Кратко

  • 21 сентября 2026 года NIST опубликовал начальный проект четвёртой редакции SP 800-82 для открытого обсуждения. Замечания принимаются до 30 ноября; окончательной редакцией документ ещё не стал.
  • В примечании для рецензентов говорится о плане перенести приложения C и D в веб-ресурсы, а E и F выпустить отдельно при окончательной публикации. Сейчас все четыре находятся внутри проекта.
  • Версионная карточка решения — редакционное предложение этой статьи. Она не выдаётся за требование NIST или свидетельство уже случившейся аварии.

Представим, что муниципальная система водоснабжения выбрала ограниченный режим сетевого мониторинга, чтобы не нарушить непрерывность процесса. Позднее новый инженер получает запись: «по SP 800-82». Такая ссылка не отвечает на вопрос, какой материал о угрозах читала команда и какой вариант наложения мер контроля она рассматривала. Пример условный; речь не идёт о конкретной станции или выявленном нарушении.

Проект NIST описывает операционные технологии, которые измеряют физическую среду или изменяют её. В перечне примеров — промышленные системы управления, здания, водное хозяйство и транспорт. Объявленная переработка опирается на функцию Govern из CSF 2.0, связывает риски OT с рисками организации и расширяет рекомендации об учёте активов, наблюдении за сетью, защите функций управления и принципах нулевого доверия. Это направление работы над руководством, а не всеобщее предписание заменить действующие системы.

В начале PDF помещена примечательная схема будущего издания. Приложения C и D собирают сведения об источниках угроз, инцидентах, организациях и исследованиях. NIST намерен вывести их в веб-ресурсы, которые можно оперативнее обновлять. Приложение E с OT Overlay и F о применении Risk Management Framework должны стать отдельными документами. Пока это именно план: в 321-страничном начальном проекте все приложения ещё присутствуют. Публичные замечания могут изменить итоговую форму.

Быстрое обновление справочной части имеет смысл. Более того, приложение D предупреждает, что описания организаций не были проверены, и рекомендует обращаться к самим организациям за актуальными сведениями. Но актуальность сегодняшней страницы не доказывает, что на ней было написано во время прошлого совещания. Если ссылка остаётся прежней, а содержание меняется, архив решения теряет часть доказательной силы.

Для воспроизводимости хватит компактного набора полей: редакция основного руководства, дата и сохранённая копия веб-материала, версии использованных сопроводительных документов, границы оборудования и процесса, требования к безопасности людей и доступности, принятая мера, отвергнутые варианты, уполномоченный принимающий риск и условие повторного рассмотрения. Хеш помогает отличить сохранённый текст от изменённого; он не подтверждает эффективность контроля. Рекомендации NIST нужно отделять от возможных внешних юридических обязанностей и от собственного инженерного выбора.

Приложение E лишь частично адаптирует меры и базовые наборы SP 800-53 пятой редакции к OT, а не выдаёт готовую схему для каждой площадки. В F некоторые задачи применения RMF названы необязательными. Значит, местная организация должна обосновать собственный выбор и остаточный риск. Дата 30 ноября закрывает приём комментариев, но не означает ни завершения редакции, ни возникновения новой обязательной нормы.

Источники