Irányelv általános és kormányzati elektronikus aláírás ellenőrzés-szolgáltatáshoz
1/26.
Tartalomjegyzék
1. AZ IRÁNYELV CÉLJA ÉS KERETEI ................................................................ 3 2. AZ IRÁNYELV KONCEPCIÓJA ...................................................................... 3 2.1 FELHASZNÁLÁS ................................................................................................ 3 2.2 MÓDSZERTAN ................................................................................................. 4 3. ALKALMAZÓI KÖR ....................................................................................... 4 4. JOGSZABÁLYI KÖRNYEZET ......................................................................... 4 5. MÉRTÉKADÓ SZABVÁNYOK ÉS AJÁNLÁSOK ................................................ 5 6. IKT SZABÁLYOZÁSI KÖRNYEZET ................................................................ 7 6.1 FOGALMAK ..................................................................................................... 7 6.2 FELÉPÍTÉS .................................................................................................... 13 6.3 TERVEZÉS .................................................................................................... 13 7. FUNKCIONÁLIS KÖVETELMÉNYEK ............................................................ 13 8. NEM FUNKCIONÁLIS KÖVETELMÉNYEK .................................................... 18 9. GARANCIÁLIS KÖVETELMÉNYEK .............................................................. 19 10. AZ IRÁNYELV ALKALMAZÁSÁNAK FELTÉTELEI ......................................... 20 1. SZ. MELLÉKLET: HIVATKOZÁSOK JEGYZÉKE ............................................. 22 2. SZ. MELLÉKLET: NYILATKOZAT (MINTA) .................................................. 25 3. SZ. MELLÉKLET: VÁLTOZÁSKEZELÉS ......................................................... 26
2/26.
1. AZ IRÁNYELV CÉLJA ÉS KERETEI A 2004. évi CXL. törvény a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól (Ket.) az állam által kötelezően nyújtandó szabályozott elektronikus ügyintézési szolgáltatások között szerepel (168. §) a kormányzati elektronikus aláírás ellenőrzési szolgáltatás. A Ket. 175. § (2) bekezdés g)-h) pontjai alapján felhatalmazást kap a Kormány, hogy rendeletben adja meg, a kormányzati hitelesítés-szolgáltató működésének részletes szabályait, valamint az elektronikus ügyintézés céljaira felhasználható elektronikus aláírásokra, az elektronikus aláíráshoz tartozó tanúsítványokra, illetve az azokkal összefüggésben nyújtott elektronikus aláírással kapcsolatos szolgáltatásokra vonatkozó sajátos követelményeket. Szükséges továbbá megfogalmazni a kapcsolódó felügyeleti munka szakmai tartalmát. Ezek jelölik ki a jelen dokumentum célját és kereteit.
2. AZ IRÁNYELV KONCEPCIÓJA Ebben az irányelvben szerepelnek azok a lényegi technikai ismeretek, amelyek szükségesek egy magyarországi kormányzati célú elektronikus aláírás ellenőrzési szolgáltatás, valamint az elektronikus aláíráshoz kapcsolódó szolgáltatások felhasználásának tervezéséhez és ellenőrzéséhez, és ezen tevékenységek felügyeleti munkájának hatékony ellátásához. A jelen dokumentum úgy lett szerkesztve, hogy az egyes technikai elvárások azonosító-jelekkel vannak ellátva, ennek alapján a tételes egyeztetés és ellenőrzés megvalósulhat. Az irányelv támaszkodik azokra az ajánlásokra és ismertetőkre is, amelyek a kormányzati rendszer továbbfejlesztése során, a tárgykör szerint figyelembe vehető. (Ld. 1. sz. mellékletet.) Szükséges, hogy ez az irányelv több lépcsőben, időről-időre megvitatásra kerüljön mind a kormányzati oldal, mind az üzleti/szállítói oldal szakértői, (moderátorként) a független szakértők által. Ennek megfelelően ez az irányelv képes lesz hatékonyan követni a fejlődést, az EU és magyar kormányzat elvárásait. Felhasználás
2.1
A jelen irányelv alkalmas arra, hogy egy kijelölt szakértő, vagy szakértőkből álló csoport felmérje és értékelje egy adott rendszer tervanyagának és működési jellemzőinek megfelelését
a mértékadó EU szabványok és ajánlások érvényesítése, valamint a magyar kormányzati rendszer jogszabályi elvárásainak technikai szintű teljesítése, és a rendszer együttműködési képessége tárgyában.
