ГОСТ Р 56205-2014/IEC/TS 62443-1-1:2009. Национальный стандарт Российской Федерации. Сети коммуникационные промышленные. Защищенность (кибербезопасность) сети и системы. Часть 1-1. Терминология, концептуальные положения и модели
5.12. Жизненный цикл уровня безопасности
5.12.1 Общие положения
Уровни безопасности становятся важной составляющей жизненного цикла безопасности зоны IACS, как только определены границы зоны и тракты. Важно осознавать, что жизненный цикл уровня безопасности ориентирован на изменение уровня безопасности зоны или тракта во времени. Жизненный цикл уровня безопасности не следует путать с этапами жизненного цикла самих физических объектов, составляющих IACS в пределах зоны. Существует множество пересекающихся и дополняющих друг друга процессов, которые относятся как к жизненному циклу имущественных объектов, так и к жизненному циклу уровня безопасности зоны, однако всем этим процессам соответствуют разные пороговые точки для перехода от одного этапа к другому. Кроме того, изменение в физическом объекте может повлечь ряд действий, относящихся к уровню безопасности, или изменение в уязвимостях безопасности или объекте может повлечь изменение в физическом объекте.
На рисунке 8 показан жизненный цикл безопасности. На этапе "Оценка" жизненного цикла безопасности зоне назначают SL (целевой). На этапе "Реализация" реализуют контрмеры для достижения SL (целевой) зоны. SL (достигнутый) зоны зависит от разных факторов. Чтобы гарантировать, что SL (достигнутый) зоны выше или равен SL (целевой) этой зоны во всех случаях, контрмеры подвергают аудитам и/или тестированию и в случае необходимости дорабатывают на этапе "Поддержание" жизненного цикла безопасности.
┌─────────────┐
│ │
┌─>│Этап "Оценка"│ Рассмотрен в МЭК 61784-2
│ │ │
│ └──────┬──────┘
│ └────────┐
│ V
│ ┌────────────────┐
│ │Этап "Разработка│
│ │ и реализация" │ Рассмотрен в МЭК 61784-2
│ │ │
│ └────────┬───────┘
│ └─────────┐
│ V
│ ┌─────────────┐
│ │ Этап │
└─────────────────────┤"Поддержание"│ Рассмотрен в МЭК 61784-3
│ │
└─────────────┘
МЭК 61158-4 исследует SL (потенциальный)
Рисунок 8 - Жизненный цикл безопасности
5.12.2 Этап "Оценка"
Этап "Оценка" жизненного цикла безопасности включает в себя действия, указанные на рисунке 9. Перед назначением зоне SL (целевой) необходимо установить:
a) границы зоны;
b) критерии допустимости риска для организации.
Модель SL жизненного цикла - этап "Оценка"
Рисунок 9 - Жизненный цикл SL - этап "Оценка"
Следует выполнить оценку риска для зоны и назначить ей SL (целевой). Оценка риска и другие действия, относящиеся к этапу оценки, будут рассмотрены подробнее в последующей части МЭК 62443.
5.12.3 Этап "Разработка и реализация"
Как только на этапе "Оценка" зоне назначен SL (целевой), следует реализовывать контрмеры, чтобы SL (достигнутый) зоны был выше или равен SL (целевой) этой зоны. На рисунке 10 указаны действия, выполняемые на этапе "Реализация" жизненного цикла SL, для новых и существующих зон IACS. SL (достигнутый) определяют после того, как система признана соответствующей требованиям безопасности для зоны.
Рисунок 10 - Жизненный цикл SL - этап "Реализация"
Действия, относящиеся к этапу реализации, будут рассмотрены подробнее в последующей части МЭК 62443.
5.12.4 Этап "Поддержание"
Контрмеры и внутренне присущие свойства безопасности устройств и систем со временем теряют свою эффективность. Свойства безопасности, относящиеся к зоне, в том числе к ассоциированным с ней трактам, следует подвергать аудитам и/или тестированиям с регулярной периодичностью или всякий раз при обнаружении новой уязвимости, чтобы SL (достигнутый) зоны был гарантированно больше или равен уровню SL (целевой) этой зоны во всех случаях. Действия, относящиеся к поддержанию SL (достигнутый), отмечены на рисунке 11.
Рисунок 11 - Жизненный цикл SL - этап "Поддержание"
Действия, относящиеся к этапу поддержания, будут рассмотрены подробнее в последующей части МЭК 62443.
Подписаться на обновления