Zakres
Zakres niniejszej normy polega na ułatwieniu kontroli dostępu opartej na rolach (RBAC) do zarządzania systemem zasilania. RBAC przypisuje użytkowników, zautomatyzowane systemy i aplikacje (nazywane „podmiotami” w tym dokumencie) do określonych „ról” i ogranicza ich dostęp tylko do tych zasobów, które zasady bezpieczeństwa określają jako niezbędne dla ich ról. W miarę jak systemy elektroenergetyczne stają się bardziej zautomatyzowane, a obawy dotyczące bezpieczeństwa cybernetycznego stają się coraz bardziej widoczne, coraz ważniejsze staje się zapewnienie, że dostęp do danych (odczyt, zapis, kontrola itp.) jest ograniczony. Podobnie jak w wielu aspektach bezpieczeństwa, RBAC to nie tylko technologia; to sposób prowadzenia biznesu. RBAC nie jest nową koncepcją; w rzeczywistości jest używany przez wiele systemów operacyjnych do kontrolowania dostępu do zasobów systemowych. W szczególności RBAC stanowi alternatywę dla modelu superużytkownika typu „wszystko lub nic”, w którym wszystkie osoby mają dostęp do wszystkich danych, w tym poleceń sterujących.
RBAC jest podstawową metodą spełnienia zasady bezpieczeństwa o najmniejszych uprawnieniach, która stanowi, że żaden podmiot nie powinien uzyskać autoryzacji większej liczby uprawnień niż jest to konieczne do wykonania zadania tego podmiotu. Dzięki RBAC autoryzacja jest oddzielona od uwierzytelniania. RBAC umożliwia organizacji podzielenie funkcji superużytkownika i spakowanie ich w specjalne konta użytkowników określane jako role do przypisania do konkretnych osób zgodnie z ich powiązanymi obowiązkami. Podział ten umożliwia stosowanie zasad bezpieczeństwa w celu określenia, kto lub jakie systemy mają dostęp do danych w innych systemach. RBAC zapewnia zatem sposób realokacji kontroli systemu zgodnie z definicją polityki organizacji. W szczególności RBAC może chronić wrażliwe operacje systemowe przed przypadkowymi (lub celowymi) działaniami nieautoryzowanych użytkowników. Oczywiście RBAC nie ogranicza się jednak do użytkowników; odnosi się równie dobrze do zautomatyzowanych systemów i aplikacji, tj. części oprogramowania działających niezależnie od interakcji użytkownika.
Zakres następujących interakcji:
- lokalny (bezpośredni przewodowy) dostęp do obiektu przez człowieka;
- lokalny (bezpośredni) dostęp do obiektu przez lokalnego i zautomatyzowanego agenta komputerowego, np. inny obiekt na tym obszarze/polu;
- bezpośredni dostęp użytkownika do obiektu za pomocą wbudowanego HMI lub panelu obiektów;
- zdalny (za pośrednictwem połączenia telefonicznego lub bezprzewodowego) dostęp do obiektu przez użytkownika ludzkiego;
- zdalny (za pośrednictwem połączenia telefonicznego lub bezprzewodowego) dostęp do obiektu przez zdalny automatyczny agent komputerowy, np. inny obiekt w innej podstacji, rozproszony zasób energii w obiekcie użytkownika końcowego lub aplikacja centrum sterowania.
Podczas gdy norma definiuje zestaw obowiązkowych ról, które mają być obsługiwane, format tego dokumentu dla określonych lub niestandardowych ról jest również objęty zakresem tego dokumentu.
Poza zakresem tego standardu są wszystkie tematy, które nie są bezpośrednio związane z określeniem ról i tokenów dostępu do lokalnego i zdalnego dostępu, zwłaszcza zadań administracyjnych lub organizacyjnych, takich jak:
- nazwy użytkowników i definicje / zasady haseł;
- zarządzanie kluczami i / lub wymianą kluczy;
- proces inżynieryjny ról;
- przydzielanie ról;
- wybór zaufanych urzędów certyfikacji wydających poświadczenia (tokeny dostępu);
- określenie zadań pracownika ochrony;
- integracja lokalnych polityk w RBAC;
