Обеспечение информационной безопасности

Удостоверение личности содержит информацию ограниченного распространения (персональные данные). В этой связи информационное обеспечение удостоверения личности и всей прикладной инфраструктуры должно гарантировать целостность, доступность и конфиденциальность обрабатываемых сведений.

Целостность размещаемых на электронном носителе удостоверения личности данных обеспечивается с использованием криптографических методов защиты информации, а также механизмов аутентификации и авторизации. Конфиденциальность данных при доступе к ним напрямую или через электронные приложения обеспечивается механизмами аутентификации и авторизации. Доступность данных определяется показателями надежности программно-аппаратных средств удостоверения личности, устанавливаемыми на этапе комплексного проектирования.

При использовании криптографического электронного приложения реализуются стандарты, принятые в Российской Федерации в соответствии с ГОСТ 34.10-2012 и ГОСТ 34.11-2012. Криптографическое электронное приложение проходит оценку соответствия в совокупности с удостоверением личности как средой функционирования в порядке, установленном законодательством Российской Федерации.

Криптографическое приложение удостоверения личности использует квалифицированный сертификат электронной подписи его владельца для произвольных передаваемых данных после прохождения успешной аутентификации по персональному идентификационному номеру (ПИН-коду). Конфиденциальность ПИН-кода с момента его выработки до момента передачи обеспечивается организационными и техническими мероприятиями.

На этапе комплексного и технического проектирования сведения, размещаемые на электронном носителе удостоверения личности, могут быть классифицированы как:

данные однократной записи;

данные, для которых возможна операция добавления;

изменяемые данные.

Правила и механизмы распределения прав доступа к сведениям, размещаемым на электронном носителе удостоверения личности, разрабатываются на стадии комплексного проектирования.

Функции аутентификации и авторизации реализуются в соответствии с правовыми актами Федеральной службы по техническому и экспортному контролю. На этапе комплексного проектирования следует рассмотреть возможность разработки специальных технических рекомендаций по реализации и оценке соответствия механизмов аутентификации и авторизации непосредственно для удостоверения личности. Данные специальные технические рекомендации подлежат согласованию с Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в установленном порядке.

При разработке новых и модификации действующих информационных систем в рамках мероприятий, связанных с внедрением удостоверения личности, обеспечивается выполнение требований, направленных на обеспечение безопасности информации. Если информационная система осуществляет обработку информации, нацеленной на обеспечение жизненного цикла удостоверения личности и (или) его использование, то она должна обеспечить конфиденциальность, целостность и доступность обрабатываемой и передаваемой информации и пройти оценку соответствия в порядке, установленном законодательством Российской Федерации. Для указанных систем, обрабатывающих информацию, не содержащую сведений, составляющих государственную тайну, в контексте мероприятий по внедрению удостоверения личности необходимо осуществить разработку и согласование в установленном порядке базовой модели нарушителя и модели угроз, обязательных к применению в качестве отраслевого стандарта при проектировании системы защиты информации. Классы и уровни защищенности отдельных информационных систем, а также требования к безопасности информации, предъявляемые к ним, определяются на этапе комплексного проектирования.