ГОСТ Р 56205—2014
повреждений. Политика безопасности системы управления должна по возможности включать в себя
ссылку на политику физической безопасности и устанавливать ее зависимость. Политика безопасно
сти системы управления должна по возможности содержать достаточно подробные данные о физи
ческой безопасности для того, чтобы можно было в каждом конкретном случае распространить поли
тику безопасности заводского объекта на систему управления. Например, в такой политике может
значиться: «такое-то оборудование должно находиться в закрытых кабинетах, а ключи к ним — хра
ниться в месте ограниченного доступа».
5.8.4.6 Архитектура
Политика и регламенты описывают безопасные конфигурации систем управления, охватывая
такие вопросы, как:
a) рекомендуемые компоновки сетей;
b
) рекомендуемая конфигурация межсетевого экрана;
c) авторизация и аутентификация пользователей;
d) соединение между различными сетями управления процессами;
e) использование беспроводных коммуникаций;
f) домены и доверительные отношения;
д) управление патчами (включая аутентификацию);
h) управление антивирусами;
i) усиление защиты систем за счет закрытия программных портов, блокировки или отказа от не
используемых или опасных сервисов и отказа от использования съемных накопителей данных;
j) доступ к внешним сетям (т. е. к Интернету);
k) надлежащее использование электронной почты.
5.8 4.7 Портативные устройства
Портативным устройствам соответствуют все риски безопасности, которые соответствуют ста
ционарному оборудованию, но из-за их мобильности менее вероятно, что на них удастся распростра
нить обычные регламенты безопасности на протяжении всего периода от монтажа до аудита. Порта
тивность таких устройств создает дополнительный риск для их повреждений, когда они находятся за
пределами зон физической безопасности, или для перехвата информации в ходе их соединения с
защищенными зонами. Таким образом, часто необходима специальная политика, которая распро
страняется на портативные устройства. Такая политика должна по возможности устанавливать тре
бования к защите безопасности, которые аналогичны требованиям к тому или иному стационарному
устройству, однако технические и административные механизмы, обеспечивающие эту защиту, могут
отличаться.
5.8.4.8 Беспроводные устройства и датчики
Уже много лет в некоторых сферах в качестве управляющих систем широко применяется управ
ляющее оборудование, которое использует радиочастотную передачу сигнала взамен проводной. По
мере снижения финансовых расходов и появления новых стандартов расширяется сфера примене
ния систем промышленной автоматики и контроля, что отчасти обусловлено меньшими финансовыми
расходами на монтаж. Ключевым отличием проводных устройств от беспроводных является то. что в
случае последних сигналы не ограничены пределами области физической безопасности, а это увели
чивает риск их перехвата и искажения. Таким образом, политика безопасности, относящаяся именно к
беспроводным устройствам, подходит для организаций, которые в данный момент используют или
могут использовать в будущем в своей работе беспроводные устройства или датчики. Такая политика
может регламентировать, для каких задач могут использоваться беспроводные устройства, какие ме
тоды защиты и управления требуются и как взаимосвязаны проводные и беспроводные сети.
5.8.4.9 Удаленный доступ
Удаленный доступ позволяет обойти средства обеспечения локальной физической безопасно
сти. установленные на границах системы. Он позволяет перенести доступ к доверенной зоне в со
вершенно другую географическую точку и предполагает, среди прочего, использование компьютера,
который мог не быть подвергнут проверкам безопасности, проводимым для компьютеров, находя
щихся физически в пределах доверенной зоны. Необходимы другие механизмы, которые обеспечи
вают за пределами доверенной зоны уровень безопасности, аналогичный уровню безопасности до
веренной зоны.
5.8.4.10 Персонал
Вопросы, относящиеся к персоналу, могут быть обозначены в политиках безопасности предпри
ятия для персонала и информационной технологии. Политика безопасности системы управления ох-
38