Соответствие требованиям

Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

Наш канал

Правила № 2-020101-174 от 01.07.2024

Правила классификации и постройки морских судов часть XXI

п. 2.2.2.6.2

Для проведения оценки соответствия по документу войдите в систему.

Список требований

2. Киберустойчивость судов
2.2. Требования
Данная глава содержит требования в соответствии с пятью промежуточными целями, указанными в 2.1.2, которые должны быть выполнены для достижения основной цели, указанной в 2.1.1.
Требования выполняются заинтересованными сторонами, участвующими в проектировании, постройке и эксплуатации судна. Среди них можно выделить следующие заинтересованные стороны (см. определения в 1.2):
судовладелец;
системный интегратор;
поставщик.
Несмотря на то что требования могут выполняться этими заинтересованными сторонами, для целей настоящего раздела ответственность за их выполнение лежит на заинтересованной стороне, заключившей соответствующий договор с Регистром.
2.2.2. Защита
Требования направлены на разработку и внедрение надлежащих мер защиты, обеспечивающих снижение или сдерживание последствий потенциального инцидента.
2.2.2.6. Управление удаленным доступом и связь с ненадежными сетями.
2.2.2.6.2. Детализация требования:
для управления удаленным доступом к судовым IT- и OT-системам на борту судна должно находиться руководство пользователя, в котором четко определены роли, разрешения и функции;
ни один IP-адрес КС, входящей в область применения настоящей части, не должен быть доступен из ненадежных сетей;
при связи с ненадежными сетями или через них должно применяться защищенное соединение (например, туннели) с аутентификацией конечных точек, защитой целостности, аутентификацией и шифрованием на сетевом или транспортном уровне. Должна обеспечиваться конфиденциальность информации, на которую распространяется разрешение на чтение.
2.2.2.6.2.1. Проектирование.
КС, входящие в область применения данного раздела, должны:
обеспечивать возможность прерывания соединения с конечной точки на борту судна. Любой удаленный доступ должен предоставляться только после прямого подтверждения ответственным лицом на борту судна;
обеспечивать управление прерываниями удаленных сеансов, чтобы не ставить под угрозу безопасность OT-систем или целостность и доступность данных, используемых OT-системами;
обеспечивать регистрацию всех событий удаленного доступа и их хранение в течение периода времени, достаточного для автономного просмотра удаленных соединений, например, после обнаружения киберинцидента.
2.2.2.6.2.2. Дополнительные требования к удаленному обслуживанию.
Если удаленный доступ используется для обслуживания, то в дополнение к требованиям 2.2.2.6.2.1 должны быть выполнены следующие требования:
1) должна представляться документация, описывающая как происходят соединение и интеграция с береговым участком;
2) перед установкой патчи безопасности и обновления должны тестироваться и оцениваться, чтобы убедиться в их эффективности и отсутствии недопустимых побочных эффектов или появления киберсобытий. Перед проведением удаленного обновления должен быть получен соответствующий отчет от поставщика ПО;
3) поставщики должны уведомлять судовладельца об обновлениях и предоставлять к ним доступ (см. 3.4.2, 3.4.3, 3.4.4);
4) при проведении удаленного технического обслуживания уполномоченный персонал на борту судна в любое время должен иметь возможность прервать сеанс, отменить работу и вернуться к предыдущей безопасной конфигурации КС и затрагиваемых систем;
5) любой доступ к КС пользователей из ненадежных сетей должен предоставляться с использованием многофакторной аутентификации;
6) после настраиваемого количества неудачных попыток получения удаленного доступа следующая попытка должна блокироваться на заранее определенный период времени;
7) если по какой-либо причине при удаленном обслуживании происходит прерывание соединения, доступ к системе должен быть прекращен функцией автоматического выхода из системы.
