BS ISO 23799:2024
Корабли и морская техника. Оценка бортовой кибербезопасности

Стандартный №

BS ISO 23799:2024

Дата публикации

2024

Разместил

British Standards Institution (BSI)

Последняя версия

BS ISO 23799:2024

сфера применения

Анализ стандартной базовой структуры

Элементы оценки	Технические требования	Требования к управлению
Идентификация активов	Классификация ИТ/ОТ-систем, оценка стоимости активов	Система регистрации активов, управление жизненным циклом
Идентификация угроз	Пятиуровневая матрица частоты угроз (от очень высокой до очень низкой)	Механизм обмена информацией об угрозах
Уязвимость Анализ	Технические уязвимости (физический уровень - прикладной уровень)	Оценка уязвимостей организационного управления

---

Матричная модель оценки рисков

Стандарт использует трехмерную количественную модель:

1. Значение убытков от воздействия = стоимость актива × уровень воздействия уязвимости (1-15 баллов)
2. Значение вероятности = уровень угрозы × сложность эксплуатации уязвимости (1-25 баллов)
3. Итоговое значение риска = стоимость воздействия × значение вероятности (1-25 баллов)

Пример: когда хост мониторинга системы очистки балластных вод подвергается атаке вредоносного кода:

• Значение актива Ia=3 (высокий)
• Уровень угрозы T=3 (средний)
• Сложность использования уязвимости V=3 (средний)
• Итоговое значение риска R=8 (средний риск)

---

Ключевые технические требования

Классификация судовых систем

Стандарт охватывает 9 категорий критических систем:

• Система мостика (категория ОТ)
• Система управления движителями и механизмами (категория ОТ)
• Система управления грузом (категория ОТ)
• Система связи (гибрид ИТ+ОТ)

Стандарт классификации активов

Уровень	Порог экономических потерь	Влияние на систему
Высокий (Уровень 3)	>20 000 долларов США	Система не может быть восстановлена
Средний (Уровень 2)	10 000–20 000 долларов США	Временное прерывание работы системы ОТ

---

Рекомендации по внедрению

Приоритет обработки рисков

Возьмите градуированный ответ на основе результатов матрицы рисков:

1. Крайне высокий риск (20–25 баллов): Необходимо устранить немедленно, например, уязвимости в основной системе управления судном
2. Высокий риск (11–19 баллов): Исправление выполняется в течение 90 дней
3. Средний риск (6–10 баллов): Включено в годовой план технического обслуживания

Механизм непрерывного совершенствования

• Обновлять базу данных по угрозам каждый квартал
• Выполнять повторную оценку при изменении системы судна
• Оптимизировать процесс оценки в сочетании с методом IEC 31010

BS ISO 23799:2024 Ссылочный документ

• IEC 31010 Управление рисками. Методы оценки рисков
• ISO 31000 Управление рисками – Рекомендации (включая версию Redline)

BS ISO 23799:2024 История

• 2024 BS ISO 23799:2024 Корабли и морская техника. Оценка бортовой кибербезопасности

стандарты и спецификации