения включаются:
- какие географические регионы включаются:
- какие специфические площадки включаются.
С точки зрения архитектуры сфера применения должна давать представление об ответах на следующие
вопросы:
- на какие компьютерные системы и сети будут направлены действия:
- будут ли включены SCADA и системы мониторинга;
- будутли включены компьютерные системы, не связанные спроизводством (ис поддержкой IT-организации,
и без нее), и в производство;
- будут ли включены системы АСУТП (MES):
- будут ли включены системы управления работой горелок и SIS:
- будут ли включены робототехнические системы;
- будут ли включены соединения с поставщиками или заказчиками.
С функциональной точки зрения сферу применения можно разделить на следующие две категории:
a) Работа по прямому управлению рисками
Такие работы включают в себя оценку, доведение до сведения и определение приоритета риска. К приме
рам можно отнести определение локальных владельцев системы информационной безопасности, сбор данных
и ведение инвентарного списка объектов, разработку и сохранение сетевой архитектуры, проведение внешних и
внутренних аудитов и передачу соответствующих результатов внутри подразделения или корпорации;
b
)Проекты, связанные с управлением рисками
В основе таких работ лежат действия по снижению рисков, идентифицированных в ходе управления риска
ми. Такие косвенные решения по управлению рисками могут быть реализованы в форме проектов, ограниченных
по времени, а также в форме разработки и внедрения действующих услуг.
При определении функциональной сферы необходимо учитывать следующие вопросы:
- каким образом такая сфера применения связана с существующими системами управления рисками:
- каким образом такая сфера применения связана политиками обеспечения информационной безопасности,
уже применяемыми к таким системам и организациям;
- каким образом такая сфера применения связана с техническими стандартами и процедурами, уже приме
няемыми в отношении специфических архитектурных компонентов (т. е. базовые системы технологического кон
троля. системы SCADA. SIS. системы управления работой горелок и робототехнические системы):
- каким образом такая сфера применения связана с уже профинансированными проектами;
- каким образом такая сфера применения связана с существующими сервисами.
Поддержка руководства служит толчком для действий со стороны менеджеров, отвечающих за назначение
ресурсов для управления и реализации задач по снижению рисков IACS.
Определение сферы применения должно быть выполненоответственным исполнителем из состава высшего
руководства, который будет отвечать за руководство группой на протяжении разработки программы. В конечном
итоге ответственный исполнитель должен будет обеспечивать выполнение программы, включая обмен информа
цией. финансирование, обеспечение выполнение задач и аудит.
54