Certification Practice Statement

Ministerie van Defensie Certificatie Autoriteit

Certification Practice Statement voor de Defensiepas Certificatie Autoriteit

Titel

Certification Practice Statement

Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Inhoud Introductie op het CPS ..................................................................................... 5

1 1.1 1.2 1.3 1.4 1.5 1.6

2

Publicatie en elektronische opslagplaatsen ...................................................... 9 2.1 2.2 2.3 2.4

3

Elektronische opslagplaatsen ............................................................................................................................................ 9 Publicatie van CSP-informatie ........................................................................................................................................... 9 Tijdstip of frequentie van publicatie .................................................................................................................................... 9 Toegang tot gepubliceerde informatie .............................................................................................................................. 10

Identificatie en authenticatie ......................................................................... 11 3.1 3.2 3.3 3.4

4

Naamgeving .................................................................................................................................................................... 11 Initiële identiteitsvalidatie ................................................................................................................................................. 11 Identificatie en authenticatie bij vernieuwing certificaat .................................................................................................... 12 Identificatie en authenticatie bij een intrekkingsverzoek ................................................................................................... 13

Operationele eisen certificaatlevenscyclus ..................................................... 14 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9 4.10 4.11 4.12

5

Aanvragen van certificaten .............................................................................................................................................. 14 Verwerken van certificaataanvragen ................................................................................................................................ 14 Uitgeven van certificaten.................................................................................................................................................. 15 Acceptatie van certificaten ............................................................................................................................................... 15 Sleutelpaar en certificaatgebruik ...................................................................................................................................... 16 Routinematige vernieuwing van het certificaat ................................................................................................................. 16 Vernieuwing van het certificaat en de sleutels.................................................................................................................. 16 Aanpassen van het certificaat .......................................................................................................................................... 16 Intrekking en opschorting van certificaten ........................................................................................................................ 16 Certificaat statusservice................................................................................................................................................... 18 Beëindiging van het abonnement..................................................................................................................................... 19 Sleutel-escrow en –herstel............................................................................................................................................... 19

Fysieke en procedurele beheersmaatregelen ................................................. 22 5.1 5.2 5.3 5.4 5.5 5.6 5.7 5.8 5.9

6

Fysieke beheersmaatregelen ........................................................................................................................................... 22 Procedurele beheersmaatregelen .................................................................................................................................... 23 Personele beheersmaatregelen ....................................................................................................................................... 23 Disciplinair proces ........................................................................................................................................................... 24 Audit-log procedures........................................................................................................................................................ 24 Archiveringsprocedures ................................................................................................................................................... 25 Procedures voor vernieuwing van de CSP-sleutel ........................................................................................................... 26 Aantasting en continuïteit................................................................................................................................................. 26 Beëindiging van de CSP-diensten ................................................................................................................................... 27

Technische beveiliging ................................................................................... 28 6.1 6.2 6.3 6.4 6.5 6.6 6.7 6.8

7

Genereren en installeren van sleutelparen....................................................................................................................... 28 Beheersmaatregelen private sleutels en cryptografische modules ................................................................................... 29 Andere aspecten van sleutelpaarmanagement ................................................................................................................ 30 Activeringsgegevens........................................................................................................................................................ 31 Beheersmaatregelen computersystemen ......................................................................................................................... 31 Beheersmaatregelen technische levenscyclus ................................................................................................................. 32 Netwerk beheersmaatregelen .......................................................................................................................................... 32 Time-stamping ................................................................................................................................................................. 32

Certificaat-, CRL- en OCSP-profielen .............................................................. 33 7.1 7.2 7.3

8

Overzicht Certificatie Autoriteit ........................................................................................................................................... 5 Doel en verwijzingen Certification Practice Statement ....................................................................................................... 5 Betrokken partijen.............................................................................................................................................................. 6 Certificaatgebruik............................................................................................................................................................... 7 CPS-beheer....................................................................................................................................................................... 8 Definities en afkortingen .................................................................................................................................................... 8

Certificaatprofielen........................................................................................................................................................... 34 CRL-profielen .................................................................................................................................................................. 35 OCSP-profielen ............................................................................................................................................................... 35

Conformiteitsbeoordeling ............................................................................... 36

Pagina 2 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9


Algemene en juridische bepalingen ................................................................ 37 9.1 9.2 9.3 9.4 9.5 9.6 9.7 9.8 9.9 9.10 9.11 9.12 9.13 9.14 9.15 9.16

10 11

Tarieven .......................................................................................................................................................................... 37 Financiële verantwoordelijkheid en aansprakelijkheid ...................................................................................................... 37 Vertrouwelijke (bedrijfs)gegevens .................................................................................................................................... 37 Vertrouwelijkheid van persoonsgegevens ........................................................................................................................ 37 Intellectuele eigendomsrechten ....................................................................................................................................... 39 Aansprakelijkheid en verplichtingen ................................................................................................................................. 40 Disclaimers ...................................................................................................................................................................... 41 Beperkingen van aansprakelijkheid.................................................................................................................................. 42 Boeteclausules ................................................................................................................................................................ 42 Geldigheidstermijn en beëindiging van de geldigheid CPS .............................................................................................. 42 Communicatie tussen betrokkenen .................................................................................................................................. 42 Wijzigingen ...................................................................................................................................................................... 43 Geschillenbeslechting ...................................................................................................................................................... 43 Van toepassing zijnde wetgeving ..................................................................................................................................... 43 Naleving van wetgeving ................................................................................................................................................... 43 Overige bepalingen.......................................................................................................................................................... 44

Bijlage 1. Afkortingen .................................................................................... 45 Bijlage 2. Documenten ................................................................................... 46

Pagina 3 van 47

Titel


Status

definitief


Versienummer

2.6

Datum

8 mei 2014

Versiebeheer Versie 0.1 0.2

Datum 10/05/07 14/09/07

0.9 0.91

01/10/07 15/10/07

0.92

28/10/07

0.93 1.0 1.1

12/11/07 15/11/07

1.2

08/04/08

1.3

02/08/10

1.4 1.5 1.6

24/11/2010 27/12/2010 07/02/2011

2.0

15/02/2011

2.1 2.2

04/10/2011 Aanpassingen t.b.v. de crosscertificering 15/11/2011 Verwerkt commentaar op de aanpassingen t.b.v. de crosscertificering 01-04-2012 Verwerken bevindingen uit de certificeringsaudit van 2012 15-08-2012 Aanpassing n.a.v. pinbrief naar huisadres oktoberAanpassing Bijlage 2 en diverse links. 2013 Na de reorganisatie moet het CPS verder worden aangepast en definitief worden gemaakt. 8 mei 2014 Aanpassingen nav de nieuwe Defensie IVorganisatie; het JIVC.

2.3 2.4 2.5c

2.6c

Reden van wijziging Initiële versie project Defensiepas/BBC Review ir. B.M.P. Giesbers MSIT Review E.E. de Vries (hoofdstuk 6) Toevoegingen BASTION verwerkt Concept versie statement of applicability Concept aangepast op bevindingen externe auditors Concept aangepast op kanttekeningen van DJZ Concept aangepast op bevinding Doc11 Definitieve versie CPS OID ingevoegd; Aangepast aan kanttekeningen Stuurgroep Aangepast aan Aanwijzing SG "Rollen en verantwoordelijkheden certificatiedienstverlening PKI". Aanvullende maatregelen m.b.t. borging van functiescheiding – Bevinding uit de audit van juli 2010 Realisatie ECP2 – SHA2 en RSA2048 Review functioneel beheer DP Verwerken bevindingen uit de certificeringsaudit van 2011 Validatie door KPMG. Definitieve versie.

Auteur Project Defensiepas/BBC Project Defensiepas/BBC

Project Defensiepas/BBC Project Defensiepas/BBC Project Defensiepas/BBC Project Defensiepas/BBC Project Defensiepas/BBC Project Defensiepas/BBC Project Defensiepas/BBC

M. Dandoua

M. Dandoua Drs. A.L. Hristova RE CISA M. Dandoua, ing. T.A.H. Voss J. ter Hart M. Dandoua Drs. A.L. Hristova RE CISA Drs. A.L. Hristova RE CISA Kap P.O.K. de Jongh Kap P.O.K. de Jongh Ing. R. van Soest R. Vester

Ing. R. van Soest R. Vester Drs. G.J. Eggink

Pagina 4 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

1


Introductie op het CPS

Defensie biedt een basisvoorziening betrouwbare communicatie (BBC) voor Defensiemedewerkers. De veilige communicatie is gebaseerd op elektronische identiteitsbewijzen (zogenaamde certificaten) die zich op de Defensiepas, het identiteitsbewijs van medewerkers van het Ministerie van Defensie, bevinden. Defensie houdt zich aan de normering, het programma van eisen van de Public Key Infrastructure Overheid (PKI-O). Logius is de PA (Policy Authority) voor PKI-O. Het Ministerie van Defensie heeft een eigen certificatiedienstverlener (CSP), die deze certificaten uitgeeft en zich garant stelt voor de betrouwbaarheid ervan. De CSP verantwoordelijkheid is belegd bij de volgende organisatie: Defensie Materieel organisatie, het Joint Informatievoorzieningscommando, Vraag- en Aanbodsmanagement, hoofd Informatiemanagement en Architectuur (DMO/JIVC/VAM/H-I&A).

1.1

Overzicht Certificatie Autoriteit

Voordat een Defensiepashouder gebruik kan maken van de Defensiepas is zijn identiteit tijdens de aanvraag gecontroleerd. Hij heeft zich hiervoor initieel in persoon moeten melden. Vervolgens is de Defensiepas gemaakt. Tegelijk is een elektronisch identiteitsbewijs gemaakt in de vorm van elektronische certificaten, die op de Defensiepas zijn geplaatst. Het geheel van Defensiepas en certificaten – de fysieke en elektronische identiteitsbewijzen – wordt in dit document aangeduid als Defensiepas1. De CA (Certificatie Autoriteit) geeft certificaten uit waarmee een Defensiepashouder zich kan identificeren ("authenticiteitcertificaat"), een wettelijk erkende elektronische handtekening kan zetten ("handtekeningcertificaat") en gegevens versleutelen ("vertrouwelijkheidcertificaat"). Elke houder van een type 1 of 2 Defensiepas (type 1 passen hebben als doelgroep militairen burgerpersoneel, type 2 passen hebben als doelgroep buitenlands militairen burgenpersoneel en extern inhuurpersoneel) krijgt alle drie typen certificaten op zijn Defensiepas. De in de bedrijfsprocessen toegepaste software (toepassing) bepaalt welke functies daadwerkelijk kunnen worden gebruikt. De CA is aangesloten bij de PKI voor de overheid. De PKI voor de overheid is een afsprakenstelsel. Dit maakt generiek en grootschalig gebruik mogelijk van de elektronische handtekening, en faciliteert voorts identificatie op afstand en vertrouwelijke communicatie. De Autoriteit Consument en Markt (ACM) ziet toe op de naleving van de regelgeving waaraan de CA zich gebonden weet, voor de wettelijke digitale handtekening. De CA is bovendien een gecertificeerde dienstverlener. Deze certificatie wordt jaarlijks bevestigd op basis van een onderzoek door een onafhankelijke, externe auditor.

1.2

Doel en verwijzingen Certification Practice Statement

Het Certification Practice Statement (CPS) van de CA beschrijft op welke wijze invulling wordt gegeven aan de certificatiedienstverlening.

1.2.1

Doel Certification Practice Statement

Het CPS beschrijft de processen, procedures en beheersingsmaatregelen voor het aanvragen, produceren, verstrekken, beheren en intrekken van de Defensiepas met certificaten. Dit CPS onderbouwt het vertrouwen dat Defensiepashouders, vertrouwende partijen en overige betrokkenen mogen stellen in de door de CA geleverde diensten.

1

Daarbij geldt de beperking dat alleen Defensiepassen van het type 1 en 2 van certificaten zijn

voorzien.

Pagina 5 van 47

Titel


Status

definitief Certificatie Autoriteit

Versienummer

2.6

Datum

8 mei 2014

1.2.2

Ministerie van Defensie

Verhouding Certificate Policy en CPS

De CA is aangesloten bij de PKI voor de overheid waardoor de regelgeving van de PKI voor de overheid voor de CA van kracht is. Deze regelgeving is beschreven in de Certificate Policies (CP’s) van de PKI voor de overheid. Voor de Defensiepas zijn daarvan de CP Domein Overheid en Bedrijven (G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie) van belang. Evenals de CP’s van de PKI voor de overheid volgt dit CPS de indeling van de Request for Comments, RfC 3647. Volledigheidshalve zijn de "kopjes" van deze RfC in dit CPS opgenomen. Als "kopjes" niet relevant zijn voor dit CPS is de zinsnede opgenomen: "RfC 3647: niet nader bepaald voor de certificatiedienstverlening van Defensie". De CP’s van de PKI voor de overheid geven in belangrijke mate invulling aan de Wet elektronische handtekeningen (Weh) en de bijbehorende regelgeving, met name het Besluit elektronische handtekeningen (Beh) en de Regeling elektronische handtekeningen (Reh). Voorliggend CPS beschrijft op welke wijze invulling is gegeven aan de eisen in de CP Domein Overheid en Bedrijven (G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie). De CP Domein Overheid en Bedrijven (G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie) bevat regelgeving voor drie typen certificaten. De regelgeving kan per type certificaat via Object Identifiers (OID’s) worden geïdentificeerd. Binnen Defensie worden 2 certificaattypen onderkend; een onder de G1-certificatenhiërarchie en een ander onder de G2-certificatenhiërarchie. De G1-certificatenhiërarchie wordt op termijn uitgefaseerd. Er worden geen certificaten meer uitgegeven onder de G1 certificatenhiërarchie. De laatste certificaten onder deze hiërarchie verlopen op 1 januari 2016. Certificaattype policyIdentifier (OID) Omschrijving Authenticiteit 2.16.528.1.1003.1.2.2.1 OID van de PKI-overheid Certificate Policy voor authenticiteitcertificaten in het domein Overheid en Bedrijven. Handtekening 2.16.528.1.1003.1.2.2.2 OID van de PKI-overheid Certificate Policy voor handtekeningcertificaten in het domein Overheid en Bedrijven. Vertrouwelijkheid 2.16.528.1.1003.1.2.2.3 OID van de PKI-overheid Certificate Policy voor vertrouwelijkheidcertificaten in het domein Overheid en Bedrijven. Tabel 1. G1-hiërarchie – OID's CP Domein Overheid en Bedrijven Certificaattype policyIdentifier (OID) Omschrijving Authenticiteit 2.16.528.1.1003.1.2.5.1 OID van de PKI-overheid Certificate Policy voor authenticiteitcertificaten in het domein Organisatie. Handtekening 2.16.528.1.1003.1.2.5.2 OID van de PKI-overheid Certificate Policy voor handtekeningcertificaten in het domein Organisatie. Vertrouwelijkheid 2.16.528.1.1003.1.2.5.3 OID van de PKI-overheid Certificate Policy voor vertrouwelijkheidcertificaten in het domein Organisatie. Tabel 2. G2-hiërarchie – OID's CP Domein Organisatie

1.2.3

Verwijzingen naar dit CPS

Dit CPS is beschikbaar op de website van de CA. Adres op Internet (link)

http://cps.dp.ca.mindef.nl

OID

2.16.528.1.1003.1.3.2.6

Tabel 3. Verwijzingen naar dit CPS

1.3

Betrokken partijen

De CSP van het Ministerie van Defensie, de CA, is intern Defensie georganiseerd conform de Aanwijzing SG betreffende Rollen en verantwoordelijkheden certificatiedienstverlening PKI en het "Besturingsmodel Defensie" [ref 37] met de daarin opgenomen BPB-cyclus (Beleidsvorming, Plannen en Begroten).

Pagina 6 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Partijen die een belangrijke rol spelen bij de certificatiedienstverlening zijn de leverancier van Certification Authority diensten (CA) en de Registration Authority (RA). Aan de gebruikerszijde vinden we de Defensiepashouders en de Vertrouwende partijen. Deze betrokken partijen zijn hieronder toegelicht.

1.3.1

Leverancier CA-diensten

De CA produceert en publiceert aangevraagde certificaten op basis van een verzoek van de RA. Nadat de CA een verzoek tot intrekking van het certificaat heeft ontvangen, trekt de CA het certificaat in en stelt dit bekend via de Certification Revocation List (CRL). Binnen Defensie is DMO/JIVC/VAM de coördinerend CSP. DMO/Operations (OPS) treedt op als uitvoerend CSP. De spelregels rond de aansturing van OPS zijn in managementafspraken[ref 40, 41, 42, 43] neergelegd. Er is een strikte scheiding tussen de drie onverenigbare rollen: • eigenaarschap is belegd bij Directeur DMO; • opdrachtgeverschap is belegd bij D-JIVC • opdrachtnemerschap is belegd bij C-OPS. OPS zelf maakt hierbij gebruik van diensten van onderaannemers, te weten: ATOS (met als onderleverancier KPN) en MORPHO.