A megfelelés mértékét egy olyan nyilatkozatban kell megfogalmazni, amely módot ad a döntéshozók számára a rendszer elfogadását illetően. A nyilatkozat mintáját a 2. sz. melléklet tartalmazza.
3/26.
2.2
Módszertan
Jelen dokumentum a "Szeüsz sztenderdek módszertana" (módszertani útmutató; készítette: Tóth Elemér, 2013. június 28.) alapján készült.
3. ALKALMAZÓI KÖR Ez az irányelv felhasználható a jogalkotásban, a megrendelői elvárások megfogalmazásában, a tárgy szerinti informatikai rendszerek értékelésében, a felügyeleti munka támogatásában.
4. JOGSZABÁLYI KÖRNYEZET Az alábbiakban a jelen irányelvhez kapcsolódó jogszabályok megjelölései láthatók. Magyar jogszabályok: 2004. évi CXL. törvény a közigazgatási hatósági eljárás és szolgáltatás általános szabályairól 83/2012. (IV. 21.) Korm. rendelet a szabályozott elektronikus ügyintézési szolgáltatásokról és az állam által kötelezően nyújtandó szolgáltatásokról 85/2012. (IV. 21.) Korm. rendelet az elektronikus ügyintézés részletes szabályairól 2001. évi XXXV. törvény az elektronikus aláírásról A Kormány 78/2010. (III. 25.) Korm. rendelete az elektronikus aláírás közigazgatási használatához kapcsolódó követelményekről és az elektronikus kapcsolattartás egyes szabályairól (78/2010 Korm. R.) 9/2005. (VII. 21.) IHM rendelet az elektronikus aláírási termékek tanúsítását végző szervezetekről, illetve a kijelölésükre vonatkozó szabályokról 7/2002. (IV. 26.) MeHVM rendelet Az elektronikus aláírással kapcsolatos szolgáltatási szakértő nyilvántartásba vételéről. 2011. évi CXII. törvény az információs önrendelkezési jogról és az információszabadságról 2013. évi L. törvény az állami és önkormányzati szervek elektronikus információbiztonságáról 90/2010. (III. 26.) Korm. rendelet a Nemzeti Biztonsági Felügyelet működésének, valamint a minősített adat kezelésének rendjéről
Mértékadó Európai Uniós jogszabályok: Az Európai Parlament és a Tanács 1999/93/EK irányelve (1999. december 13.) az elektronikus aláírásra vonatkozó közösségi keretfeltételekről Commission Decision of 14 July 2003 on the publication of reference numbers of generally recognised standards for electronic signature products in accordance with Directive 1999/93/EC of the European Parliament and of the Council (2003/511/EC) Commission Decision 2011/130/EU of 25 February 2011 establishing minimum requirements for the cross-border processing of documents signed electronically by competent authorities under
4/26.
Directive 2006/123/EC of the European Parliament and of the Council on services in the internal market. Mandate M460: "Standardisation Mandate to the European Standardisation Organisations CEN, CENELEC and ETSI in the Field of Information and Communication Technologies Applied to Electronic Signatures".
5. MÉRTÉKADÓ SZABVÁNYOK ÉS AJÁNLÁSOK Az alábbiakban a jelen irányelvhez kapcsolódó szabványok és ajánlások megjelölései láthatók. ETSI TS 102 176-1 Electronic Signatures and Infrastructures (ESI);Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions and asymmetric algorithms ETSI TS 102 176-2 Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Part 2: Secure channel protocols and algorithms for signature creation devices ETSI EN 319 401 Electronic Signatures and Infrastructures (ESI); General Policy Requirements for Trust Service Providers supporting Electronic Signatures ETSI TR 102 045 Electronic Signatures and Infrastructures (ESI);Signature policy for extended business model ETSI TR 102 041 Signature Policies Report ETSI TR 102 272 Electronic Signatures and Infrastructures (ESI); ASN.1 format for signature policies ETSI TR 102 038 TC Security - Electronic Signatures and Infrastructures (ESI); XML format for signature policies ETSI TS 102 231 Electronic Signatures and Infrastructures (ESI);Provision of harmonized Trustservice status information (V3.1.2) ETSI TR 102 272 Electronic Signatures and Infrastructures (ESI); ASN.1 format for signature policies ETSI TR 102 038 TC Security - Electronic Signatures and Infrastructures (ESI); XML format for signature policies ETSI TS 101 733 Electronic Signatures and Infrastructures (ESI); CMS Advanced Electronic Signatures (CAdES) (V2.2.1) ETSI TS 103 171 Electronic Signatures and Infrastructures (ESI);XAdES Baseline Profile V2.1.1 ETSI TS 101 903 Electronic Signatures and Infrastructures (ESI);XML Advanced Electronic Signatures (XAdES) (V1.4.2)
5/26.
