Japan-Europe Internet Trust Symposium
Audits based on ETSI CP for qualified TSP and global recognition
July 4th, 2017
Clemens Wanko日欧 インターネット トラスト シンポジウム
適格TSPのETSI CPに基づく監査と世界的承認
2017年7月4日
Clemens Wanko

EIDAS TRUST SERVICES DEFINITION▪ Website Authentication▪ Issuing certificates for▪ electronic Signatures▪ electronic Signatures▪ electronic Seals▪ electronic Seals▪ electronic Time Stamps▪ electronic Time Stamps▪ Signature creation service▪ electronic signature creation▪ Signature Validation▪ electronic Signatures▪ electronic Seals▪ electronic Time Stamps
2▪ Preservation of qualified electronic
signatures for03.07.2017▪ Electronic Registered Delivery service▪ electronic registered delivery

EIDAS トラストサービスの定義▪ ウェブ認証▪ 以下への証明書発行▪ 電子署名▪ eシール▪ 電子タイムスタンプ▪ 署名生成サービス▪ 電子署名生成▪ 署名検証▪ 電子署名▪ eシール▪ 電子タイムスタンプ

303.07.2017▪ 以下への適格電子署名の保存▪ 電子署名▪ eシール▪ 電子タイムスタンプ▪ 登録eデリバリサービス▪ 登録eデリバリ

QUALIFIED EIDAS TSP CERTIFIED

July 1st, 2017403.07.2017

認証されているEIDAS適格TSP

2017年7月1日

503.07.2017

SERVICE SHARE
Service Module (Ident)
Validation

eIDAS Services

Preservation

Reg. Delivery

QCP-n

QCP-w/QWACSQCP-l
TSA(QCP-n/l remote)603.07.2017

SERVICE
SHARE
サービスシェア

サービスモジュールService Module (Ident)
Validation
検証

eIDAS Services
eIDASサービス

Preservation
保存Reg.
Delivery
登録デリバリQCP-n

QCP-w/QWACS

QCP-l
TSA

(QCP-n/l remote)
703.07.2017

EIDAS AND ETSI ASSESSMENT
PLAYERSEUROPEAN TSL
Based on Assessment
Report TSP status
set in Trusted List

803.07.2017

Audit TSP
againstrelevant ETSI
standard(s)EIDASとETSI 評価
プレーヤ

欧州
認定協力機構（ＥＡ）
トラストリスト

TSP評価スキーム
国家認定機関
監督機関

欧州のTSL
アセスメントレポートに基づ
いて、トラストリストにTSPのステータスが記載される評価報告書
適合性評価機関

アセッサー

通知評価請求評価評価基準903.07.2017

関連するETSI
規格に対するTSP監査

CONFORMITY ASSESSMENT BODY
ACCREDITATION

EU-Accreditation (EA)
http://www.european-accreditation.org/

National-Accreditation Body
(NAB)

Accredited
Conformity Assessment Body
(CAB)
1003.07.2017

ChecksConformity
Assessment Body
Competencein line with
pan-European
Accreditation
Scheme適合性評価機関
認定

EU-認定 (EA)
http://www.european-accreditation.org/

国家認定機関
(NAB)

認定
適合性評価機関(CAB)
1103.07.2017

欧州全体の認定ス
キームに従って適合性評価機関の能力を確認する

NOT ACCREDITEDASSESSMENT BODIESNo defined process quality!

Assessment Bodies
without accreditation

1203.07.2017

May or may not...
- audit according to relevant
ETSI standards- fully address all relevant
aspects- issue expected result reports

認定を受けていない
評価機関

プロセスの品質は定義されていない!

認定を受けていない
評価機関-関連するETSI規格に従った監査-全ての関連するアスペクトに対処-期待される結果報告の発行であるかもしれないし、ないかもしれない...

1303.07.2017

CA ASSESSMENT AND AUDIT PROCESS

Document Assessment(Stage 1)

On Site Assessment / Audit(Stage 2)
Technical Processes

IT Network
Security Concept, CP,CPS,…

Trustworthy Systems
Organisation &organisational Procedures

1403.07.2017

Certification /CAR

CA 評価および監査プロセス

文書評価(ステージ 1)

現地評価 / 監査(ステージ 2)
技術的プロセス
IT ネットワーク

セキュリティコンセプト,
CP, CPS,…

信頼できるシステム
組織および組織の手順

1503.07.2017

認証 / 適合性
評価報告書

CA ASSESSMENT AND AUDIT PROCESS

Document Assessment(Stage 1)

Document assessment - Stage 1▪ remote check CA set of policy and operational
documents▪ find an appropriate measure described for every
single ETSI requirement

Security Concept, CP, CPS,…

16

03.07.2017▪ auditor judges measure for appropriateness andcompletenessCA 評価および監査プロセス

文書評価(ステージ 1)

文書評価 – ステージ 1▪ CAのポリシ一式と運用文書のリモートチェック▪ すべてのESTI要件それぞれについて記述されている適切な措置を探し出す

セキュリティコンセプト,CP, CPS, …

1703.07.2017▪ 監査人は妥当性と完全性について措置を判断する

CA ASSESSMENT AND AUDIT PROCESSOn Site Assessment /Audit(Stage 2)
Technical Processes
IT Network
Trustworthy Systems

Organisation &organisationalProcedures

1803.07.2017

On-Site assessment - Stage 2
Technical Processes : Spot check of technicalsecurity functions▪ Cryptographic algorithms▪ Trusted channels▪ etc.

