Оглавление секции

    • Модуль 5. Доступ третьих сторон и подрядчиков

      Что вы изучите в этом модуле

      • Контроль доступа: Временный доступ по запросу и запрет на использование общих учётных записей.
      • Удалённая поддержка: Доступ поставщиков через VPN и jump-хосты под контролем и с разрешения экипажа.

    • Модуль 5. Доступ третьих сторон и подрядчиков

      Подрядчики, портовые агенты, сервисные инженеры и поставщики оборудования являются неотъемлемой частью эксплуатации судна. Однако руководящие документы IMO подчёркивают, что риски цепочки поставок и деятельность третьих сторон входят в число основных киберугроз для судов. В соответствии с Резолюцией IMO MSC.428(98), доступ третьих сторон должен быть формально отражён в Системе управления безопасностью судна (SMS).

      В данном модуле объясняется, как организовать работу с внешними специалистами так, чтобы их действия не создавали рисков для кибербезопасности судна.

      1. Принцип «Временный доступ по запросу»

      Наиболее опасная практика — предоставление подрядчику постоянного доступа «на всякий случай».

      • Правило: Доступ к судовым системам (физический и/или удалённый) предоставляется только на период согласованных работ.
      • Принцип минимально необходимых прав: Доступ должен предоставляться только к конкретной системе или функции, необходимой для выполнения задачи.
      • Процедура: Подрядчик запрашивает доступ с указанием причины, временного окна и конкретной системы. После завершения работ доступ должен быть немедленно аннулирован.

      Важно: Постоянные учётные записи поставщиков и «всегда активный» доступ противоречат надлежащей практике управления киберрисками в морской отрасли и ожиданиям классификационных обществ.

      2. Удалённая поддержка (Remote Access)

      Современное судовое оборудование (двигатели, VSAT, ECDIS, PMS, HVAC и др.) часто обслуживается удалённо с берега. Удалённый доступ является зоной повышенного риска и должен строго контролироваться.

      • Запрет неконтролируемых инструментов: Использование потребительских программ удалённого доступа (например, TeamViewer/AnyDesk) в режиме «всегда включено» является нарушением базовой кибергигиены и должно быть запрещено судовой процедурой.
      • Защищённый шлюз (Jump Host): Следует использовать выделенную промежуточную рабочую станцию/сервер (Jump Host) или защищённое VPN-решение. Подрядчик подключается к шлюзу — а не напрямую к критической системе управления.
      • Журналирование и прозрачность: Все действия удалённого администратора должны фиксироваться. Экипаж должен иметь возможность наблюдать за действиями оператора (через демонстрацию экрана) и/или просматривать журналы активности.

      3. Учётные записи и аутентификация

      • Без общих учётных записей: Практика использования всеми техниками одной «администраторской» учётной записи (с простым паролем) недопустима.
      • Индивидуальные временные учётные записи: Каждый внешний специалист должен получать уникальную учётную запись с ограниченным сроком действия, которая отключается или удаляется после завершения работ.
      • MFA (многофакторная аутентификация): Для любых подключений из Интернета должен использоваться второй фактор аутентификации, где это технически возможно (приложение-аутентификатор, токен, как минимум SMS-код).

      4. Разделение систем (яхты и пассажирские суда)

      На многих судах разные специалисты работают с разными доменами: одни обслуживают развлекательные и гостевые сети (AV/IT), другие — навигационные и операционные технологии (OT).

      • Сегментация: Техник, обслуживающий гостевой Wi-Fi, IPTV, караоке или AV-системы, не должен иметь доступа к сети мостика, навигационным системам, управлению двигателем или другим критическим OT-сегментам.
      • Физическая изоляция: Порты подключения для развлекательных/гостевых систем и для критических систем управления должны быть физически разделены, чётко маркированы и находиться под контролем доступа.

      5. Процедура доступа подрядчиков (требование SMS)

      Для соответствия требованиям SMS на судне должна быть внедрена формальная процедура доступа подрядчиков/поставщиков. Минимально следует использовать следующий чек-лист перед допуском третьей стороны к судовым системам.

      1. Идентификация: Личность специалиста подтверждена (удостоверение/бейдж/наряд-заказ).
      2. Проверка носителей/устройств: Все USB-накопители, ноутбуки и инструменты, которые подрядчик планирует подключить к судовой сети, проверены на вредоносное ПО и одобрены.
      3. Инструктаж: Подрядчик проинструктирован о судовых правилах кибербезопасности (запрет изменений сети без разрешения, запрет несанкционированных устройств, запрет обхода средств защиты).
      4. Надзор: Член экипажа (обычно ETO или вахтенный помощник / ответственный механик) присутствует при работах с критическими системами.

      Выводы для экипажа

      1. Не доверять по умолчанию: Даже авторизованный техник может случайно занести вредоносное ПО со своего ноутбука или инструментов.
      2. Контролировать процесс: Если вы видите, что подрядчик подключает неизвестное устройство, меняет кабели или конфигурации без согласования — остановите работы и уточните основания.
      3. Закрывать доступ: После ухода сервисного инженера убедитесь, что его учётная запись отключена, удалённые сессии завершены, а временный доступ аннулирован.