1.3.2

Registration authority

De RA zorgt voor de verwerking van certificaataanvragen. De RA verzamelt de identificatiegegevens, controleert en registreert deze. De RA geeft opdracht aan de coördinerend CSP voor het produceren van de Defensiepassen en het publiceren van certificaten. De coördinerend CSP laat de opdracht vervolgens uitvoeren bij de uitvoerend CSP, mits deze opdracht valt binnen de gemaakte managementafspraken[ref 40, 41, 42, 43] . De RA taken worden uitgevoerd door medewerkers van Defensie.

1.3.3

Defensiepashouders

De Defensiepas is de drager van de certificaten en sleutels ("elektronische identiteitsbewijzen"). Een certificaathouder is derhalve per definitie ook Defensiepashouder. In dit CPS is de voorkeur gegeven aan de term Defensiepashouder. Een houder van een Defensiepas met certificaten is houder van een type 1 of 2 Defensiepas. Type 1 is bestemd voor medewerkers van Defensie. Type 2 wordt verstrekt aan inhuurmedewerkers, die voor het verrichten van werkzaamheden toegang tot de Defensie ICT-infrastructuur dienen te hebben, aan buitenlandse militairen of aan burgers met NATO-status tijdens hun verblijf op Nederlands grondgebied. In termen van de PKI voor de overheid is een Defensiepashouder de persoon die in het certificaat is gekenmerkt als de houder van de private sleutels die zijn verbonden met de publieke sleutels die in de certificaten zijn opgenomen. De in de CP Domeinen Overheid en Bedrijven (G1-hiërarchie) en Organisatie (G2- hiërarchie) onderkende rol van abonnee, is bij het Ministerie van Defensie niet van toepassing. De plichten van de abonnee, waarvan in de CP sprake is, zijn belegd bij de Defensiepashouder.

1.3.4

Vertrouwende partijen

Een vertrouwende partij is iedere natuurlijke of rechtspersoon die ontvanger is van een certificaat dat is uitgegeven door de CA en die handelt in vertrouwen op dat certificaat.

1.3.5

Overige betrokkenen

RfC 3647: niet nader bepaald voor de certificatiedienstverlening van Defensie.

1.4

Certificaatgebruik

Door de CA uitgegeven private sleutels worden altijd en exclusief gebruikt door Defensiepashouders die handelen namens het Ministerie van Defensie.

Pagina 7 van 47

Titel


Status


Versienummer

2.6

Datum

8 mei 2014

1.4.1


Passend certificaatgebruik

De CA geeft drie typen certificaten uit. Type certificaat

Doel

Authenticiteitcertificaat

Dit certificaat wordt gebruikt om de Defensiepashouder te identificeren en authenticeren. Dit certificaat wordt gebruikt om een elektronische handtekening te verifiëren die door de Defensiepashouder is gezet.

Handtekeningcertificaat Vertrouwelijkheidcertificaat

Dit certificaat wordt gebruikt voor het versleutelen van gegevens voor de communicatie met de Defensiepashouder.

Tabel 4. Certificaatgebruik

De drie typen certificaten mogen slechts worden gebruikt voor het doel dat in tabel 4. Certificaatgebruik is genoemd.

1.4.2

Niet toegestaan certificaatgebruik

Slechts het in paragraaf 1.4.1. beschreven passend certificaatgebruik is toegestaan. Zo mag bijvoorbeeld het Handtekeningcertificaat uitsluitend worden gebruikt voor het verifiëren van een elektronische handtekening. Het vertrouwelijkheidcertificaat mag niet gebruikt worden voor versleutelde opslag van gegevens, maar alleen voor versleuteling van gegevens tijdens de communicatie met de Defensiepashouder.

1.5

CPS-beheer

Het CSP-management en de CA van het Ministerie van Defensie is conform het Besturingsmodel van Defensie [ref 37] belegd bij JIVC. De CSP verantwoordelijkheid is belegd bij JIVC/VAM/H-I&A [ref 38, 39].

1.5.1

Verantwoordelijke voor het beheer van dit CPS

Het CPS wordt uitgegeven onder verantwoordelijkheid van de CA.

1.5.2

Contactgegevens

Informatie over dit CPS of de dienstverlening van de CA kan worden verkregen via onderstaande contactgegevens. Commentaar op het voorliggend CPS kan worden gericht aan hetzelfde adres. E-mailadres: [email protected]

1.5.3

Conformiteit van het CPS met de CP’s

De beoordeling van de conformiteit van dit CPS met de CP Domeinen Overheid en Bedrijven (G1 hiërarchie) en met het domein Organisatie (G2-hiërarchie) is onderdeel van de certificering van de CA op grond van een onderzoek door een onafhankelijke auditor. De conformiteitsverklaring van de CA vindt u op de website van de CA: http://cps.dp.ca.mindef.nl/mindef-ca-dp-cps/

1.6

Definities en afkortingen

Voor een verklaring van de gebruikte afkortingen wordt verwezen naar bijlage 1. Afkortingen en naar het Programma van Eisen van de PKI voor de overheid, deel 4: Definities en Afkortingen.

Pagina 8 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

2


Publicatie en elektronische opslagplaatsen

De CA publiceert informatie op een aantal locaties op het Defensie intranet en op Internet.

2.1

Elektronische opslagplaatsen

Er zijn in beginsel vijf locaties: de algemene website van het Ministerie van Defensie op Intranet en op Internet, de Corporate Directory van Defensie, een Defensie Publicatie Systeem (DPS) en een Internet Publicatie Systeem (IPS). De website van het Ministerie van Defensie op intranet, het Defensie Publicatie Systeem en de Corporate Directory bevinden zich binnen het Defensie domein en zijn slechts toegankelijk voor medewerkers van Defensie. Vanwege het publieke karakter van de CA is informatie tevens aangeboden op Internet en bereikbaar via de algemene website van het Ministerie van Defensie en het Internet Publicatie Systeem. Voor de CP Domein Overheid en Bedrijven (G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie) wordt verwezen naar de site van PKI-Overheid (http://www.logius.nl/producten/toegang/pkioverheid/

2.2

Publicatie van CSP-informatie

In de volgende tabel zijn de typen informatie en de locaties op intranet en Internet beschreven. G1 Informatie

URLs INTERNET/INTRANET

CPS: Ministerie van Defensie CA Ministerie van Defensie CA Defensiepas Certificaten: Ministerie van Defensie CA Ministerie van Defensie CA Defensiepas Certificate Revocation Lists: Ministerie van Defensie CA Ministerie van Defensie CA Defensiepas OCSP Online Certificate Status (Intranet) Online Certificate Status (Internet) G2 Informatie CPS: Ministerie van Defensie Ministerie van Defensie Certificaten: Ministerie van Defensie Ministerie van Defensie

http://cps.ca.mindef.nl/mindef-ca-cps/ http://cps.dp.ca.mindef.nl/mindef-ca-dp-cps/ http://certs.ca.mindef.nl/mindef-ca-20080422.crt http://certs.dp.ca.mindef.nl/mindef-ca-dp-20080428.crt http://crls.ca.mindef.nl/mindef-ca-latest.crl http://crls.dp.ca.mindef.nl/mindef-ca-dp-latest.crl http://ocsp.dp.ca.mindef.nl http://certs.ca.mindef.nl/ips/

URLs INTERNET/INTRANET CA – G2 CA Defensiepas – G2

http://cps.ca.mindef.nl/mindef-ca-cps/ http://cps.dp.ca.mindef.nl/mindef-ca-dp-cps/

CA – G2 CA Defensiepas- G2

http://certs.ca.mindef.nl/mindef-ca-2.cer http://certs.dp.ca.mindef.nl/mindef-ca-dp-2.cer

Certificate Revocation Lists: Ministerie van Defensie CA – G2 Ministerie van Defensie CA Defensiepas – G2 OCSP Online Certificate Status (Intranet) Online Certificate Status (Internet)

http://crls.ca.mindef.nl/mindef-ca-2.crl http://crls.dp.ca.mindef.nl/mindef-ca-dp-2.crl http://ocsp.dp.ca.mindef.nl http://certs.ca.mindef.nl/ips/

Tabel 5. CSP-informatie locaties

2.3

Tijdstip of frequentie van publicatie

De gepubliceerde CSP-informatie kan vierentwintig uur per dag en zeven dagen per week worden geraadpleegd. In het geval van gepland onderhoud of storingen zijn maatregelen getroffen om binnen 24 uur deze dienstverlening te herstellen. De beschikbaarheid en frequentie van de publicatie van de certificaten en de certificaatstatusinformatie (CRL en OCSP) is in dit CPS beschreven in hoofdstuk 4.

Pagina 9 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

2.4


Toegang tot gepubliceerde informatie

De in paragraaf 2.2 genoemde CSP-informatie die op het Internet is gepubliceerd, is publiek van aard en vrij toegankelijk. Voor certificaten is een zoekapplicatie beschikbaar gesteld.

Pagina 10 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

3


Identificatie en authenticatie

Dit hoofdstuk beschrijft op welke wijze de identificatie en authenticatie van certificaataanvragers plaatsvindt tijdens de registratieprocedure en welke criteria gelden voor de naamgeving.

3.1

Naamgeving

In alle certificaten die door de CA worden uitgegeven, is de naam van de Defensiepashouder opgenomen

3.1.1

Soorten naamformaten

De naam van Defensiepashouder wordt altijd en exclusief onttrokken aan het personeelsysteem van Defensie, PeopleSoft (het bronsysteem). De naam van Defensiepashouder bestaat uit karakters uit de Latin-reeksen van Unicode. Een toelichting op de verdere inhoud van de certificaten is opgenomen in hoofdstuk 7.

3.1.2

Betekenisvolle namen


3.1.3

Anonimiteit of pseudonimiteit van certificaathouders

Anonimiteit of het gebruik van pseudoniemen wordt niet ondersteund.

3.1.4

Regels voor interpretatie van naamformaten


3.1.5

Uniciteit van namen

De CA garandeert dat de naam van de Defensiepashouder in het certificaat uniek is. Hetgeen betekent dat de onderscheidende naam die is gebruikt in een uitgegeven certificaat, nooit kan worden toegewezen aan een andere Defensiepashouder. Dit gebeurt door middel van het toevoegen van een personeelsnummer aan de naam.

3.1.6

Erkenning, authenticatie, handelsmerken


3.2

Initiële identiteitsvalidatie

De identiteit van de Defensiepashouder wordt initieel gevalideerd door gebruik te maken van de processen zoals beschreven in de sub-pagrafen van paragraaf 3.2.

3.2.1

Methode om bezit private sleutel te bewijzen

De sleutelparen worden in een gecontroleerde en afgeschermde ruimte, als onderdeel van het personalisatieproces in een cryptografische module gegenereerd en vervolgens via een beveiligde communicatiesessie in de smartcard geladen. De private sleutel kan de smartcard niet verlaten. De Defensiepashouder is niet betrokken bij dit proces en behoeft niet te bewijzen in bezit te zijn van de private sleutel die behoort bij de publieke sleutel in het certificaat.

3.2.2

Authenticatie van de organisatorische identiteit

De persoons- en organisatorische gegevens voor Defensiepassen (type 1 en 2) worden altijd en exclusief onttrokken aan het personeelsysteem van Defensie (het bronsysteem). Het is bij Defensiepassen niet mogelijk om via handmatige invoer van gegevens, buiten het personeelsysteem van Defensie om, een geldige certificaataanvraag in te dienen. Doordat het personeelsysteem van Defensie het enige bronsysteem is bij certificaataanvragen, is gegarandeerd dat de Defensiepashouder verbonden is met het Ministerie van Defensie.

Pagina 11 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

3.2.3


Authenticatie van de persoonlijke identiteit

Authenticatie van de persoonlijke identiteit van de Defensiepashouders vindt, op grond van een WIDdocument (Wet op de Identificatieplicht) en de aanwezigheid van de Defensiepashouder in persoon, plaats bij het nemen van de digitale foto en bij verstrekking van de Defensiepas. In alle gevallen controleert een medewerker van de CA of de pasfoto op de Defensiepas c.q. de pasfoto op het overlegde identificatiedocument overeenstemmen met de fysieke verschijning. Tevens worden de echtheidskenmerken van het WID-document gecontroleerd. Authenticatie bij de fotograaf De persoonsgegevens voor de Defensiepas zijn grotendeels afkomstig uit het personeelsysteem van Defensie. Het personeelsysteem van Defensie levert echter niet de digitale foto van de Defensiepashouder, die aan de persoonsgegevens wordt toegevoegd. De Defensiepashouder meldt zich bij de fotograaf ten behoeve van het maken van een digitale foto. Voordat een digitale foto mag worden genomen, dient de Defensiepashouder zich op basis van een WID-document te identificeren. Vervolgens wordt op basis van het WID-document de betreffende registratie, behorende bij de Defensiepasaanvraag, in het Defensiepas Beheer Systeem (DBS) opgezocht. De fotograaf neemt een digitale foto en koppelt deze aan de registratie in het DBS. Authenticatie bij de kaartverstrekker Bij het verstrekken van de Defensiepas dient de Defensiepashouder persoonlijk te verschijnen en het originele WID-document te overleggen aan de hand waarvan de persoonlijke identiteit wordt geverifieerd.

3.2.4

Niet gecontroleerde informatie over de certificaathouder


3.2.5

Autorisatie van de certificaataanvraag

Bij elke certificaataanvraag wordt beoordeeld of de aanvraag, zoals ingevoerd door de kaartaanvrager, al dan niet mag worden gehonoreerd. Bij die beoordeling kan een veiligheidscontrole een rol spelen. Het DBS dwingt functiescheiding af. De medewerker die de Defensiepas heeft aangevraagd mag niet dezelfde persoon zijn als de medewerker die de aanvraag autoriseert.

3.2.6

Criteria voor interoperabiliteit


3.3

Identificatie en authenticatie bij vernieuwing certificaat

Als de geldigheid van de Defensiepas dreigt te verlopen of als de Defensiepas defect is, dan kan de kaarthouder een nieuwe kaartaanvraag indienen bij de kaartbeheerder.

3.3.1

Identificatie en authenticatie bij routinematige vernieuwing

Bij de uitvoering van een aanvraag voor een nieuwe Defensiepas wordt altijd een nieuw sleutelpaar gegenereerd en een nieuwe Defensiepas uitgegeven. Als de geldigheid van een Defensiepas met certificaten dreigt te verlopen of de Defensiepas defect is, kan de beheerder van de Defensiepas (niet de Defensiepashouder zelf) een vervangende Defensiepas aanvragen. De kaartaanvraag zal zijn voorzien van dezelfde gegevens zoals deze in het bronsysteem zijn verwerkt. Het aanvraagproces verloopt vervolgens identiek aan het proces dat bij een eerste aanvraag wordt gevolgd, zie paragraaf 3.2.

3.3.2

Identificatie en authenticatie bij vernieuwing na intrekking

Het vernieuwen van sleutels na intrekking van het certificaat vindt plaats conform een routinematige vernieuwing, zie paragraaf 3.3.1. De systemen van de CA voorkomen dat eerder gecertificeerde sleutels opnieuw worden gecertificeerd.

