사이버 리스크를 안전관리체제에 넣으라는 결의 한 장이 요구하는 세 가지(MSC.428(98))
결의 MSC.428(98)는 한 쪽짜리입니다. 2017년 6월 16일에 채택되었고, ISM 코드의 조문을 한 글자도 바꾸지 않습니다. 새 장을 더하지도, 새 증서를 만들지도 않습니다. 그런데도 이 결의 뒤로 DOC 연차검증에서 사이버 리스크를 묻는 자리가 생겼습니다.
이유는 결의가 기존 조문을 가리키는 방식에 있습니다. 결의는 ISM 코드의 목표가 이미 식별된 모든 위험의 평가를 포함한다고 적고, 사이버 리스크가 그 위험에 들어간다고 확인합니다. 새 의무가 아니라 기존 의무의 범위를 확인한 것이어서 코드를 고칠 필요가 없었습니다.
이 글은 결의 본문이 요구하는 세 가지, 즉 반영할 것, 기한, 비밀 유지를 차례로 봅니다. 그리고 주관청 지침 A.1118(30)에서 연차검증이 안전관리체제의 수정을 어떻게 보는지를 붙입니다.
결의는 ISM 코드의 기존 목표에 사이버 리스크를 겁니다
NOTING the objectives of the ISM Code which include, inter alia, the provision of safe practices in ship operation and a safe working environment, the assessment of all identified risks to ships, personnel and the environment, the establishment of appropriate safeguards, and the continuous improvement of safety management skills of personnel ashore and aboard ships,
여기 적힌 목표는 ISM 코드 1.2가 적는 목표입니다. 안전한 작업 관행, 식별된 모든 위험의 평가와 적절한 안전장치, 인원의 안전관리 기량의 지속적 개선입니다. 위험평가 문구는 MSC.273(85)가 2010년에 1.2.2.2로 넣은 것이고, 이 결의는 그 문구를 받아 씁니다.
1 AFFIRMS that an approved safety management system should take into account cyber risk management in accordance with the objectives and functional requirements of the ISM Code;
첫 번째 요구입니다. 승인된 안전관리체제는 사이버 리스크 관리를 고려해야 합니다. 기준은 ISM 코드의 목표와 기능 요건입니다. 별도의 사이버 매뉴얼을 요구하는 문장이 아니라, 기존 체제가 그 리스크를 다루고 있어야 한다는 문장입니다.
기한은 2021년 1월 1일 이후 첫 DOC 연차검증입니다
2 ENCOURAGES Administrations to ensure that cyber risks are appropriately addressed in safety management systems no later than the first annual verification of the company’s Document of Compliance after 1 January 2021;
두 번째 요구입니다. 기한의 기준점이 셋입니다. 2021년 1월 1일이라는 날짜, 그 뒤의 첫 연차검증, 그리고 회사의 DOC입니다. SMC의 중간검증이 아니라 DOC의 연차검증이 기준이므로 기한은 회사마다 다릅니다. 연차검증 창은 ISM 코드 13.4가 정한 기념일 전후 3개월이니, DOC 기념일이 언제냐에 따라 기한이 그해 초가 되기도 하고 연말이 되기도 합니다.
문장의 수신인도 봅니다. 결의는 회사가 아니라 주관청에게 확인하라고 권고합니다. 회사의 의무는 주관청이 그 연차검증에서 사이버 리스크를 확인하는 방식으로 들어옵니다. 그래서 어느 깊이로 볼지는 기국마다 갈립니다.
연차검증은 안전관리체제의 모든 요소와 수정된 부분을 봅니다
The annual verification will address all the elements of the safety management system and the activities to which the requirements of the ISM Code apply. The purpose of these audits is to verify that the safety management system is functioning effectively and that any modifications made to the safety management system comply with the requirements of the ISM Code.
A.1118(30) 4.4.1의 문장입니다. 연차검증은 안전관리체제의 모든 요소를 다루고, 체제가 효과적으로 작동하는지와 수정된 부분이 코드 요건에 맞는지를 확인합니다. 사이버 리스크를 넣은 절차는 바로 이 수정입니다. 그래서 어디에 무엇을 넣었는지를 개정 이력으로 보여 줄 수 있어야 합니다.
