Ниже приведён практический «чек-лист доказательств/документов», который, как правило, запрашивается и проверяется в ходе:

  • Обязательного трека IMO/ISM: аудитов DOC (Компания) и SMC (Судно) с включением киберрисков в Систему управления безопасностью (SMS) в духе Резолюции MSC.428(98) и циркуляра MSC-FAL.1/Circ.3/Rev.3 (assets.publishing.service.gov.uk)
  • Классификационного трека (IACS): UR E26 (судно) и UR E27 (оборудование / CBS) — для судов, «контрактованных на постройку 1 июля 2024 года или позднее», как единое требование IACS (для многих классификационных обществ — «обязательное для новостроев») (classnk.or.jp)
  • Добровольных кибер-нотаций / дополнительных сертификаций классификационных обществ (DNV / LR / ABS и др.) — как правило, они «наращивают» доказательную базу вокруг тех же артефактов: инвентаризация, зонирование, IR/DR, тестирование, управление изменениями и т.д. (не как отдельная линия в нормах IMO, а как требования конкретной схемы класса).

Таблица: «какие документы должны быть у кого» + ссылки на нормы (раздел/пункт) + какие сертификации их требуют

Легенда ролей:
Судовладелец / Оператор / Менеджмент (Компания / DP) — береговая организация, владеющая SMS/DOC.
Капитан / Экипаж (Судно) — выполнение судовых процедур / SMC.

Документ / артефакт (что должно существовать) Кто «должен иметь» Какие сертификации требуют Регуляторная привязка (точные пункты)
Политика / стратегия управления киберрисками в составе SMS (встроена в Политику безопасности и охраны окружающей среды и цели SMS) Компания / DP; на борту — актуальная копия / выдержка IMO/ISM: DOC + SMC (обязательно); часто базовый артефакт для всех добровольных схем Кодекс ISM: цели и функциональные требования SMS 1.2.2, 1.4; политика 2.1–2.2 (wwwcdn.imo.org). MSC-FAL: 3.5 Govern («стратегия, ожидания и политики»). UK MCA: требование включения в SMS при первом DOC-аудите после 01.01.2021 (assets.publishing.service.gov.uk)
Роли, ответственность и назначение лица, ответственного за киберриски (RACI, полномочия, эскалация) Компания / DP; Капитан — как часть линий коммуникации и эскалации IMO/ISM; также проверяется в схемах класса как элемент управления Кодекс ISM: 3.2–3.3, 4, 5.1–5.2. MSC-FAL: 3.5 Govern («назначить ответственное лицо / организацию…»)
Инвентаризация цифровых систем/активов (IT/OT/CBS) на борту + зависимости и соединения Компания / DP (владение/контроль); на борту — актуальная версия IMO/ISM (как доказательство этапа Identify); IACS E26 (обязательно для новостроев); добровольные нотации MSC-FAL: 3.5 Identify. IACS E26: Инвентаризация активов судна [5.1.3] (Приложение I)
Схема зонирования / сегментации (Zones & Conduits) (включая CBS, зоны, «недоверенные сети», потоки) Интегратор / верфь / поставщики ? Компания; на борту — для эксплуатации IACS E26 (обязательно для новостроев); полезно и для ISM-аудита IACS E26: Zones & Conduit diagram [5.1.1], требования к содержанию диаграмм 4.2.1.4.1
Cyber Security Design Description (CSDD) (архитектура, протоколы, потоки данных между CBS/зонами) Интегратор ? Компания; на борту — контролируемая копия IACS E26; поддерживает любой аудит (доказательство «контролей на уровне дизайна») IACS E26: Cyber security design description [5.1.2]
Оценка киберрисков (для судна / компании) с учётом угроз, уязвимостей и влияния на безопасность Компания / DP; Капитан — участие и валидация реалистичных процедур IMO/ISM (ключевой артефакт); IACS E26; добровольные схемы MSC-FAL: 3.5 Identify. IACS E26: Раздел 6 (исключения)
Обоснование исключений CBS из области охвата + компенсирующие меры Компания / DP + взаимодействие с классом; на борту — операционные меры IACS E26 (при применимости) IACS E26 Приложение I: [5.1.4], [5.1.5]
Программа кибербезопасности и киберустойчивости судна (MoC, обновления, FW, вредоносное ПО, доступ, удалённый доступ, носители, мониторинг, IR, восстановление) Компания / DP (владение); Капитан / экипаж — исполнение и журналы IACS E26; базовый набор доказательств для ISM-аудитов IACS E26 Приложение I; MSC-FAL: Protect / Detect / Respond / Recover
Управление изменениями (MoC) для киберзначимых изменений + журнал изменений Компания / DP; на борту — исполнение и записи IMO/ISM; IACS E26 Кодекс ISM: 9, 11, 12
План реагирования на киберинциденты (IRP) + процедуры «судно–берег» + учения Компания / DP + Капитан IMO/ISM; IACS E26 Кодекс ISM: 8.1–8.3; IACS E26 Приложение I
План восстановления / BCP / DR (возврат CBS/OT, резервные режимы, сроки) Компания / DP; Капитан — исполнение на борту IMO/ISM; IACS E26 IACS E26: 4.5.1.1; MSC-FAL: резервное копирование и DR
Записи о подготовке экипажа и ознакомлении с киберпроцедурами Компания / DP; Капитан — проверка на борту IMO/ISM; прямо ожидается по MSC-FAL Кодекс ISM: 6.3–6.5

Важные границы: «что аудиторы реально проверяют»

  • Для ISM / DOC / SMC аудиторы обычно проверяют интеграцию киберрисков в SMS (документы + фактическое исполнение на борту), обучение, реагирование и восстановление, управление изменениями и подрядчиками.
  • Для IACS E26 / E27 (новострои) формируется «инженерно-ориентированный» пакет: Zones & Conduits, CSDD, инвентаризация активов, процедуры тестирования, программа киберустойчивости с жизненным циклом «предоставить / поддерживать / продемонстрировать».
  • MSC-FAL.1/Circ.3/Rev.3 задаёт минимальный функциональный набор элементов (Govern / Identify / Protect / Detect / Respond / Recover), по сути — чек-лист содержания вашей документации и процедур.