ГОСТ Р МЭК 62443-2-1—2015
и авторизация. Сочетание всех трех аспектов позволяет разработать надежную стратегию контроля
доступа.
При авторизации используются средства контроля, предназначенные для защиты информации и
объектов от намеренного и случайного нарушения, изменения или раскрытия. Особый упор делается на
меры, гарантирующие, что аутентифицированные агенты имеют доступ к требуемым информационным
объектам. Как и в случае с аутентификацией, авторизация зависит от местоположения пользователя.
Обоснование:
При работе со средой IACS важно убедиться в том. что к необходимой информации и системам
получают доступ соответствующие сотрудники, для которых не создаются препятствия для исполнения их
должностных обязанностей из-за отсутствия авторизации. В приложении предусматривается авто
ризация для выполнения определенных должностных функций. При разработке стратегии авторизации
необходимо учитывать последствия для системы безопасности.
Требования:
Таблица 13 — Контроль доступа — Авторизация: требования
Описание работ
Требование
4.3.3.7.1 Определение политики
безопасности авторизации
В политике безопасности авторизации должны быть установлены правила,
определяющие привилегии, подтвержденные для учетных записей досту
па для персонала с различными должностными функциями, такая полити
ка должна быть оформлена документально и применяться в отношении
всего персонала после процедуры аутентификации
4.3.3.7.2 Установление соответ
ствующих способов логической и
физической защиты для получе
ния доступа к устройствам IACS
Разрешение на получение доступа к устройствам IACS должно быть логи
ческим (правилам, по которым предоставляется или отклоняется доступ
для известных пользователей в зависимости от их должностных функций),
физическим (замки, камеры и прочив средства контроля, ограничивающие
доступ к активному пульту управления) или и тем. и другим
4.3.3.7.3 Осуществление контроля
доступа к информации или систе
мам через учетные записи досту
па. определяемые должностными
функциями
Учетные записи доступа должны определяться должностными функциями
для управления доступом к соответствующей информации или системам
для такой должностной функции пользователя. В ходе определения долж
ностных функций необходимо учитывать последствия для сферы безопас
ности
4.3.3.7.4Применениемноже
ственных способов авторизации
для важнейших IACS
В средах, для которых требуется особый контроль, необходимо применять
множественные способы авторизации для ограничения доступа к IACS
4.3.4 Группа элементов «Исполнение»
4.3.4.1 Описание группы элементов
Третьей группой элементов в этой категории является «Исполнение». Этот элемент внутри группы
затрагивает вопросы, связанные с внедрением CSMS. На рисунке 5 показано графическое представле
ние четырех элементов в группе элементов:
- управление рисками и принятие мер;
- разработка и обслуживание систем;
- управление информацией и документацией;
- планирование и реагирование на инциденты.
22