Методика проведения оценки рисков и выработки контрмер
В.1 Общие положения
Настоящее приложение содержит методику, которую могут применять организации - участники цепи поставок для проведения оценки рисков реализации акта незаконного вмешательства, которые могут нанести ущерб деятельности организации, определения контрмер, соответствующих масштабам деятельности и размерам организации. В методике использована такая последовательность:
- составить перечень области деятельности организации;
- определить существующие меры управления обеспечением безопасности и охраны;
- определить сценарии угроз;
- определить последствия по каждому случаю реализации сценария угрозы;
- определить вероятность реализации акта незаконного вмешательства при существующем уровне безопасности (охраны);
- определить адекватность мер по обеспечению безопасности и охраны;
- при необходимости разработать дополнительные меры по обеспечению безопасности и охраны.
На рисунке В.1 представлено графическое описание процесса проведения оценки рисков и выработки контрметр.
Рисунок В.1 - Схема процесса проведения оценки рисков и выработки контрмер
В.2 Первый шаг - рассмотрение сценариев угроз
При проведении оценки уязвимости (охраны) следует учитывать, как минимум, сценарии угроз, приведенные в таблице В.1. Также следует учитывать другие сценарии, установленные органами исполнительной власти, руководством цепи поставок или уполномоченными лицами, проводящими оценку уязвимости (охраны).
Таблица В.1 - Сценарии угроз цепи поставок
Примерные сценарии угроз | Возможные последствия |
1 Незаконное проникновение и/или установление контроля над активом (включая транспортные средства) | Повреждение/разрушение актива; использование актива в качестве средства нанесения повреждений/разрушений; акции протеста населения, повлекшие за собой экономические потери; захват заложников/убийство людей |
2 Использование цепи поставок для незаконного перемещения товаров | Нелегальное перемещение запрещенных предметов, в том числе оружия; нелегальное перемещение людей, в том числе террористов |
3 Информационное вмешательство | Получение местного или удаленного доступа к информационным/документальным системам цепи поставок в целях нанесения ущерба или обеспечения проведения незаконных действий |
4 Целостность товара | Подделка, подмена и/или кража в террористических целях |
5 Несанкционированное использование | Использование деятельности международной цепи поставок для реализации террористических актов, включая использование транспортного средства в качестве оружия |
6 Другое |
При проведении оценки уязвимости (охраны) следует учитывать: | ||||
- состояние контроля доступа: | ||||
- к сооружениям организации - участника цепи поставок, включая окрестности, | ||||
- транспортным средствам, | ||||
- информации, | ||||
- прочему; | ||||
- условия эксплуатации и технические характеристики транспортных средств: | ||||
- при нормальной эксплуатации, | ||||
- в местах технического обслуживания, | ||||
- при соответствующих заменах запчастей, например из-за поломок, | ||||
- при ротации транспортных средств, | ||||
- при нахождении в местах стоянки, | ||||
- при возможном использовании транспортных средств в качестве оружия, | ||||
- прочее; | ||||
- условия обработки товаров: | ||||
- при погрузке, | ||||
- производстве, | ||||
- хранении (включая промежуточное хранение), | ||||
- перемещении, | ||||
- выгрузке, | ||||
- компоновке/раскомпоновке, | ||||
- прочее; | ||||
- условия перемещения товаров: | ||||
- по воздуху, | ||||
- автодорогам, | ||||
- железной дороге, | ||||
- внутренним водным путям, | ||||
- морю, | ||||
- прочее; | ||||
- возможность выявления/предотвращения несанкционированных проникновений при поставке товаров; | ||||
- условия проведения инспекционных проверок (например, транспортных средств); | ||||
- характеристики персонала: | ||||
- уровень компетентности, подготовки и понимания, | ||||
- надежность, | ||||
- другое; | ||||
- наличие деловых партнеров; | ||||
- состояние внутренней/внешней связи: | ||||
- для обмена информацией, | ||||
- использования в чрезвычайных ситуациях, | ||||
- другое; | ||||
- состояние обработки данных о товарах и/или маршрутах его перемещения: | ||||
- степень защищенности данных, | ||||
- степень достоверности данных, | ||||
- прочее; | ||||
- наличие внешней информации: | ||||
- официальной, полученной от органов исполнительной власти, | ||||
- касающейся отраслевых особенностей, | ||||
- о ранее происшедших чрезвычайных ситуациях и актах незаконного вмешательства, | ||||
- о возможностях и времени реагирования на чрезвычайные ситуации и акты незаконного вмешательства, | ||||
- прочее. |
В.3 Второй шаг - классификация последствий
При оценке последствий должны учитываться потенциальные человеческие и экономические потери. Оцениваемые последствия по каждому акту незаконного вмешательства должны классифицироваться как высокие, средние или низкие (см. таблицу В.2). В процессе проведения оценки уязвимости (охраны) могут использоваться численные значения последствий, которые впоследствии должны быть переведены в качественные.
Таблица В.2 - Классификация последствий