ГОСТ Р МЭК 62443-3-3—2016
8 FR 4 — Конфиденциальность данных
8.1 Назначение и описания SL-C(DC)
Обеспечивать конфиденциальность информации в коммуникационных каналах и в хранилищах
данных для предотвращения ее неавторизованного раскрытия:
- SL1— предотвращать неавторизованное раскрытие информации посредством ее несанкциони
рованного извлечения или случайного обнародования;
- SL 2 — предотвращать неавторизованное раскрытие информации субъекту, активно ее ищу
щему с использованием простых средств, при незначительных ресурсах, посредственных навыках и
низкой мотивации;
- SL 3 — предотвращать неавторизованное раскрытие информации субъекту, активно ее ищуще
му с использованием изощренных средств, при умеренных ресурсах, наличии специальных познаний
в IACS и умеренной мотивации;
- SL 4 — предотвращать неавторизованное раскрытие информации субъекту, активно ее ищуще
му с использованием изощренных средств, при обширных ресурсах, наличии специальных познаний в
IACS и высокой мотивации.
8.2 Целесообразность
Некоторая информация, генерируемая системами управления, либо хранящаяся, либо передава
емая. носит конфиденциальный или важный характер. Это предполагает, что некоторые коммуникаци
онные каналы и хранилища данных нуждаются в защите от несанкционированного извлечения данных и
неавторизованного доступа к ним.
8.3 SR 4.1 — Конфиденциальность информации
8.3.1 Тробованио
Система управления должна обеспечивать возможность защиты конфиденциальности информа
ции, для которой поддерживается явная авторизация на осуществление операции чтения, будь то хра
нящаяся или передаваемая информация.
8.3.2 Целесообразность и дополнительная методологическая основа
Защита информации, как хранящейся, так и передаваемой, может обеспечиваться с помощью фи
зических средств, секционирования или шифрования, а также других технологий. Крайне существенно,
что та или иная технология выбирается с учетом ее потенциального воздействия на функционирование
системы управления и возможности восстановления после системного сбоя или атаки.
Решение о том. следует ли защищать конфиденциальность отдельно взятого фрагмента инфор
мации, зависит от контекста и не может быть принято в ходе разработки продукта. Однако тот факт, что
организация ограничивает доступ к информации посредством конфигурации явной авторизации на
осуществление операции чтения в системе управления, означает, что организация причисляет эту
информацию к конфиденциальной. Таким образом, вся информация, для которой система управления
поддерживает возможность выдвижения явной авторизации на осуществление операции чтения, по
возможности должна причисляться к потенциально конфиденциальной, а значит, система управления
по возможности должна также обеспечивать возможность ее защиты.
Различные организации и отрасли промышленности могут требовать разных уровней надежности
шифрования для разных категорий информации, в зависимости от степени важности информации, а
также промышленных стандартов и регламентных требований (см. 8.5, SR 4.3 — Использование крип
тографии). В некоторых ситуациях конфиденциальной может считаться информация о конфигурации
сети, фиксируемая и обрабатываемая в коммутаторах и маршрутизаторах.
Коммуникации, предполагающие открытую передачу информации, могут быть уязвимы перед не
санкционированным извлечением информации или другими несанкционированными вмешательства
ми. Если система управления привязана к провайдеру сервисов внешних коммуникаций, то может быть
сложнее получить необходимые гарантии относительно реализации необходимых требований безопас
ности для конфиденциальности коммуникации. В таких случаях может быть целесообразно реализо
вать компенсационные контрмеры или явно принять дополнительный риск.
Субъекты должны быть также по возможности осведомлены о конфиденциальности информа
ции. когда используются портативные и мобильные устройства (например, инженерные лэптопы и USB-
накопители).
35