Матрица сопоставления требований по сертификации кибербезопасности морского транспорта (MSC-FAL ? Кодекс ISM ? IACS E26/E27)
В этом разделе представлена практическая матрица сопоставления требований сертификации, связывающая контроли MSC-FAL с Кодексом ISM и обязательными результатами (deliverables) IACS E26/E27, с наглядными примерами доказательств, которые обычно запрашиваются аудиторами и классификационными обществами. Матрица помогает понять, что именно должно быть реализовано, какие документы и артефакты ожидаются при инспекциях, а также как структурировать готовность к аудитам IMO/ISM и требованиям классификации IACS, включая область новостроев.
Матрица сопоставления требований: MSC-FAL ? Кодекс ISM ? IACS E26/E27 ? Доказательства
Ниже приведена матрица сопоставления требований сертификации в формате, удобном для включения в учебную программу и использования как практического справочника при подготовке к инспекциям: контроли MSC-FAL ? Кодекс ISM ? результаты (deliverables) IACS E26/E27 ? типовые доказательства.
Основание: функциональные элементы и примеры мер контроля из MSC-FAL.1/Circ.3/Rev.3, требование учитывать киберриски в SMS в соответствии с MSC.428(98), комплект доказательств/документов, требуемый IACS UR E26 (Приложение I), требования к документации и демонстрации соответствия по IACS UR E27, а также структура Кодекса ISM.
Матрица сопоставления (сертификация IMO/ISM + IACS E26/E27 + схемы класса)
| Контроль MSC-FAL (что должно быть реализовано) | Кодекс ISM (разделы/пункты) | IACS E26/E27 (документы/артефакты) | Типовые доказательства (что фактически показывают аудитору/классу) |
|---|---|---|---|
| GOVERN 1. Киберполитика и цели в составе SMS (стратегия, ожидания, модель управления) | 1.2.2, 1.4, 2 | E26: часть Программы кибербезопасности и киберустойчивости судна (операционные политики) | Страница политики SMS; приказ/директива руководства; приложение «Киберполитика» к SMS; контроль версий/документов; подтверждение доведения до судов |
| GOVERN 2. Роли/ответственность/эскалация (судно–берег), назначение ответственных лиц | 3, 4, 5 | E26: IR/восстановление/доступ/удалённый доступ — как процессы управляемой программы | Матрица RACI; контакты эскалации; схема «кибердежурства»; подтверждение информирования Капитана/CSO/DP |
| IDENTIFY 1. Инвентаризация цифровых активов и зависимостей (IT/OT/CBS, подключаемость, критичность) | 7 (операции на борту), 11 (документация) | E26: Инвентаризация активов судна [5.1.3] | Реестр активов (Excel/CMDB), версии ПО/ОС, сетевые схемы, фото шильдиков, экспорт конфигураций (без секретов), утверждённая классификация по критичности |
| IDENTIFY 2. Оценка киберрисков (risk assessment, влияние на безопасность/эксплуатацию) | 1.2.2, 7, 9 (NC/CAPA) | E26: оценка рисков для исключений и для программы (в т.ч. Раздел 6, Приложение I 5.1.4–5.1.5) | Отчёт CRA; реестр рисков; связка «риск ? контроль»; запись о принятии остаточного риска; привязка к судовым операциям/процедурам |
| IDENTIFY 3. Архитектура/зонирование, границы доверия, потоки данных | 7, 11 | E26: Диаграмма Zones & Conduits [5.1.1], CSDD [5.1.2] | «As-built» зоны/кондуиты; перечень разрешённых потоков; обоснование; запись согласования с интегратором/верфью/классом |
| PROTECT 1. Управление доступом (учётные записи, привилегии, MFA где применимо) | 6 (ресурсы/компетенции), 7, 11 | E26: Management of access control | Политика учётных записей; списки доступа; скриншоты RBAC/настроек локальных пользователей; журнал отключения доступов; запись «эскроу / break-glass» для админ-доступа |
| PROTECT 2. Удалённый доступ/подрядчики (контроль, авторизация, журналирование) | 3–5 (ответственность), 7, 11 | E26: Management of remote access | Процедура удалённой поддержки; заявки/согласования подключений; скриншоты MFA/VPN/jump host; логи сессий; реестр подрядчиков/контактов; условия договоров (SLA/IR) |
| PROTECT 3. Патчи/обновления/управление уязвимостями + тестирование/откат | 7, 10 (техобслуживание), 11 | E26: Management of software updates; E27: документация по обновлениям безопасности 5.2–5.4 | План обновлений; журнал «maintenance window»; release notes; записи об установке; отчёт по уязвимостям/принятию риска; письма/порталы поставщиков |
| PROTECT 4. Защита от вредоносного ПО / контроль приложений | 7, 10, 11 | E26: Management of malware protection | Скриншоты AV/EDR (если применимо); политики сканирования; журнал обновления сигнатур; исключения; отчёты сканирования USB/ноутбуков подрядчиков |
| PROTECT 5. Резервное копирование и готовность восстановления | 10, 8 (готовность), 11 | E26: часть программы + Recovery plans | Реестр бэкапов/образов; подтверждение тестового восстановления; записи хранения носителей; RTO/RPO; инструкции по «reversionary mode» |
| PROTECT 6. Съёмные носители/мобильные устройства (USB/EFB/ноутбуки) | 7, 6, 11 | E26: Management of mobile and portable devices | Процедура USB; журнал выдачи/сканирования; маркировка/учёт носителей; записи блокировки портов; доказательства обучения экипажа |
