IACS UR E27 - FR1 + FR2: Identity & Use Control

IACS UR E27

 

"Who has access to your ship's navigation system right now?"

If you can't answer that instantly — that's the problem UR E27 is designed to solve.

FR1 (Identification & Authentication) and FR2 (Use Control) together cover 15 of 
E27's 41 requirements. Here's what they demand:

🔐 IDENTITY & AUTHENTICATION (FR1 — Items 1–7)
- All human users must be uniquely identified and authenticated (SR 1.1)
- Password-based auth must enforce configurable strength: minimum length, character variety (SR 1.7)
- Authenticator credentials must be protected from unauthorized disclosure at rest and in transit (SR 1.5)
- Wireless access must authenticate all participants — human, process, or device (SR 1.6)
- Authentication feedback must be obscured — no information leakage during login (SR 1.10)

🛂 USE CONTROL (FR2 — Items 8–16)
- Permissions must follow separation of duty and least privilege principles (SR 2.1)
- Mobile code (JavaScript, ActiveX, PDF) use must be controlled (SR 2.4)
- Session lock required after configurable inactivity period (SR 2.5)
- Audit records must capture: access control, OS events, config changes, comm interruptions (SR 2.8)
- Timestamp every audit record — immutable, tamper-evident (SR 2.11)

These aren't IT requirements borrowed for ships.
They're operational necessities for vessels where a compromised system = a safety hazard.

IEC 62443-3-3 maps these to Security Levels SL-1 through SL-4 — 
and E27 requires your CBS to meet the appropriate SL for your threat environment.

Next post: System Integrity and why "deterministic output" might be the most 
important maritime cyber requirement you've never heard of.

#MaritimeCyberSecurity #IACS #URE27 #IEC62443 #AccessControl #Authentication 
#OTSecurity #ShipSecurity