IEC TS 62351-8:2011

IEC 62351-8:2020 a pour objet de faciliter le contrôle d'accès basé sur les rôles (RBAC) pour la gestion de systèmes de puissance. Le RBAC attribue des utilisateurs humains, des systèmes automatisés et des applications logicielles (appelés "sujets" dans le présent document) aux "rôles" spécifiés et limite leur accès à ces ressources uniquement, que les politiques de sécurité identifient comme nécessaires à leurs rôles. Les systèmes électriques de puissance étant de plus en plus automatisés et les préoccupations relatives à la cybersécurité étant de plus en plus importantes, il est de plus en plus critique d’assurer la restriction de l’accès aux données (lecture, écriture, contrôle, etc.). Comme pour beaucoup d’aspects liés à la sécurité, le RBAC n’est pas uniquement une technologie; il s’agit d’une manière de diriger une entreprise. Le RBAC n’est pas un concept nouveau; en réalité, il est utilisé par de nombreux systèmes d’exploitation pour contrôler l’accès aux ressources de systèmes. Le RBAC fournit notamment une alternative au modèle tout ou rien de super utilisateur dans lequel tous les sujets ont accès à toutes les données, y compris aux commandes de contrôle. Le RBAC est une méthode primaire pour satisfaire au principe de sécurité du droit d’accès minimal, qui indique qu’il convient qu’aucun sujet ne se voit attribué plus de permissions que nécessaire pour effectuer la tâche affectée audit sujet. Avec le RBAC, l’autorisation est distincte de l’authentification. Le RBAC donne lieu à une organisation permettant de sous-diviser les capacités des super utilisateurs et de les empaqueter dans des rôles de comptes utilisateurs spéciaux destinés à être attribués à des individus spécifiques selon les responsabilités qui leur sont associées. Cette sous-division permet aux politiques de sécurité de déterminer les personnes ou les systèmes qui ont accès aux données dans d’autres systèmes. Le RBAC fournit ainsi un moyen de réattribuer des contrôles de systèmes comme cela est défini par la politique organisationnelle. Le RBAC peut notamment protéger des opérations sensibles de systèmes contre des actions commises par inadvertance (ou délibérées) par des utilisateurs non autorisés. Cependant, le RBAC ne se limite clairement pas aux utilisateurs humains; il s’applique tout aussi bien aux systèmes automatisés qu’aux applications logicielles, c’est-à-dire, aux parties logicielles qui fonctionnent indépendamment des interactions avec l’utilisateur. Les interactions suivantes relèvent du domaine d’application: – accès local (raccordé directement) à l’objet par un utilisateur humain; par un agent ordinateur automatisé local, ou par un IHM ou du panneau intégré(e) aux objets; – accès à distance (par ligne commutée ou support sans fil) à l’objet par un utilisateur humain; – accès à distance (par ligne commutée ou support sans fil) à l’objet par un agent ordinateur automatisé distant, par exemple, un autre objet dans un autre poste, une ressource d’énergie distribuée dans l’installation d’un utilisateur final, ou une application centrale de contrôle. Tandis que le présent document définit un ensemble de rôles obligatoires à prendre en charge, le format d’échange de rôles définis spécifiques ou personnalisés relève également du domaine d’application du présent document. Tous les thèmes non directement liés à la définition des rôles et des jetons d’accès concernant les accès locaux et distants, en particulier les tâches administratives ou organisationnelles, ne relèvent pas du domaine d’application du présent document.