Правила № 2-020101-174 от 01.07.2024

1) Задача: Идентификация и аутентификация пользователя – физического лица 
Требование: КС должна обеспечивать возможность идентификации и аутентификации всех пользователей – физических лиц, которые могут получить доступ к системе напрямую или через интерфейсы. 
(См. IEC 62443-3-3:2013/SR 1.1) 

2) Задача: Управление учетными записями 
Требование: КС должна обеспечивать возможность управления всеми учетными записями авторизованных пользователей, включая добавление, активацию, изменение, деактивацию и удаление учетных записей. 
(См. IEC 62443-3-3:2013/SR 1.3) 

3) Задача: Управление идентификаторами 
Требования: КС должна обеспечивать возможность управления идентификаторами по пользователям, группам и ролям. 
(См. IEC 62443-3-3:2013/SR 1.4) 

4) Задача: Управление аутентификаторами 
Требование: КС должна обеспечивать возможность: инициализации содержания аутентификатора; изменения всех аутентификаторов, заданных по умолчанию, после инсталляции системы управления; изменения/обновления всех аутентификаторов; и защиты всех аутентификаторов от неавторизованного раскрытия и изменения в ходе их ввода и передачи. 
(См. IEC 62443-3-3:2013/SR 1.5) 

5) Задача: Управление беспроводным доступом 
Требование: КС должна обеспечивать возможность идентификации и аутентификации всех пользователей (физических лиц, программных процессов или устройств), участвующих в беспроводной коммуникации. 
(См. IEC 62443-3-3:2013/SR 1.6) 

6) Задача: Надежность аутентификации по паролю 
Требование: КС должна обеспечивать настраиваемую надежность конфигурируемых паролей на основе минимальной длины и разнотипности символов. 
(См. IEC 62443-3-3:2013/SR 1.7) 

7) Задача: Обратная связь при аутентификации 
Требование: КС должна обеспечивать скрытность в ходе процесса аутентификации. 
(См. IEC 62443-3-3:2013/SR 1.10) 

8) Задача: Контроль выполнения авторизаций 
Требование: Пользователям – физическим лицам должна быть назначена авторизация на всех интерфейсах в соответствии с принципами разделения полномочий и минимальных привилегий.
(См. IEC 62443-3-3:2013/SR 2.1) 

9) Задача: Контроль беспроводного использования 
Требование: КС должна обеспечивать возможность авторизации, отслеживания и установления ограничений на беспроводное подключение к системе в соответствии с общепринятыми практиками индустрии безопасности. 
(См. IEC 62443-3-3:2013/SR 2.2) 

10) Задача:  Контроль использования носимых и переносных устройств
Требование: Если КС поддерживает использование носимых и переносных устройств, система должна обеспечивать возможность:

П р и м е ч а н и е . Для отдельных систем могут быть допущены ограничители/блокираторы (в том числе силикон) портов. 
(См. IEC 62443-3-3:2013/SR 2.3) 

11) Задача: Мобильный код 
Требование: КС должна контролировать использование мобильного кода, такого как java-скрипты, ActiveX и PDF. 
(См. IEC 62443-3-3:2013/SR 2.4) 

12) Задача: Блокировка сеанса 
Требование: КС должна блокировать дальнейший доступ по истечении заданного времени в случае отсутствия активности или после ручной активации блокировки сеанса. 
(См. IEC 62443-3-3:2013/SR 2.5) 

13) Задача: События, подлежащие аудиту 
Требование: КС должна регистрировать, по крайней мере, следующие события, относящиеся к безопасности: управление доступом, события операционной системы, события резервного копирования и восстановления, изменения конфигурации, потеря связи. 
(См. IEC 62443-3-3:2013/SR 2.8) 

14) Задача: Емкость систем хранения данных аудита 
Требование: КС должна выделять достаточную емкость для системы хранения записей аудита в соответствии с общепризнанными рекомендациями по управлению файлами регистрации и конфигурированию систем. Система управления должна предусматривать такие механизмы аудита, которые снижают вероятность переполнения хранилища. 
(См. IEC 62443-3-3:2013/SR 2.9) 

