ГОСТ Р 56498—2015
8.4.3.1 В критичных воротах физического доступа PAG и/или сегментахдолжен находиться пер
сонал охраны илидолжен осуществляться их телевизионный мониторинг, позволяющий обнаруживать
нарушения и нарушителей.
8.4.3.2 Частью эффективного управления физическим доступом должны быть ознакомительные
занятия с персоналом, имеющим одинаковые должностные обязанности.
8.4.3.3 В критичных воротах физического доступа PAG и/или сегментах должен находиться пер
сонал охраны или должен осуществляться их телевизионный мониторинг, обеспечивающий ознаком
ление.
8.4.3.4 Реагирование на нарушение физического доступа должно управляться и координиро
ваться человеческими ресурсами.
8.5 Управление сегментом
Структурирование ICS на отдельные логические или физические сегменты, защищенные SGW
и/или PAG эффективно уменьшает поверхность атаки за счет добавления еще одного параметра к
параметрам присвоенной привилегии.
П р и м е ч а н и е 1— Различные логические сегменты могут пересекаться, например, магистрапыо (на
том же уровне или в иерархической структуре).
П р и м е ч а н и е 2 — 0 пересечениях между ICN и любой EN см. раздел 8.6.
8.5.1 Для защищенных границ логических и физических сегментов, должны быть реализованы
ворота PAG и шлюзы SGW с соответствующими правилами управления доступом, требованиями к
защите и топологии.
Это обосновано тем. что обычно более экономично защищать оборудование, HMI и кабели, сгруп
пировав их, например, по отдельным зонам, комнатам, шкафам или арматурам, и определив един
ственную точку входа, а не множество отдельных точек доступа.
Правила реализации политики приведены в 8.5.1.1—8.5.1.4
8.5.1.1 Каждый сегмент должен быть защищен SGW в единственной точке входа/выхода в
общую магистраль или в подчиненный сегмент.
П р и м е ч а н и е — Функция SGW и любые связанные с ним вспомогательные функции должны быть реали
зованы на выделенных хостах или приборах.
8.5.1.2 Шлюзы SGW должны разрешать связь со своей защищенной зоной только для станций из
надежных зон или надежных устройств магистрали.
П р и м е ч а н и е — Вся связь, не являющаяся необходимой, должна быть заблокирована, например, связь,
не являющаяся необходимой для бизнеса, либо связь, за которую явно никто не несет ответственности.
8.5.1.3 Управление доступом через шлюз SGW к сегменту может дополнительно контролиро
ваться криптозащищенными протоколами или PAG.
П р и м е ч а н и е — Оборудование (основное и вспомогательное), функции, служебные обязанности должны
быть сгруппированы электрически, логически и физически в соответствии с функционалом и требованиями защиты.
8.5.1.4 Каждый шлюз SGW должен протоколировать соответствующие действия безопасности,
например, попытку доступа к защищаемому им сегменту.
8.5.2Должен осуществляться постоянный мониторинг логической и/или физической активности
внутри сегментовдля обнаружения или пресечения неправильных или сомнительныхдействий (напри
мер. вторжения), создания соответствующих протоколов и выдачи сигналов тревоги.
Это обосновано тем. что ворота PAG и шлюзы SGW являются единственными точками потенци
ально возможного вторжения через границу сегмента, поэтому они предпочтительны для индикации
несанкционированной деятельности. Это управление границей должно дополняться внутренними
мерами, такими как система обнаружения вторжений IDS. в частности, при угрозе атак инсайдеров.
Правила реализации политики приведены в 8.5.2.1—8.5.2.4.
8.5.2.1Должна быть реализована система IDS для обнаружения успешных вторжений и несан
кционированных действий инсайдеров.
П р и м е ч а н и е 1 — Датчик IDS должен быть неадресуемым, он должен только прослушиваться, для ис
ключения вероятности атаки на него.
П р и м е ч а н и е 2 — Системы IDS на базе хоста. IDS на базе сети и средств проверки целостности файло
вой системы должны иметь возможность дополнять друг друга.
35