Pagina 12 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

3.4


Identificatie en authenticatie bij een intrekkingsverzoek

Verzoeken tot intrekking van certificaten zijn gekoppeld aan de intrekkingsprocedure van Defensiepassen. Intrekkingsverzoeken zijn een regulier onderdeel van het verstrekkingsproces van vervangende Defensiepassen. Voordat een vervangende Defensiepas wordt verstrekt, worden de certificaten van de oude Defensiepas ingetrokken. De Defensiepashouder behoeft hiervoor geen apart verzoek in te dienen. De betrokken Defensiepasverstrekker meldt zich met Defensiepas en PIN aan bij het DBS. Bij omstandigheden die aanleiding geven tot het intrekken van de Defensiepas zonder dat sprake is van vervanging, bijvoorbeeld bij beëindiging van het dienstverband, wordt het reguliere intrekkingsproces gevolgd. Een mutatie van de personeelsgegevens in het personeelsysteem van Defensie start de intrekkingsprocedure. Slechts in geval van enerzijds diefstal of verlies of anderszins fraude verloopt de intrekking anders. Bij diefstal of verlies dient de Defensiepashouder telefonisch contact op te nemen met het meldpunt binnen Defensie. Deze rol is belegd bij de Servicedesk Defensie (SDD). Het meldpunt verifieert de identiteit van de melder aan de hand van een aantal unieke gegevens. Als dit in orde is, dient het meldpunt het intrekkingsverzoek in bij het DBS. De medewerker van het meldpunt meldt zich aan bij het DBS met behulp van Defensiepas en PIN. Het meldpunt bevestigt nog tijdens het telefoongesprek dat het intrekkingsverzoek is verwerkt. Het meldpunt registreert alle verzoeken tot intrekking in Servicecenter en bevestigt de intrekking van certificaten aan de Defensiepashouder achteraf via de mail. In geval van fraude kan een intrekkingsverzoek worden ingediend conform sub-paragraaf 4.9.2. De identificatie en authenticatie bij het intrekkingsverzoek is bewust laagdrempelig gehouden. Voor Defensie prevaleert handhaving van het toegangsbeleid boven de mogelijke nadelen van het ten onrechte intrekken van Defensiepassen.

Pagina 13 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

4


Operationele eisen certificaatlevenscyclus

De beschrijving van de wijze waarop de CA voldoet aan de operationele eisen, die aan de Defensiepasprocessen zijn gesteld, is in belangrijke mate ontleend aan de Administratieve Organisatie, waartoe ook de werkinstructiekaarten (WIK’s) behoren.

4.1

Aanvragen van certificaten

Certificaataanvragen zijn altijd verbonden met Defensiepasaanvragen. Aanvragen van Defensiepassen worden ingediend door de kaartbeheerder. De Defensiepashouders dienen altijd in het personeelsysteem van Defensie te zijn geregistreerd, alvorens een aanvraag in behandeling kan worden genomen. De kaartbeheerder controleert of de Defensiepashouder recht heeft op een Defensiepas en of de vastlegging van de gegevens correct is. Bij een aanvraag worden ook de gewenste kaartverstrekkingslocatie en de gewenste datum van verstrekking vastgelegd. Tevens wordt aangegeven of certificaten ook op het IPS moeten worden gepubliceerd. Publicatie intern Defensie in de Corporate Directory (CoDi) is standaard. De Defensiepasaanvraaggegevens, die in belangrijke mate aan het personeelsysteem van Defensie zijn ontleend, worden vervolgens aangevuld met een digitale foto van de Defensiepashouder. De Defensiepashouder meldt zich hiertoe bij de fotograaf. Voordat een digitale foto mag worden gemaakt, dient de Defensiepashouder zich op basis van een WID-document te identificeren. De fotograaf controleert de registratiegegevens van de Defensiepashouder, waardoor wordt geborgd dat de digitale foto aan de juiste persoon met de juiste registratie wordt gekoppeld. Als de registratiegegevens inhoudelijk niet juist zijn, moeten ze eerst in het personeelsysteem van Defensie worden aangepast. Dit leidt tot een gewijzigde Defensiepasaanvraag.

4.1.1

Bevoegde certificaataanvragers

Certificaataanvragen zijn gekoppeld aan Defensiepasaanvragen, die door bevoegde actoren worden ingevoerd in het DBS.

4.1.2

Mandaatverleningsproces certificaataanvragers

Alle Defensiemedewerkers, die als actor Defensiepasprocedures uitvoeren, zijn daartoe opgeleid en op aanvraag van hun leidinggevende geautoriseerd door het functioneel beheer van het DBS. De Defensieonderdelen (DO’n) zijn tevens verantwoordelijk voor het tijdig reviewen van het actoren lijst en indienen van autorisatieverzoeken.

4.2

Verwerken van certificaataanvragen

Certificaataanvragen zijn altijd verbonden met Defensiepasaanvragen.

4.2.1

Uitvoeren van identificatie- en authenticatiefuncties

In hoofdstuk 3. Identificatie en authenticatie, is beschreven welke controles worden uitgevoerd om de identiteit van de Defensiepashouder te verifiëren.

4.2.2

Goedkeuren van certificaataanvragen

Nadat de kaartautorisator zijn goedkeuring heeft gehecht aan de Defensiepasaanvraag, start het productieproces. Zie tevens paragraaf 3.2.5.

4.2.3

Tijdsduur van het verwerken van certificaataanvragen

De levertijd van Defensiepassen is vastgelegd in de diensten niveau overeenkomst met de leverancier.

Pagina 14 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

4.3


Uitgeven van certificaten

Certificaten zijn altijd verbonden met Defensiepassen.

4.3.1

Handelingen van de CSP tijdens het uitgeven van certificaten

Defensiepassen komen op het verstrekkingspunt binnen. De Defensiepassen worden bewaard in een afgesloten/beveiligde ruimte (kluis/kast). De ruimte waarin de Defensiepassen zijn opgeslagen is alleen toegankelijk voor de Kaartverstrekker(s). Pinbrieven worden verzonden naar het privéadres van de Kaarthouder. De Defensiepashouder dient zich met zijn PIN-brief en WID-document te vervoegen bij de actor kaartverstrekker voor zijn Defensiepas. Bij de kaarthouder wordt de identiteit van de Defensiepashouder geverifieerd op grond van het WIDdocument. Als de Defensiepashouder al een Defensiepas met certificaten heeft, dient de Defensiepashouder deze in te leveren. Verstrekking van een nieuwe Defensiepas is niet mogelijk zonder inname van de oude Defensiepas. Mocht de oude Defensiepas zijn gestolen, dan dient de Defensiepashouder een procesverbaal te overleggen. Is de Defensiepas verloren, dan is een verklaring van vermissing noodzakelijk. Voordat de Defensiepas aan de Defensiepashouder kan worden overhandigd, dient de Defensiepas eerst te worden geactiveerd. Hiertoe voert de Defensiepashouder, in het bijzijn van de kaartverstrekker, de PIN-code in, waarna de Defensiepas wordt geactiveerd en enkele aanvullende gegevens automatisch in de Defensiepas worden geplaatst. Tenslotte dient de Defensiepashouder een afhaalbewijs te ondertekenen. Daarvan wordt één exemplaar gearchiveerd door de RA voor een duur van 7 jaar, het andere exemplaar is voor de Defensiepashouder. Voor de houder van de Defensiepas type 1 of type 2 wordt aanvullend geëist een gebruikersovereenkomst in tweevoud te ondertekenen. Één exemplaar wordt gearchiveerd door de RA voor een duur van 7 jaar, het andere exemplaar is voor de Defensiepashouder De Defensiepas wordt niet uitgereikt als één van de controles negatief uitpakt, zoals bijvoorbeeld de identiteitscontrole. Ook als de Defensiepashouder niet over de juiste PIN-code beschikt of als de Defensiepashouder niet beschikt over een oude Defensiepas, proces-verbaal of verklaring van vermissing, wordt de Defensiepas niet uitgereikt. Uiteraard dient ook het afhaalbewijs te zijn ondertekend, voordat de Defensiepas wordt uitgereikt.

4.3.2

Melding van certificaatuitgifte aan de certificaathouder

De certificaten behorende bij een Defensiepas worden via de Defensiepas verstrekt aan de Defensiepashouder. Voordat de Defensiepas aan de Defensiepashouder wordt overhandigd, dient de Defensiepas eerst te worden geactiveerd met behulp van de PIN-code. Ook wordt van de houder van de Defensiepas type 1 of type 2 geëist een gebruikersovereenkomst in tweevoud te ondertekenen. Door deze werkwijze is de Defensiepashouder op de hoogte van de uitgifte van zijn certificaten.

4.4

Acceptatie van certificaten

De certificaten behorende bij een Defensiepas worden via de Defensiepas verstrekt aan de Defensiepashouder.

4.4.1

Activiteiten bij acceptatie van certificaten

Voordat de Defensiepashouder zijn Defensiepas in ontvangst kan nemen, dient hij het afhaalbewijs te ondertekenen. Zie tevens paragraaf 4.3.1.

Pagina 15 van 47

Titel


Status


Versienummer

2.6

Datum

8 mei 2014

4.4.2


Publicatie van het certificaat door de CSP

De CA publiceert de certificaten intern het Ministerie van Defensie in de CoDi. Als de Defensiepashouder daarvoor toestemming heeft, worden certificaten tevens op Internet gepubliceerd in het IPS, zie paragraaf 4.1.

4.4.3

Melding van certificaatuitgifte door de CSP aan andere betrokkenen


4.5

Sleutelpaar en certificaatgebruik

Door de CA uitgegeven private sleutels worden altijd en exclusief gebruikt door Defensiepashouders die handelen namens het Ministerie van Defensie.

4.5.1

Gebruik van de private sleutels en certificaten van de certificaathouder

Het toegestaan gebruik van de private sleutels en certificaten van Defensiepashouders is beschreven in paragraaf 1.4.

4.5.2

Verplichtingen van de vertrouwende partijen

In dit CPS zijn de verplichtingen van vertrouwende partijen, naast de verplichtingen van andere betrokkenen, beschreven in paragraaf 9.6. Hierdoor ontstaat een sluitend overzicht binnen één hoofdstuk van aansprakelijkheden en verplichtingen van alle betrokken partijen.

4.6

Routinematige vernieuwing van het certificaat

Bij routinematige vernieuwing van de Defensiepas, kan de kaartbeheerder van de Defensiepas een vervangende Defensiepas aanvragen. De aanvraag zal zijn voorzien van dezelfde gegevens zoals deze in het bronsysteem zijn vastgelegd. Het aanvraagproces verloopt verder hetzelfde als het proces dat bij een eerste aanvraag wordt gevolgd, zie paragraaf 3.2.

4.7

Vernieuwing van het certificaat en de sleutels

Publieke sleutels worden nooit opnieuw gecertificeerd. Bij de uitvoering van een aanvraag voor een nieuwe Defensiepas wordt altijd een nieuw sleutelpaar gegenereerd en een nieuwe Defensiepas uitgegeven.

4.8

Aanpassen van het certificaat

Certificaten worden eenmaal gegenereerd nooit aangepast.

4.9

Intrekking en opschorting van certificaten

Verzoeken tot intrekking Defensiepassen.

4.9.1

van

certificaten

zijn

gekoppeld

aan

de

intrekkingsprocedure

van

Omstandigheden die leiden tot intrekking

Intrekking van in gebruik zijnde certificaten vindt regulier plaats in het geval een vervangende Defensiepas wordt verstrekt. In deze paragraaf is beschreven in welke gevallen er sprake moet zijn van onmiddellijke intrekking van de Defensiepas. Alle overige omstandigheden worden in het reguliere vervangingsproces verwerkt. Bijvoorbeeld, als wordt geconstateerd dat de gegevens in de certificaten onjuist zijn, wordt een nieuwe Defensiepas aangevraagd met nieuwe certificaten. Voordat deze worden uitgereikt, worden de in gebruik zijnde certificaten ingetrokken. Onmiddellijke intrekking vindt plaats bij: • Diefstal of verlies

Pagina 16 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

•

•


De Defensiepashouder is verplicht diefstal of verlies van diens Defensiepas direct te melden bij het meldpunt. Vervolgens neemt het meldpunt de Defensiepas logisch in of dient een intrekkingverzoek in via de out of band procedure bij ATOS, in geval van het niet beschikbaar zijn van het DBS. Fraude In geval van fraude door de Defensiepashouder kan een bevoegd leidinggevende contact opnemen met het meldpunt. Vervolgens dient het meldpunt het intrekkingsverzoek in bij het DBS. Als de Defensiepashouder een vermoeden heeft dat zijn PIN-code bekend is geworden en de Defensiepas nog in bezit is van de Defensiepashouder, kan de Defensiepashouder zelf de PIN wijzigen. Dit leidt niet tot een intrekkingsverzoek. Indien de Defensiepas nog niet geactiveerd is en de pincode (mogelijk) bij anderen bekend is (de Defensiepas ligt dan nog opgeslagen bij het uitgiftepunt), dient de Defensiepashouder z.s.m. een intrekkingverzoek in te dienen, zie subparagraaf 4.9.3. Calamiteiten Intrekking van certificaten kan plaatsvinden in het kader van een calamiteit.

4.9.2

Wie een intrekkingsverzoek mag indienen

In het geval van acute intrekking, mogen de Defensiepashouder zelf of diens leidinggevende zich met een intrekkingsverzoek wenden tot het meldpunt. Ook een bevoegde andere persoon, zijnde de beveiligingscoördinator of medewerkers van de beveiligingscoördinator, kan in deze procedure een intrekkingsverzoek bij het meldpunt indienen.

4.9.3

Procedure voor een intrekkingsverzoek

Naast intrekkingsverzoeken in het kader van het uitgeven van vervangende Defensiepassen, zijn er intrekkingsverzoeken die terstond moeten worden verwerkt naar aanleiding van een melding bij het meldpunt m.b.t. verlies, diefstal of fraude. Het meldpunt is ten behoeve van intrekkingsverzoeken vierentwintig uur per dag beschikbaar, zeven dagen per week. Telefonische intrekkingsverzoeken worden terstond verwerkt. Ook in geval van gepland onderhoud of onvoorziene verstoringen, worden intrekkingverzoeken die via het meldpunt worden ingediend binnen vier uur uitgevoerd. Daartoe is een uitwijkscenario ontworpen, dat regelmatig wordt getest. Het meldpunt heeft de identiteit van indieners van een intrekkingsverzoek gecontroleerd conform de procedures die in paragraaf 3.4 zijn beschreven. Vervolgens heeft het meldpunt het intrekkingsverzoek bij het DBS ingediend en daarmee het intrekkingsproces geïnitieerd. De beweegreden voor de intrekking wordt in het DBS vastgelegd. Het intrekkingsproces kent de volgende stappen: 1. De Defensiepas wordt in het DBS op grond van de melding geblokkeerd ("logische inname"), waardoor automatisch de intrekkingsprocedure van certificaten wordt gestart. 2. De ingetrokken certificaten worden op de Certificate Revocation List (CRL) geplaatst, die vervolgens zowel op Internet als intern Defensie wordt gepubliceerd. 3. Als de Defensiepashouder niet meer in het bezit is van de Defensiepas, dient hij een procesverbaal of verklaring van vermissing op te laten maken en deze bij RA in te leveren. 4. Defensiepassen die fysiek zijn ingeleverd, worden onklaar gemaakt en vervolgens via een aparte procedure definitief vernietigd.

4.9.4

Periode waarbinnen de certificaathouder een intrekkingsverzoek moet indienen

In de brochure die aan elke Defensiepashouder wordt verstrekt, is gesteld dat de Defensiepashouder in geval van verlies of diefstal van zijn Defensiepas daarvan terstond melding moet maken bij het meldpunt.

Pagina 17 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

4.9.5


Tijdsduur voor verwerking van een intrekkingsverzoek

De verwerking van intrekkingsverzoeken tot en met het publiceren van de bijgewerkte CRL vindt plaats binnen vier uur.

4.9.6

Controlevoorwaarden raadplegen certificaat statusinformatie

Vertrouwende partijen zijn verplicht: 1. de geldigheid van het certificaat te verifiëren; 2. de geldigheid van de hiërarchie te controleren waarbinnen het certificaat is uitgegeven. Deze verplichtingen zijn tevens opgenomen in paragraaf 9.6 van dit CPS.

4.9.7

CRL-frequentie

De CRL wordt minstens één keer per vier uur uitgegeven. Elke intrekking leidt tot een nieuwe CRL die terstond wordt gepubliceerd.

4.9.8

Maximale vertraging CRL’s

De maximale vertraging van CRL’s is niet nader gespecificeerd maar valt binnen de in paragraaf 4.9.5 beschreven maximale tijdsduur voor de verwerking van een intrekkingsverzoek.

4.9.9

Online intrekking/statuscontrole beschikbaarheid

De CA stelt intern Defensie een Online Certificate Status Protocol dienst (OCSP) ter beschikking. Deze dienst biedt een online functie om de status van een certificaat te controleren. Bij de inrichting van de OCSP-dienst is voldaan aan de daaraan in IETF RfC 2560 gestelde eisen. De OCSP-dienst maakt ook zelf gebruik van een onder de hiërarchie van de PKI voor de overheid uitgegeven certificaat. De beschikbaarheid van de OCSP-dienst is gelijk aan de beschikbaarheid van de CRL, namelijk vierentwintig uur per dag, zeven dagen per week. Zie paragraaf 4.10.2.