15) Задача: Ответные действия в случае сбоев обработки данных аудита 
Требование: В случае сбоя при проведении аудита, КС должна предотвратить потерю ответственных сервисов и функций. 
(См. IEC 62443-3-3:2013/SR 2.10) 

16) Задача: Временные метки 
Требование: КС должна проставлять временные метки в записях аудита. 
(См. IEC 62443-3-3:2013/SR 2.11) 

17) Задача: Целостность коммуникации 
Требование: КС должна защищать целостность передаваемой информации. 
П р и м е ч а н и е . В беспроводных сетях должны использоваться криптографические механизмы. 
(См. IEC 62443-3-3:2013/SR 3.1) 

18) Задача: Защита от вредоносного кода 
Требование: КС должна обеспечивать возможность применения защитных мер для предотвращения, обнаружения и уменьшения воздействий вредоносного кода или неавторизованного ПО. КС должна обеспечивать возможность обновления защитных мер. 
(См. IEC 62443-3-3:2013/SR 3.2) 

19) Задача: Верификация функций безопасности 
Требование: КС должна обеспечивать возможность проверки предполагаемой работы функций безопасности и сообщать о возникновении аномалий во время технического обслуживания. 
(См. IEC 62443-3-3:2013/SR 3.3) 

20) Задача: Детерминированный поток выходных сигналов 
Требование: КС должна обеспечивать возможность приведения выходов в заранее определенное состояние, если в результате атаки не может поддерживаться штатная работа. Заранее определенное состояние может быть следующим:

(См. IEC 62443-3-3:2013/SR 3.6) 

21) Задача: Конфиденциальность информации 
Требование: КС должна обеспечивать возможность защиты конфиденциальности информации, чтение которой подлежит авторизации, будь то хранящаяся или передаваемая информация. 
П р и м е ч а н и е . Для беспроводной сети должны использоваться криптографические механизмы для защиты конфиденциальности всей передаваемой информации. 
(См. IEC 62443-3-3:2013/SR 4.1) 

22) Задача: Использование криптографии 
Требование: В случае использования криптографии КС должна использовать криптографические алгоритмы, размеры ключей и механизмы в соответствии с общепринятой в индустрии безопасности практикой и рекомендациями. 
(См. IEC 62443-3-3:2013/SR 4.3) 

23) Задача: Доступность журнала аудита 
Требование: КС должна обеспечить доступность журнала аудита в режиме «только чтение» авторизованным физическим лицам и/или инструментам. 
(См. IEC 62443-3-3:2013/SR 6.1) 

24) Задача: Защита от отказа в обслуживании 
Требование: КС должна обеспечивать минимальные возможности для поддержки основных функций во время событий типа «отказ в обслуживании» (DoS). 
П р и м е ч а н и е . Допускается, что КС может работать в ухудшенном режиме при возникновении событий DoS, но она не должна выходить из строя таким образом, который может привести к опасным ситуациям. Следует учитывать события DoS, основанные на перегрузке, т.е. когда предпринимается попытка переполнения пропускной способности сети и когда предпринимается попытка использования ресурсов компьютера. 
(См. IEC 62443-3-3:2013/SR 7.1) 

25) Задача: Управление ресурсами 
Требование: Функции безопасности КС должны обеспечивать возможность ограничения использования ресурсов для предотвращения их истощения. 
(См. IEC 62443-3-3:2013/SR 7.2) 

26) Задача: Резервирование системы 
Требование: Идентификация и расположение критически важных файлов, а также возможность создания резервных копий информации на уровне пользователя и системы (включая информацию о состоянии системы) должны поддерживаться КС, не влияя на нормальную работу. 
(См. IEC 62443-3-3:2013/SR 7.3) 

27) Задача: Восстановление системы 
Требование: После сбоя или отказа КС должна обеспечивать возможность своего восстановления до известного безопасного состояния. 
(См. IEC 62443-3-3:2013/SR 7.4) 