| DETECT 1. Журналирование и хранение логов (в т.ч. удалённые/админ-действия) | 7, 9, 11, 12 (аудиты) | E26: Detection of security anomalies (в составе программы) | Скриншоты Syslog/логов; правила хранения; отчёты обзора логов; выдержки журнала инцидентов; корреляция (если есть SIEM/сбор логов) |
| DETECT 2. Обнаружение аномалий (определения «что является инцидентом», триаж) | 8 (готовность), 9 (NC/CAPA) | E26: Detection of security anomalies | Плейбук триажа; чек-лист для Капитана/ETO; журнал наблюдений; примеры «near miss»; записи учений/обучения |
| RESPOND 1. План реагирования на инциденты + связь «судно–берег» + учения | 8.1–8.3 (учения), 9 (сообщения) | E26: Incident response plans | IR-план; контакт-лист; tabletop-сценарии; протоколы учений; шаблоны отчётов; доказательства ролей и ответственности |
| RESPOND 2. Управление поставщиками/подрядчиками (требования, уведомления, доступ) | 3–5, 6, 7, 11 | E26: Approved supplier documentation [5]; E27: требования к документации/обновлениям | Реестр подрядчиков; условия договоров (уведомление об инцидентах, правила удалённого доступа); уведомления CVE/патчи; записи приёмки/проверки работ подрядчиков |
| RECOVER 1. План восстановления / восстановление сервисов и безопасный возврат к эксплуатации | 8, 10, 9 | E26: Recovery plans, требование плана восстановления судовладельца 4.5.1.1 | DR/Recovery plan; протокол тестового восстановления; чек-лист «return-to-service»; записи восстановления по инцидентам/учениям |
| RECOVER 2. RCA / извлечённые уроки / обновление мер контроля | 9 (NC/CAPA), 12 (внутренние аудиты), 1.2.2 | E26: сопровождение программы + корректирующие действия | Отчёты RCA; план CAPA; обновлённые процедуры; протоколы управленческого анализа; метрики (MTTR/инциденты/near-miss) |
| VERIFY (сквозной элемент MSC-FAL/ISM): внутренние аудиты/проверка киберчасти SMS | 12.1–12.6 | E26: Процедура тестирования киберустойчивости судна [5.2.1] и демонстрации при освидетельствованиях | План/отчёты внутреннего аудита; чек-листы; записи о несоответствиях; подтверждение выполнения корректирующих действий; результаты техтестов/верификации |
Как применять матрицу на практике
Матрица помогает быстро ответить на четыре ключевых вопроса:
- Что должно быть реализовано (MSC-FAL: Govern / Identify / Protect / Detect / Respond / Recover).
- Как это сопоставляется с Кодексом ISM (какие управленческие процессы и записи требуются).
- Какие deliverables и документы аудиторы и классификационные общества обычно ожидают (IACS E26/E27).
- Какие доказательства обычно предъявляются (документы, схемы, логи, записи обучения, результаты тестов и т.д.).
На практике матрица используется как:
- чек-лист готовности перед аудитами DOC/SMC (IMO/ISM);
- карта документации и артефактов для освидетельствований по новострою/классу (IACS E26/E27);
- каркас обучения: что должны знать береговые роли и судовой персонал, и какие записи подтверждают внедрение.
Итоговые наборы готовности (что обычно готовят к инспекциям)
Ниже приведены два типовых комплекта материалов. Они отражают как аудиторы и классификационные общества обычно группируют ожидаемые доказательства.
1) Комплект готовности IMO/ISM (DOC/SMC) — «Киберриски в SMS»
- Киберполитика в составе SMS + роли и ответственность «берег–судно»
- Оценка киберрисков (CRA) и реестр рисков со связкой «риск ? контроль»
- Процедуры Protect/Detect/Respond/Recover, встроенные в SMS (с контролем документов)
- Обучение/ознакомление + учения + шаблоны журналов/отчётов
- Чек-лист доказательств: что предъявляется аудитору DOC/SMC и что должно быть доступно на борту
Основание обязательного включения киберрисков в SMS: MSC.428(98)
2) Комплект готовности IACS E26/E27 (Класс / Новострой)
- Zones & Conduits + CSDD + инвентаризация активов (IT/OT/CBS)
- Программа кибербезопасности и киберустойчивости судна (структурирована по Приложению I E26)
- Процедура тестирования киберустойчивости судна + результаты/записи демонстраций
- Документация поставщиков + документация по IACS E27 по безопасности продукта (включая обновления и демонстрацию соответствия)
Основание: deliverables, перечисленные в Приложении I E26, и требования E27 к документации/демонстрации соответствия
Если нужна помощь: где получить экспертное сопровождение
На практике применение матрицы часто вызывает вопросы внедрения: что считать CBS, как корректно построить Zones & Conduits, какие доказательства обычно принимаются аудиторами и классом, как связать CRA с судовыми процедурами, как контролировать удалённый доступ подрядчиков и т.д.
Если вы хотите, чтобы ваш кейс был рассмотрен (на уровне компании или по конкретному судну), вы можете связаться с экспертной группой VASKOSS: marine-cyber.vassta.ru.
- Первичная консультация и рассмотрение запроса — бесплатно (без обязательств).
- При необходимости команда также может поддержать подготовку документации, обучение и настройку процессов для готовности к аудиту/классу — по запросу.