4.9.10

Online intrekking/statuscontrole eisen


4.9.11

Beschikbaarheid van andere vormen van intrekking/statusinformatie


4.9.12

Bijzondere eisen ten aanzien van sleutelcompromittatie


4.9.13

Certificaatopschorting

De dienst Defensiepas/BBC kent geen opschorting van de geldigheid van certificaten. Certificaten zijn geldig of ingetrokken. Er is geen tussenvorm.

4.10

Certificaat statusservice

Vertrouwende partijen kunnen de status van certificaten controleren.

4.10.1

Beschrijving van de certificaat statusservice

Vertrouwende partijen kunnen de geldigheid van certificaten controleren aan de hand van een CRL, zowel intern Defensie via de DPS als extern via de IPS. Tevens is binnen Defensie de OCSP-dienst beschikbaar.

4.10.2

Beschikbaarheid certificaat statusservice

De CRL is vierentwintig uur per dag, zeven dagen per week beschikbaar. Bij verstoringen van de dienstverlening, wordt de beschikbaarheid hersteld binnen vier uur. Voor de OCSP-dienst, die binnen

Pagina 18 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Defensie wordt aangeboden, wordt dezelfde beschikbaarheid geboden. Bij de OCSP-dienst wordt ernaar gestreefd de beschikbaarheid na het optreden van een verstoring binnen vier uur te herstellen, ook al is dit volgens de eisen van de PKI voor de overheid niet noodzakelijk.

4.10.3

Optionele kenmerken van de certificaat statusservice


4.11

Beëindiging van het abonnement

De dienst Defensiepas/BBC wordt niet in de vorm van een abonnement aangeboden.

4.12

Sleutel-escrow en –herstel

Tijdens de productie van de Defensiepas wordt een kopie van de private sleutel, die behoort bij het vertrouwelijkheidcertificaat van de Defensiepashouder, in een beveiligde omgeving bewaard ("keyescrow"). Mocht de oorspronkelijke private sleutel verloren gaan, dan kan de kopie worden gebruikt om de documenten alsnog te ontcijferen. Het verkrijgen en gebruiken van deze kopie van de private vertrouwelijkheidsleutel is aan strikte voorwaarden verbonden. Het plaatsen van de private vertrouwelijkheidsleutels van de Defensiepashouders in escrow is een volledig geautomatiseerd proces zonder mogelijkheid van menselijke tussenkomst. Het aanvragen en leveren van private vertrouwelijkheidsleutels uit escrow bestaat uit een reeks opeenvolgende geautomatiseerde deelprocessen die elk door een bevoegde functionaris worden geactiveerd. Elk van deze functionarissen verifieert daarbij voorafgaand aan het activeren van zijn deelproces de rechtmatigheid van de betreffende aanvraag/levering.

4.12.1

Sleutel-escrow en –herstel: beleid en uitvoering

Sleutel-escrow: De private vertrouwelijkheidsleutels van de Defensiepashouders worden gegenereerd door de zgn. ‘blackbox’ (een cryptobox) en direct daar op volgend versleuteld opgeslagen in de key escrow database aldaar. Voor het aannemen van sleutel-escrow opvragingen, voor het aanleveren van statusrapporten en voor de levering van (versleutelde) private vertrouwelijkheidsleutels uit de key escrow database is de Blackbox op beveiligde wijze gekoppeld aan het DBS. Voor het plaatsen van de (versleutelde) private vertrouwelijkheidsleutel (dit is een ‘logische’ Defensiepas van het type: sleutel-escrow) in de sleutel-escrow database is de blackbox op beveiligde wijze gekoppeld aan het kaartproductiesysteem. Voor de versleuteling van de inhoud van de key escrow database gebruikt de Blackbox twee publieke sleutels (G1 en G2) van het DBS. De bijbehorende private DBS-sleutels voor het ontcijferen van de database inhoud zijn noch in de Blackbox aanwezig, noch aanwezig op locatie bij de beheerders van de Blackbox. Blackbox-beheer: De Blackbox is geplaatst in een fysiek afgesloten ruimte en kan alleen benaderd worden door bevoegde beheerders. De toegang tot het gebouw en tot de ruimte waarin de Blackbox zich bevindt zijn onderhavig aan de volgende fysieke beveiligingsmaatregelen: meldplicht en registratie van de bevoegde beheerders bij binnenkomst, toegang onder begeleiding door een beveiligingsfunctionaris tot de Blackbox-ruimte. De beheeractiviteiten op de Blackbox zijn onderhavig aan een sleutel-ceremonie, bestaand uit het invoeren van een gedeeld wachtwoord in de Blackbox door twee personen (‘vier ogen-principe’). De twee delen van dit wachtwoord worden bewaard in twee separate verzegelde enveloppen in een afgesloten kastje in de Blackbox-ruimte. Van elk bezoek aan de Blackbox-ruimte wordt een protocol opgesteld met daarin een vermelding van het tijdstip, de gegevens van de bezoekers en de uitgevoerde beheeractiviteiten op de Blackbox. Bij ingebruikname van de Blackbox voor de productie van G1 Defensiepassen is volgens bovenstaande beheerprocedure de Blackbox eenmalig van de eerder genoemde publieke G1 sleutel van het DBS voorzien. Bij ingebruikname van de Blackbox voor de productie van G2 Defensiepassen is daar volgens

Pagina 19 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


dezelfde procedure de publieke G2 sleutel van het DBS aan toegevoegd. De G1 en G2 sleutelparen voor key escrow zijn op een andere locatie bij Defensie in de Hardware Security Module (HSM) van het DBS gegenereerd met behulp van een Key Management Systeem (KMS). Ook dit heeft plaatsgevonden met een sleutel-ceremonie, bestaand onder meer uit het invoeren van een gedeeld wachtwoord voor de HSM door twee personen (‘vier ogen-principe’). De twee delen van dit wachtwoord worden bewaard in twee separate verzegelde enveloppen in een kluis bij Defensie. Aanvraag en levering van een versleutelde sleutel uit sleutel-escrow Het aanvragen en leveren van (versleutelde) private vertrouwelijkheidsleutels van de Defensiepashouders uit de sleutel escrow database is een volautomatisch proces in het DBS en in de Blackbox. De aanvraag van een (versleutelde) private vertrouwelijkheidsleutel uit escrow wordt door het DBS afgehandeld als een ‘reguliere’ kaartaanvraag, maar dan van het bijzondere type ‘sleutel-escrow’ met een eigen, zeer specifieke procesgang. Per stap van dit proces zijn afzonderlijke sleutel-escrow (functie)rollen gedefinieerd. De functiescheiding daartussen wordt afgedwongen door het DBS. Het aanvraagproces zelf bestaat uit een reeks opeenvolgende geautomatiseerde deelprocessen die elk door een voor dat deelproces geautoriseerde functionaris wordt geactiveerd. Voorafgaand aan het activeren van het eigen deelproces verifieert de daarvoor verantwoordelijke functionaris de rechtmatigheid van de binnengekomen aanvraag tot levering van een sleutel uit escrow. Om het gehele proces te kunnen uitvoeren zijn alle functionarissen nodig die voor de afzonderlijke deelprocessen geautoriseerd zijn. Het is voor een enkele functionaris niet mogelijk om in zijn eentje alle deelprocessstappen te doorlopen en een sleutel uit escrow te verkrijgen. De stappen van het aanvraag- en leveringsproces uit escrow zijn: 1. Aanvragen van een ‘levering uit escrow’ van de (versleutelde) private vertrouwelijkheidsleutel De aanvraag dient volledig te worden ingevuld en ingediend door een bevoegde partij; deze partij wordt de "gebruiker" genoemd. Een bevoegde functionaris van de CSP controleert de volledigheid en juistheid van de aanvraag, de identiteit van de gebruiker en diens bevoegdheid. Als deze controles positief uitvallen, wordt de aanvraag in het DBS ingevoerd door de reeds genoemde bevoegde functionaris van de CSP (rol (actor): ‘aanvrager sleutel-escrow’). 2. Autorisatie van de aanvraag De aanvraag wordt vervolgens door de rol (actor) ‘autorisator sleutel-escrow aanvraag’ (tweede functionaris) geautoriseerd in het DBS. 3. Levering uit escrow van de kopie van de (versleutelde) private vertrouwelijkheidsleutel De geautoriseerde aanvraag zet het DBS automatisch om in een ‘leveringsopdracht’ aan de Blackbox. Het daadwerkelijk activeren van de leveringsopdracht wordt gedaan door de rol (actor) ‘coördinator kaartproductie’ (derde functionaris). De leveringsopdracht resulteert in het vanuit de blackbox plaatsen van een kopie van de (versleutelde) private vertrouwelijkheidsleutel in een Defensiepas type sleutel-escrow. 4. Verstrekken van de (versleutelde) kopie van de private vertrouwelijkheidsleutel De gebruiker (oorspronkelijke aanvragende partij) meldt zich bij de rol (actor) ‘verstrekker defensiepas type sleutel-escrow’ (vierde functionaris). De identiteit van de gebruiker wordt vastgesteld op basis van diens WID. De verstrekker borgt dat de gebruiker in tweevoud een contract ondertekent, alvorens tot verstrekking over te gaan. In dit contract, dat tevens als ontvangstbewijs dient, zijn de voorwaarden voor het gebruik beschreven. Hierna gebruikt de verstrekker het DBS om de (versleutelde) private vertrouwelijkheidsleutel aan de aanvrager te verstrekken. Tijdens deze laatste processtap ontsleutelt het DBS, gebruikmakend van zijn HSM, eerst de opgevraagde (versleutelde) private vertrouwelijkheidsleutel van de gebruiker met de eigen private sleutel, en versleutelt direct daar op volgend opnieuw de private vertrouwelijkheidsleutel van de gebruiker, maar nu met de publieke vertrouwelijkheidsleutel van de huidige Defensiepas van de gebruiker. Tenslotte ontvangt de gebruiker van de verstrekker de aldus versleutelde private vertrouwelijkheidssleutel (of te wel ‘defensiepas type sleutel-escrow’). De gebruiker kan vervolgens

Pagina 20 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


over de (versleutelde) private vertrouwelijkheidssleutel beschikken door deze op veilige wijze te ontcijferen met behulp van zijn eigen private vertrouwelijkheidsleutel in zijn huidige Defensiepas.

4.12.2

Sessie-sleutels: beleid en uitvoering

Alle sleutels worden gegenereerd in de Blackbox en in de HSM van het DBS. Het gebruik van deze sleutels voor de bescherming van de certificatiedienstverlening van Defensie is gedocumenteerd. Deze documentatie is gerubriceerd als Staatsgeheim Confidentieel.

Pagina 21 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

5


Fysieke en procedurele beheersmaatregelen

De beheersmaatregelen in hoofdstuk 5 en 6 zijn bepaald op grond van diverse risicoanalyses, waartoe onder meer de Risicoanalyse Defensiepas [Ref 31] behoort. Deze Risicoanalyse Defensiepas is uitgevoerd conform de in het Defensiebeveiligingsbeleid voorgeschreven methodiek. Tevens is voor de Defensiepas een specifieke risicoanalyse uitgevoerd. Deze risicoanalyse geeft een overzicht van de beoogde (vooral) technische maatregelen die genomen dienen te worden vanwege de bedreigingen jegens de Defensiepas. In dit CPS worden de beheersmaatregelen op hoofdlijnen beschreven, zonder afbreuk te doen aan de vertrouwelijkheid van de beveiligingsmaatregelen.

5.1

Fysieke beheersmaatregelen

De dienstverlening van de CA vindt plaats op verschillende locaties Voor alle locaties zijn de benodigde fysieke beveiligingsmaatregelen getroffen.

5.1.1

Locatie

De registratiewerkzaamheden en werkzaamheden met betrekking tot de verstrekking vinden plaats op Defensielocaties binnen en buiten Nederland. Het centrale DBS bevindt zich in het rekencentrum van OPS. De productie van de Defensiepas vindt plaats op de vestigingslocatie van MORPHO, terwijl het daadwerkelijk produceren van certificaten in het rekencentrum van KPN wordt uitgevoerd.

5.1.2

Fysieke toegangscontrole

Deze maatregelen zijn genomen op basis van risicoanalyses en beveiligingsplannen. De maatregelen die voor Defensielocaties zijn genomen, voldoen aan de eisen zoals gesteld in het Defensiebeveiligingsbeleid en bijbehorende uitvoeringsbepalingen. Voor de locaties van MORPHO en ATOS/KPN zijn bovendien de Algemene Beveiligingseisen voor Defensieopdrachten (ABDO) van toepassing.

5.1.3

Stroomvoorziening en airconditioning

In alle centrale locaties, zijnde rekencentra, zijn noodstroomvoorzieningen aanwezig en wordt voorzien in een geconditioneerde omgeving.

5.1.4

Waterbeheersing

In alle centrale locaties zijn maatregelen genomen om de kans op wateroverlast te reduceren.

5.1.5

Brandbeveiliging

In alle centrale locaties zijn maatregelen genomen om brand te voorkomen, te detecteren en te bestrijden.

5.1.6

Opslagmiddelen

Opslagmedia van systemen die worden gebruikt worden veilig behandeld om de opslagmedia tegen schade, diefstal en ongeautoriseerde toegang te beschermen. Opslagmedia worden zorgvuldig vernietigd wanneer zij niet meer nodig zijn.

5.1.7

Afvalverwerking

In alle centrale locaties zijn maatregelen genomen om op een veilige wijze met (vertrouwelijk) afval om te gaan.

5.1.8

Back-up buiten de locatie

De back-ups van de systemen van de CA worden periodiek opgeslagen op een gescheiden locatie binnen het rekencentrum.

Pagina 22 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

5.2


Procedurele beheersmaatregelen

Om de dienstverlening van de CA te borgen zijn ook enkele procedurele beheersmaatregelen getroffen.

5.2.1

Vertrouwensrollen

Alle functies die een rol spelen in de dienstverlening van de CA zijn binnen Defensie aangewezen als vertrouwensfuncties, conform de Uitvoeringsbepalingen Vertrouwensfuncties.

5.2.2

Aantal personen per taak

De dienstverlening van de CA is zodanig ingericht dat het niet mogelijk is dat één persoon het betrouwbaarheidsniveau van de dienstverlening kan aantasten. Dit is geregeld door functiescheiding (zie paragraaf 5.2.4) en door bij belangrijke handelingen met sleutelmateriaal van de CA's af te dwingen dat de handelingen slechts in aanwezigheid van meerdere partijen kunnen worden uitgevoerd. Dit is bijvoorbeeld het geval bij het genereren en installeren van sleutelparen van de CA’s en bij het in gebruik nemen van de back-up van de private sleutel van de CA’s.

5.2.3

Identificatie en authenticatie voor vertrouwensrollen

Medewerkers worden pas aan vertrouwensrollen toegewezen nadat een veiligheidsonderzoek naar de betreffende medewerker is uitgevoerd en de medewerkers beschikken over een Verklaring van Geen Bezwaar, zie hiervoor paragraaf 5.3.2. De toegangsrechten van medewerkers zijn vastgelegd in een autorisatiestructuur en volgens deze structuur geïmplementeerd in de systemen van de CA door middel van logische toegangscontrole.

5.2.4

Functiescheiding

De CA hanteert functiescheiding tussen de operators ("actoren"), die de systemen van de CA dagelijks bedienen en systeembeheerders. Daarnaast is er sprake van functiescheiding tussen Security Officer(s), Systeem Auditor(s), systeembeheerders en de operators. Tenslotte is binnen de categorie van actoren functiescheiding aangebracht in de Administratieve Organisatie, zodat het is uitgesloten dat één functionaris zelfstandig een Defensiepasaanvraag van begin tot eind kan verwerken.

5.3

Personele beheersmaatregelen

Om de dienstverlening van de CA te borgen zijn ook enkele personele beheersmaatregelen getroffen.

5.3.1

Opleidings- en ervaringseisen, screeningseisen

De CA zet voldoende personeel in dat beschikt over voldoende vakkennis, ervaring en kwalificaties die noodzakelijk zijn voor de certificatiedienstverlening. Voor iedere actor is het volgen van een specifieke training verplicht. Deze staan nader beschreven in het Opleidingsplan [Ref 64]. Voor "screeningseisen", zie paragraaf 5.3.2.

5.3.2

Veiligheidsonderzoeken

Potentiële Defensiemedewerkers mogen pas een functie gaan vervullen nadat een Verklaring van Geen Bezwaar (VGB) is afgegeven door de Militaire Inlichtingen- en Veiligheidsdienst (MIVD). Voor Defensiemedewerkers van de CA geldt dat een vertrouwensrol slechts wordt uitgevoerd door een functionaris met een vertrouwensfunctie. Naar iedere functionaris die een vertrouwensfunctie vervult wordt periodiek een veiligheidsonderzoek uitgevoerd door de MIVD, dat moet resulteren in een Verklaring Geen Bezwaar (VGB). Personeel zal geen werkzaamheden mogen uitvoeren voordat de noodzakelijke veiligheidsonderzoeken met goed gevolg zijn afgerond.

