返回船舶网络安全概览

IACS UR E26 / E27 Compliance

系统类型确定得晚,进度就会延误。

提交文件的范围只有在系统类型确定后才能固定。光明海事在选型阶段就确定类型,并在每个阶段重新评估风险。

联系我们 按角色查看交付物
若类型确定得晚 光明海事

  1. 01选型 · 报价

    若类型确定得晚

    无法说明是否适用 UR E27。

    光明海事

    RA 1 · 选型阶段确定类型,提供船级社指南

  2. 02认可图纸

    若类型确定得晚

    安全功能与外部接口定义不足,船级社意见反复出现。

    光明海事

    RA 2 · 依据图纸与布线评估威胁暴露路径

  3. 03FAT

    若类型确定得晚

    账户管理、日志、备份与恢复、远程访问控制被确认未达要求。

    光明海事

    RA 3 · 以实际运行环境评估控制水平

  4. 04交付

    若类型确定得晚

    需要变更软件与网络架构并调整交付期,船厂开始考虑替代供应商。

    光明海事

    交付后以 SCARP 管理至运营阶段

系统类型分类

需提交文件的范围只有在系统类型确定后才能固定。类型未确定本身就是进度风险。

Non-CBS
按 UR E26 标准不属于计算机系统(CBS)的系统
需提供 Non-CBS 判定依据
Out-of-Scope
属于 CBS,但不在 UR E26 1.3.2 适用范围内的系统
需提供适用范围外判定依据
Exclusion
属于 CBS,但依据 UR E26 6.4 接受准则免于适用要求的系统
需提供免于适用的依据
Target
不属于以上任何类型、因而须适用 UR E26 要求的 CBS
必须提交全部设计文件
用于早期类型确定的三阶段风险评估

系统类型确定前提交范围会随之变化,因此自选型阶段起便分阶段重新评估风险。

RA PHASE 1

选型阶段 (Maker Selection)

  • 选型阶段早期识别
  • 船级社指南 + 1:1 分类
  • 供应商前期咨询

RA PHASE 2

图纸与布线 (Drawing & Cabling)

  • Stage 1 类型 + 资产信息
  • 图纸 · 布线综合审查
  • 威胁暴露路径评估

RA PHASE 3

运行环境 (Operating Environment)

  • 反映实际运行环境
  • 响应能力 · 控制水平
  • 针对已知威胁的评估
TIER 1 E26 Ship-wide Owner · Shipyard TIER 2 E27 Per-system Supplier · Integrator TIER 3 SCARP Operation Ship Mgmt. Co.

船舶网络韧性强制化的三层适用范围

E26(船舶整体) → E27(各系统) → SCARP(运营阶段),责任范围逐级扩展。

E26
确立船舶整体的网络安全理念与管理体系。
E27
要求各系统以网络安全为前提进行设计与运营。
SCARP
在运营阶段持续执行船舶网络韧性计划。

UR E27 供应商准备度

无法说明并证明 UR E27 符合性的产品,在船厂的设计、采购与审批过程中将难以被选用。

TA · SoC · SoF — 是证明符合性的手段,而非等级

TA Type Approval
适合向多家船厂和船舶反复交付同一标准产品的供应商。
SoC Statement of Compliance
当特定产品版本或项目优先时,是现实的起点。
SoF Statement of Fact
聚焦于单个船舶项目的设计认可与产品检验程序。

应对 UR E27 不是取得一张证书,而是同时构建产品的安全能力,以及打造并维持这种能力的工程体系。

一站式服务

Advisory Design Integration Support Operation Readiness

系统供应 UR E27 · 10 项交付物 · 41 项要求

Deliverables — UR E27 sec.

  1. 3.1.1CBS Asset Inventory
  2. 3.1.2Topology Diagram
  3. 3.1.3Description of Security Capabilities
  4. 3.1.4Test Procedure for Security Capabilities
  5. 3.1.5Security Configuration Guidelines
  6. 3.1.6Secure Development Lifecycle (SDL) Documentation
  7. 3.1.7Plans for Maintenance and Verification
  8. 3.1.8Information Supporting Incident Response and Recovery Plans
  9. 3.1.9Management of Change Plan (MoC)
  10. 3.1.10Test Reports
系统集成 UR E26 · 6 项合规交付物 + 风险管理 · 安全解决方案 · FAT 见证

Demonstration of Compliance — UR E26 sec.

  1. 5.1.3Ship Asset Inventory
  2. 5.1.1Zones and Conduit Diagram
  3. 5.1.2Cyber Security Design Description
  4. 5.1.4Risk Assessment for Exclusion of Computer-Based Systems
  5. 5.1.5Description of Compensating Countermeasures
  6. 5.2.1Ship Cyber Resilience Test Procedure

Also delivered

  1. Risk assessment and risk management for non-compliant systems (UR E26 · E27)
  2. Security solution supply — domain controller, network monitoring, NIDS, WSUS, anti-malware server, firewall, L2/L3 managed switch
  3. FAT audit attendance for compliance checks
船舶管理和运营 代表船东执行 UR E26 · 12 项合规项目 + 网络安全船舶设计

Cyber Ship Design

  1. Shipowner's detailed cyber requirements (L1 · L2)
  2. Gap analysis — owner policy vs IACS UR E22 · E26 · E27, then USCG and IMO MSC revisions
  3. Penetration testing for vessels (fleet)

Demonstration of Compliance (12)

  1. Ship Cybersecurity and Resilience Program (SCARP)
  2. Management of Change (MoC)
  3. Management of Software Updates
  4. Management of Firewalls
  5. Management of Malware Protection
  6. Management of Access Control
  7. Management of Remote Access
  8. Management of Mobile and Portable Devices
  9. Detection of Security Anomalies
  10. Verification of Security Functions
  11. Incident Response Plans
  12. Recovery Plans

需要应对 IACS UR E26 / E27 吗？

与我们的专家沟通，以满足合规要求。

联系我们