Утвержден новый стандарт по интеграции функциональной безопасности и киберзащиты для промышленных систем
Федеральное агентство по техническому регулированию и метрологии (https://t.me/rosstandart) приказом № 777-ст от 13 июня 2024 года утвердило новый национальный стандарт ГОСТ Р 71452-2024. (https://docs.cntd.ru/document/1306397073?marker=64U0IK) Стандарт, идентичный международному документу IEC/PAS 63325:2020, устанавливает требования к функциональной безопасности и защите систем контроля промышленной автоматизации (IACS) на протяжении их жизненного цикла.
🗣Новый ГОСТ вводится в действие с 1 июля 2025 года и впервые устанавливает единые правила в этой области в Российской Федерации.
Разработанный с учетом растущей взаимозависимости физической безопасности и киберзащиты, стандарт признает, что традиционно изолированные системы безопасности становятся уязвимыми по мере их подключения к общим сетям.
Основная цель документа — предложить рекомендации по координации процессов обеспечения функциональной безопасности и защиты информации, чтобы предотвратить возможные конфликты и повысить общую эффективность защитных мер.
ГОСТ Р 71452-2024 охватывает все этапы жизненного цикла промышленных систем автоматизации, включая:
• Концепцию и определение области применения.
• Оценку рисков.
• Разработку и внедрение.
• Эксплуатацию и обслуживание.
• Вывод из эксплуатации и утилизацию.
Стандарт не вводит новый жизненный цикл, а предлагает скоординированный подход на основе уже существующих практик и стандартов, таких как МЭК 61508 и МЭК 62443. Он применим к системам управления промышленной автоматизацией (IACS), включая управляемое оборудование и все связанные с безопасностью системы.
🛡Ключевые аспекты, рассматриваемые в документе:
Координация менеджмента:
Стандарт подчеркивает необходимость распределения ответственности между специалистами по функциональной безопасности и защите информации. Должны быть созданы специальные процедуры для решения пересекающихся задач.
Управление изменениями: Любые изменения в системах, связанные с безопасностью, должны проходить аудит со стороны специалистов по кибербезопасности, и наоборот. Это необходимо для предотвращения появления новых уязвимостей.
Совмещенная оценка рисков:
Предлагается проводить общую оценку рисков, которая предшествует традиционным раздельным оценкам угроз безопасности и уязвимостей защиты информации. Это позволяет выявлять и разрешать конфликты между мерами безопасности на ранних стадиях.
Классификация систем: Документ предлагает классифицировать все системы и устройства в зависимости от их отношения к функциональной безопасности и защите информации.
Как вы оцениваете интеграцию этих требований в текущие процессы? Готова ли ваша организация к переходу на новые подходы?
Источник: https://t.me/endurance_msc