ГОСТ Р МЭК 62443-2-1—2015
для IT. и для IACS. В частности, что касается среды IACS, надежная и стабильная среда обеспечивает надежную
эксплуатацию оборудования и снижение вероятностей инцидентов для сферы HSE. Это достигается за счет ре
сурсов для разработки и организации обучения, а также предоставления персонала, у которого есть возможность
пройти обучение.
После разработки программы обучения по вопросам информационной безопасности организация должна
провести соответствующее обучение для всего персонала. Место и время проведения обучения должны выби
раться таким образом, чтобы это не сказывалось отрицательным образом на прочих обязанностях обучаемого
персонала.
Общее обучение проводится в рамках инструктажа нового сотрудника и в рамках инструктажа по контракту
для временного или стороннего персонала. Требуемое обучение должно соответствовать уровню контракта, кото
рый будет заключаться с организацией. Может предоставляться специализированное обучение:
a) Обучение заинтересованных лиц
Обучение проводится для группы заинтересованных лиц, а также группы лиц. работающих в среде IACS.
которые могут пострадать вконечном итоге. Для группы заинтересованных лиц потребуется специализированное
обучение по типам рассматриваемых рисков, сфере применения и концепции, одобренным руководством, любой
вспомогательной информации об инцидентах, наступивших в таких системах либо внутри организации, либо в
пределах отрасли в целом, а также по типам архитектур и систем, используемым внутри организации. Для обмена
такой информацией не обязательно проводить очное обучение. Для этого можно использовать презентации, под
готовленные для деловых встреч, собрания по обмену информацией, объявления по электронной почте:
b
) Обучение сотрудников в процессе подготовки к новым функциям
Обучение сотрудников будет требоваться по мере того, как они готовятся приступить к исполнению новых
функций, либо в рамках системы прямого управления рисками, либо в рамках системы управления рисками, свя
занными с проектами. На этом этапе практически все участники среды IACS должны изучить определенный обь-ем
программы обучения. Некоторые функции, связанные с прямым управлением рисками, будут включать в себя
обязанности в случае проведения самооценки или внутренних аудитов:
c) Обучение аудиторов
Потребуется провести обучение для аудиторов, которое позволит им понять особенности систем и сетей,
являющихся предметом их аудитов, а также созданные специфические политики;
d) Продолжающееся обучение
Поскольку будут появляться новые сотрудники и посторонний персонал, потребуется регулярно проводить
обучение на всех уровнях, вносить изменения, т.к. политики и услуги меняютсяс течением времени, и нужно будет
обеспечивать повышение квалификации, чтобы сотрудники сохраняли свои компетенции в рамках занимаемой
роли и выполняемых обязанностей.
Важно подтверждать, что входе обучения сотрудники получают представление о своей роли иобязанностях.
Аттестация знаний имеет две функции:
1)она помогает понять, насколько хорошо персонал знаетпрограмму обеспечениябезопасностиорганизации.
2) помогает оценить эффективность программы обучения.
Аттестация проводится различными способами, включая письменное тестирование по вопросам программы
обучения, оценку знаний по завершении курса, проверку результатов выполненной работы или документально
оформленных изменений в работе пообеспечению безопасности. Способ аттестации должен быть согласован за
ранее на этапе разработки программы обучения и доведен до сведения персонала.
Ведение и контроль журналов обучения сотрудников и графиков актуализации программы обучения должны
осуществляться на постоянной основе. Документирование результатов обучения позволит организации гаранти
ровать. что весь персонал прошел требуемое обучение должностным функциям и обязанностям. Аналогичным
образом это поможет определить потребность в дополнительном обучении и выявит необходимость проведения
повторного периодического обучения.
С течением времени уязвимости, угрозы и связанные контрмеры изменяются. В результате потребуется вно
сить изменения в программу обучения. Необходимо периодически (например, ежегодно) проводить анализ про
граммы обучения на предмет ее эффективности, приемлемости, содержания и соответствия используемым в на
стоящее время инструментам, корпоративным практикам и нормативным актам и по мере необходимости вносить
соответствующие изменения. Подлиска науслугиоповещения о нарушениях безопасности позволит гарантировать
наличие актуальных данных о недавно обнаруженных уязвимостях и угрозах.
А.3.2.4.3 Вспомогательные практические методы
А.3.2.4.3.1 Основные практические методы
Косновным практическим методам относятся следующие действия:
a) изучение ролей, связанных с сохранением защищенной системной среды, в рамках учебных курсов по
вопросам обеспечения безопасности;
b
) проведение очных курсов или обучение без отрыва от производства по вопросам требований к каждой
выполняемой роли:
c) подтверждение знаний через аттестацию и/или экзамены;
d) привлечение профильных специалистов для каждого учебного курса, для ознакомления сдополнительны
ми материалами и консультациями:
60