ГОСТ Р МЭК 62443-2-1—2015
А.3.4 Группа элементов «Внедрение»
А.3.4.1 Описание группы элементов
Третья группа элементов в этой категории называется «Внедрение». Этот элемент внутри группы затрагива
ет вопросы, связанные с внедрением CSMS. На рисунке А.13 представлено четыре элемента группы:
- управление рисками и принятие мер;
- разработка и обслуживание системы:
- управление документацией и информацией:
- планирование действий и реагирование при происшествиях.
Устранение риска при помощи CSMS
Рисунок А.13 — Графическое представление группы элементов: Внедрение
А.3.4.2 Элемент «Управление рисками и принятие мер»
А.3.4.2.1Описание элемента
Основой любой системы CSMS или программы безопасности является поддержание риска на допустимом
уровне. Управление риском и принятие мер затрагивает такие вопросы, как отбор, разработка и принятие мер бе
зопасности. соизмеримых с уровнем риска. При этом в них может учитываться свойственная им более надежная
концепция промышленной безопасности, использование продуктов с внутренне присущими возможностями на
дежной защиты, контрмеры ручного и процедурного обеспечения безопасности, а также основанные на технологии
контрмеры для предотвращения или снижения риска инцидентов, связанных с безопасностью.
Несмотря на то. что риск невозможно устранить навсегда, им можно управлять. В этом подпункте описы
вается метод измерения риска и управления риском через внедрение разнообразных контрмер по обеспечению
безопасности, позволяющих снизить вероятность возникновения инцидента или масштаба последствия такого
инцидента.
В большинстве случаев для измерения риска используются такие понятия как размер ущерба и/ипи обще
ственное сознание. Несмотря на то. что оценка производственных потерь в результате инцидента, связанного с
информационной безопасностью, не составит труда, невозможно установить точную стоимость происшествия,
приведшего к телесному повреждению или смерти человека. Компании должны определить свои границы допу
стимости риска на случай определенных происшествий и использовать данную стратегию для управления риском.
А.3.4.2.2 Построение системы управления риском и принятия мер
Поскольку устранение всех рисков обычно является непрактичным или невозможным, организации должны
обращать особое внимание на наиболее важные приложения и инфраструктуры, чтобы смягчить риск до прием
лемогоуровня. Когда принимается решение о необходимых контрмерах, решается задача уравновешивания риска
и ущерба. Решения должны приниматься на основе оценки рисков и оформляться документально, чтобы служить
основой для будущего планирования и реагирования.
Организации должны проводить анализ результатов оценки рисков, устанавливать стоимость мероприя
тий по снижению каждого риска, сравнивать стоимость с риском наступления происшествия и выбирать такие
контрмеры, стоимость которых меньше потенциального риска. Учитывая, что устранение всех рисков можег ока
заться непрактичным или невозможным, необходимо сначала сосредоточить усилия на наиболее важных прило
жениях иинфраструктурах. Часто одни и теже риски наступают в более, чем одном месте. Имеет смысл подобрать
стандартный набор контрмер, которые могут использоваться в более, чем одной ситуации, и затем определить,
когда следует их применять. Такой подход позволит организации использовать общие решения и снижать расходы
на разработку и внедрение мер. таким образом повышая уровень защищенности организации. Один из способов
подразумевает разработку общей системы внедрения мер. которая включает в себя оценку рисков, определение
уровня допустимости риска, оценку и выбор контрмер и стратегии действий по снижению рисков.
84