5.3.3

Opleidingseisen

Zie paragraaf 5.3.1.

Pagina 23 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

5.3.4


Permanente opleiding: frequentie en eisen


5.3.5

Jobrotatie: volgorde en frequentie


5.4

Disciplinair proces

Een medewerker die een ongeautoriseerde actie onderneemt, wordt terstond de toegang tot alle systemen van de CA ontnomen. De verantwoordelijke Beveiligingscoördinator zal beslissen over de duur en de voorwaarden van de ontzegging en de verder te nemen acties en sancties, conform het Burgerlijk/Algemeen Militair Ambtenarenreglement Defensie (BARD/AMAR).

5.4.1

Eisen aan externe leveranciers

De externe leveranciers zijn (ETSI EN 319 411-2, ETSI EN 319 401, voorheen ETSI TS 101 456) gecertificeerd en voldoen aan ABDO. De ABDO certificering wordt periodiek door de MIVD gecontroleerd. De geldigheid van de ETSI-certificering wordt om het halfjaar getoetst tijdens de SLAoverleggen met de leveranciers.

5.4.2

Taakbeschrijvingen

De taakbeschrijvingen van de medewerkers van de CA die als actor de systemen bedienen, zijn vastgelegd in de Administratieve Organisatie en de bijbehorende Werkinstructie Kaarten (WIK´s).

5.5

Audit-log procedures

Binnen de systemen en applicaties voor de certificatiedienstverlening worden automatisch of handmatig gebeurtenissen gelogd, die relevant zijn voor de kwaliteit van deze dienstverlening.

5.5.1

Soorten vastgelegde gegevens

De gebeurtenissen die relevant zijn voor de kwaliteit van de certificatiedienstverlening vallen in verschillende categorieën: 1. Registratiehandelingen in het DBS met betrekking tot het aanvragen van Defensiepassen en eventuele latere wijzigingen van de registratiegegevens. 2. Gebeurtenissen in de levenscyclus van sleutels van de CA’s zelf en van de sleutels die door de CA ten behoeve van de Defensiepashouders zijn vervaardigd. 3. Gebeurtenissen in de levenscyclus van certificaten en CRL’s, waaronder intrekkingsverzoeken en de naar aanleiding van deze verzoeken ondernomen activiteiten. 4. Gebeurtenissen in de levenscyclus van Defensiepassen. 5. Gebeurtenissen in de infrastructuur voor de certificatiedienstverlening, waaronder: •

inbreuken op de systemen en pogingen daartoe;

•

aan- en afmelden door systeembeheerders;

•

handelingen door systeembeheerders, die relevant zijn voor de betrouwbaarheid van de certificatiedienstverlening;

•

wijzigingen van autorisaties (beveiligingsprofielen) en van accounts van actoren;

•

afsluiten en (her)starten van de systemen;

•

foutmeldingen van de hard- of software van de systemen;

•

installatie van nieuwe of gewijzigde software;

•

wijzigingen van de hardware;

•

handelingen met betrekking tot de logbestanden of logfunctionaliteit, et cetera.

Pagina 24 van 47

Titel


Status


Versienummer

2.6

Datum

8 mei 2014

5.5.2


Frequentie van het behandelen van de audit-logbestanden

Logbestanden worden periodiek geanalyseerd conform de Beheerprotocollen, zoals opgesteld voor de certificatiedienst.

5.5.3

Bewaartermijn van de audit-logbestanden

Het archiveringssysteem zal de gearchiveerde audit-logbestanden gedurende een periode van tenminste zeven jaar bewaren.

5.5.4

Bescherming van de audit-logbestanden

Gebeurtenissen die worden opgenomen in audit-logbestanden worden door middel van fysieke en logische toegangscontrole middelen beschermd tegen ongeautoriseerden. De integriteit van de audit-logbestanden die verzameld worden door het verzamelsysteem, wordt bewaakt door middel van digitale handtekeningen over de audit-logbestanden.

5.5.5

Back-up procedures van de audit-logbestanden

Standaard wordt dagelijks een differential back-up gemaakt van audit-logbestanden. Volledige back-ups worden wekelijks gemaakt.

5.5.6

Positionering van het verzamelsysteem van de audit-logbestanden

Het verzamelsysteem van audit-logbestanden is gepositioneerd in het rekencentrum van OPS.

5.5.7

Berichtgeving aan de veroorzaker van een gelogde gebeurtenis


5.5.8

Analyse van de audit-logbestanden

De CA stelt een nader beveiligingsincident wijst.

5.6

onderzoek

in

als

de

analyse

van

de

audit-logbestanden

op

een

Archiveringsprocedures

De CA archiveert relevante informatie met betrekking tot gebeurtenissen, gegevens, bestanden en formulieren.

5.6.1

Soorten gearchiveerde gegevens

Minimaal worden gearchiveerd: • audit-logbestanden; • uitgegeven CRL’s en certificaten; • documentatie, zoals dit CPS; • overlegde documenten tijdens de aanvraagprocedure; • correspondentie met betrokken partijen.

5.6.2

Bewaartermijn archief

De elektronisch gearchiveerde gegevens worden evenals het papieren archief tenminste zeven jaar bewaard.

5.6.3

Bescherming van het archief

De CA hanteert een passend stelsel van maatregelen voor de bescherming van de gearchiveerde gegevens, conform de Wbp en het Defensiebeveiligingsbeleid. Hieronder vallen onder meer de volgende maatregelen: • de logging en CRL’s worden versleuteld gearchiveerd; • de logging wordt redundant gearchiveerd; • de CRL’s en certificaten zijn intrinsiek beveiligd voor de aspecten authenticiteit en integriteit; • de CA audit-trail wordt bij archivering voorzien van een elektronische handtekening; • slechts een selecte groep functionarissen heeft toegang tot het archief.

Pagina 25 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

5.6.4


Back-up procedures van het archief

Standaard wordt dagelijks een differential back-up gemaakt van audit-logbestanden. Volledige back-ups worden wekelijks gemaakt. Van het papieren archief wordt geen back-up gemaakt.

5.6.5

Eisen gesteld aan time-stamping van de logrecords

De logrecords zijn voorzien van de datum en tijd van het verwerkend systeem waarop de handeling is verricht. De verwerkende systemen worden volgens het Network Time Protocol (NTP) gesynchroniseerd.

5.6.6

Positionering van het verzamelsysteem van archiefbestanden

Het archiveringssysteem bestaat uit twee fysieke componenten. Hiervan staat één component in het rekencentrum van OPS en de andere in het rekencentrum van KPN.

5.6.7

Procedures voor het raadplegen van het archief

Het archiveringssysteem en de overige archieven, die van belang zijn voor de certificatiedienstverlening zijn slechts benaderbaar door geautoriseerde functionarissen.

5.7

Procedures voor vernieuwing van de CSP-sleutel

Het genereren en installeren van de "tekensleutel" van de Certification Authority vindt plaats in het rekencentrum van KPN volgens een tevoren vastgesteld draaiboek.

5.8

Aantasting en continuïteit

De CA kent een aantal procedures voor het verhelpen van verstoringen in de certificatiedienstverlening.

5.8.1

Procedures voor afhandeling incidenten en aantasting

Incidenten kunnen worden gemeld bij de Service Desk Defensie (SDD) en worden conform het reguliere incidentenbeheer afgehandeld. Als wordt voorzien dat een incident escaleert, wordt een calamiteit aangemeld bij de Calamiteiten Manager. Op dat moment kan besloten worden om het calamiteitenplan van de CA[Ref 44] van kracht te laten worden. Compromittering van de private sleutel van de CA wordt beschouwd als een calamiteit. De CA neemt in deze situatie minimaal de volgende acties: • de CA stelt vertrouwende partijen en Defensiepashouders hiervan zo spoedig mogelijk op de hoogte door de informatie daarover te publiceren op de Defensie Intranet. • de CA zal de betrokken certificaten direct intrekken en publiceren op de toepasselijke CRL; • de CA stelt de Policy Authority van de PKI voor de overheid op de hoogte van de calamiteit en van het verdere verloop ervan.

5.8.2

Herstelprocedures IT-omgeving

In het kader van het incidentenbeheer en het calamiteitenplan van de CA [Ref 44] vindt herstel van de ITomgeving plaats. Hierbij inbegrepen is de mogelijkheid om de certificatiedienstverlening op uitwijklocaties voort te zetten.

5.8.3

Herstelprocedures gecompromitteerde sleutels van de certificaathouders

Compromittering van de sleutels van Defensiepashouders leidt tot een intrekkingsverzoek, zoals beschreven in paragraaf 4.9. Na intrekking kan een nieuwe Defensiepas worden aangevraagd, door deze nieuwe aanvraag krijgt de houder nieuwe sleutels.

Pagina 26 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

5.8.4

Certificatie Autoriteit

Bedrijfscontinuïteitsplan

Zie hiervoor het calamiteitenplan van de CA

5.9


[Ref 44]

en onderliggende documenten bij OPS.

Beëindiging van de CSP-diensten

Er zijn geen voorzieningen getroffen voor het geval de Staat der Nederlanden niet langer financieel in staat is om de certificatiedienstverlening te continueren. Zie evenwel het bepaalde in 9.2 Financiële verantwoordelijkheid en aansprakelijkheid. In die gevallen waarbij om andere redenen wordt besloten de certificatiedienstverlening niet langer voort te zetten, neemt de CA maatregelen om de minimaal vereiste diensten voort te zetten, tot tenminste zes maanden na het tijdstip waarop de dienstverlening is beëindigd. De CA neemt daarbij alle redelijkerwijs mogelijke maatregelen om de schade voor Defensiepashouders en vertrouwende partijen te beperken. Concrete activiteiten zijn tenminste: 1. het informeren van Defensiepashouders en vertrouwende partijen en andere partijen, waarmee overeenkomsten zijn gesloten, over de voorgenomen beëindiging van de dienstverlening; 2. het beëindigen van autorisaties van onderaannemers die namens de CA betrokken zijn bij het leveren van certificatiediensten, daartoe wordt ook het verbreken van externe koppelingen gerekend; 3. het intrekken van alle geldige certificaten; 4. het buiten gebruik stellen van de private sleutels van de CA (Certification Authorities); 5. het bewaren van registratie-informatie, audit-logbestanden en CRL’s conform de eisen die daaraan zijn gesteld.

Pagina 27 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

6


Technische beveiliging

Zie de inleidende tekst bij hoofdstuk 5. Alle systemen van de CA die veiligheidsgevoelige processen van de certificatiedienstverlening ondersteunen, voldoen aan de standaard CWA 14167-1, Security Requirements for Trustworthy Systems Managing Certificates for Elektronic Signatures – Part 1: System Security Requirements. De HSM’s waarvan de certificatiedienst gebruikmaakt, voldoen aan FIPS 140-2. Dit garandeert onder meer dat cryptografisch materiaal niet ongemerkt kan worden gewijzigd tijdens opslag, gebruik en vervoer.

6.1

Genereren en installeren van sleutelparen

Bij het genereren van sleutelparen maakt de CA gebruik van veilige, FIPS 140-2 gecertificeerde, middelen.

6.1.1

Genereren van sleutelparen

De sleutelgeneratie van de sleutels van de CA en Defensiepashouders vindt centraal plaats. De sleutelgeneratie van de CA en Defensiepashouders vindt plaats in een FIPS 140-2 gecertificeerde Hardware Security Module (HSM). Voor Defensiepassen die uitgegeven zijn onder de G1-hiërarchie wordt hierbij gebruikt gemaakt van het signature algoritme ‘SHA1RSA’. Het gebruikte hashing algoritme is ‘SHA1’. Voor Defensiepassen die uitgegeven zijn onder de G2-hiërarchie wordt hierbij gebruik gemaakt van het signature algoritme ‘SHA256RSA’. Het gebruikte hashing algoritme is ‘SHA256’.

6.1.2

Overdracht van private sleutel aan certificaathouder

De Defensiepas wordt op het Defensie verstrekkingspunt persoonlijk overhandigd aan de Defensiepashouder. De PIN-code wordt in de vorm van een PIN-brief gescheiden van de Defensiepas naar de Kaarthouder persoonlijk gestuurd op privé- of werkadres, onder vermelding Persoonlijk.

6.1.3

Overdracht van de publieke sleutel aan de CA


6.1.4

Overdracht van de publieke sleutel van de CA aan vertrouwende partijen

De publieke sleutels van de CA, zijn door de PA van de PKI voor de overheid getekend, waardoor de integriteit en herkomst van de publieke sleutel worden gewaarborgd. De publieke sleutels worden in de vorm van certificaten van de CA aan vertrouwende partijen beschikbaar gesteld via G1-hiërarchie: http://certs.ca.mindef.nl/mindef-ca-20080422.crt en http://certs.ca.mindef.nl/mindef-ca-20080428.crt. G2-hiërarchie: http://certs.ca.mindef.nl/mindef-ca-2.cer en http://certs.dp.ca.mindef.nl/mindef-ca-dp-2.cer Zie ook hoofdstuk 2.2.

6.1.5

Sleutellengten

Onder de G1-hiërarchie is de lengte van de sleutelparen van de CA 2048 bits asymmetrisch RSA.

Pagina 28 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Onder de G2-hiërarchie is de lengte van de sleutelparen van de CA 4096 bits asymmetrisch RSA. Onder de G1-hiërarchie is de lengte van de sleutelparen van de Defensiepashouder 1024 bits asymmetrisch RSA Onder de G2-Hiërarchie is de lengte van de sleutelparen van de Defensiepashouder 2048 bits asymmetrisch RSA.

6.1.6

Genereren van de publieke sleutel: sleutelmateriaal en kwaliteitscontrole

De publieke sleutel wordt gegenereerd conform de eisen die het CP Domein Overheid en Bedrijven (G1hiërarchie) en de CP Domein Organisatie (G2-hiërarchie) aan de betrokken cryptografische producten stelt. Deze producten voldoen aan CWA 14167-1.

6.1.7

Doelen van sleutelgebruik [X.509 v3]

De certificaten, inclusief de daarbij behorende sleutelparen, zijn uitsluitend bedoeld voor de doeleinden die beschreven zijn in dit CPS paragraaf 1.4. De doelen waarvoor een sleutel gebruikt mag worden zijn opgenomen in het certificaat, zie hiervoor paragraaf 7.1.

6.2

Beheersmaatregelen private sleutels en cryptografische modules

Voor de beveiliging van de sleutels en modules zijn maatregelen getroffen.

6.2.1

Vigerende standaarden

Voor operationeel gebruik worden de cryptografische gegevens opgeslagen in een HSM. De HSM voldoet aan de eisen zoals beschreven in FIPS 140-2.

6.2.2

Vier-ogen principe

Het vier-ogen principe wordt technisch afgedwongen bij het genereren en installeren van sleutelparen van de CA en bij het in gebruik nemen van de back-up van de private sleutel van de CA. Voor deze taken zijn minimaal drie personen nodig, elk met hun eigen deel van het sleutelmateriaal op een smartcard. Zie paragraaf 6.2.4.1.

6.2.3

Escrow van private sleutels

Niet alle sleutels van de CSP worden in escrow gehouden. 6.2.3.1 Escrow van private sleutels van CSP De private sleutel van de CA wordt niet in escrow gehouden. 6.2.3.2 Escrow van private sleutels van certificaathouders De CA houdt van alle uitgegeven Defensiepassen de private sleutel van het vertrouwelijkheidcertificaat in escrow. Deze kopieën worden slechts onder stricte voorwaarden gebruikt. Zie hiervoor paragraaf 4.12.

6.2.4

Back-up van private sleutels

Er wordt een back-up gemaakt van de private sleutels van de CA’s van het Ministerie van Defensie. 6.2.4.1 Back-up van private sleutels van CSP De back-up wordt in meerdere versleutelde delen bewaard in cryptografische modules en bijbehorende opslagapparatuur. De back-up kan slechts in gebruik genomen worden als drie van de vijf aangewezen functionarissen aanwezig zijn met hun deel van de sleutel en de bijbehorende PIN-code. 6.2.4.2 Back-up van de private sleutels van certificaathouders De CA maakt een back-up van de private vertrouwelijkheidsleutel van alle Defensiepassen en houdt deze in escrow.

