ГОСТ Р 56498—2015
Пример — С точ
к
и зрения безопасности может бы ть неприемлема автономная работа ячей
к
и ав
томатизации АС в опасных условиях, та
к
к
а
к
в типичном случае она не имеет внутренних механизмов
безопасности.
7.3 Политика безопасности промышленной системы управления — организация
и управление
Процедуры иметоды управления, необходимые для эксплуатациии аудита политики безопасности.
7.3.1 Ответственность за разработку, реализацию, соблюдение, проверку и изменение политики
безопасности ICS несет администрация ICS.
Это обосновано тем. что изменения в угрозах, уровнях угроз, конфигурации, технологии и т. д.
являются неизбежными и требуют переоценки и совершенствования политики ICS.
Правила реализации политики приведены в 7.3.1.1—7.3.1.7.
7.3.1.1 Оперативная ответственность за соблюдение политики безопасности ICS должна быть
возложена на менеджера по безопасности, который должен быть оперативно независим от ICS и экс
плуатации завода.
П р и м е ч а н и е 1 — Разделение ответственности за реализацию усиления безопасности и поддержание
политики безопасности иногда рекомендуется регуляторами. Это снижает риски безопасности.
П р и м е ч а н и е 2 — В крупных организациях менеджер по безопасности может быть независимым, для
этого он освобождается от ответственности и обязанностей по оперативному управлению или администрированию
системы. В небольших организациях может оказаться, что отдельные сотрудники будут совмещать эти должности.
7.3.1.2 Управление администрированием сетевого оборудования, его реализация и протоколи
рование должны осуществляться безопасным образом.
П р и м е ч а н и е 1 — Конфигурование сетевого оборудования и изменения в конфигурации весьма жела
тельны с точки зрения безопасности. Необходимо использовать действенные механизмы управления доступом.
П р и м е ч а н и е 2 — Во избежание атак, нацеленных на настройки сети, администрация должна использо
вать каналы связи и привилегии доступа, которые отделены от производственного трафика и привилегий. Допуска
ется использование отдельной безопасной сети управления.
П р и м е ч а н и е 3 — Администрирование безопасности и сетевого оборудования должно быть выполнимо
даже в случае атаки или при реагировании на атаку. Должны иметься также каналы для передачи производственно
го трафика.
7.3.1.3 Политика безопасности ICS должна документироваться, должны обновляться изменения
и исключения, поддерживаться доступность и доведены до соответствующего персонала.
7.3.1.4 Все применяемые в организации политики должны быть доступны администрации ICS, в
том числе и политика безопасности ICS, и должны регулярно выполняться обновления политик, обес
печивающие их эффективное применение за ограниченное время.
7.3.1.5 Для неукоснительного соблюдения положений политики ICS и ее изменений должны регу
лярно проводиться ознакомительные тренинги.
7.3.1.6 Управление должно включать документирование исключений с указанием конкретной
причины, связанной с бизнесом, а также документирование времени установления исключения, его
продолжительности и срока окончания.
7.3.1.7 Должны проводиться проверки политики как периодические, так и после инцидентов.
7.3.2 Управление рисками угроз
Проблемы безопасности в значительной степени обусловлены неопределенностью, связанной с
технологическим прогрессом и непредсказуемостью человека, в результате чего существует постоян но
меняющийся риск для имущественных объектов. Имущественные объекты владельца или операто ра в
целом остаются примерно постоянными. Это делает среду угрозы основным фактором.
В данной политике предусмотрены предварительные условия и ограничения, заключающиеся в
том, что в настоящем стандарте не рассматривается метод TRA. Поэтому владелец/оператор должен
самостоятельно разработать метод оценки рисков, используя другие ресурсы (кроме настоящего стан
дарта).
Правила реализации политики приведены в 7.3.2.1—7.3.2.4.
7.3.2.1Критичные компоненты оборудования, операционные системы, приложения и службы,
используемые для эксплуатации, управления и обеспечения работоспособности системы автоматиза
ции. должны быть оценены с точки зрения функциональной доступности, целостности системы и кон
фиденциальности данных.
24