28) Задача: Альтернативный источник питания 
Требование: КС должна обеспечивать возможность переключения на альтернативный источник питания и обратно без влияния на существующий уровень безопасности или наличие предусмотренного и задокументированного режима ограниченной функциональности. 
(См. IEC 62443-3-3:2013/SR 7.5) 

29) Задача: Параметры конфигурации сети и безопасности 
Требование: КС должна обеспечивать возможность своего конфигурирования в соответствии с рекомендованными конфигурациями сети и безопасности, как описано в документации изготовителя. КС должна обеспечивать интерфейс для текущих параметров конфигурации сети и безопасности. 
(См. IEC 62443-3-3:2013/SR 7.6) 

30) Задача: Минимальная функциональность 
Требование: Установка, доступность и права доступа к следующим элементам должны быть строго ограничены потребностями функций, выполняемых КС:

(См. IEC 62443-3-3:2013/SR 7.7) 

31) Задача: Многофакторная аутентификация для пользователей – физических лиц 
Требование: В случае предоставления доступа к КС пользователям – физическим лицам из ненадежной сети или через нее, требуется многофакторная аутентификация. 
(См. IEC 62443-3-3:2013/SR 1.1, RE 2) 

32) Задача: Идентификация и аутентификация программных процессов и устройств 
Требование: КС должна идентифицировать и аутентифицировать программные процессы и устройства. 
(См. IEC 62443-3-3:2013/SR 1.2) 

33) Задача: Неудачные попытки входа в систему 
Требование: КС должна обеспечивать ограничение количества последовательных неудачных попыток входа в систему из ненадежных сетей в течение определенного периода времени. 
(См. IEC 62443-3-3:2013/SR 1.11) 

34) Задача: Уведомление об использовании системы 
Требование: КС должна обеспечивать возможность отображения сообщения об использовании системы перед аутентификацией. Должна быть предусмотрена возможность конфигурирования этого сообщения уполномоченным персоналом. 
(См. IEC 62443-3-3:2013/SR 1.12) 

35) Задача: Доступ через ненадежные сети 
Требование: Любой доступ к КС из ненадежных сетей или через них должен отслеживаться и контролироваться. 
(См. IEC 62443-3-3:2013/SR 1.13) 

36) Задача: Принятие явного запроса на доступ 
Требование: КС должна отклонить доступ из ненадежных сетей или через них, за исключением случаев, когда это явно одобрено уполномоченным экипажем на борту судна. 
(См. IEC 62443-3-3:2013/SR 1.13, RE1) 

37) Задача: Завершение удаленного сеанса 
Требование: КС должна обеспечивать возможность завершения удаленного сеанса либо автоматически после настраиваемого периода времени неактивности, либо вручную пользователем, инициировавшим сеанс. 
(См. IEC 62443-3-3:2013/SR 2.6) 

38) Задача: Защита целостности средствами криптографии 
Требование: КС должна использовать криптографические механизмы для выявления изменений информации во время связи с ненадежными сетями или через них.
(См. IEC 62443-3-3:2013/SR 3.1, RE1) 

39) Задача: Валидация входных данных 
Требование: КС должна проверять синтаксис, длину и содержание любых входных данных из ненадежных сетей, которые служат входными данными для управления процессом или являются входными данными, непосредственно влияющими на работу КС. 
(См. IEC 62443-3-3:2013/SR 3.5) 

40) Задача: Целостность сеанса 
Требование: КС должна защищать целостность сеансов. Недействительные идентификаторы сеансов должны быть отклонены. 
(См. IEC 62443-3-3:2013/SR 3.8) 

41) Задача: Аннулирование идентификаторов сеанса после завершения сеанса 
Требование: Система должна аннулировать идентификаторы сеансов при выходе пользователя из системы или другом завершении сеанса (включая сеансы браузера). 
(См. IEC 62443-3-3:2013/SR 3.8, RE1)