Pagina 29 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

6.2.5


Archivering van private sleutels

Niet alle private sleutels van de CA worden gearchiveerd. 6.2.5.1 Archivering van private sleutels van de CA De private handtekeningsleutel van de CA wordt gearchiveerd in een FIPS 140-2 gecertificeerde HSM. Technische en organisatorische maatregelen zijn getroffen, zodat de gearchiveerde sleutel niet opnieuw in gebruik genomen kan worden. 6.2.5.2 Archivering van de private sleutels van certificaathouders Private sleutels van handtekeningen authenticiteitcertificaten van Defensiepashouders worden nooit gearchiveerd. Technische en organisatorische maatregelen zijn getroffen, zodat de archivering van deze sleutels niet mogelijk is. De private sleutel van het vertrouwelijkheidscertificaat van Defensiepashouders wordt in key-escrow gehouden.

6.2.6

Overdracht van de private sleutels van en naar cryptografische modules

De sleutels van Defensiepashouders worden meteen na generatie via een beveiligd communicatiekanaal in de Defensiepas gebracht. De private sleutels van handtekeningen authenticiteitcertificaten verlaten daarna de Defensiepas niet meer. De private vertrouwelijkheidsleutel wordt tevens in key-escrow gehouden.

6.2.7

Opslag van private sleutels in cryptografische modules

De private sleutels van Defensiepashouders zijn opgeslagen in de Defensiepas. De Defensiepas is vervaardigd conformde CWA 14169 standaard voor smartcards (SSCD’s, of te wel Secure signaturecreation devices van het type "EAL 4+".

6.2.8

Activeringsmethode van de private sleutels

Slechts door middel van een sleutelceremonie en de daarvoor noodzakelijk aanwezige functionarissen worden de private sleutels van de CA geactiveerd. De CA zorgt voor een zorgvuldige procedure in een beveiligde omgeving. Voor de private sleutels van een Defensiepas geldt dat deze tijdens het gebruik voor elke sessie moeten worden geactiveerd door het ingeven van de bijbehorende PIN-code.

6.2.9

Deactiveringsmethode van de private sleutels

In de door CA bepaalde situaties, zullen de private sleutels van de CA worden gedeactiveerd met inachtneming van de daarop van toepassing zijnde zorgvuldigheidsprocedures. In geval van compromittatie treedt het calamiteitenplan van de CA [Ref 44] in werking. Zie paragraaf 5.7. Deactivering van de private sleutels van een Defensiepashouder is gekoppeld aan het innameproces van Defensiepassen, waarbij de Defensiepassen worden ingenomen, de certificaten ingetrokken en de Defensiepassen, zo mogelijk ook fysiek vernietigd.

6.2.10

Vernietigingsmethode van de private sleutels

De private sleutels van de CA en Defensiepassen worden op zodanige wijze buiten werking gesteld en zo mogelijk vernietigd dat is zekergesteld dat deze sleutels niet meer kunnen worden gebruikt. 6.2.10.1 Eisen aan de Defensiepas als cryptografische module De Defensiepas is vervaardigd conform de CWA 14169 standaard voor smartcards (SSCD’s, of te wel Secure signature-creation devices van het type "EAL 4+").

6.3

Andere aspecten van sleutelpaarmanagement

In deze paragraaf wordt informatie gegeven over het archiveren van publieke sleutels en afspraken over de gebruiksduur.

Pagina 30 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

6.3.1


Archiveren van publieke sleutels

Publieke sleutels worden door de CA gearchiveerd en tenminste zeven jaar na het herstrijken van de geldigheidsduur van de bijbehorende certificaten in een fysiek veilige omgeving bewaard.

6.3.2

Gebruiksduur voor certificaten en sleutels

De gebruiksduur van de sleutelparen en certificaten van een CA strekt nooit verder dan die van de bovenliggende CA en bedraagt maximaal tien jaar. De gebruiksduur van Defensiepassen, certificaten en sleutels die zijn uitgegeven tot eind juli 2010 is gesteld op vijf jaar. De gebruiksduur van Defensiepassen, certificaten en sleutels die zijn uitgegeven vanaf eind juli 2010 tot 1 januari 2011 is gesteld op vier jaar. De gebruiksduur van Defensiepassen, certificaten en sleutels die zijn uitgegeven in de periode tussen 1 januari 2011 tot 1 april 2012 en vallen onder de G2-hiërarchie is gesteld op vijf jaar. De gebruiksduur van Defensiepassen, certificaten en sleutels die zijn/worden uitgegeven vanaf 01 april 2012 is gesteld op drie jaar.

6.4

Activeringsgegevens

De volgende maatregelen zijn getroffen om compromitatie van de activeringsgegevens van de Defensiepas te minimaliseren.

6.4.1

Genereren en installeren van activeringsgegevens

De activeringsgegevens, PIN- en PUK-code, worden op veilige wijze voorbereid en gedistribueerd.

6.4.2

Bescherming van activeringsgegevens

De PIN-code wordt aan de Defensiepashouder kenbaar gemaakt in een PIN-brief, die gescheiden van de Defensiepas naar het prive adres van de aanvrager wordt verzonden. Er zijn maatregelen getroffen om te voorkomen dat door derden ongezien kennis genomen kan worden van deze activeringsgegevens (zo wordt voorkomen dat de pincode leesbaar is wanneer de pinbrief nog in de enveloppe zit). De PUK-code wordt niet bekend gesteld aan de Defensiepashouder maar veilig bewaard door de CA. Na ontvangst is de Defensiepashouder zelf verantwoordelijk voor de bescherming van de PIN-code. De Defensiepas blokkeert na de vijfde opgave van een foutieve PIN-code. Voor deblokkering dient men zich te wenden tot de CA. De deblokkeringsprocedure is technisch en procedureel beveiligd, zodat de PUK-code niet door onbevoegden kan worden gebruikt. De procedure kent functiescheiding en is beschreven in de Administratieve Organisatie.

6.4.3

Andere aspecten van activeringsgegevens


6.5

Beheersmaatregelen computersystemen

De CA treft adequate maatregelen om de beschikbaarheid, integriteit en exclusiviteit te waarborgen.

6.5.1

Technische veiligheidseisen

Computersystemen worden op passende wijze beveiligd tegen ongeautoriseerde toegang en andere bedreigingen. Voor de dienst Defensiepas/BBC is een risicoanalyse en een implementatieplan beveiligingsmaatregelen (IBP) aanwezig. Met leveranciers zijn betrouwbaarheidsniveaus uitgewerkt in service level agreements (SLA’s) overeengekomen.

6.5.2

Toekennen beveiligingsniveau

De systemen en gegevens van de CA zijn geclassificeerd op basis van een risicoanalyse en vigerende regelgeving en beleid. Deze classificatie wordt periodiek beoordeeld en zo nodig aangepast. Tevens dienen een aantal systemen als Trustworthy System te voldoen aan CWA 14167-1. Zie paragraaf 9.3.

Pagina 31 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

6.6


Beheersmaatregelen technische levenscyclus

De CA draagt er zorg voor dat de software tijdens de gehele levenscyclus niet ongemerkt kan worden gewijzigd.

6.6.1

Beheersmaatregelen ten behoeve van systeemontwikkeling

De CA heeft de systeemontwikkeling uitbesteed aan ABDO-gecertificeerde onderaannemers, die volgens kwaliteits- en testplannen ontwikkelen en testen. De CA voert acceptatietests uit volgens vooraf opgestelde testplannen. De CA borgt de systeemontwikkeling onder meer door het gebruik van gescheiden omgevingen voor test-, acceptatie en productiedoeleinden en door beheerprocessen voor versie- en wijzigingsbeheer.

6.6.2

Beheersmaatregelen beveiligingsmanagement

De beveiligingsinstellingen van hard- en software zijn gedocumenteerd, onder andere in Beheerprotocollen. De Audit Dienst Rijk (ADR) onderzoekt deze instellingen bij de partieel roulerende audits, die in het kader van de jaarlijkse audit planning worden uitgevoerd.

6.6.3

Inschaling van het beveiligingsniveau

De beveiliging van de hard- en software van de CA wordt regelmatig onderzocht, hetgeen resulteert in een oordeel over het niveau van die beveiliging en zo nodig in aanbevelingen.

6.7

Netwerk beheersmaatregelen

Er zijn maatregelen voor netwerkbeveiliging geïmplementeerd, zodanig dat de beschikbaarheid, integriteit en exclusiviteit van de gegevens wordt geborgd. Communicatie over publieke netwerken tussen systemen van de CA vindt in vertrouwelijke vorm plaats. De koppeling tussen de publieke netwerken en de netwerken van de CA zijn voorzien van stringente veiligheidsmaatregelen. De koppelingen voldoen aan het Defensiekader D401 "Koppelingen met defensienetwerken".

6.8

Time-stamping

Er wordt geen gebruik gemaakt van time-stamping in de aangeboden certificatiedienstverlening.

Pagina 32 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

7


Certificaat-, CRL- en OCSP-profielen

De certificaatprofielen, CRL-profielen en OCSP-profielen zijn volledig beschreven in het document Specificatie Systeem Configuratie. In dit hoofdstuk is niet gekozen voor een integrale behandeling van de certificaat, CRL- en OCSPprofielen. De door Defensie gebruikte profielen zijn namelijk in overeenstemming met de profielen van de PKI voor de overheid samengesteld, zoals deze zijn voorgeschreven in de CP Domein Overheid en Bedrijven (G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie) en in de CP Services. De profielen bepalen welke gegevens standaard in de certificaten zijn opgenomen. Deze gegevens hebben betrekking op de CA die de certificaten uitgeeft, op de Defensiepashouder, op de gebruikte algoritmen, et cetera. De voorgeschreven profielen van de PKI voor de overheid laten enige keuzevrijheid. Waar dit heeft geleid tot keuzes die voor Defensiepashouders of vertrouwende partijen van belang kunnen zijn, is een toelichting gegeven. Dit is bijvoorbeeld het geval bij de beschrijving van persoonsgegevens in de certificaten. In dit hoofdstuk zijn certificaatprofielen, CRL-profielen en OCSP-profielen beschreven. Deze profielen zijn genummerd ten behoeve van figuur 1. In het kader van de Defensiepas zijn dit de volgende: 1. Ministerie van Defensie CA: dit is een CA, die slechts het certificaat van de onderliggende CA uitgeeft. Het certificaatprofiel (Figuur 1 (1)) van deze CA is bepaald door de PKI voor de overheid, die ook verantwoordelijk is voor het bijbehorende CRL-profiel (paragraaf 7.2); 2. Ministerie van Defensie CA Defensiepas: dit is een CA, die de certificaten van Defensiepashouders uitgeeft. Voor het eigen certificaat van deze CA is een certificaatprofiel opgesteld (Figuur 1 (2)). Mocht het eigen certificaat van deze CA worden ingetrokken, dan wordt dat bijgehouden op een CRL, waarvoor een profiel is vastgesteld (paragraaf 7.2); 3. Defensiepas certificaatprofielen: dit zijn de profielen van de certificaten van Defensiepashouders voor authenticiteit, handtekening en vertrouwelijkheid (5). Ingetrokken certificaten worden bekend gesteld via een CRL en via een OCSP dienst. Er is een CRL-profiel (6) opgesteld en een OCSP-profiel (paragraaf 7.3). In figuur 1 is de hiërarchie van CA’s weergegeven voor de G1-hiërarchie. Ook zijn op het laagste niveau de Defensiepas certificaten weergegeven. De nummers refereren aan de certificaatprofielen. Voor de G2-hiërarchie geldt dat Domein Overheid is vervangen door Domein Organisatie. Tevens is aan de CA namen de aanvulling ‘ – G2’ toegevoegd.

Pagina 33 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Staat der Nederlanden Root CA

Staat der Nederlanden Domein Overheid CA

Ministerie van Defensie Certificatie Autoriteit (1)

Ministerie van Defensie Certificatie Autoriteit Defensiepas (2)

authenticiteitcertificaat (3)

handtekeningcertificaat (3)

vertrouwelijkheidcertificaat (3)

Figuur 1. CA-hiërarchie De vindplaatsen van de CRL’s en de OCSP-dienst staan in paragraaf 2.2 vermeld.

7.1

Certificaatprofielen

De certificaatprofielen van het Staat der Nederlanden Root CA certificaat en het Staat der Nederlanden Domein Overheid/Organisatie CA certificaat zijn vastgesteld door de PKI voor de overheid. Deze certificaten zijn beschikbaar via www.pkioverheid.nl. De PKI voor de overheid is tevens verantwoordelijk voor het certificaatprofiel van het Ministerie van Defensie CA certificaat (Figuur 1 (1)). Het profiel van het certificaat van de Ministerie van Defensie CA Defensiepas (Figuur 1 (2)) is daarentegen de verantwoordelijkheid van de Ministerie van Defensie CA (Figuur 1 (1)). Van rechtstreeks belang voor de Defensiepashouders en vertrouwende partijen is de samenstelling van de certificaten van de Defensiepashouders voor authenticiteit, handtekening en vertrouwelijkheid (Figuur 1 (3)). Deze drie typen certificaten zijn op hoofdlijnen op dezelfde wijze samengesteld. Het verschil blijkt duidelijk uit de invulling van het veld keyUsage, dat aangeeft of de in het certificaat opgenomen private sleutel gebruikt mag worden voor de handtekening (non-repudiation), vertrouwelijkheid (keyEncipherment, dataEncipherment, keyAgreement) of authenticiteit (digitalSignature). De naam van de CA in deze certificaten luidt Ministerie van Defensie Certificatie Autoriteit Defensiepas (G1-hiërarchie) en Ministerie van Defensie Certificatie Autoriteit Defensiepas – G2 (G2-hiërarchie). Voor de geldigheidsperiode van de certificaten wordt verwezen naar subparagraaf 6.3.2. De datum van invoering van de cross-certificering is gesteld op 31 maart 2012.

Pagina 34 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Na deze datum zal de geldigheid van de passen met G2-certificaten geforceerd worden beperkt tot drie jaar, door deze in te trekken drie jaar na uitgifte. Nadat de periode van drie jaar is verstreken, zullen de gebruikers nieuwe passen met nieuwe G2certificaten krijgen, die drie jaar geldig zullen zijn. De geldigheidsperiode van passen met G2-certificaten, die na 31 maart 2012 zijn uitgegeven, wordt drie jaar. Vanwege privacy overwegingen zijn de persoonsgegevens op de Defensiepas en in de certificaten beperkt. Certificaten zijn immers bestemd voor verspreiding in brede kring. In feite zijn slechts persoonsgegevens opgenomen, die volgens de richtlijnen van het College Bescherming Persoonsgegevens (CBP) AV23 ten hoogste tot risicoklasse I behoren, wat het Basisniveau is. De persoonsgegevens in de certificaten zijn de volgende: de naam van de Defensiepashouder bestaande uit de voornamen en de achternaam, aangevuld met een personeelsnummer, waardoor de naam uniek wordt. De keuze voor het arbeidsgebonden personeelsnummer brengt een scheiding aan tussen de werksfeer en de privésfeer.

7.2

CRL-profielen

De CRL (Certificate Revocation List) en de OCSP (Online Certificate Status Protocol) dienst bevatten een lijst van ingetrokken certificaten. Bij Defensie bevat deze statusinformatie slechts het certificaatserienummer en de datum van intrekking. Een reden voor de intrekking is nadrukkelijk niet opgenomen in de CRL’s. Het profiel van de CRL voor de Ministerie van Defensie CA is vastgesteld door de PKI voor de overheid, die deze CRL ook uitgeeft. Er worden door de CA twee verschillende CRL’s uitgegeven, namelijk de CRL waarin de ingetrokken certificaten van de uitgevende CA worden bijgehouden en de CRL waarin de status van de certificaten van de Defensiepashouders kan worden gecontroleerd. Beide CRL-profielen zijn opgesteld conform de CP Domein Overheid en Bedrijven (G1-hiërarchie) en CP Domein Organisatie (G2-hiërarchie) van de PKI voor de overheid. Van belang is voorts dat per CRL het uitgiftetijdstip (datum/tijdstip) en de geldigheidsduur van de CRL zijn vermeld. De geldigheidsduur van de CRL voor de uitgevende CA is evenals de geldigheidsduur van de CRL voor de certificaten van Defensiepashouders gesteld op 24 uur. Voor de volledigheid zij nog vermeld dat de geldigheidsduur van de CRL van de Ministerie van Defensie CA is gesteld op één maand.

