Source: https://www.epi.sk/print/zz/2014-62.htm
Timestamp: 2020-02-28 13:19:47+00:00
Document Index: 9642932

Matched Legal Cases: ['§ 14', '§ 14', '§ 14', '§ 9', '§ 9', '§ 9', '§ 9', '§ 12', '§ 12', '§ 12', '§ 14', '§ 14', '§ 14', '§ 15']

62/2014 Z. z. Novela vyhlášky o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou | Znenie 15.03.2014
Vyhláška č. 62/2014 Z. z.Vyhláška Národného bezpečnostného úradu, ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 133/2009 Z. z. o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností
ktorou sa mení a dopĺňa vyhláška Národného bezpečnostného úradu č. 133/2009 Z. z. o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností
Národný bezpečnostný úrad podľa § 14 ods. 1 písm. j) a ods. 2 zákona č. 215/2002 Z. z. o elektronickom podpise a o zmene a doplnení niektorých zákonov ustanovuje:
Vyhláška Národného bezpečnostného úradu č. 133/2009 Z. z. o obsahu a rozsahu prevádzkovej dokumentácie vedenej certifikačnou autoritou a o bezpečnostných pravidlách a pravidlách na výkon certifikačných činností sa mení a dopĺňa takto:
1. V úvodnej vete sa slová „§ 14 ods. 1 písm. j)“ nahrádzajú slovami „§ 14 ods. 1 písm. j) a ods. 2“.
2. Slovo „žiadateľ“ v príslušnom gramatickom tvare sa v celom texte návrhu vyhlášky nahrádza slovami „žiadateľ o certifikát“ v príslušnom gramatickom tvare.
3. V § 9 ods. 3 sa za slová „produktu pre elektronický podpis“ vkladajú slová „alebo produktu pre elektronickú pečať“ a za slová „produkt pre elektronický podpis“ sa vkladajú slová „alebo produkt pre elektronickú pečať“.
4. V § 9 ods. 5 písm. f) sa za slovo „podpis“ vkladajú slová „alebo prostriedku pre elektronickú pečať“.
5. V § 9 ods. 5 písm. g), § 9 ods. 6 a § 12 ods. 1 sa za slovo „podpis“ vkladajú slová „alebo produktu pre elektronickú pečať“.
6. V § 12 ods. 2 písm. a) sa na konci pripájajú tieto slová: „alebo produktom pre elektronickú pečať“.
7. V § 12 ods. 2 písm. b) a § 14 ods. 2 písm. i) sa na konci pripájajú tieto slová: „alebo produktu pre elektronickú pečať“.
8. V § 14 ods. 2 písm. d) sa za slová „poruchách produktu pre elektronický podpis“ vkladajú slová „alebo produktu pre elektronickú pečať“ a za slová „činnosť produktu pre elektronický podpis“ sa vkladajú slová „alebo produktu pre elektronickú pečať“.
9. V § 14 ods. 2 písm. k) sa na konci pripájajú tieto slová: „alebo v produkte pre elektronickú pečať“.
10. V § 15 ods. 1 sa na konci pripája táto veta: „Pravidlá na výkon certifikačných činností vychádzajú z obsahu a štruktúry certifikačného poriadku.“.
11. Prílohy č. 1 a 2 vrátane nadpisov znejú:
„Príloha č. 1 k vyhláške č. 133/2009 Z. z.
Základné informácie o účele dokumentu. Súčasťou certifikačného poriadku certifikačnej autority môže byť určenie rozsahu použiteľnosti certifikátov a časových pečiatok. Úvodné ustanovenia obsahujú tiež kontaktné informácie o certifikačnej autorite, najmä adresu elektronickej pošty, telefonický a faxový kontakt.
