ГОСТ Р 59506-2021/IEC TR 63074:2019 Безопасность машин. Вопросы защиты информации в системах управления, связанных с обеспечением функциональной безопасности

ГОСТ Р 59506-2021/IEC TR 63074:2019

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

БЕЗОПАСНОСТЬ МАШИН

Вопросы защиты информации в системах управления, связанных с обеспечением функциональной безопасности

Safety of machinery. Security aspects related to functional safety of safety-related control systems

ОКС 13.110
         25.040

   29.020

Дата введения 2021-11-30

Предисловие

1 ПОДГОТОВЛЕН Федеральным государственным учреждением "Федеральный исследовательский центр "Информатика и управление" Российской академии наук" совместно с Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО ИАВЦ) и Обществом с ограниченной ответственностью "Корпоративные электронные системы" на основе собственного перевода на русский язык англоязычной версии документа, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 022 "Информационные технологии"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 19 мая 2021 г. N 397-ст

4 Настоящий стандарт идентичен международному документу IEC TR 63074:2019* "Безопасность машин. Вопросы защиты информации в системах управления, связанных с обеспечением функциональной безопасности" (IEC TR 63074:2019 "Safety of machinery - Security aspects related to functional safety of safety-related control systems", IDT).     

________________

* Доступ к международным и зарубежным документам, упомянутым в тексте, можно получить, обратившись в Службу поддержки пользователей. - Примечание изготовителя базы данных.

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные и межгосударственные стандарты, сведения о которых приведены в дополнительном приложении ДА.

Дополнительные сноски в тексте стандарта, выделенные курсивом, приведены для пояснения текста оригинала

5 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Умышленное нарушение информационной безопасности систем промышленной автоматики может происходить вследствие того, что:

- к системе управления возможен доступ, например перепрограммирование функций машины (включая связанные с безопасностью);

- происходит "сближение" между стандартными ИТ системами и промышленными системами;

- во встроенных системах стали появляться операционные системы, собственные сетевые протоколы заменяются IP протоколами и данные передаются в офисную сеть непосредственно из сети SCADA;

- программное обеспечение разрабатывается путем повторного использования существующих компонентов программного обеспечения сторонних производителей;

- удаленный доступ от поставщиков стал стандартным способом эксплуатации/технического обслуживания с повышенным риском нарушения кибербезопасности, учитывая, например, несанкционированный доступ, нарушение доступности и целостности защищаемых ресурсов.

Связанные с безопасностью системы управления машин являются частью систем промышленной автоматики и могут подвергаться атакам, которые могут привести к потере способности поддерживать безопасное функционирование машины.

Примечание 1 - Возникающий риск, связанный с возможностями атак, является значительным с учетом тенденций и изменений угроз, а также количества известных уязвимостей. Цели защиты информации описываются главным образом с точки зрения конфиденциальности, целостности и доступности, которые необходимо определять в целом и с учетом приоритетов, используя риск-ориентированный подход.

Цели функциональной безопасности учитывают риск, оценивая тяжесть причиненного вреда и вероятность возникновения этого вреда: Последствия любого риска (опасное событие) определяют требования к полноте безопасности (уровень полноты безопасности (SIL) согласно МЭК 62061 или МЭК 61508 или уровень эффективности защиты (PL) согласно ИСО 13849-1).

Что касается функции безопасности, то угрозы нарушения защиты информации (внутренние или внешние) могут влиять на полноту безопасности и общую готовность системы.