Неофициальный перевод (с) ООО СоюзПравоИнформ

ПРИКАЗ ГОСУДАРСТВЕННОЙ ИНСПЕКЦИИ ЯДЕРНОГО РЕГУЛИРОВАНИЯ УКРАИНЫ

от 22 марта 2022 года №223

Об утверждении Требований к киберзащите информационных и управляющих систем атомных станций для обеспечения ядерной и радиационной безопасности

В соответствии со статьями 8 и 24 Закона Украины "Об использовании ядерной энергии и радиационной безопасности", подпунктом 7 пункта 4 Положения о государственной инспекции ядерного регулирования Украины, утвержденного постановлением Кабинета Министров Украины от 20 августа 2014 года №363, приказываю:

1. Утвердить Требования к киберзащите информационных и управляющих систем атомных станций для обеспечения ядерной и радиационной безопасности, которые прилагаются.

2. Департаменту по вопросам безопасности ядерных установок (Борису Столярчуку) обеспечить представление настоящего приказа на государственную регистрацию в Министерство юстиции Украины в установленном порядке.

3. Настоящий приказ вступает в силу со дня его официального опубликования.

4. Контроль за исполнением настоящего приказа оставляю за собой.

Утверждены Приказом Государственной инспекции ядерного регулирования Украины от 22 марта 2022 года №223

Требования к киберзащите информационных и управляющих систем атомных станций для обеспечения ядерной и радиационной безопасности

I. Общие положения

1. Эти Требования устанавливают требования к киберзащите информационных и управляющих систем атомных станций, их компонентов (программно-технических комплексов, технических средств автоматизации) и программного обеспечения указанных систем, во время их разработки, внедрения, эксплуатации и модификации, с целью обеспечения ядерной и радиационной безопасности.

2. В этих Требованиях термины употребляются в таких значениях:

аутентификация - процесс проверки идентификационных данных пользователя или проверки источника данных, сообщений и команд;

авторизация - процесс предоставления информационной и/или управляющей системой определенному пользователю или группе пользователей (после успешной аутентификации) прав на выполнение определенных действий, а также процесс проверки (подтверждения) данных прав при попытке выполнения этих действий;

изделия сторонней разработки - программные или аппаратные изделия, изготовленные третьей стороной в отношении разработчика информационной и/или управляющей системы, ее компонентов или программного обеспечения;

удаленный доступ - процесс доступа пользователя к информационной и/или управляющей системе атомной станции, ее компонентам и/или программному обеспечению, который обеспечивает дистанционное использование данных, информационно-вычислительных ресурсов и/или функции этой системы;

восстановление - процесс, направленный на возврат информационной и/или управляющей системы атомной станции, ее компонентов, программного обеспечения к работоспособному состоянию после полной или частичной потери функциональности;

уязвимость - недостаток в информационной и/или управляющей системе атомной станции, ее компонентах и/или программном обеспечении, который может быть использован для реализации киберугрозы;

глубокоэшелонированная киберзащита - подход к киберзащите информационных и/или управляющих систем атомной станции, при котором для обеспечения киберзащиты развернуты несколько последовательных уровней и мер киберзащиты;

демилитаризованная зона - физический или логический сегмент сети, содержащий общедоступные сервисы, который отделен от внутренних сервисов и ресурсов атомной станции и используется с целью введения дополнительного защитного барьера для локальной сети;

дифференцированный подход - применение мер киберзащиты информационной и/ или управляющей системы атомной станции пропорционально уровню киберзащиты;

доступность - свойство, которое гарантирует, что авторизованный пользователь всегда получит доступ к данным и возможность их использовать;

зона киберзащиты - группа информационных и/или управляющих систем атомной станции с одинаковыми уровнями киберзащиты, которая выделена для общего административного управления, коммуникации и применения одинаковых защитных мероприятий;

кибератака на информационную и/или управляющую систему атомной станции (далее - кибератака) - действия, которые совершаются с помощью средств электронных коммуникаций (включая информационно-коммуникационные технологии, программные, программно-аппаратные средства, другие технические и технологические средства и оборудование) и направлены на компрометацию информационной и/или управляющей системы атомной станции с использованием уязвимостей;

киберугроза информационной и/или управляющей системе атомной станции (далее - киберугроза) - имеющиеся и потенциально возможные явления и факторы, которые могут стать потенциальной причиной киберинцидента, который может повлечь нанесение вреда информационной и/или управляющей системе атомной станции;

киберзащита информационных и/или управляющих систем атомной станции (далее - киберзащита) - комплекс административных, технических и программных мер и средств, целью которых является предотвращение, выявление и реагирование на кибератаки и киберугрозы;

киберинцидент с информационной и/или управляющей системой атомной станции (далее - киберинцидент) - событие, при возникновении которого подвергаются компрометации информационная и/или управляющая система атомной станции, ее компоненты или сетевое оборудование;

компрометация - нарушение конфиденциальности, целостности, доступности данных и/или функционирования и характеристик информационной и/или управляющей системы атомной станции;

контроль доступа - процесс обеспечения санкционированного, авторизованного доступа к информационной и/или управляющей системе атомной станции или ее компонентам;

конфиденциальность - свойство, которое гарантирует, что информация остается недоступной или нераскрытой для неавторизованных пользователей;

пользователь - физическое лицо или программный процесс, который может взаимодействовать с информационной и/или управляющей системой атомной станции через предоставленный интерфейс;

культура безопасности кибернетической защиты (далее - культура киберзащиты) - набор характеристик и особенностей деятельности организаций и поведения отдельных лиц, которые определяют, что обеспечение киберзащиты является одной из приоритетных целей и внутренней потребностью, которая ведет к самосознанию, ответственности и самоконтролю при выполнении всех работ, влияющих на киберзащиту;

граница - точка разграничения, которая физически или логически разделяет зоны киберзащиты;