Оглавление секции

    • Модуль 3. Роли и ответственность на борту

      Что вы изучите в этом модуле

      • Цепочка подчинения: Роли Капитана, Электромеханика (ETO), Старшего механика и Назначенного лица на берегу (DPA).
      • Культура кибербезопасности: Ответственность каждого члена экипажа за соблюдение кибергигиены и своевременное сообщение о выявленных аномалиях.

    •  

      Модуль 3. Роли, ответственность и инспекции: как кибербезопасность работает в рамках SMS

      Этот модуль отвечает на практический вопрос для каждого члена экипажа: кто за что отвечает, кто может нас инспектировать и что необходимо делать, чтобы избежать несоответствий во время аудитов DOC/SMC?

      Ключевой момент: кибербезопасность на борту — это не «только IT-вопрос». Это часть безопасной эксплуатации судна, так же как пожарная безопасность, готовность к аварийным ситуациям или предотвращение загрязнения.

      Ожидаемый результат для экипажа (простыми словами)

      После изучения модуля любой член экипажа должен уметь:

      • Объяснить, почему «кибер» является частью морской безопасности (а не только компьютеров).
      • Показать, где процедуры по кибербезопасности находятся в SMS (или где на них есть ссылки).
      • Знать, кому сообщать и как сообщать о предполагаемом киберинциденте.
      • Соблюдать базовые судовые правила: использование USB, пароли, удалённый доступ поставщиков и распознавание фишинга.

      1. Нормативная основа: IMO + Кодекс ISM (SMS)

      Простыми словами

      Главным международным регулятором в судоходстве является Международная морская организация (IMO). Важно понимать, что IMO не создавала отдельный «кибер-кодекс». Вместо этого управление киберрисками было интегрировано в существующую систему безопасности — Кодекс ISM и Систему управления безопасностью судна (SMS).

      Это означает, что киберриски рассматриваются так же, как и любые другие риски для безопасности: через процедуры, распределение ответственности, обучение и доказательства того, что SMS работает на практике.

      Ключевой вывод:
      Кибербезопасность является частью SMS и проверяется в рамках аудитов ISM.

      2. Резолюция IMO MSC.428(98): почему аудиторы ожидают наличие «кибера» в SMS

      Простыми словами

      Резолюция IMO MSC.428(98) (2017) установила чёткое требование: управление киберрисками должно быть отражено в SMS.

      С практической точки зрения аудита (DOC/SMC), SMS без процедур по кибербезопасности сегодня выглядит столь же неполной, как SMS без процедур по пожару или аварийным ситуациям.

      Фокус аудита обычно направлен не на «сложную IT-защиту», а на то, имеются ли у компании и судна:

      • документированные меры управления киберрисками,
      • назначенные ответственные лица,
      • обученный экипаж,
      • и практическая готовность к реагированию на инциденты.

      Примечание о конфиденциальности

      Некоторые материалы по кибербезопасности могут требовать конфиденциального обращения (например, подробные схемы сети или сведения об уязвимостях). На практике экипажу предоставляется информация, необходимая для безопасной эксплуатации, а чувствительные технические детали контролируются и предоставляются аудиторам согласно процедурам компании.

      Ключевой вывод:
      Аудиторы не ожидают «идеальной IT-системы». Они ожидают, что киберриски управляются через SMS с доказательствами реального внедрения.

      3. Руководящие документы IMO: что считается «управлением киберрисками» на борту

      Простыми словами

      Если MSC.428(98) говорит, что «кибер должен быть в SMS», то руководства IMO объясняют, что именно должно быть охвачено. Они сосредоточены на компьютерных системах (CBS) и охватывают:

      • IT (офисные/административные системы, данные экипажа, связь),
      • OT (системы, управляющие или контролирующие физические процессы: мостик, двигатель, энергетика, грузовые операции).

      В руководствах подчёркивается, что киберриски растут из-за автоматизации и связи «судно—берег». Поэтому OT-системы требуют особого внимания, включая сегрегацию от IT и защиту от систем с выходом в Интернет.

      Ключевой вывод:
      Управление киберрисками охватывает как IT, так и OT, особенно при наличии связи «судно—берег».

      4. Модель «шести элементов»: как мыслят инспекторы

      IMO описывает киберготовность через шесть функциональных элементов. Они действуют параллельно и формируют практическую основу для проверки.

      4.1. Govern — Управлять

      На борту это означает наличие политик и процедур, а также распределённых обязанностей. Экипаж должен знать, кто координирует кибердействия и как принимаются решения.

      Типичный вопрос на интервью:
      «Кто на борту отвечает за кибервопросы и где находится процедура?»

      4.2. Identify — Знать, чем вы владеете

      Судно и компания должны знать, какие системы существуют, какие из них критические и каковы их взаимозависимости. Это включает инвентаризацию цифровых систем и базовую оценку рисков.

      Типичный вопрос:
      «Какие системы на борту являются критическими и что вы будете делать при их отказе?»

      4.3. Protect — Снижать риск

      Это практические меры, которые экипаж видит ежедневно: уникальные учётные записи, правила паролей, контроль USB, сегрегация IT/OT, обновления (где возможно), резервное копирование и контролируемый удалённый доступ поставщиков.