Záväzky všetkých subjektov vstupujúcich do procesov súvisiacich s poskytovaním akreditovaných certifikačných služieb. Definícia záväzkov všetkých subjektov vstupujúcich do procesov súvisiacich s certifikátmi a časovými pečiatkami
c) žiadateľa o certifikát alebo držiteľa certifikátu,
Opis zodpovednosti každého subjektu za
Definovanie finančnej zodpovednosti certifikačnej autority vrátane jej presného rozsahu.
2.4. Riešenie sporov
Určenie spôsobu interpretácie certifikačného poriadku a spôsobu riešenia sporov.
Špecifikácia poplatkov, ktoré si certifikačná autorita alebo registračná autorita účtuje za služby spojené s vydávaním certifikátov a ich správou.
c) požiadavky na využívanie zverejňovaných informácií spravovaných certifikačnou autoritou treťou stranou, požiadavky na využívanie adresárov spravovaných certifikačnou autoritou treťou stranou.
Informácie súvisiace s pravidelnými auditmi zhody s deklarovanými záväzkami, a to
c) zoznam oblastí, ktoré sú predmetom auditu zhody,
2.9. Ochrana práv duševného vlastníctva
Opis vlastníckych práv k certifikátom, procedúram a kľúčom.
Opis procedúr súvisiacich s autentifikáciou žiadateľa o certifikát pri prvom vydaní certifikátu, pri zrušení certifikátu a pri vydaní následného certifikátu.
Procesy súvisiace s vydaním následného certifikátu, ak bol existujúci certifikát zrušený.
Opis procedúr súvisiacich s vydávaním certifikátov.
Procesy súvisiace so zaregistrovaním žiadateľa o certifikát a s vystavením žiadosti o vydanie certifikátu.
Procesy súvisiace s vydaním certifikátu a informovaním žiadateľa o certifikát o vydaní certifikátu.
Procesy súvisiace so zrušením certifikátu sú
e) určenie periodicity publikovania zoznamu zrušených certifikátov,
g) opis možností on-line zisťovania stavu certifikátu a požiadavky na používateľov certifikátov na využívanie on-line mechanizmov na zisťovanie stavu certifikátu,
i) akákoľvek kombinácia predchádzajúcich mechanizmov, ak dôvodom zrušenia certifikátu je kompromitácia súkromného kľúča.
Procesy súvisiace so zaznamenávaním prevádzkových udalostí a systému auditu sú
a) typy zaznamenávaných prevádzkových udalostí,
Procesy súvisiace s archiváciou záznamov so zameraním na
b) lehotu uchovávania archívnych záznamov,
c) prístupové práva a ochranu archívnych záznamov proti modifikácii a proti vymazaniu,
d) zálohovanie archívnych záznamov,
Procesy súvisiace s riešením havarijných situácií. Každá z týchto oblastí sa rozpracúva samostatne a ide o procedúry
a) na obnovu činností, vrátane činností počas samotnej havárie, ak výpočtové zdroje, programové vybavenie alebo údaje certifikačnej autority sú poškodené alebo je podozrenie, že sú poškodené; procedúry opisujú spôsob obnovenia bezpečného prostredia, určenia, ktoré certifikáty sa zrušia, či možno ďalej používať súkromný kľúč certifikačnej autority, ako sa nový verejný kľúč zverejní,
b) obnovy, ak certifikát certifikačnej autority je zrušený; procedúry opisujú spôsob obnovy bezpečného prostredia a spôsob zverejnenia nového verejného kľúča,
c) obnovy, ak súkromný kľúč certifikačnej autority je skompromitovaný; procedúry opisujú spôsob obnovy bezpečného prostredia a spôsob zverejnenia nového verejného kľúča,
d) certifikačnej autority pre prevádzku a obnovu prevádzky v prípade havarijných situácií (napríklad katastrofy prírodnej alebo inej povahy) a pred obnovou bezpečného prevádzkového prostredia v pôvodných alebo náhradných prevádzkových priestoroch.
