ГОСТ Р 56498—2015
Это обосновано тем. что без мониторинга целостности и аварий владелец/оператор не сможет
доказать, что целостность была обеспечена. Протоколирование также необходимо для обнаружения
отклонений от нормы и судебного разбирательства.
8.2.6.1 Должен осуществляться централизованный мониторинг всех шлюзов SGW.
П р и м е ч а н и е — См. протоколирование. 7.3.4.2.
8.3 Управление логическим доступом
Гарантируется только санкционированный логический доступ к ресурсам ICS в соответствии с
присвоенными привилегиями.
8.3.1 Должны быть присвоены особенности, устанавливающие подлинность, адреса, ключи,
соответствующие сертификаты пользователей и устройств, а также лрава/привилегии. Также должно
осуществляться управление всем перечисленным.
Это обосновано тем. что проверка подлинности пользователей и устройств в точках окончания
сессии связи сделает невозможным несанкционированный доступ и отказ от факта получения или
отправления сообщения. Для безопасности ICS важно ограничить привилегии каждого пользователя
до минимально необходимых для эксплуатации и поддержания работоспособности ICS.
В данной политике предусмотрены предварительные условия и ограничения, заключающиеся в
том, что открытый логический доступ может быть необходим, например, для эксплуатации, выполняе
мой из контрольной комнаты, из которой осуществляется управление безопасностью функционирова
ния. Это исключение должно контролироваться за счет физического ограничения доступа в
контрольную комнату.
Правила реализации политики приведены в 8.3.1.1—8.3.1.9.
8.3.1.1 Должны быть удалены сертификаты, заданные по умолчанию на эаводе-изготовителе.
8.3.1.2 Пользователям и устройствам должны быть присвоены минимально необходимые при
вилегии и только такие, которые требуются для эксплуатации в соответствии с их ролями при эксплуа
тации.
П р и м е ч а н и е 1— Учетные записи, назначенные по умолчанию и уствревшие сертификаты исторически
были одними из самых больших угроз безопасности. В настоящем стандарте принято предположение, что они были
изменены при установке системы операцией контроля целостности системы, см. раздел 8.2.3.1.
П р и м е ч а н и е 2 — Принцип наименьших привилегий — это принцип обеспечения безопасности, гаран
тирующий. что каждая система использует минимальные ресурсы и только те авторизации, которые требуются для
ее работы.
П р и м е ч а н и е 3 — Управление доступом на основе ролей — это хорошо отработанная схема управле
ния и рационализации правдоступа для больших групп пользователей или устройств с изменяющимися требовани
ями доступа и может включать их присутствие на физической площадке в соответствующий период времени.
П р и м е ч а н и е 4 — Разделение пользователей по различным, совместно управляемым ролям уменьша
ет вероятность атак инсайдеров.
8.3.1.3 Когда персонал оставляет свои роли или они меняются, должны обновляться учетные
записи и привилегии управления доступом.
П р и м е ч а н и е — Изменения должны вноситься быстро, сразу после того как произошли соответствую
щие события, то есть после прекращения обязанностей, изменений в закреплениях и настройках устройств.
8.3.1.4 Для аутентификации должны использоваться сложные сертификаты.
П р и м е ч а н и е — Должна контролироватьсядлина и характеристики паролей, они должны бытьдостаточ
но сложными, чтобы предотвратить их обход, например, с помощью догадок и рассуждений или взлома. Если они
признаны простыми, необходимо добавить дополнительные факторы, например, использование аппаратных клю
чей. биометрии, ограничение физического доступа к пульту аутентификации.
8.3.1.5 Для файлов, приложений, инструментов O/S, служб, устройств и сегментов должны быть
установлены привилегии наиболее подходящего уровня.
П р и м е ч а н и е 1 — Некоторые утилиты О/S позволяют значительно изменить состояние, настройку хоста
и всей системы автоматизации. Большинству пользователей системы ICS. например, операторам, может не требо
ваться доступ ко всем этим утилитам (или к их части).
П р и м е ч а н и е 2 — Большинство каналов связи, идущих снаружи в сегмент и из сегмента наружу, и кана
лов связи между сегментами должны быть ассоциированы с правами доступа пользователей и устройств к этим сег
ментам.
32