О б о с н о в а н и е . Судовые КС все больше используют подключение к интернету для выполнения широкого спектра разрешенных функций. Использование цифровых систем для мониторинга и управления судовыми КС делает их уязвимыми для киберинцидентов. Злоумышленники могут попытаться получить доступ к судовым КС через соединение с интернетом и внести изменения, влияющие на работу КС, или даже получить полный контроль над КС, или попытаться выгрузить информацию из судовой КС. Кроме того, поскольку использование устаревших IT- и OT-систем, которые больше не поддерживаются и/или работают под управлением устаревших операционных систем, в значительной степени влияет на киберустойчивость, особое внимание должно быть уделено установке на борту соответствующего оборудования и ПО, способствующего поддержанию достаточного уровня киберустойчивости, при осуществлении удаленного доступа к этим системам, также учитывая, что не все киберинциденты являются результатом преднамеренной атаки.
2.2.2.6.3. Подтверждение соответствия.
2.2.2.6.3.1. Этап проектирования:
- в Описание мер обеспечения кибербезопасности системным интегратором должна быть включена следующая информация:
  перечень КС, входящих в область применения настоящей части, которые взаимодействуют через границу зоны безопасности с ненадежными сетями, в том числе для предоставления удаленного доступа;
  описание соответствия требованиям 2.2.2.6.2 каждой КС, для которой эти требования применимы.
2.2.2.6.3.2. Этап постройки.
Системным интегратором должно быть обеспечено, что любые взаимодействия с ненадежными сетями имеют временный характер и используются в соответствии с требованиями 2.2.2.6.
2.2.2.6.3.3. Этап ввода в эксплуатацию:
- системный интегратор должен представить Регистру Программу испытаний киберустойчивости судна (см. 2.3.2.1) и продемонстрировать, что:
  связи с ненадежными сетями защищены в соответствии с 3.3.2, и что не могут быть согласованы менее защищенные версии протоколов связи (например, при помощи анализатора сетевых протоколов);
  для удаленного доступа необходима многофакторная аутентификация удаленного пользователя;
  установлено ограничение количества неудачных попыток входа в систему, и перед установлением сеанса связи удаленному пользователю предоставляется соответствующее уведомление;
  удаленное соединение осуществляется только после прямого подтверждения ответственным лицом на борту судна;
  сеанс удаленного доступа может быть прерван вручную с борта судна и в случае бездействия сеанс будет автоматически завершен;
  сеансы удаленного доступа регистрируются (п. 13 табл. 3.3.1);
  поставщиками предоставлены соответствующие инструкции и процедуры (см. 3.2.1.3).
2.2.2.6.3.4. Этап эксплуатации:
1) в Программе кибербезопасности и киберустойчивости судна судовладельцем должен быть описан процесс управления удаленным доступом и взаимодействия с ненадежными сетями, учитывающий как минимум следующие требования:
- руководство пользователя (см. 2.2.2.6.2);
- роли и разрешения (см. 2.2.2.6.2);
- патчи и обновления (см. 2.2.2.6.2.2);
- подтверждение перед удаленным обновлением ПО (см. 2.2.2.6.2.2);
- прерывание, отмена и возврат (см. 2.2.2.6.2.2);
2) первое ежегодное освидетельствование.
Судовладелец должен представить Регистру записи или иные задокументированные свидетельства, подтверждающие выполнение Программы кибербезопасности и киберустойчивости судна, т.е. того, что:
сессии удаленного доступа регистрируются и проводятся согласно соответствующим политикам и руководству пользователя, обеспечивается регистрация или запись сессий удаленного доступа;
установка патчей безопасности и других обновлений проводится в соответствии с процедурами управления изменениями и при поддержке поставщика;
3) последующие ежегодные освидетельствования.
По требованию Регистра судовладелец должен продемонстрировать выполнение Программы кибербезопасности и киберустойчивости судна, представив записи или иные задокументированные свидетельства, как указано в 2.2.2.6.3.4.2;
4) очередное освидетельствование.
Судовладелец должен продемонстрировать Регистру выполнение требований 2.2.2.6.3.3 в соответствии с Программой испытаний киберустойчивости судна.
Общие требования к освидетельствованиям во время эксплуатации судна содержатся в 2.3.3

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.