Opis bezpečnostných opatrení certifikačnej autority na zabezpečenie bezpečnej prevádzky a činnosti. V rámci opisovaných opatrení je samostatná pozornosť venovaná certifikačnej autorite, adresárovým službám, registračnej autorite, ako aj používateľom.
Opis fyzických bezpečnostných opatrení súvisiacich s prevádzkovými priestormi certifikačnej autority. Opisované oblasti zahŕňajú
c) elektrické napájanie a vzduchotechniku,
e) opatrenia ochrany pred požiarmi,
f) uchovávanie technických nosičov dát,
g) nakladanie s odpadmi,
Opis bezpečnostne kritických rolí a ich zodpovedností súvisiacich so zabezpečením prevádzky. Počet osôb požadovaných na splnenie každej úlohy. Požiadavky na identifikáciu a autentifikáciu definovaných rolí sa môžu formulovať v tejto časti.
Personálne bezpečnostné opatrenia obsahujú
a) požiadavky na procedúry preverovania osôb súvisiacich s obsadzovaním bezpečnostne kritických rolí, ako aj ďalšieho personálu certifikačnej autority,
e) sankcie za neautorizovanú činnosť, neautorizované využívanie pridelených práv a prístupu k systémom,
g) požiadavky na dokumentáciu poskytovanú jednotlivým pracovníkom.
Opis technických bezpečnostných opatrení certifikačnej autority na ochranu kryptografických kľúčov a aktivačných údajov, ako sú napríklad heslá, PIN čísla, kľúče. Táto časť môže definovať požiadavky na adresárové služby a ďalšie subjekty, napríklad registračné autority súvisiace s ochranou kryptografických kľúčov a kritických bezpečnostných parametrov. Opis technických bezpečnostných opatrení využívaných na bezpečné generovanie párov kľúčov, autentifikáciu používateľov, vydávanie certifikátov, zrušenie certifikátov, audit a archiváciu.
Generovanie a inštalácia páru kľúčov sa opisuje pre vydavateľa certifikátov, registračné autority, adresárové služby, držiteľov certifikátov a používateľov certifikátov. Rozpracúvajú sa oblasti, v ktorých sa identifikuje,
b) spôsob bezpečného poskytnutia súkromného kľúča danému subjektu,
c) spôsob bezpečného poskytnutia súkromného kľúča daného subjektu vydavateľovi certifikátu,
d) spôsob bezpečného poskytnutia verejného kľúča certifikačnej autority používateľom certifikátu,
g) kontrola kvality parametrov v procese generovania kľúčov,
h) spôsob generovania kľúčov softvérovými alebo hardvérovými prostriedkami,
i) spôsob použitia, na ktorý sa kľúč generuje alebo na aké účely je jeho používanie obmedzené.
Analyzujú sa požiadavky na ochranu súkromného kľúča, a to
a) aké štandardy sa vyžadujú pre modul generujúci kľúče, napríklad FIPS 140-2,
c) ak je možnosť rekonštrukcie súkromného kľúča, určuje sa, kto je vykonávateľom rekonštrukcie, akou formou sa príslušný kľúč rekonštruuje a aké sú bezpečnostné opatrenia v takomto systéme; rekonštrukciou súkromného kľúča sa rozumie metóda tzv. „key escrow“,
d) ak je súkromný kľúč zálohovaný, určuje sa, kto vykonáva zálohovanie, akým spôsobom sa zálohovanie vykonáva a ako sa záloha chráni,
e) ak je súkromný kľúč archivovaný, určuje sa, kto vykonáva archiváciu, akým spôsobom sa archivácia vykonáva a ako sa archivovaný kľúč chráni,
g) kto môže aktivovať a používať súkromný kľúč, akým spôsobom sa aktivácia vykonáva, napríklad prihlásenie používateľa, PIN číslo, token, automaticky; pri aktivácii kľúča, ako dlho je kľúč aktivovaný, jednorazovo, na určitý čas, neobmedzene,
Opis ďalších aspektov manažmentu párových dát pre všetky subjekty obsahuje údaje,
b) o časových intervaloch používania párových dát pre súkromné kľúče a verejné kľúče.