As a basis for planning the audit, the auditor should review the safety management manual to determine the adequacy of the safety management system in meeting the requirements of the ISM Code. If this review reveals that the system is not adequate, the audit will have to be delayed until the company undertakes corrective action.
4.10은 심사 준비 단계의 서류 검토입니다. 심사관은 안전관리 매뉴얼을 먼저 읽고 체제가 코드 요건에 맞는지를 판단합니다. 부족하면 심사가 미뤄집니다. 사이버 리스크가 매뉴얼 어디에도 없으면 현장 심사 전에 이 단계에서 걸립니다.
지침은 MSC-FAL.1/Circ.3이고 기존 리스크 관리 절차에 얹습니다
BEARING IN MIND MSC-FAL.1/Circ.3 on Guidelines on maritime cyber risk management approved by the Facilitation Committee, at its forty-first session (4 to 7 April 2017), and by the Maritime Safety Committee, at its ninety-eighth session (7 to 16 June 2017), which provides high-level recommendations for maritime cyber risk management that can be incorporated into existing risk management processes and are complementary to the safety and security management practices established by this Organization,
결의가 가리키는 지침은 MSC-FAL.1/Circ.3입니다. 2017년 4월 해사간소화위원회와 같은 해 6월 해사안전위원회가 승인했습니다. 결의는 이 지침의 성격을 두 가지로 적습니다. 고수준 권고이고, 기존 리스크 관리 절차에 통합할 수 있으며 IMO가 세운 안전·보안 관리 관행을 보완합니다. 따로 체제를 세우라는 뜻이 아닙니다.
지침의 본문은 이 글이 다루는 범위 밖입니다. 결의가 지침을 어떻게 자리매김하는지까지만 적습니다.
비밀 유지가 필요한 부분을 결의가 인정합니다
3 ACKNOWLEDGES the necessary precautions that could be needed to preserve the confidentiality of certain aspects of cyber risk management;
세 번째 요구입니다. 사이버 리스크 관리의 일부는 공개하면 취약해지는 정보입니다. 결의는 그 부분의 비밀을 지키기 위한 예방 조치가 필요할 수 있다고 인정합니다. 그러니 검증관에게 보여 줄 수 없다는 쪽이 아니라, 어떤 정보를 어느 범위에서 어떻게 보여 줄지를 미리 정해 두는 쪽으로 읽습니다.
4.17.2 Personnel participating in the verification are responsible for complying with the requirements governing the verification, ensuring confidentiality of documents pertaining to the certification and treating privileged information with discretion.
A.1118(30)는 검증 인원 쪽에도 의무를 둡니다. 인증 관련 문서의 비밀을 지키고 특권 정보를 신중히 다루어야 합니다. 회사의 비밀 유지 요구와 검증관의 비밀 유지 의무가 마주 보는 구조입니다.
확인해 둘 것
이 글은 MSC.428(98) 본문과 A.1118(30)의 검증 절차까지만 다룹니다. MSC-FAL.1/Circ.3의 내용과 그 뒤의 개정판은 다루지 않습니다. 결의는 권고형으로 적혀 있어 기국이 어떤 방식으로 확인하는지는 기국의 절차를 봅니다. 그 회사의 DOC 기념일이 언제인지, 안전관리체제의 어느 개정판에 사이버 리스크가 들어갔는지, 그 판이 배에 내려가 있는지가 실제 판단의 출발점입니다.
인용한 원문을 직접 확인할 수 있습니다
아래 링크는 이 글에서 다룬 문서의 공식 발행처입니다. 본문에 적힌 판본·조항과 대조하고, 실제 적용 전에 후속 개정과 기국의 이행 요건을 확인합니다.
다음 업무에 필요한 글을 이어서 확인합니다
Bellbook · 작성 기준과 정정 안내
사이버 리스크를 반영한 절차는 안전관리체제의 수정이고, 연차검증은 그 수정이 코드에 맞는지를 봅니다. Bellbook은 SMS 문서를 개정판으로 두어 어느 판에서 무엇이 바뀌었는지와 배에 어느 판이 내려가 있는지를 같은 화면에서 보여 줍니다.
무료로 시작하기