EN IEC 62351-8:2020

Power systems management and associated information exchange - Data and communications security - Part 8: Role-based access control for power system management

IEC 62351-8: 2020 is to facilitate role-based access control (RBAC) for power system management. RBAC assigns human users, automated systems, and software applications (collectively called "subjects" in this document) to specified "roles", and restricts their access to only those resources, which the security policies identify as necessary for their roles. As electric power systems become more automated and cyber security concerns become more prominent, it is becoming increasingly critical to ensure that access to data (read, write, control, etc.) is restricted. As in many aspects of security, RBAC is not just a technology; it is a way of running a business. RBAC is not a new concept; in fact, it is used by many operating systems to control access to system resources. Specifically, RBAC provides an alternative to the all-or-nothing super-user model in which all subjects have access to all data, including control commands. RBAC is a primary method to meet the security principle of least privilege, which states that no subject should be authorized more permissions than necessary for performing that subject’s task. With RBAC, authorization is separated from authentication. RBAC enables an organization to subdivide super-user capabilities and package them into special user accounts termed roles for assignment to specific individuals according to their associated duties. This subdivision enables security policies to determine who or what systems are permitted access to which data in other systems. RBAC provides thus a means of reallocating system controls as defined by the organization policy. In particular, RBAC can protect sensitive system operations from inadvertent (or deliberate) actions by unauthorized users. Clearly RBAC is not confined to human users though; it applies equally well to automated systems and software applications, i.e., software parts operating independent of user interactions. The following interactions are in scope: – local (direct wired) access to the object by a human user; by a local and automated computer agent, or built-in HMI or panel; – remote (via dial-up or wireless media) access to the object by a human user; – remote (via dial-up or wireless media) access to the object by a remote automated computer agent, e.g. another object at another substation, a distributed energy resource at an end-user’s facility, or a control centre application. While this document defines a set of mandatory roles to be supported, the exchange format for defined specific or custom roles is also in scope of this document. Out of scope for this document are all topics which are not directly related to the definition of roles and access tokens for local and remote access, especially administrative or organizational tasks.

Energiemanagementsysteme und zugehöriger Datenaustausch – IT-Sicherheit für Daten und Kommunikation – Teil 8: Rollenbasierte Zugriffskontrolle für Energiemanagementsysteme

Gestion des systèmes de puissance et échanges d'informations associés - Sécurité des communications et des données - Partie 8: Contrôle d'accès basé sur les rôles pour la gestion de systèmes de puissance

