ГОСТ Р МЭК 62443-3-3—2016
стем управления посредством проверки факта наделения пользователя необходимыми привилегиями
до санкционирования выполнения пользователем действий. Примерами действий являются считыва
ние или записьданных, загрузка программ изадание конфигураций. Рекомендации и директивы должны по
возможности включать в себя механизмы, которые будут функционировать в смешанных режимах.
Например, одни ресурсы системы управления требуют надежной защиты контролем их использования,
например ограничительных привилегий, а другие — нет. Что касается расширений, требования к кон
тролю использования должны затрагивать и данные в местах их хранения. Привилегии пользователей
могут варьироваться с учетом времени суток/даты. места и средств осуществления доступа.
6.3 SR 2.1 — Контроль выполнения авторизаций
6.3.1 Требование
На всех интерфейсах система управления должна обеспечивать возможность контроля выпол
нения авторизаций, обязательных для всех пользователей — физических лиц. для контроля использо
вания системы управления с поддержанием ранжирования обязанностей и минимальной привилегии.
6.3.2 Целесообразность и дополнительная методологическая основа
Политики контроля использования (например, политики на основе идентичности, политики на ос
нове ролей и политики на основе правил) и привязанные к ним механизмы контроля осуществления
доступа к считыванию/записи данных (например, списки контроля осуществления доступа, матрицы
контроля осуществления доступа и криптография) применяются для контроля обращения между поль
зователями (физическими лицами, программными процессами и устройствами) и объектами (напри
мер. устройствами, файлами, записями, программными процессами, программами и доменами).
После того как система управления верифицировала идентичность пользователя (физического
лица, программного процесса или устройства) (см. 5.3, SR 1.1 — Идентификация и аутентификация
пользователей — физических лиц, и 5.4. SR 1.2 — Идентификация и аутентификация программных
процессов и устройств), она должна также верифицировать правомерность запрашиваемой операции в
рамках установленных политик и регламентов безопасности. Например, в случае политики управ ления
доступом на основе ролей система управления проверит, какие роли закреплены за верифици
рованным пользователем или объектом и какие привилегии приписаны этим ролям: если полномочия
распространяются на запрашиваемую операцию, то она выполняется, в противном случае запрос от
клоняется. Это позволяет контролировать соблюдение ранжирования обязанностей и минимальных
привилегий. По возможности не должно допускаться, чтобы механизмы контроля выполнения обраще
ний отрицательно воздействовали на эксплуатационные характеристики системы управления.
Плановые или внеплановые изменения в компонентах системы управления могут существенно
отражаться на общей безопасности системы управления. Поэтому желательно, чтобы только квалифи
цированные и авторизованные лица получали доступ к использованию компонентов системы управле
ния с целью инициирования изменений, включая модернизацию и модификацию.
6.3.3 Расширения требований
6.3.3.1 SR 2.1 RE1 — Контроль выполнения авторизаций для всех пользователей
На всех интерфейсах система управления должна обеспечивать возможность выполнения обяза
тельных авторизаций применительно ко всем пользователям (физическим лицам, программным про
цессам и устройствам) в целях контроля использования системы управления с поддержанием ранжи
рования обязанностей и минимальной привилегии.
6.3.3.2 SR 2.1 RE2 — Соотнесение полномочий с ролями
Система управления должна обеспечивать возможность для того или иного авторизованного
пользователя или роли определять и корректировать соответствия полномочий ролям применительно
ко всем пользователям — физическим лицам.
П р и м е ч а н и е 1 — В соответствии с общепризнанной практикой роли не сводятся к фиксированным раз
ветвленным иерархиям, при которых роль более высокого уровня включает в себя как подмножества менее при
вилегированные роли. Например, на системного администратора вполне могут не распространяться привилегии
оператора.
П р и м е ч а н и е 2 — Эго RE применимо в равной мере к программным процессам и устройствам.
6.3.3.3 SR 2.1 RE3 — Приоритетность диспетчерского управления
Система управления должна поддерживать обеспечение приоритетности ручного диспетчерского
управления текущими авторизациями пользователей — физических лицдля конфигурируемого момен та
времени или последовательности событий.
21