7.3

OCSP-profielen

Het certificaatprofiel van de OCSP (Online Certificate Status Protocol) Signer (ondertekenaar) is in de termen van de PKI voor de overheid een certificaat van het type service certificaat ten behoeve van authenticiteit. Dit certificaat is in overeenstemming met de CP Services opgesteld (OID 2.16.528.1.1003.1.2.2.4). De naam (Common Name) van de OCSP-dienst luidt OCSP-responder Ministerie van Defensie CA Defensiepas. OCSP biedt inhoudelijk een lijst van ingetrokken certificaten, die online raadpleegbaar is.

Pagina 35 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

8


Conformiteitsbeoordeling

De certificatiedienstverlening van de CA van het Ministerie van Defensie is door BSI gecertificeerd tegen het Framework ETSI EN 319 411-2, ETSI EN 319 401, voorheen ETSI TS 101 456 en voldoet daarmee aan de eisen zoals gesteld aan certificatiedienstverleners in de Weh. De conformiteitcertificaten van de meest recente audits zullen beschikbaar zijn in de elektronische opslagplaats van de Policy Authority van de PKI voor de overheid. De CA voldoet tevens aan het normenkader van de PKI voor de overheid zoals gesteld in het Programma van Eisen (zie hiervoor http://www.logius.nl/producten/toegang/pkioverheid/). De CA van het Ministerie van Defensie is als certificatiedienstverlener geregistreerd bij de ACM. De kwaliteit van de dienst Defensiepas wordt tevens periodiek onderzocht door de ADR (Audit Dienst Rijk) in het kader van het jaarlijkse audit planning. Het onderzoek van de ADR is breder georiënteerd dan de audit tegen ETSI EN 319 411-2, ETSI EN 319 401, voorheen ETSI TS 101 456. Terwijl de ETSIaudit zich bovenal richt op de rechtsgeldigheid van de elektronische handtekening, richt het onderzoek door de ADR zich meer in het algemeen op de beheersing van risico’s die gepaard gaan met de verstrekking van de Defensiepas met certificaten. Aanvullend worden interne controles uitgevoerd bij verstrekkingslocaties. Deze controles zijn erop gericht te toetsen of de Defensieonderdelen (DO’n) de RA (Registration Authority) taken conform de norm uitvoeren. Functioneel beheer rapporteert hieromtrent richting het CSP-management. Onder de naam Defensiepas/BBC is de verwerking van persoonsgegevens in het kader van de Defensiepas gemeld bij de Functionaris voor de Gegevensbescherming van het Ministerie van Defensie.

Pagina 36 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9

Algemene en juridische bepalingen

9.1

Tarieven


In dit CPS zijn geen tarieven opgenomen.

9.2

Financiële verantwoordelijkheid en aansprakelijkheid

De CA heeft adequate regelingen getroffen om aansprakelijkheden te dekken die verband houden met de certificatiedienstverlening. De verhaalbaarheid van aansprakelijkheidsclaims inzake deze dienstverlening is geborgd door de financiële positie van het Ministerie van Defensie en in breder verband de Staat der Nederlanden (Rijksoverheid). Zie voor aansprakelijkheid verder paragraaf 9.6.

9.2.1

Verzekeringsdekking

Het Ministerie van Defensie heeft voor de certificatiedienstverlening geen aparte verzekering afgesloten. Het is immers overheidsbeleid dat de Staat zich niet verzekert.

9.2.2

Overige bezittingen


9.2.3

Verzekeringsdekking of aansprakelijkheidsdekking voor eindgebruikers


9.3

Vertrouwelijke (bedrijfs)gegevens

Naar de gehele dienst Defensiepas/BBC is een risicoanalyse uitgevoerd, uitmondend in een implementatieplan beveiligingsmaatregelen (IBP). Zie Risicoanalyse Defensie.

9.3.1

Classificering van informatie (vertrouwelijk)

Het IBP geeft aan welk type gegevens op welke wijze moet worden beschermd. Dit plan is vertrouwelijk van aard.

9.3.2

Classificering van informatie (ongerubriceerd, ongemerkt)

De gegevens die bij de dienst Defensiepas/BBC zijn betrokken, zijn niet gerubriceerd of gemerkt.

9.3.3

Verantwoordelijkheid voor de bescherming van vertrouwelijke informatie

De verantwoordelijkheid voor de bescherming van vertrouwelijke informatie is in eerste instantie belegd bij de procesmodeleigenaar de Hoofddirecteur Bedrijfsvoering (HDBV). In tweede instantie is de D-JIVC als procesmodelhouder en CSP verantwoordelijk.

9.4

Vertrouwelijkheid van persoonsgegevens

De verwerking van persoonsgegevens in het kader van de dienst Defensiepas/BBC is gemeld bij de Functionaris voor de Gegevensbescherming (FG) van het Ministerie van Defensie. In het geval de in dit hoofdstuk opgenomen informatie over de verwerking van persoonsgegevens strijdig is met de Wbp dan is dit onbedoeld en gaat de Wbp altijd boven dit CPS. Informatie over de verwerking van persoonsgegevens is opgenomen in de brochure, die aan elke Defensiepashouder wordt verstrekt.

Pagina 37 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9.4.1


Analyserapport persoonsgegevens

Naar de verwerking van persoonsgegevens is een analyse uitgevoerd, die is vastgelegd in de Privacyanalyse rapportage.

9.4.2

Vertrouwelijke behandeling van persoonsgegevens

In tabel 6 is een overzicht gegeven van de belangrijkste persoonsgegevens. In de eerste kolom van de tabel is het type persoonsgegeven genoemd. In de volgende kolommen is aangeven waar het gegeven voorkomt: in certificaten, op de Defensiepas of in het DBS. Deze tabel bedoelt een indruk te geven van de betrokken persoonsgegevens en is niet bedoeld als een voorschrift voor de syntax van deze gegevens. Type persoonsgegeven

Pas

Certificaat

DBS

Achternaam

x

x

x

Voorvoegsels

x

x

x

Voornamen

x

x

x

Geboortedatum

x

x

Geslacht

x

x

Pasfoto

x

x

Personeelsnummer

x

x

x

Datum einde dienstverband

x

Burger Service Nummer

x

Nummer en soort burgeridentiteitsbewijs

x

Private vertrouwelijkheidsleutel

x

Publieke vertrouwelijkheidsleutel Private authenticiteitsleutel en handtekeningsleutel

x

x

x

Publieke authenticiteitsleutel en handtekeningsleutel

x

Tabel 6. Overzicht persoonsgegevens Defensiepas De persoonsgegevens worden grotendeels onttrokken aan het personeelsysteem van het Ministerie van Defensie. De doelen van de verwerking van persoonsgegevens voor Defensiepassen kunnen als volgt worden samengevat: 1. het door en met de Defensiepas faciliteren van bedrijfsprocessen gericht op bewaking, beveiliging, toegangsverlening en controle, waaronder autorisaties; 2. het in samenhang met de Defensiepas gebruiken van public-key-infrastructure functies, te weten: a. het gebruik van een elektronische handtekening; b. vertrouwelijkheid door het versleutelen van gegevens; c. identificatie en authenticatie; 3. het beheer van de levenscyclus van Defensiepassen, certificaten en cryptografische sleutels. Deze levenscyclus start bij het aanvragen van Defensiepassen, certificaten en sleutels, doorloopt een aantal fasen en eindigt met het innemen en buiten gebruik stellen.

Pagina 38 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9.4.3


Openbare persoonsgegevens

De gepubliceerde gegevens van certificaten zijn zonder meer raadpleegbaar binnen het Ministerie van Defensie. Publicatie buiten het Ministerie van Defensie, via Internet, is slechts toegestaan als de Defensiepashouder of diens kaartbeheerder hiervoor toestemming heeft gegeven. De informatie die wordt verstrekt met betrekking tot gepubliceerde en ingetrokken certificaten is beperkt tot hetgeen in hoofdstuk 7 is vermeld.

9.4.4

Verantwoordelijkheid voor de bescherming van persoonsgegevens

Een belangrijk uitgangspunt van de Wet Bescherming Persoonsgegevens (WBP) is dat altijd een instantie verantwoordelijk is voor de gegevensverwerking, die in voorkomende gevallen ook in rechte aansprakelijk kan worden gehouden voor situaties die in strijd zijn met de wet. Bij de overheid is dat steeds het betrokken bestuursorgaan in de zin van de Algemene wet bestuursrecht. Op rijksniveau zijn de afzonderlijke ministers aan te merken als verantwoordelijke. Voor wat betreft het Ministerie van Defensie is dit derhalve de Minister van Defensie.

9.4.5

Rechten en plichten van de betrokkene bij de verwerking van persoonsgegevens

De Defensiepashouders hebben recht op inzage en correctie van hun persoonsgegevens. Tijdens het registratieproces worden de Defensiepashouders in de gelegenheid gesteld om hun persoonsgegevens in te zien en correcties voor te stellen. Correcties worden via het personeelsysteem van Defensie verwerkt.

9.4.6

Vrijgeven van persoonsgegevens vanwege een juridische procedure

Vrijgeven van informatie aan opsporingsambtenaren Als in het kader van een straf- of tuchtrechtelijk onderzoek informatie die in het kader van de dienst Defensiepas/BBC wordt bewaard en niet voor openbare publicatie is bestemd, wordt opgevraagd door een bevoegde opsporingsambtenaar, dan wordt deze informatie door het Ministerie van Defensie vrijgegeven na overhandiging van een rechtsgeldige sommatie. Vrijgeven van informatie ten behoeve van een civiele procedure Als in een civiele procedure informatie, die in het kader van de dienst Defensiepas/BBC wordt bewaard en niet voor openbare publicatie is bestemd, wordt opgevraagd, dan wordt deze informatie vrijgegeven door het Ministerie van Defensie indien naar het oordeel van de CA geen sprake is van een zwaarwegend belang dat zich verzet tegen de genoemde gegevensverstrekking. Voordat tot gegevensverstrekking zal worden overgegaan, wordt de betrokken Defensiepashouder hiervan op de hoogte gesteld.

9.4.7

Andere omstandigheden die leiden tot het vrijgeven van persoonsgegeven

Behoudens het voorgaande in paragraaf 9.4.6 worden geen certificaten of anders vastgelegde gegevens behorende bij Defensiepashouders vrijgegeven aan partijen buiten het Ministerie van Defensie zonder uitdrukkelijke toestemming van de Defensiepashouder en de CA. Binnen het Ministerie van Defensie worden certificaten of anders vastgelegde gegevens behorende bij Defensiepashouders vrijgegeven mits dit vrijgeven plaatsvindt vanwege de doelen van de gegevensverwerking, zoals aangegeven in paragraaf 9.4.2.

9.5

Intellectuele eigendomsrechten

Voorliggend CPS is eigendom van de Staat der Nederlanden (Ministerie van Defensie). Ongewijzigde kopieën van dit CPS mogen zonder toestemming verspreid en gepubliceerd worden mits dit met bronvermelding geschiedt. Eigendomsrechten met betrekking tot certificaten en de Defensiepas blijven ook na uitgifte berusten bij de Staat (Ministerie van Defensie), inclusief rechten van intellectueel eigendom.

Pagina 39 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014


Het Ministerie van Defensie garandeert de Defensiepashouders dat de door de CA uitgegeven certificaten en Defensiepassen, inclusief de daarbij behorende documentatie, geen inbreuk maken op intellectuele eigendomsrechten die berusten bij leveranciers.

9.6

Aansprakelijkheid en verplichtingen

De structuur van de RfC 3647 biedt geen plaats voor een beschrijving van de verplichtingen van de betrokken partijen. In dit CPS is gekozen voor het in hoofdstuk 9 opnemen van de verplichtingen, voorafgaand aan een beschrijving van aansprakelijkheden. De verplichtingen van de Defensiepashouders vloeien voor Defensiemedewerkers tevens voort uit hun arbeidsrelatie met cq. Ambtelijke aanstelling bij het Ministerie van Defensie.

9.6.1

Aansprakelijkheid en verplichtingen van de Certificatie Autoriteit

Verplichtingen van de CA De CA is eindverantwoordelijk voor alle aspecten van het leveren van certificatiediensten, ook voor alle zaken en diensten die worden geleverd door onderaannemers. Meer in het bijzonder heeft de CA de volgende verplichtingen: 1. het naleven van de CP Domein Overheid en Bedrijven (de G1-hiërarchie) en de CP Domein Organisatie (G2-hiërarchie); 2. het naleven van dit CPS; 3. het voldoen aan alle bijkomende verplichtingen die zijn aangegeven in de uitgegeven certificaten; 4. het beschikbaar stellen van certificatiediensten voor alle door het Ministerie van Defensie bepaalde categorieën Defensiepashouders en vertrouwende partijen; 5. het beschikken over correct gedocumenteerde overeenkomsten en contractuele relaties met derde partijen, die de certificatiediensten leveren; 6. het tijdig aankondigen en beschikbaar stellen van veranderingen in het CPS aan partijen, in overeenstemming met de wijzigingsprocedure zoals beschreven in paragraaf 9.12; 7. het garanderen dat alle gegevens in het certificaat, op het tijdstip van afgifte, juist zijn en dat alle noodzakelijke gegevens zijn opgenomen; 8. het garanderen dat de in het certificaat geïdentificeerde ondertekenaar, op het tijdstip van afgifte van het certificaat, houder was van de gegevens voor het aanmaken van de handtekening die met de in het certificaat gegeven of geïdentificeerde gegevens voor het verifiëren van de handtekening overeenstemmen; 9. het garanderen dat de gegevens voor het aanmaken van de handtekening en die voor het verifiëren van de handtekening complementair kunnen worden gebruikt; 10. het garanderen dat geen inhoudelijke fouten of onvolledigheden zullen worden geïntroduceerd bij het genereren en de uitgifte van certificaten door de CA. Aansprakelijkheid van de CA 1. De CA is in haar hoedanigheid van certificatiedienstverlener in beginsel aansprakelijk voor schade die natuurlijke personen of rechtspersonen, die in redelijkheid op een door de CA uitgegeven certificaat vertrouwen en op grond daarvan handelen, ondervinden in samenhang met: a.

de juistheid, op het tijdstip van afgifte, van alle in het certificaat opgenomen gegevens en de opneming van alle voor dit certificaat voorgeschreven gegevens;

b.

het feit dat, op het tijdstip van uitgifte, degene die in het certificaat is aangeduid als ondertekenaar de houder was van de gegevens voor het aanmaken van elektronische handtekeningen, die behoren bij de in het certificaat vermelde gegevens voor het verifiëren van elektronische handtekeningen;

Pagina 40 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

c.


het feit dat de gegevens voor het aanmaken van elektronische handtekeningen en de gegevens voor het verifiëren van elektronische handtekeningen, indien zij beide door de CA zijn gegenereerd, complementair kunnen worden gebruikt.

2. De CA kan tevens in beginsel aansprakelijk worden gesteld, als zij nalaat intrekking van het certificaat te registeren, met inbegrip van het bijwerken en publiceren van de CRL en een vertrouwende partij in redelijk vertrouwen daarop heeft gehandeld.

9.6.2

Aansprakelijkheid en verplichtingen van RA’s

De RA’s zijn uitvoerders van de dienstverlening waarvoor de CA verantwoordelijk is. De verplichtingen van de CA zijn in de voorgaande paragraaf beschreven.

9.6.3

Aansprakelijkheid en verplichtingen van Defensiepashouders

Iedere Defensiepashouder is gehouden aan de volgende verplichtingen: 1. de Defensiepashouder houdt zich aan hetgeen gesteld is in dit CPS; in het bijzonder dat de certificaten die voor hem zijn uitgegeven worden gebruikt binnen het toepassingsgebied, zoals gesteld in paragraaf 1.4 van dit CPS; 2. de Defensiepashouder houdt zich aan aanwijzingen die hem door de CA zijn medegedeeld bij de uitreiking van de Defensiepas of op een later tijdstip aan hem kenbaar zijn gemaakt; 3. de Defensiepashouder verstrekt juiste, volledige en actuele gegevens aan de CA vooral ten behoeve van het registratieproces; 4. de Defensiepashouder beschermt de Defensiepas tegen beschadiging, verlies of diefstal; 5. de Defensiepashouder bewaart de PIN-code gescheiden van de Defensiepas en behandelt deze codes vertrouwelijk; 6. de Defensiepashouder meldt misbruik, compromittering, verlies of diefstal van de Defensiepas en/of de PIN-code terstond aan de CA, ook als het slechts om een vermoeden gaat. Tevens staakt de Defensiepashouder het gebruik van zijn certificaten en sleutels in die gevallen terstond; 7. de Defensiepashouder stelt de CA terstond op de hoogte als onjuistheden in de inhoud van de door hem aangevraagde certificaten worden geconstateerd.

