海上安全委员会第108届会议（MSC 108）同意修订《海事网络风险管理指南》（MSC-FAL.1/Circ.3/Rev.2），成立起草组审议MSC 108/6及MSC 108/6/1两份文件所提出的对指南的修订意见，以此为基础修订该指南。会议批准了起草组起草的《海事网络风险管理指南》修订草案 MSC-FAL.1/Circ.3/Rev.3并同意将其转交便利运输委员会（FAL）。

以下为MSC108工作组报告中《海事网络风险管理指南》草案MSC-FAL.1/Circ.3/Rev.3中重要改动部分和解读。

一、引言

增加了计算机系统的概念。附原文翻译：

本指南为海上网络风险管理提供了高级建议。就本指南而言，海上网络风险是指衡量基于计算机的系统(CBS)受到潜在情况或事件威胁的程度，这些情况或事件可能由于信息或系统被损坏、丢失或受损而导致与航运相关的操作、安全或安保故障。

相较于Rev.2版本，Rev.3版本的改动有很多，引入网络弹性（cyber resilience）、基本培训及演习等举措，修订包括关键术语、背景信息和应用、网络风险管理的功能要素（包括如何制定风险管理战略、识别风险、保护计算机系统、检测、响应事件和从事件中恢复）以及其他相关国际和行业标准和最佳做法相关的更新。

二、通则

1.增加关键定义，包括基于计算机的系统、网络事件、网络风险管理、信息技术和操作技术。原文：

【基于计算机的系统（CBS）】

基于计算机的系统（CBS）是指一个可编程电子设备或一组可互操作的可编程电子设备，用于实现一个或多个特定目的，如收集、处理、维护、使用、共享、传播或处置信息。船载CBS包括IT和OT系统。CBS可以是通过网络连接的子系统组合。船上的CBS可直接连接或通过公共通信手段（如互联网）连接到岸上的CBS、其他船只的CBS和/或其他设施。

【网络事件】

网络事件系指实际或潜在的对CBS或其处理、存储或传输的信息造成不利后果的事件或事件序列，并且可能需要采取响应措施以减轻后果。

【网络风险管理】

网络风险管理是指通过考虑利益相关方采取行动的成本和收益，识别、分析、评估和沟通网络相关风险，并将其容忍、终止、转移或处理至可接受水平的过程。

【信息技术(IT)】

信息技术(IT)是指侧重于使用数据作为信息的计算机系统，包括软件、硬件和通信技术(例如商业信息，或关于船员的数据，例如工资、证书等)。

【操作技术(OT)】

操作技术(OT)是指侧重于使用数据来控制或监测物理过程(例如主机的油温水平，将其转发到控制室)的计算机系统。

2.丰富航运相关网络系统的列举，将船岸系统列入可能受到网络威胁的系统范畴。将第三方供应商、软件硬件供应链及计算机维护设备系统纳入风险管理范畴。原文：

【有效的网络风险管理】

有效的网络风险管理还应考虑第三方供应商、嵌入式系统带来的风险，以及与航运系统软硬件供应链相关的网络威胁。还应考虑到CBS维护设备和系统。

三、网络风险管理要素

1.完善网络风险管理定义，引入网络弹性安全特征（cyber resilient security feature）的定义。原文：

【网络风险管理定义】

就本指南而言，网络风险管理是指识别、分析、评估和沟通网络相关风险，并考虑利益相关方采取行动的成本和收益，将其容忍、终止、转移或处理到可接受水平的过程。

海上网络风险管理的目标是支持安全可靠的航运，使其在运营上能够抵御网络威胁和风险。保护船舶和船港接口系统免受新出现的威胁应涉及一系列不断发展的控制措施。因此，在设计、制造、集成、运行和维护阶段，应将网络弹性安全特征纳入船舶设备和系统。

2. 提出支持有效网络风险管理的功能要素，包括治理、识别、保护、检测、响应、恢复六个部分。指南对每一个部分都做出了要求，作为必须满足的最低要求。原文：

【网络风险管理定义】

指南提出了支持有效网络风险管理的功能要素。这些功能元素没有顺序——在实践中，所有这些元素都应该是并发和连续的，并应适当地纳入风险管理框架。每个功能要素下列出的功能/技术网络安全控制代表了应实施的最低控制。根据对已识别的网络风险的评估，可考虑采取额外的网络安全控制措施。

.1治理：建立和监控风险管理策略、期望和政策。明确网络风险管理人员的角色和职责。确保业务连续性，如备份管理、灾难恢复、危机管理等。

.(1)指定负责网络安全活动的规划、资源配置和执行的个人或实体

.(2)确保指定的个人或实体在履行职责时获得必要的授权和支持，并确保其具备足够的网络风险管理知识和专业技能。

.2识别：确定当前船舶和船舶/港口接口面临的网络风险。

.(1)识别系统、资产、服务、数据和能力，以及安全关键系统（包括信息流）之间的相互依赖关系，当这些系统、资产、服务、数据和能力被破坏时，将对船舶运营、人员安全、船舶安全和/或环境构成风险，包括与软件和硬件供应链相关的风险。

