船舶サイバーセキュリティ概要に戻る

IACS UR E26 / E27 Compliance

類型を 決めるのが 遅れれば、日程が ずれ込みます。

提出文書の 範囲は、システム 類型が 確定して 初めて 固まります。光明マリタイムは メーカー 選定段階で 類型を 決め、段階ごとに リスクを 再評価します。

お問い合わせ 役割別の 成果物を 見る
類型決定が 遅れると 光明マリタイム

  1. 01メーカー選定 · 見積

    類型決定が 遅れると

    UR E27 の 適用可否を 説明できません。

    光明マリタイム

    RA 1 · 選定段階で 類型確定、船級ガイド 提供

  2. 02承認図面

    類型決定が 遅れると

    セキュリティ 機能と 外部 インターフェースの 定義不足により、船級コメントが 繰り返されます。

    光明マリタイム

    RA 2 · 図面・配線から 脅威暴露経路を 評価

  3. 03FAT

    類型決定が 遅れると

    アカウント 管理、ロギング、バックアップ・復旧、リモート アクセス 制御が 要件を 満たさないと 判明します。

    光明マリタイム

    RA 3 · 実際の 運用環境で 統制レベルを 評価

  4. 04引渡し

    類型決定が 遅れると

    ソフトウェア・ネットワーク アーキテクチャの 変更と 納期調整が 必要に なり、造船所は 代替サプライヤーを 検討します。

    光明マリタイム

    引渡し後は SCARP で 運航段階まで 管理

システム 類型 分類

提出すべき 文書の 範囲は、システム 類型が 確定して 初めて 固まります。類型が 未確定の 状態は、そのまま スケジュール リスクに なります。

Non-CBS
UR E26 の 基準上、コンピュータ ベース システム(CBS)に 該当しない システム
Non-CBS 判定の 根拠資料が 必要
Out-of-Scope
CBS だが、UR E26 1.3.2 の 適用範囲に 含まれない システム
適用範囲外 判定の 根拠資料が 必要
Exclusion
CBS だが、UR E26 6.4 の 受入基準により 要求事項の 適用から 除外される システム
適用除外の 根拠資料が 必要
Target
上記の いずれにも 該当せず、UR E26 の 要求事項が 適用される CBS
全設計文書の 提出が 必須
早期 類型確定の ための 3段階 リスク評価

システム 類型が 確定するまで 提出範囲が 流動的な ため、選定段階から 段階的に リスクを 再評価します。

RA PHASE 1

Maker Selection

  • 選定段階での 早期識別
  • 船級ガイド + 1:1 分類
  • サプライヤー 事前相談

RA PHASE 2

Drawing & Cabling

  • Stage 1 類型 + 資産情報
  • 図面 · 配線の 統合検討
  • 脅威 暴露経路の 評価

RA PHASE 3

Operating Environment

  • 実際の 運用環境を 反映
  • 対応能力 · 統制レベル
  • 既知の 脅威に 対する 評価
TIER 1 E26 Ship-wide Owner · Shipyard TIER 2 E27 Per-system Supplier · Integrator TIER 3 SCARP Operation Ship Mgmt. Co.

船舶 サイバー レジリエンス 強制化の 3段階 適用範囲

E26(船舶全体) → E27(個別システム) → SCARP(運航段階) に 責任範囲が 拡張されます。

E26
船舶 全体の サイバーセキュリティ 概念と 管理体系を 確保します。
E27
各システムの サイバーセキュリティを 前提と した 設計と 運用を 求めます。
SCARP
運航段階で 船舶 サイバー レジリエンス プログラムを 常時 実施します。

UR E27 サプライヤー 準備度

UR E27 適合性を 説明・実証できない 製品は、造船所の 設計・調達・承認 プロセスで 選ばれにくく なります。

TA · SoC · SoF — 等級 ではなく 適合性の 実証手段 です

TA Type Approval
同一の 標準製品を 複数の 造船所・船舶へ 繰り返し 納入する サプライヤーに 適しています。
SoC Statement of Compliance
特定の 製品バージョンや プロジェクトが 優先される 場合の 現実的な 出発点です。
SoF Statement of Fact
個別船舶 プロジェクトの 設計承認と 製品検査 手続きに 焦点を 当てた 方式です。

UR E27 への 対応は 証明書を 取得する ことではなく、製品の セキュリティ能力と、それを 生み出し 維持する エンジニアリング 体制を 併せて 整える ことです。

ワンストップ サービス

Advisory Design Integration Support Operation Readiness

システム サプライ向け UR E27 · 10 件の 成果物 · 41 件の 要求事項

Deliverables — UR E27 sec.

  1. 3.1.1CBS Asset Inventory
  2. 3.1.2Topology Diagram
  3. 3.1.3Description of Security Capabilities
  4. 3.1.4Test Procedure for Security Capabilities
  5. 3.1.5Security Configuration Guidelines
  6. 3.1.6Secure Development Lifecycle (SDL) Documentation
  7. 3.1.7Plans for Maintenance and Verification
  8. 3.1.8Information Supporting Incident Response and Recovery Plans
  9. 3.1.9Management of Change Plan (MoC)
  10. 3.1.10Test Reports
システム インテグレーション向け UR E26 · 6 件の 実証成果物 + リスク管理 · セキュリティ ソリューション · FAT 立会い

Demonstration of Compliance — UR E26 sec.

  1. 5.1.3Ship Asset Inventory
  2. 5.1.1Zones and Conduit Diagram
  3. 5.1.2Cyber Security Design Description
  4. 5.1.4Risk Assessment for Exclusion of Computer-Based Systems
  5. 5.1.5Description of Compensating Countermeasures
  6. 5.2.1Ship Cyber Resilience Test Procedure

Also delivered

  1. Risk assessment and risk management for non-compliant systems (UR E26 · E27)
  2. Security solution supply — domain controller, network monitoring, NIDS, WSUS, anti-malware server, firewall, L2/L3 managed switch
  3. FAT audit attendance for compliance checks
船舶 管理 及び 運営向け 船主代理として UR E26 · 12 件の 実証項目 + サイバー 船舶設計

Cyber Ship Design

  1. Shipowner's detailed cyber requirements (L1 · L2)
  2. Gap analysis — owner policy vs IACS UR E22 · E26 · E27, then USCG and IMO MSC revisions
  3. Penetration testing for vessels (fleet)

Demonstration of Compliance (12)

  1. Ship Cybersecurity and Resilience Program (SCARP)
  2. Management of Change (MoC)
  3. Management of Software Updates
  4. Management of Firewalls
  5. Management of Malware Protection
  6. Management of Access Control
  7. Management of Remote Access
  8. Management of Mobile and Portable Devices
  9. Detection of Security Anomalies
  10. Verification of Security Functions
  11. Incident Response Plans
  12. Recovery Plans

IACS UR E26 / E27 対応が 必要 ですか？

専門家との 相談を 通じて コンプライアンス 要件を 満たしてください。

お問い合わせ