IEC 62351-8:2020 a pour objet de faciliter le contrôle d'accès basé sur les rôles (RBAC) pour la gestion de systèmes de puissance. Le RBAC attribue des utilisateurs humains, des systèmes automatisés et des applications logicielles (appelés "sujets" dans le présent document) aux "rôles" spécifiés et limite leur accès à ces ressources uniquement, que les politiques de sécurité identifient comme nécessaires à leurs rôles. Les systèmes électriques de puissance étant de plus en plus automatisés et les préoccupations relatives à la cybersécurité étant de plus en plus importantes, il est de plus en plus critique d’assurer la restriction de l’accès aux données (lecture, écriture, contrôle, etc.). Comme pour beaucoup d’aspects liés à la sécurité, le RBAC n’est pas uniquement une technologie; il s’agit d’une manière de diriger une entreprise. Le RBAC n’est pas un concept nouveau; en réalité, il est utilisé par de nombreux systèmes d’exploitation pour contrôler l’accès aux ressources de systèmes. Le RBAC fournit notamment une alternative au modèle tout ou rien de super utilisateur dans lequel tous les sujets ont accès à toutes les données, y compris aux commandes de contrôle. Le RBAC est une méthode primaire pour satisfaire au principe de sécurité du droit d’accès minimal, qui indique qu’il convient qu’aucun sujet ne se voit attribué plus de permissions que nécessaire pour effectuer la tâche affectée audit sujet. Avec le RBAC, l’autorisation est distincte de l’authentification. Le RBAC donne lieu à une organisation permettant de sous-diviser les capacités des super utilisateurs et de les empaqueter dans des rôles de comptes utilisateurs spéciaux destinés à être attribués à des individus spécifiques selon les responsabilités qui leur sont associées. Cette sous-division permet aux politiques de sécurité de déterminer les personnes ou les systèmes qui ont accès aux données dans d’autres systèmes. Le RBAC fournit ainsi un moyen de réattribuer des contrôles de systèmes comme cela est défini par la politique organisationnelle. Le RBAC peut notamment protéger des opérations sensibles de systèmes contre des actions commises par inadvertance (ou délibérées) par des utilisateurs non autorisés. Cependant, le RBAC ne se limite clairement pas aux utilisateurs humains; il s’applique tout aussi bien aux systèmes automatisés qu’aux applications logicielles, c’est-à-dire, aux parties logicielles qui fonctionnent indépendamment des interactions avec l’utilisateur. Les interactions suivantes relèvent du domaine d’application: – accès local (raccordé directement) à l’objet par un utilisateur humain; par un agent ordinateur automatisé local, ou par un IHM ou du panneau intégré(e) aux objets; – accès à distance (par ligne commutée ou support sans fil) à l’objet par un utilisateur humain; – accès à distance (par ligne commutée ou support sans fil) à l’objet par un agent ordinateur automatisé distant, par exemple, un autre objet dans un autre poste, une ressource d’énergie distribuée dans l’installation d’un utilisateur final, ou une application centrale de contrôle. Tandis que le présent document définit un ensemble de rôles obligatoires à prendre en charge, le format d’échange de rôles définis spécifiques ou personnalisés relève également du domaine d’application du présent document. Tous les thèmes non directement liés à la définition des rôles et des jetons d’accès concernant les accès locaux et distants, en particulier les tâches administratives ou organisationnelles, ne relèvent pas du domaine d’application du présent document.

Upravljanje elektroenergetskega sistema in pripadajoča izmenjava informacij - Varnost podatkov in komunikacij - 8. del: Kontrola dostopa do elektroenergetskega sistema na podlagi vlog

General Information

• Status: Published
• Publication Date: 25-Jun-2020
• ICS: 33.200 - Telecontrol. Telemetering
• Technical Committee: CLC/TC 57 - Power systems management and associated information exchange
• Drafting Committee: IEC/TC 57 - IEC_TC_57
• Current Stage: 6060 - Document made available - Publishing
• Start Date: 26-Jun-2020
• Completion Date: 26-Jun-2020
• Ref Project: SIST EN IEC 62351-8:2020 - Power systems management and associated information exchange - Data and communications security - Part 8: Role-based access control for power system management

Standards Content (Sample)

SLOVENSKI STANDARD
SIST EN IEC 62351-8:2020
01-september-2020
Upravljanje elektroenergetskega sistema in pripadajoča izmenjava informacij -
Varnost podatkov in komunikacij - 8. del: Kontrola dostopa do
elektroenergetskega sistema na podlagi vlog
Power systems management and associated information exchange - Data and
communications security - Part 8: Role-based access control for power system
management
Ta slovenski standard je istoveten z: EN IEC 62351-8:2020
ICS:
29.240.30 Krmilna oprema za Control equipment for electric
elektroenergetske sisteme power systems
35.240.50 Uporabniške rešitve IT v IT applications in industry
industriji
SIST EN IEC 62351-8:2020 en
2003-01.Slovenski inštitut za standardizacijo. Razmnoževanje celote ali delov tega standarda ni dovoljeno.