.(2)建立和维护船上的数字系统清单。这些系统和资产可包括本准则第2.2.1段所列的系统。识别内部和外部系统依赖关系和网络连接。

.(3)对船舶运行至关重要的系统、服务、资产、数据和能力进行风险评估，这些系统、服务、资产、数据和能力的突然操作失败可能导致危险情况。识别网络相关威胁。识别系统、服务、资产、数据和功能的漏洞。评估网络事件对这些要素的安全性、可用性、完整性和机密性的可能性和影响。

.3保护:实施风险控制流程和措施以保护CBSs，实施应急计划以防止网络事件，并确保航运运营的业务连续性、人员安全、船舶安全和/或环境威胁。

.(1)为所有用户分配唯一凭据，隔离用户和特权帐户，收集安全设备，并停用离职员工或用户的帐户。

.(2)更改所有设备的默认密码，执行强密码策略，并考虑建立其他用户帐户访问控制管理措施，以防范暴力破解、网络钓鱼等恶意攻击。在适当的情况下，使用多因素认证或连续认证解决方案，保护实体内的语音、视频和文本通信以及安全的紧急通信系统。

.(3)限制互联网上可利用的服务，建立硬件和软件审批流程，收集和安全存储用于入侵检测和事件响应的日志，并将OT设备网络与IT网络进行分段。确保网络和信息系统获取、开发和维护的安全，包括漏洞处理和披露。

.(4)对任何可以访问互联网或公司内部网的船舶数字系统和设备，或与第三方或陆上网络和信息系统(特别是船舶/港口接口)的任何交互，实施安全措施(例如防火墙或防病毒)。执行有关使用密码术的政策和程序。

.(5)建立控制措施，防止系统使用未经授权的可移动介质。

.(6)要求对所有员工进行年度基本网络安全培训，对OT用户进行特定于OT的网络安全培训，并要求所有船员在上岗时熟悉网络安全。针对所有员工和OT用户的培训应包括网络卫生、正在发生的网络事件的识别和检测以及响应和恢复等内容。网络安全知识应该偶尔进行测试，例如通过演练和演习。

.(7)定期进行系统备份、软件更新，并制定和维护事件响应(IR)计划。

.(8)为已确定为关键的系统和资产建立软件和硬件供应链安全政策。

.(9)制定政策和程序，以评估网络风险管理措施(如审计)的有效性，并定期审查和更新这些措施。

.4检测:开发、实施和实践必要的活动，及时检测网络事件。实施适当的措施来检测CBS上的意外活动，并及时识别网络事件。

.(1)维护相关威胁、威胁行为者战术、技术和程序的列表，并积极监控这些威胁的系统。

.(2)对所有员工的年度基本网络安全培训应包括识别和检测正在发生的网络事件的培训。

.5响应:制定、实施和实践活动和计划，以提供弹性，并恢复因网络事件而受损的航运和船港运营或服务所需的系统。实施适当的措施，尽量减少检测到的网络事件对船舶系统其他部分的影响。

.(1)在行政当局规定的规定时限内向必要方报告事件。

.(2)应保存网络事件记录。

.(3)对所有员工的年度基本网络安全培训应包括应对网络事件的培训。

.6恢复:确定并实施措施恢复船上CBS，包括受网络事件影响的航运运营所需的网络。

.(1)制定、维护和实施可能受网络事件影响的重要业务或关键任务资产或系统的恢复和恢复战略。

.(2)对所有员工的年度基本网络安全培训应包括从网络事件中恢复的培训。

.(3)对网络事件进行根本原因分析，以解决潜在问题和漏洞，防止类似事件再次发生。

3.将网络弹性列为技术措施的一部分。原文：

【技术实施】

将考虑网络弹性设备和系统的实施。作为技术措施的一部分，应按照国际标准和指南设计和测试设备和系统，以确保船上的网络弹性。

四、标准与实践

新引入IACS UR E26船舶的网络抵御力的统一要求及E27船上系统设备网络抵御力的统一要求作为网络风险管理实施标准。保留及更新其他引用的指南和最佳实践。附原文翻译：

附加标准可能包括但不限于:

IACS UR E26 -国际船级社协会统一要求E26 -船舶的网络弹性。

IACS UR E27 -国际船级社协会统一要求E27 -船上系统和设备的网络弹性。

END

以上图片来源于网络，文章仅代表作者个人观点

供稿 | 罗轶童

编辑 | 董昱辰

校核 | 沈家强 董贻意 李东林

免责申明：本文仅代表作者观点，不代表中国海员之家立场。其真实性及原创性未能得到中国海员之家证实，在此感谢原作者的辛苦创作，如转载涉及版权等问题，请作者与我们联系，我们将在第一时间处理，谢谢！联系邮箱：cnisu@54seaman.com