Управление действиями пользователей до идентификации и аутентификации

Пояснение составлено нами, это не текст приказа — в приказе формулировка меры исчерпывается её названием. Дословные формулировки по каждому приказу — ниже на этой странице.

Предмет меры — то, что система позволяет сделать человеку, который ещё не вошёл в неё. До ввода логина она уже работает: отдаёт страницу входа, показывает общедоступный раздел, отвечает на запросы. Требуется определить перечень действий, разрешённых до аутентификации, и запретить всё, что в него не вошло.

Разрешают минимум: получение формы входа, предупреждающий баннер (УПД.7) и, если он есть, общедоступный раздел. Из сообщений об ошибке входа убирают всё, что подсказывает, существует ли такая учётная запись. Загрузка с внешних устройств — соседняя мера УПД.3 (УПД.17 в № 21), съёмные носители — ЗНИ.5 и ЗНИ.7. № 117 формулирует меру как контроль, а не управление; выполнение проще всего показать журналом попыток таких действий, хотя прямого требования регистрации в тексте меры нет.

Где обычно спотыкаются: «управление действиями пользователей» читается как «настройка прав», и меру закрывают ссылкой на модель доступа (УПД.2) или на минимально необходимые права (УПД.5). Но те работают уже после аутентификации, когда субъект известен. Здесь субъект неизвестен, и в № 21 это сказано прямее: «Разрешение (запрет) действий пользователей, разрешенных до идентификации и аутентификации».