      4.4. Detect — Выявлять проблемы на ранней стадии

      Экипаж должен распознавать признаки подозрительной активности (неожиданные перезагрузки, необычные сообщения, нестандартное поведение систем) и рассматривать их как повод для сообщения, а не игнорирования.

      4.5. Respond — Действовать правильно

      На судне должен быть понятный план первых действий: зафиксировать время, изолировать, сообщить по цепочке и следовать инструкциям. Аудиторы не ожидают «героических навыков хакера» — они ожидают правильного выполнения процедур.

      4.6. Recover — Восстанавливать безопасную эксплуатацию

      Для критических конфигураций и данных должны существовать резервные копии и процедуры восстановления. Речь идёт о восстановлении безопасной эксплуатации, а не только компьютеров.

      Ключевой вывод:
      Инспекторы оценивают, существуют ли эти элементы и работают ли они на практике, а не только «на бумаге».

      5. Кто может инспектировать и в каком формате?

      Простыми словами

      Кибербезопасность проверяется через несколько механизмов. Для экипажа наиболее важны аудиты SMS и интервью на борту.

      5.1. Государство флага и Признанные организации (RO)

      Администрации флага часто делегируют проверки Признанной организации (RO) (часто классификационному обществу). Проверяются:

      • DOC (Document of Compliance) — на уровне компании,
      • SMC (Safety Management Certificate) — на уровне судна.

      Для экипажа это означает, что кибер будет проверяться как часть «эффективности SMS»: процедуры, роли, обучение и практическая готовность.

      5.2. Фокус Класса

      Классификационное общество может уделять внимание технической устойчивости, особенно на автоматизированных или новых судах. Даже на существующих судах требования Класса могут стимулировать улучшения в области контроля доступа, сегрегации, удалённого доступа и управления обновлениями.

      5.3. Контроль государства порта (PSC)

      PSC обычно не «переаудирует ISM», но может зафиксировать явные несоответствия, если видно, что SMS не работает на практике.

      5.4. Фрахтователи, страховщики и коммерческие проверки

      Эти проверки часто фокусируются на практических мерах: доступ поставщиков, резервное копирование, обучение экипажа и доказательства базовой кибергигиены.

      Ключевой вывод:
      На борту аудит обычно сочетает проверку документов, интервью и практический осмотр.

      6. На что смотрят аудиторы: как доказать, что SMS работает

      Простыми словами

      Аудиторам недостаточно «красивых документов». Им нужны доказательства того, что процедуры понятны и применяются в реальной судовой жизни.

      6.1. Киберпроцедуры в SMS

      • Киберполитика (или раздел SMS по управлению киберрисками).
      • Практические процедуры: фишинг/почта, USB, пароли и учётные записи, обновления, резервные копии, доступ поставщиков, отчётность об инцидентах.
      • Ясная связь между критическими системами и защитными мерами.

      6.2. Роли и ответственность (судно + берег)

      • Чёткое распределение обязанностей: кто координирует на борту (например, капитан при поддержке ETO/старшего механика).
      • Контакты берега и цепочка эскалации (при необходимости 24/7).
      • Кто утверждает подключения подрядчиков, внешние ноутбуки и удалённый доступ.

      6.3. Осведомлённость и ознакомление экипажа

      • Базовое обучение и вводный инструктаж.
      • Доказательства: записи об обучении, подтверждения, короткие тесты (если применяются).
      • Практические упражнения (настольные тренировки) и фиксирование извлечённых уроков.

      6.4. Реагирование на инциденты: важны первые действия

      • Существует простой чек-лист «первые 15–30 минут», и экипаж его знает.
      • Ведётся журнал инцидентов или подозрений (включая ложные тревоги).
      • Есть доказательства учений или обсуждений.

      6.5. Контроль доступа и удалённый доступ поставщиков

      • Уникальные учётные записи и отсутствие общих логинов для критических систем.
      • Пароли по умолчанию удалены или контролируются.
      • Доступ поставщиков согласован, ограничен по времени, по возможности контролируется и регистрируется.

      6.6. Резервное копирование и восстановление

      • Определено, что резервируется (критические данные/конфигурации), как часто и где хранится (включая офлайн, при необходимости).
      • Есть доказательства выполнения резервного копирования и периодических проверок восстановления.

      Типичные «красные флаги», вызывающие вопросы

      • Пароли записаны на бумаге рядом с рабочими станциями.
      • Один общий логин используется «для удобства».
      • Личные USB-устройства используются на операционных рабочих станциях.
      • Экипаж не знает, кому сообщать и где находится процедура.
      • Процедуры существуют, но никто их не видел и отсутствуют записи об ознакомлении.

      Ключевой вывод:
      Лучше показать простую, практичную систему, которая работает ежедневно, чем идеальный документ, который никто не соблюдает.

      Заключительное сообщение для экипажа

      • Кибербезопасность является частью безопасной эксплуатации судна и встроена в SMS.
      • Аудиторы проверяют понимание, роли и реальные доказательства — а не «теорию IT».
      • Знайте, где находятся киберпроцедуры в SMS, правильно сообщайте об инцидентах и соблюдайте базовые правила (USB, пароли, доступ поставщиков, фишинг).