9.6.4

Aansprakelijkheid en verplichtingen van vertrouwende partijen

Degenen die op een door de CA uitgegeven certificaat vertrouwen zijn verplicht om: 1. de geldigheid van het certificaat door middel van gepubliceerde informatie op de CRL of via OCSP te verifiëren; 2. de authenticiteit van de CRL te controleren; 3. de geldigheid van de hiërarchie te controleren waarbinnen het certificaat is uitgegeven, inhoudende de geldigheid van certificaten van bovenliggende CA’s en van het stamcertificaat van de Staat der Nederlanden; 4. kennis te nemen van alle verplichtingen aangaande het gebruik van het certificaat zoals vermeld in dit CPS, hieronder uitdrukkelijk mede begrepen alle beperkingen betreffende het gebruik van het certificaat; 5. alle overige voorzorgsmaatregelen te nemen die in redelijkheid door vertrouwende partijen genomen kunnen worden.

9.6.5

Aansprakelijkheid en verplichtingen van andere betrokkenen


9.7

Disclaimers


Pagina 41 van 47

Titel


Status


Versienummer

2.6

Datum

8 mei 2014

9.8


Beperkingen van aansprakelijkheid

De CA stelt geen beperkingen aan: 1. het gebruik van de door de CA uitgegeven certificaten onder voorliggend CPS binnen het in paragraaf 1.4 gestelde toepassingsgebied, en; 2. de waarde van de transacties waarvoor de door de CA uitgegeven certificaten onder voorliggend CPS binnen het in paragraaf 1.4 gestelde toepassingsgebied kunnen worden gebruikt. De beperkingen van de aansprakelijkheid, die in deze paragraaf zijn opgenomen, laten de werking van de Wet elektronische handtekeningen onverlet. De CA stelt de volgende beperkingen: 1. de

CA

erkent

geen

rechtspersonen,

indien

aansprakelijkheid het

certificaat

voor niet

schade

ontstaan

conform

het

in

bij

natuurlijke

paragraaf

personen

1.4

of

beschreven

toepassingsgebied wordt gebruikt, of waarbij de in het certificaat aangegeven beperkingen worden overschreden; 2. de

CA

erkent

geen

aansprakelijkheid

voor

schade

ontstaan

bij

natuurlijke

personen

of

rechtspersonen in het geval van: a.

schade die voortvloeit uit het niet nakomen van de in dit CPS beschreven verplichtingen van Defensiepashouders en/of vertrouwende partijen;

b.

schade ten gevolge van het gebruik van een certificaat na intrekking van het certificaat;

3. de CA aanvaardt geen enkele aansprakelijkheid tegenover de vertrouwende partij voor door hem/haar geleden schade in welke vorm dan ook, in zoverre dat de vertrouwende partij geacht wordt niet in redelijkheid op het certificaat te hebben vertrouwd, zelfs wanneer hij/zij aan alle overige

verplichtingen

heeft

voldaan,

indien

de

met

het

vertrouwen gemoeide

belangen

disproportioneel zijn te noemen ten opzichte van het door het certificaat geboden niveau van betrouwbaarheid; 4. de CA kan op basis van de gronden die zijn genoemd in paragraaf 9.6.1 niet aansprakelijk worden gesteld, indien zij bewijzen kan overleggen dat de CA niet onzorgvuldig heeft gehandeld.

9.9

Boeteclausules

Voorzover er sprake is van boeteclausules zijn deze opgenomen in de Contracten ten behoeve van Kaartleverantie en Systeemintegratie tussen de OPS als leverancier van CA-diensten en onderaannemers.

9.10

Geldigheidstermijn en beëindiging van de geldigheid CPS

9.10.1

Geldigheidstermijn van het CPS

Dit CPS is voor onbepaalde tijd geldig of totdat de CA de geldigheid ervan beëindigt.

9.10.2

Beëindiging van de geldigheid van het CPS

De CA kan als enige partij de geldigheid van dit CPS beëindigen. De CA zal dat besluit bekend stellen op de website van de CA. 9.10.2.1 Gevolgen van beëindiging van het CPS RfC 3647: niet nader bepaald voor de certificatiedienstverlening van Defensie.

9.11

Communicatie tussen betrokkenen


Pagina 42 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9.12


Wijzigingen

Dit CPS is onderhevig aan veranderingen. Zo hebben bijvoorbeeld wijzigingen van het in de Certificate Policy vastgelegde beleid hun weerslag op dit CPS.

9.12.1

Wijzigingsprocedure

Verzoeken tot wijziging van dit CPS kunnen worden ingediend door een email te sturen naar het centrale e-mailadres: [email protected] Functioneel beheer beoordeelt en bundelt deze verzoeken en dient ze vervolgens in bij het CA management. Daarnaast kan de CA zelf een wijziging initiëren, bijvoorbeeld vanwege een verandering in weten regelgeving. Het CA management bepaalt of verzoeken tot wijziging worden uitgevoerd. Tevens wordt bij geaccordeerde wijzigingsverzoeken vastgesteld of notificatie nodig is, zie paragraaf 9.12.2. Wijzigingen van het CPS worden zo veel mogelijk gegroepeerd doorgevoerd, leiden tot een ophoging van het versienummer en worden aan de vertrouwende parijen gemeld. Wijzigingen van het CPS zijn van kracht vanaf het moment dat de aangepaste versie op de website van de CA wordt gepubliceerd.

9.12.2

Notificatie van wijzigingen

Alle wijzigingen van dit CPS zullen op de website van de CA bekend worden gesteld, door publicatie van de meest actuele versie.

9.12.3

Omstandigheden die leiden tot wijziging van OID’s

Wijzigingen van het CPS leiden in beginsel niet tot een wijziging van het OID van dit CPS.

9.13

Geschillenbeslechting

Procedure bij geschillen Als er een conflict ontstaat over de interpretatie van de bepalingen van voorliggend CPS of over de interpretatie van de vanwege de certificatiedienstverlening gesloten overeenkomsten, kan dit worden ingediend onder vermelding van "verzoek geschillenbeslechting" bij het centrale e-mailadres: [email protected] In antwoord daarop geeft de CA uitsluitsel over de interpretatie van de bepalingen. Als deze uitleg niet tot een voor betrokkene(n) bevredigend resultaat leidt, dan zal het verzoek in behandeling worden genomen conform de vigerende procedures van het Ministerie van Defensie. Procedure bij klachten In geval van klachten betreffende de certificatiedienstverlening, dient de klacht te worden ingediend bij de Service Desk Defensie (SDD).

9.14

Van toepassing zijnde wetgeving

Op de diensten van de CA, voorliggend CPS en door het Ministerie van Defensie vanwege de certificatiedienstverlening gesloten overeenkomsten is het Nederlands recht van toepassing.

9.15

Naleving van wetgeving


Pagina 43 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

9.16

Overige bepalingen



Pagina 44 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

10


Bijlage 1. Afkortingen

Voor een uitputtende lijst van definities en afkortingen van de gehanteerde PKI-termen wordt verwezen naar de Definities en Afkortingen van de PKI voor de overheid. In deze bijlage 1. Zijn afkortingen opgenomen, zoals deze in het kader van de dienst Defensiepas/BBC zijn gehanteerd. Afkorting ABDO ADR AO BARD/AMAR BBC Beh CBP CDC CoDi CPS CSP DBS DMO DPS ETSI FBO FG FIF HSM I&A IA IATO IBEV IBP IP IPS ISO JIVC MIVD NTP OCSP OPTA PIN PUK Reh RFC SDD SLA VAM VGB VMN Wbp Weh Wid WIK

Voluit Algemene Beveiligingseisen voor Defensieopdrachten 2006 Audit Dienst Rijk Administratieve Organisatie Burgerlijk/Algemeen Militair Ambtenarenreglement Defensie Basisvoorziening Betrouwbare Communicatie Besluit elektronische handtekeningen College Bescherming Persoonsgegevens Commando Diensten Centra Corporate Directory Certificate Practice Statement Certificate Service Provider Defensiepas Beheer Systeem Defensie Materieel Organisatie Defensie Publicatie Systeem European Telecommunication Standard Institute Functioneel Beheer Organisatie Functionaris voor de Gegevensbescherming Functie Informatieformulier Hardware Security Module Informatiemanagement en architectuur Interne Auditing Interim Approval To Operate Informatiebeveiliging Informatiebeveiligingsplan Implementatieplan Internet Publicatie Systeem International Organization for Standardization Joint InformatieVoorzieningsCommando Militaire Inlichtingen- en Veiligheidsdienst Network Time Protocol Online Certificate Status Protocol Onafhankelijke Post en Telecommunicatie Autoriteit Personal Identification Number Personal Unblocking Key Richtlijn elektronische handtekeningen Request For Change Service Desk Defensie Service Level Agreement Vraag- en Aanbod Management Verklaring van Geen Bezwaar Veiligheidsmachtingsniveau Wet bescherming persoonsgegevens Wet elektronische handtekeningen Wet op de Identificatieplicht Werkinstructiekaart

Pagina 45 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

11


Bijlage 2. Documenten

Deze lijst is een opsomming van de documenten, waaraan in dit CPS wordt gerefereerd. Ref. nr. 1. 2. 3.

4. 5. 6.

7. 8.

9.

10. 11.

12.

13. 14.

15.

16.

Document ABDO, Algemene Beveiligingseisen voor Defensieopdrachten 2006. Administratieve Organisatie: Procesbeschrijving op hoofdlijnen, Project Defensiepas/BBC,. Versie 3.4, 19 november 2012 AV23: College bescherming persoonsgegevens, Achtergrondstudies en Verkenningen 23, Beveiliging van persoonsgegevens, 2001. CBP Richtsnoeren – Beveiliging van persoonsgegevens, februari 2013 De "Richtsnoeren" vervangen de "Achtergrondstudies en Verkenningen nr. 23" (AV23). Zie het persbericht van 19 februari 2013 op onderstaande link : • http://www.cbpweb.nl/Pages/pb_20130219_richtsnoeren-beveiligingpersoonsgegevens.aspx Het College bescherming persoonsgegevens (CBP) publiceert vandaag zijn `Richtsnoeren beveiliging van persoonsgegevens'. De richtsnoeren leggen uit hoe het CBP bij het onderzoeken en beoordelen van beveiliging van persoonsgegevens de beveiligingsnormen uit de Wet bescherming persoonsgegevens (Wbp) toepast. De richtsnoeren vormen de verbindende schakel tussen het juridisch domein, met daarbinnen de eisen uit de Wbp, en het domein van de informatiebeveiliging, waarin de noodzakelijke kennis en kunde aanwezig is om daadwerkelijk aan die eisen te voldoen. De richtsnoeren treden 1 maart 2013 in werking. BARD/AMAR, Burgerlijk/Algemeen Militair ambtenarenreglement Defensie. Beh, Besluit elektronische handtekeningen. De wet is per 21 mei 2003 van kracht. http://www.rijksoverheid.nl/documenten-en-publicaties/wob-verzoeken/2011/11/16/wobverzoek-over-het-calamiteitenplan-van-logius.html Handboek Incident-calamiteitenbeheer, versie 2.8, 7 juni 2011 (Logius) Contracten ten behoeve van Kaartleverantie en Systeemintegratie zijn gearchiveerd door het Ministerie van Defensie Verwerving. PKI Overheid Programma van Eisen deel 3a: versie 3.6 Certificate Policy - Domeinen Overheid/ Bedrijven en Organisatie Datum : 8 juli 2013. PKI Overheid Programma van Eisen deel 3b: versie 3.6 Certificate Policy - Services Bijlage bij CP Domeinen Overheid/Bedrijven en Organisatie, datum 28 januari 2014 http://www.cen.eu/cen/Sectors/Sectors/ISSS/CWAdownload/Pages/ Electronic%20Signatures.aspx CWA 14167-1, Security Requirements for Trustworthy Systems Managing Certificates for Elektronic Signatures – Part 1: System Security Requirements, June 2003. http://www.cen.eu/cen/Sectors/Sectors/ISSS/CWAdownload/Pages/ Electronic%20Signatures.aspx CWA 14169 Secure signature-creation devices "EAL 4+", maart 2004. Defensiebeveiligingsbeleid, 1.0, d.d. 14-8-2013. http://www.etsi.org/deliver/etsi_ts/101400_101499/101456/01.04.03_60/ts_101456v010 403p.pdf ETSI TS 101 456 V1.4.3 (2007-05). http://www.etsi.org/deliver/etsi_ts/102100_102199/10217601/02.00.00_60/ts_1021760 1v020000p.pdf ETSI TS 102 176-1 V2.0.0 (2007-11). http://csrc.nist.gov/groups/STM/cmvp/standards.html FIPS PUB 140-2, Security Requirements For Cryptographic Modules, NIST. Effective 15Nov-2001

Pagina 46 van 47

Titel


Status

definitief

Versienummer

2.6

Datum

8 mei 2014

Ref. nr.

17. 18. 19. 20. 21. 22. 23. 24. 25. 26. 27. 28. 29.

30.

31.

32. 33. 34. 35. 36. 37. 38. 39. 40. 41. 42. 43. 44. 64.


Document FIPS PUB 140-2 Annexes: • Annex A: Approved Security Functions [05-30-2012] • Annex B: Approved Protection Profiles [08-12-2011] • Annex C: Approved Random Number Generators [02-16-2012] Annex D: Approved Key Establishment Techniques [01-02-2013] Framework ETSI EN 319 411-2, framework for certification of Certification Authorities D101 - Risicoanalyse, implementatie en accreditatie, versie 2.0.pdf IETF RFC 2560: "X.509 Internet Public Key Infrastructure Online Certificate Status Protocol – OCSP". http://iventportaal.mindef.nl/sites/dv/hb/Klachtenbeheer/Proces/Proces Klachtbehandeling.pdf D401 - Koppelingen met defensienetwerken, versie 1.0.pdf Opleidingsplan Defensiepas/BBC. OPTA, Registratieformulier Certificatiedienstverlener die gekwalificeerde certificaten aanbiedt, en de Toelichting. Privacyanalyse rapportage Defensiepas en PKI, versie 1.1 Definitief, d.d. 20 januari 2007. Programma van Eisen van de PKIoverheid, deel 2: Toetreding tot en Toezicht binnen de PKI voor de overheid, versie 3.6, d.d. 28 januari 2014. Programma van Eisen van de PKIoverheid, deel 4: Definities en Afkortingen, versie 3.6, d.d. 28 januari 2014. PvE Systeemintegratie Defensiepas/BBC, versie 2.0 Definitief, d.d. 29 mei 2006. Reh: Richtlijn 1999/93/EG van het Europees Parlement en de Raad van 13 december 1999 betreffende een gemeenschappelijk kader voor elektronische handtekeningen (31999L0093). http://www.rfc-editor.org/info/rfc3647 RfC 3647, Internet X.509 Public Key Infrastructure Certificate Policy and Certification Practices Framework. Datum : November 2003. • Fout! Onbekende naam voor documenteigenschap.PKI-O dienstverlening Ministerie van Defensie, V2.3, datum 18-12-2012 • 2013.03.11 Rapport Proces Risicoanalyse Defensiepas.pdf, V1.3, datum 11-03-2013 • 2013.04.08 Rapport Technische Risicoanalyse Defensiepas.pdf, V1.2, datum 8-04-2013 Uitvoeringsbepalingen DefensieBeveiligingsbeleid, Deelgebied Personele Beveiliging Nr. B/002 Vertrouwensfuncties. Versie 2.0, 28-11-2011 Wbp, Wet bescherming Persoonsgegevens (BWBR0011468). Weh, Wet elektronische handtekeningen (BWBR0015046). Aanwijzing SG A/949 Rollen en verantwoordelijkheden certificatiedienstverlening PKI. 08-10-2008 BS2013005029 mandaat CA C-BG-IVENT.pdf, 18-02-2013 Besturen bij Defensie 2013 (03_bbd_2013_tcm4-1077557.pdf), 11-2013 032013009084 Belegging CA mandaat bij JIVC-VAM.pdf, 14-05-2013 Subtaakbesluit Defensie Materieel Organisatie 2013 (stcrt-2014-1930.pdf), 20-12-2013 Convenant OPS 01nov2013.PDF Subtaakbesluit Defensie Materieel Organisatie 2013, 20-12-2013 20140218 Taakopdracht OPS versie 1.4 def 20140218 Nota vaststelling TO versie 1 4 def Calamiteitenplan Certificatie Autoriteit versie 1.0, dd 29-4-2013 Deelplan opleidingen. Versie 1.0, dd januari 2008

Pagina 47 van 47

Certification Practice Statement

Recommend Documents