---------------------- Page: 1 ----------------------
SIST EN IEC 62351-8:2020

---------------------- Page: 2 ----------------------
SIST EN IEC 62351-8:2020


EUROPEAN STANDARD EN IEC 62351-8

NORME EUROPÉENNE

EUROPÄISCHE NORM
June 2020
ICS 33.200

English Version
Power systems management and associated information
exchange - Data and communications security - Part 8: Role-
based access control for power system management
(IEC 62351-8:2020)
Gestion des systèmes de puissance et échanges Energiemanagementsysteme und zugehöriger
d'informations associés - Sécurité des communications et Datenaustausch - IT-Sicherheit für Daten und
des données - Partie 8: Contrôle d'accès basé sur les rôles Kommunikation - Teil 8: Rollenbasierte Zugriffskontrolle für
pour la gestion de systèmes de puissance Energiemanagementsysteme
(IEC 62351-8:2020) (IEC 62351-8:2020)
This European Standard was approved by CENELEC on 2020-06-02. CENELEC members are bound to comply with the CEN/CENELEC
Internal Regulations which stipulate the conditions for giving this European Standard the status of a national standard without any alteration.
Up-to-date lists and bibliographical references concerning such national standards may be obtained on application to the CEN-CENELEC
Management Centre or to any CENELEC member.
This European Standard exists in three official versions (English, French, German). A version in any other language made by translation
under the responsibility of a CENELEC member into its own language and notified to the CEN-CENELEC Management Centre has the
same status as the official versions.
CENELEC members are the national electrotechnical committees of Austria, Belgium, Bulgaria, Croatia, Cyprus, the Czech Republic,
Denmark, Estonia, Finland, France, Germany, Greece, Hungary, Iceland, Ireland, Italy, Latvia, Lithuania, Luxembourg, Malta, the
Netherlands, Norway, Poland, Portugal, Republic of North Macedonia, Romania, Serbia, Slovakia, Slovenia, Spain, Sweden, Switzerland,
Turkey and the United Kingdom.


European Committee for Electrotechnical Standardization
Comité Européen de Normalisation Electrotechnique
Europäisches Komitee für Elektrotechnische Normung
CEN-CENELEC Management Centre: Rue de la Science 23, B-1040 Brussels
© 2020 CENELEC All rights of exploitation in any form and by any means reserved worldwide for CENELEC Members.
 Ref. No. EN IEC 62351-8:2020 E

---------------------- Page: 3 ----------------------
SIST EN IEC 62351-8:2020
EN IEC 62351-8:2020 (E)
European foreword
The text of document 57/2180/FDIS, future edition 1 of IEC 62351-8, prepared by IEC/TC 57 "Power
systems management and associated information exchange" was submitted to the IEC-CENELEC
parallel vote and approved by CENELEC as EN IEC 62351-8:2020.
The following dates are fixed:
• latest date by which the document has to be implemented at national (dop) 2021-03-02
level by publication of an identical national standard or by endorsement
• latest date by which the national standards conflicting with the (dow) 2023-06-02
document have to be withdrawn

Attention is drawn to the possibility that some of the elements of this document may be the subject of
patent rights. CENELEC shall not be held responsible for identifying any or all such patent rights.

Endorsement notice
The text of the International Standard IEC 62351-8:2020 was approved by CENELEC as a European
Standard without any modification.
In the official version, for Bibliography, the following notes have to be added for the standards
indicated:
IEC 60870-5-104 NOTE Harmonized as EN 60870-5-104
IEC 61784 (series) NOTE Harmonized as EN IEC 61784 (series)
IEC 61850-8-1 NOTE Harmonized as EN 61850-8-1
IEC 61850-8-2 NOTE Harmonized as EN IEC 61850-8-2
IEC 61968 (series) NOTE Harmonized as EN 61968 (series)
IEC 61970 (series) NOTE Harmonized as EN 61970 (series)
IEC 62351-7:2017 NOTE Harmonized as EN 62351-7:2017 (not modified)
IEC 62351-9 NOTE Harmonized as EN 62351-9
1
IEC 62351-14 NOTE Harmonized as EN IEC 62351-14
IEC 62443 (series) NOTE Harmonized as EN IEC 62443 (series)

1
...