Оглавление секции

    • Модуль 6. Реагирование на инциденты (IR 101)

      Что вы изучите в этом модуле

      • Распознавание: Признаки инцидента — нестабильные/«скачущие» навигационные данные, необычные сообщения, неожиданные перезагрузки.
      • Первые 15–30 минут: Порядок действий — зафиксировать время, изолировать затронутые системы, уведомить по установленной цепочке отчётности.
      • Доказательства: Сохранение цифровых артефактов (фотографии экранов, файлы журналов) для последующего расследования.

    •  

       

      Модуль 6. Реагирование на инциденты (IR 101)

      Даже самые эффективные меры защиты не могут гарантировать, что судно никогда не будет скомпрометировано. Когда происходит инцидент, безопасность судна зависит от того, насколько быстро и правильно реагирует экипаж. В соответствии с руководствами IMO по управлению морскими киберрисками и требованием учитывать киберриски в Системе управления безопасностью (SMS), приоритет экипажа — не проведение сложного расследования, а стабилизация ситуации, изоляция угрозы и предотвращение её дальнейшего распространения.

      Кратко: ваша задача — выиграть время для специалистов и сохранить безопасность судна.

      1. Распознавание: что считается инцидентом?

      Согласно руководствам IMO, киберинцидент — это любое событие, способное повлиять на доступность, целостность или конфиденциальность судовых систем или данных. Экипаж должен уметь отличать обычную техническую неисправность от потенциального киберсобытия.

      Типичные «красные флаги» (предупреждающие признаки):

      • Навигационные аномалии: «скачущая» позиция судна на ECDIS; несоответствие данных GPS, радара и визуального наблюдения; неожиданные предупреждения или ошибки навигации.
      • Необычное поведение экрана или ПО: сообщения о выкупе (ransomware); внезапно заблокированные или недоступные файлы; неожиданные изменения фона рабочего стола, языка интерфейса или системных сообщений.
      • Нестабильность оборудования: самопроизвольные перезагрузки серверов/рабочих станций; изменения конфигурации без разрешения; аномальное поведение автоматизированных систем.
      • Потеря связи: внезапный отказ VSAT или внутренней сети без очевидной технической причины; одновременная потеря доступа у нескольких пользователей.
      • Предупреждения по учётным записям: попытки входа в нехарактерное время; активность от имени отсутствующего члена экипажа; множественные неудачные попытки входа с блокировкой аккаунта.

      Общее правило: если поведение необычное, нелогичное или необъяснимое, рассматривайте это как потенциальный киберинцидент до подтверждения обратного.

      2. Первые действия: «первые 15 минут»

      При подозрении на киберинцидент следуйте простому принципу: «Не усугублять — изолировать — задокументировать».

      2.1 Не усугублять ситуацию

      • Не перезагружайте систему, если не уверены, что это безопасно.
      • При некоторых атаках (особенно ransomware) перезагрузка может сделать ущерб необратимым и усложнить восстановление.

      2.2 Изолировать (отключить)

      Главная цель — остановить распространение угрозы.

      • Физически отключите LAN-кабель от подозрительного компьютера.
      • Отключите Wi-Fi и Bluetooth на устройстве.
      • Если затронута критическая OT-система, при необходимости перейдите на ручное управление или резервные/аналоговые процедуры, только если это безопасно для навигации и эксплуатации судна.

      2.3 По возможности не выключать питание

      • Выключение может уничтожить важные данные, хранящиеся в оперативной памяти (RAM).
      • По возможности оставьте систему включённой, но полностью отключённой от сети.

      3. Документирование и доказательства (артефакты инцидента)

      Качественная фиксация фактов крайне важна для последующего расследования, страховых процедур и эффективной поддержки с берега.

      Минимальный набор материалов для сбора:

      • Фотографии: сделайте чёткие снимки экрана с сообщениями об ошибках, необычным поведением или требованиями выкупа. Используйте телефон — не подключайте его к компьютеру через USB.
      • Хронология (UTC): зафиксируйте точное время обнаружения проблемы и ключевых событий.
      • Масштаб: перечислите затронутые системы (какие ПК, терминалы или судовые системы ведут себя аномально).
      • Предпринятые действия: запишите, что и когда было сделано (например, «LAN-кабель отключён в 14:15 UTC»).

      Даже простые рукописные записи могут быть крайне ценны для группы реагирования.

      4. Цепочка уведомления

      Руководства IMO требуют, чтобы процедуры реагирования включали чёткую и практичную цепочку уведомления, интегрированную в SMS судна.

      1. Член экипажа / вахтенный помощник: немедленно сообщает Капитану. Передаются факты (что наблюдалось, когда произошло, что было отключено).
      2. Капитан: оценивает влияние на безопасность судна и навигацию. При угрозе безопасности принимает эксплуатационные меры (переход на ручное управление, снижение скорости, остановка при необходимости), затем информирует береговой офис.
      3. Береговой офис (DPA / CSO / IT-отдел): активирует план реагирования, координирует техническую поддержку и, при необходимости, взаимодействует со страховщиками, флаговой администрацией, портовыми властями и классификационным обществом.

      5. Чего НЕ следует делать во время инцидента

      • НЕ используйте подозрительно скомпрометированную систему для отправки отчёта. Используйте альтернативные каналы связи (спутниковый телефон, независимый ноутбук, отдельную почту/устройство).
      • НЕ подключайте внешние носители (USB) к заражённому устройству «для копирования данных». Вы можете заразить носитель и распространить вредоносное ПО.
      • НЕ принимайте решение об оплате выкупа самостоятельно. Любые решения принимаются через береговой офис в рамках установленной процедуры реагирования компании.

      Краткий чек-лист (выводы)

      • Увидели странное сообщение? ? Сделайте фото.
      • Подозреваете компрометацию? ? Отключите сетевой кабель.
      • Не знаете, что делать? ? Сообщите Капитану.

      Итог модуля

      Эффективное реагирование на инциденты — это способность экипажа переключиться с «ремонта компьютера» на обеспечение безопасности судна, изоляцию угрозы и фиксацию ключевых фактов. Ваши действия в первые минуты могут предотвратить эскалацию и предоставить критически важную информацию специалистам, которые будут руководить этапом восстановления.