Opis bezpečnostných opatrení na ochranu aktivačných údajov pre celý životný cyklus aktivačných údajov od ich generovania po používanie, archiváciu a zničenie. Pre aktivačné údaje treba riešiť analogické problémy ako pri ochrane kľúčov.
Opis počítačových bezpečnostných opatrení, napríklad používanie bezpečných systémov, riadenie prístupu, audit, testovanie bezpečnosti a penetračné testovanie. Môže byť popísaný aj spôsob získavania produktov, hodnotenie bezpečnosti počítačového systému, napríklad podľa technickej normy,6) požiadavky na vyhodnocovanie a testovanie produktov, ich certifikáciu a akreditáciu.
Opis bezpečnostných opatrení na vývoj, napríklad bezpečnosť vývojového prostredia, bezpečnosť vývojového tímu, bezpečnosť systému riadenia konfigurácií a údržby, vývojové postupy, modularita, využívanie návrhu zabezpečujúceho odolnosť proti výpadkom a chybám. Opatrenia na riadenie bezpečnosti môžu opisovať vykonávané testy zamerané na zistenie súladu systémov a sietí s definovanými štandardmi. Tieto prostriedky môžu byť zamerané na kontrolu integrity bezpečnostného softvéru, firmvéru a hardvéru na zabezpečenie ich správnej a kontrolovanej prevádzky.
Opatrenia na ochranu, návrh a využívanie kryptografických modulov, určenie rozhrania a okolia modulu, vstupy, výstupy, role a služby, stavový diagram, fyzická bezpečnosť a softvérová bezpečnosť, zhoda so schválenými algoritmami, elektromagnetická kompatibilita a vnútorné testy. Požiadavky môžu byť definované referenciou používaného štandardu, napríklad FIPS 140-2.
Opis profilov certifikátov a zoznamu zrušených certifikátov.
Procedúry realizácie zmien pre potrebu aktualizácie alebo zmeny certifikačného poriadku, ktoré obsahujú zoznam súčastí špecifikácií,
a) ktoré sa môžu zmeniť bez oznámenia a bez zmien identifikátora certifikačného poriadku,
b) ktoré sa môžu zmeniť po uplynutí oznamovacieho intervalu bez zmien identifikátora certifikačného poriadku; procedúry na oznamovanie zmien sa opisujú tiež vrátane termínov na pripomienkovanie a zapracovanie pripomienok, mechanizmov na záverečné zapracovanie zmien pred zavedením zmien,
c) ktorých zmena vyžaduje zmenu identifikátora certifikačného poriadku.
8.2. Procedúry na zverejňovanie a upozornenie sú
a) mechanizmy na distribuovanie certifikačného poriadku vrátane riadenia prístupov v takejto distribúcii,
b) zoznam dokumentov, informácií a procedúr, ktoré existujú, ale sa nezverejňujú.
Príloha č. 2 k vyhláške č. 133/2009 Z. z.
Štruktúra pravidiel na výkon certifikačných činností je zhodná so štruktúrou podľa prílohy č. 1 a obsahuje informácie, ako certifikačná autorita plní požiadavky podľa certifikačného poriadku identifikovaného objektovým identifikátorom.
Dokument pravidiel na výkon certifikačných činností obsahuje najmenej jeden objektový identifikátor certifikačného poriadku a odkaz na adresu webového sídla, na ktorom sa nachádza certifikačný poriadok definujúci požiadavky identifikované objektovým identifikátorom.“.
„6) Súbor ISO/IEC 15408 Information technology. Security techniques. Evaluation criteria for IT security (Informačné technológie. Bezpečnostné techniky. Kritériá na hodnotenie bezpečnosti IT).“.