ГОСТ Р МЭК 62443-2-1—2015
А.3.3.5 Элемент «Контроль доступа: администрирование учетных записей»
А.3.3.5.1 Общее описание контроля доступа
Контроль доступа предназначен для определения того, кто и какие ресурсы могут получить доступ в поме
щение или системы, а также какой тип доступа предоставляется. Ненадлежащее использование данных и систем
может иметь серьезные последствия, включая нанесение вреда человеческой жизни, экологический ущерб, фи
нансовые убытки и ущерб для корпоративной репутации. Эти риски возрастают, когда персонал имеет излишне
обширный доступ кданным и системам. Очень важно, чтобы политика безопасности, содержащая правила и про
цедуры контроля доступа, была четко сформулирована и доведена до всего персонала (т. е. работников, совмест
ных предприятий, сторонних подрядчиков и временных работников).
Одним из наиболее важных элементов безопасности для любой компьютерной системы является создание
разумного и уместного набора процедур контроля доступа. Существует три ключевых аспекта, связанных с контро
лем доступа: администрирование учетных записей, аутентификация и авторизация.
Каждый из них описан отдельно в соответствующем подпункте настоящего стандарта. Однако все три аспек
та должны разрабатываться совместнодля создания разумной и надежной стратегии контроля доступа.
В каждом из трех аспектов контроля доступа необходимо установить правила для подтверждения контроля
доступа пользователя к системам и данным. Такие правила обычно применяются к группам пользователей. Они
должны иметь доступ к системам и данным, которые должны соответствовать определенным бизнес-требованиям,
однако доступ не должен предоставляться, если отсутствует определенная бизнес-цель.
Существуют правила, которые выполняются административными способами, и правила, которые выполня
ются автоматически путем использования технологий. Оба вида правил должны быть включены в общую страте
гию контроля доступа. Примером административного правила является удаление учетной записи работника или
подрядчика после их ухода из организации. Примером правила, выполняемого путем применения технологии, яв
ляется подключение удаленных пользователей к корпоративной сети для использования VPN.
Помимо правил, существуют также процедуры физической и кибербезопасносги. которые применяются со
вместно для создания общей инфраструктуры безопасности системы. Процедуры физической безопасности вклю
чают такие меры, как закрываемые помещения, где располагается оборудование пользовательского интерфейса. В
А-3.3.3 настоящего стандарта приведено базовое описание элементов физической безопасности, которые от
носятся к кибербезопасности.
Существует два аспекта контроля доступа: в реальном времени и в автономном режиме. Зачастую автоном
ному контролю доступа к IACS уделяется недостаточно внимания. Автономный контроль, описанный в настоящем
стандарте как администрирование учетных записей, является первой стадией процесса и включает определение
привилегий пользователей и необходимых им ресурсов. Они основаны на роли пользователя и выполняемой ра
боте. Автономный контроль также включает стадию одобрения ответственной стороной до того, как производится
конфигурация учетной записи для предоставления доступа.
А.3.3.5.2 Описание элемента
Администрирование учетных записей, одна из трех составляющих контроля доступа, приведенных на ри
сунке А.10. является методом, связанным с начальной настройкой допуска и привилегий доступа к конкретным
ресурсам в сети или системе и периодического просмотра этих допусков и привилегий. Оно может быть связано
с физическим доступом к ресурсам. Администрирование учетных записей в среде IACS выходит за пределы тра
диционного определения доступа к учетной записи конкретного пользователя в операционной системе. В
среде IACS учетные записи в большей степени относятся к ролям по выполнению функций на конкретной машине,
а не к данным, к которым они имеют доступ. Роль пользователя в организации может измениться с течением
времени, поэтому процесс администрирования может более часто использоваться для учетных записей
системы. Приви легии зачастую включают доступ к файловым директориям, количество часов доступа и
количество выделенного места для хранения. Роль, присваиваемая на уровне приложения для учетной записи,
определяется и осознается
РисунокА.10 — Контроль доступа: администрирование учетных записей
75