CA 評価および監査プロセス
現地評価 / 監査(ステージ 2)
技術的プロセス
IT ネットワーク
信頼できるシステム
組織および組織の手順

1903.07.2017

現地評価 – ステージ 2
技術的プロセス: 技術的セキュリティ機能のスポットチェック▪ 暗号アルゴリズム▪ 信頼できるチャネル▪ その他

CA ASSESSMENT AND AUDIT PROCESSOn Site Assessment / Audit(Stage 2)

Technical Processes
IT Network
Trustworthy Systems
Organisation &organisational Procedures

2003.07.2017

On-Site assessment - Stage 2
IT Network: Check of relevant CA network▪ Management▪ Penetration testing▪ Vulnerability analysis

Oriented on CA/B-Forum Network security
requirements.

CA 評価および監査プロセス
現地評価 / 監査(ステージ 2)

技術的プロセス

現地評価 – ステージ 2
IT ネットワーク: 関連するCAネットワークの確認▪ 管理▪ 侵入試験

IT ネットワーク
信頼できるシステム
組織および組織の手順

2103.07.2017▪ 脆弱性分析
CA/Bフォーラムネットワークセキュリティ要件を充足

CA ASSESSMENT AND AUDIT PROCESSOn Site Assessment / Audit(Stage 2)
Technical Processes

IT Network
Trustworthy SystemsOrganisation &organisational Procedures

2203.07.2017

On-Site assessment - Stage 2
Trustworthy Systems:▪ Check of HSM identification, certification andmode of operation▪ etc.

CA 評価および監査プロセス
現地評価 / 監査(ステージ 2)
技術的プロセス
IT ネットワーク
信頼できるシステム
組織および組織の手順

2303.07.2017

現地評価 – ステージ 2
信頼できるシステム:▪ ＨＳＭの識別、認証書および運用モードの確認▪ その他

CA ASSESSMENT AND AUDIT PROCESSOn Site Assessment / Audit(Stage 2)
Technical Processes

IT Network
Trustworthy Systems
Organisation &organisational Procedures

24

03.07.2017

On-Site assessment - Stage 2
Organization: Evidence check for▪ IT Security Management▪ CA operations (incident and risk mgmt.
including follow-up, etc.)▪ Personnel security▪ etc.

CA 評価および監査プロセス
現地評価 / 監査(ステージ 2)

技術的プロセス
IT ネットワーク
信頼できるシステム
組織および組織の手順

2503.07.2017

現地評価 – ステージ 2
組織: 以下の証拠確認▪ ＩＴセキュリティ管理▪ ＣＡオペレーション (フォローアップなどを含むインシデントおよびリスク管理)▪ 人員のセキュリティ▪ その他

CERTIFICATIONTSP included in
Trust Service Status List
(TSL)

TSP
CAR (+Cert)

26

03.07.2017

Trust Service Status
Supervisory Body

認証
TSPが記載されるトラスト
サービス
ステータスリスト（ＴＳＬ）

TSP
適合性評価報告書 (+認証書)

27

03.07.2017

トラストサービス
ステータス
監督機関

PRINCIPLE ELEMENTS OF CONFORMITY ASSESSMENT - ETSI TS / EN
1. Document assessment (security concept / operations) - Stage 1▪ all necessary technical, functional and organisational security measures and▪ their appropriateness for fulfilment of eIDAS requirements

2. On-Site assessment - Stage 2▪ verify implementation of security measures▪ including technical and penetration testing

3. Results report▪ scope: identification of the TSP, service and policy▪ content and summary of conformity assessment activities▪ additional content as required by supervisory authority
28

03.07.2017

適合性評価の主要原則 - ETSI TS / EN
1. 文書評価 (セキュリティコンセプト / オペレーション) – ステージ 1▪ eIDAS要件を満たすために必要なすべての技術的、機能的および組織的セキュリティ措置と▪ その妥当性

2. 現地評価 – ステージ 2▪ セキュリティ措置の実行を検証▪ 技術試験および侵入試験を含む

3. 結果報告書▪ 対象範囲：TSP、サービスおよびポリシーの識別▪ 適合性評価活動の内容および概要▪ 監督機関が要求する追加の内容
2903.07.2017

CERTIFICATES AND
AUDIT RESULTS DOCUMENTATION

One 4 all!
One ETSI audit block = three certification goals

ETSI Reports
ETSI EN 319 401 / 411-1 / 411-2 / BRG / EV… others

30

03.07.2017

証明書および監査結果の記録

One 4 all!
ひとつのETSI 監査ブロック = 3つの認証目標

ETSI 報告書
ETSI EN 319 401 / 411-1 / 411-2 / BRG / EV… 他

3103.07.2017

CERTIFICATES ANDAUDIT RESULTS DOCUMENTATIONeIDAS CAREUROPEAN reconition

ETSI Certificate(ISO/IEC 17065)

Browser
Audit
Attestation

GLOBAL reconition

ETSI Reports
ETSI EN 319 401 / 411-1 / 411-2 / BRG / EV… others

3203.07.2017

証明書および監査結果の記録

eIDAS
適合性評報告書
欧州における承認ETSI 証明書(ISO/IEC 17065)

ブラウザ
監査証明書

グローバルな承認ETSI 報告書
ETSI EN 319 401 / 411-1 / 411-2 / BRG / EV… 他

3303.07.2017

Thanks for your attention!

www.tuvit.de
Clemens Wanko
Director Certification Department TSP
Product Manager eID and Trust Services
IT Infrastructure+49 201 8999-586
c.wanko@tuvit.de© TÜV Informationstechnik GmbHwww.tuvit.deご清聴ありがとうございました!

www.tuvit.de
Clemens Wanko
Director Certification Department TSP
Product Manager eID and Trust Services
IT Infrastructure+49 201 8999-586
c.wanko@tuvit.de© TÜV Informationstechnik GmbHwww.tuvit.de