Системно значимые организации: от руководящих принципов к директивам NSM-22

NSM-22 представляет ‎собой‏ ‎обновление ‎политики ‎безопасности ‎критической ‎инфраструктуры‏ ‎США, ‎в‏ ‎котором‏ ‎особое ‎внимание ‎уделяется‏ ‎обязательному ‎соблюдению‏ ‎требований, ‎усиленному ‎управлению ‎рисками‏ ‎и‏ ‎расширению ‎сотрудничества.‏ ‎Владельцы ‎и‏ ‎операторы ‎критической ‎инфраструктуры ‎должны ‎подготовиться‏ ‎к‏ ‎этим ‎изменениям,‏ ‎чтобы ‎обеспечить‏ ‎безопасность ‎и ‎устойчивость ‎своей ‎деятельности.

Обновленная‏ ‎основа‏ ‎политики:

📌NSM-22‏ ‎модернизирует ‎основы‏ ‎политики ‎в‏ ‎целях ‎противодействия‏ ‎технологическому‏ ‎прогрессу, ‎растущим‏ ‎угрозам ‎и ‎геополитической ‎напряженности.

📌Министерству ‎внутренней‏ ‎безопасности ‎(DHS)‏ ‎и‏ ‎Агентству ‎по ‎кибербезопасности‏ ‎и ‎защите‏ ‎инфраструктуры ‎(CISA) ‎поручено ‎возглавить‏ ‎скоординированные‏ ‎усилия ‎по‏ ‎управлению ‎рисками‏ ‎в ‎16 ‎важнейших ‎инфраструктурных ‎секторах.

Агентства‏ ‎по‏ ‎управлению ‎отраслевыми‏ ‎рисками ‎(SRMAS):

📌Меморандум‏ ‎подтверждает ‎определение ‎16 ‎секторов ‎критической‏ ‎инфраструктуры‏ ‎и‏ ‎соответствующих ‎SRMA,‏ ‎которые ‎координируют‏ ‎деятельность ‎в‏ ‎каждом‏ ‎секторе.

📌SRMA ‎отвечают‏ ‎за ‎разработку ‎планов ‎управления ‎рисками‏ ‎для ‎конкретного‏ ‎сектора‏ ‎и ‎координацию ‎с‏ ‎CISA.

Минимальные ‎требования‏ ‎к ‎безопасности ‎и ‎отказоустойчивости:

📌В‏ ‎NSM-22‏ ‎особое ‎внимание‏ ‎уделяется ‎разработке‏ ‎минимальных ‎требований ‎к ‎безопасности ‎и‏ ‎отказоустойчивости‏ ‎для ‎объектов‏ ‎критически ‎важной‏ ‎инфраструктуры, ‎переходя ‎от ‎добровольных ‎стандартов‏ ‎к‏ ‎обязательному‏ ‎соблюдению.

📌Перед ‎регулирующими‏ ‎и ‎надзорными‏ ‎органами ‎поставлена‏ ‎задача‏ ‎разработать ‎эти‏ ‎требования ‎и ‎механизмы ‎подотчетности.

Системно ‎важные‏ ‎организации ‎(SIE):

📌CISA‏ ‎поручено‏ ‎определить ‎и ‎поддерживать‏ ‎закрытый ‎для‏ ‎общественности ‎список ‎SIE, ‎которые‏ ‎получат‏ ‎приоритетный ‎доступ‏ ‎к ‎информации‏ ‎о ‎снижении ‎рисков ‎и ‎оперативным‏ ‎ресурсам.

Новый‏ ‎цикл ‎управления‏ ‎рисками:

📌NSM-22 ‎вводит‏ ‎новый ‎цикл ‎управления ‎рисками, ‎требующий‏ ‎от‏ ‎SRMA‏ ‎выявлять, ‎оценивать‏ ‎и ‎определять‏ ‎приоритеты ‎рисков‏ ‎в‏ ‎своих ‎секторах.‏ ‎Кульминацией ‎этого ‎цикла ‎станет ‎разработка‏ ‎Национального ‎плана‏ ‎управления‏ ‎рисками ‎в ‎сфере‏ ‎инфраструктуры ‎на‏ ‎2025 ‎год.

Последствия ‎для ‎владельцев‏ ‎и‏ ‎операторов ‎критически‏ ‎важной ‎инфраструктуры

Усиление‏ ‎регулирования:

📌NSM-22 ‎знаменует ‎собой ‎значительный ‎сдвиг‏ ‎в‏ ‎сторону ‎регулирования,‏ ‎и ‎в‏ ‎течение ‎следующих ‎18 ‎месяцев ‎ожидается‏ ‎переход‏ ‎от‏ ‎добровольных ‎стандартов‏ ‎к ‎обязательному‏ ‎соблюдению.

📌Владельцам ‎и‏ ‎операторам‏ ‎следует ‎подготовиться‏ ‎к ‎принятию ‎новых ‎директив ‎и‏ ‎правил ‎в‏ ‎области‏ ‎кибербезопасности, ‎особенно ‎в‏ ‎таких ‎секторах,‏ ‎как ‎аэропорты, ‎трубопроводы, ‎нефтегазовая‏ ‎отрасль‏ ‎и ‎железнодорожный‏ ‎транспорт.

Распределение ‎ресурсов:

📌Соблюдение‏ ‎новых ‎правил ‎и ‎дублирующих ‎друг‏ ‎друга‏ ‎мандатов ‎может‏ ‎быть ‎дорогостоящим‏ ‎и ‎трудоемким ‎процессом. ‎Организациям ‎необходимо‏ ‎будет‏ ‎обеспечить‏ ‎безопасное ‎осуществление‏ ‎инвестиций ‎и‏ ‎их ‎интеграцию‏ ‎в‏ ‎операционную ‎деятельность.

📌В‏ ‎меморандуме ‎не ‎упоминаются ‎дополнительные ‎ресурсы‏ ‎для ‎тех,‏ ‎кто‏ ‎находится ‎на ‎передовой,‏ ‎для ‎чего‏ ‎в ‎будущем ‎может ‎потребоваться‏ ‎финансирование‏ ‎со ‎стороны‏ ‎Конгресса.

Кибер-защита:

📌Владельцы ‎должны‏ ‎усилить ‎свою ‎кибер-защиту, ‎чтобы ‎защитить‏ ‎активы,‏ ‎обеспечить ‎непрерывность‏ ‎работы ‎и‏ ‎выполнить ‎свою ‎общественную ‎миссию. ‎Последствия‏ ‎невыполнения‏ ‎этого‏ ‎требования ‎включают‏ ‎физический, ‎финансовый‏ ‎и ‎репутационный‏ ‎ущерб.

Сотрудничество:

📌Эффективное‏ ‎управление ‎рисками‏ ‎потребует ‎сотрудничества ‎между ‎федеральными ‎агентствами,‏ ‎органами ‎государственной‏ ‎власти‏ ‎штатов ‎и ‎местного‏ ‎самоуправления, ‎организациями‏ ‎частного ‎сектора ‎и ‎другими‏ ‎заинтересованными‏ ‎сторонами.

📌Владельцам ‎и‏ ‎операторам ‎следует‏ ‎взаимодействовать ‎с ‎отраслевыми ‎координационными ‎советами‏ ‎и‏ ‎соответствующими ‎регулирующими‏ ‎органами, ‎чтобы‏ ‎быть ‎в ‎курсе ‎новых ‎требований‏ ‎и‏ ‎соответствовать‏ ‎им.