PAdES (ETSI TS 102 778 Electronic Signatures and Infrastructures (ESI);PDF Advanced Electronic Signature Profiles) ASiC (ETSI TS 102 918 Electronic Signatures and Infrastructures (ESI);Associated Signature Containers (ASiC) (V1.3.1)) e-akta specifikáció: http://www.e-szigno.hu/?lap=eakta30 CEN CWA 14167-1 Security requirements for trustworthy systems managing certificates for electronic signatures — Part 1: System Security Requirements CEN CWA 14167-2 Security requirements for trustworthy systems managing certificates for electronic signatures — Part 2: cryptographic module for CSP signing operations — Protection Profile (MCSO-PP) CEN CWA 14169 Secure Signature-reation Devices CEN CWA 14171 General guidelines for electronic signature verification CEN CWA 14172 EESSI Conformity Assessment Guidance ITU-T Recommendation X.509, ISO/IEC 9594-8: "Information technology - Open Systems Interconnection - The Directory: Public-key and attribute certificate frameworks". RFC 3647 Certificate Policy and Certification Practices Framework RFC 5280 Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile; módosítva: RFC 6818 Updates to the Internet X.509 Public Key Infrastructure Certificate and Certificate Revocation List (CRL) Profile (2013. január) RFC 3560 Use of the RSAES-OAEP Key Transport Algorithm in the Cryptographic Message Syntax (CMS) RFC 5758 Internet X.509 Public Key Infrastructure: Additional Algorithms and Identifiers for DSA and ECDSA RFC 4050 Using the Elliptic Curve Signature Algorithm (ECDSA for XML Digital Signatures RFC 2560 X.509 Internet Public Key Infrastructure Online Certificate Status Protocol - OCSP RFC 3161 Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP) RFC 2986 PKCS #10: Certification Request Syntax Specification Version 1.7 RFC 3125 Electronic Signature Policies RFC 2315 PKCS #7: Cryptographic Message Syntax, Version 1.5 RSA PKCS#12 / Microsoft PFX file format konténer 6/26.
Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban a hitelesítés-szolgáltatók által végzett viszontazonosítás protokolljának műszaki specifikációjára, 2005. december 6. ISO/IEC 27000 Information technology — Security techniques — Information security management systems — Overview and vocabulary ISO/IEC 27002 Information technology — Security techniques — Code of practice for information security management ISO/IEC 27005 Information technology — Security techniques — Information security risk management ISO/IEC 27007 Information technology — Security techniques — Requirements for bodies providing audit and certification of information security management systems
6. IKT SZABÁLYOZÁSI KÖRNYEZET Magyarországon már kialakult és jól működik az elektronikus aláíráshoz kapcsolódó szolgáltatások rendszere, ennek körében a rendek (politikák), szabályozási dokumentumok és egyéb dokumentációra vonatkozó elvárások, a kijelölt hatóság és felügyelet hatékonyan látja el feladatait. Az elmúlt években (2001-től) a Hírközlési Felügyelet (később NMHH) munkatársai és a nyilvántartásba vett hitelesítés-szolgáltatók szorosan együttműködve, a MeHVM 2/2002 irányelve, továbbá az Informatikai és Hírközlési Minisztérium (IHM) és a Magyar Elektronikus Aláírás Szövetség (MELASZ) specifikációi, az aláró szoftverek fejlesztői közösen biztosították azt, hogy az EU elvárások fő vonalainak megfelelő, Magyarországon mértékadónak tekintett, együttműködő és biztonságos szolgáltatások és rendszerek jöjjenek létre. Jelen irányelv az eddig elért eredmények továbbvitelét, az elektronikus aláírás megújítását, a kormányzati ügyvitelei rendszer kiteljesítését kívánja szolgálni. 6.1
Fogalmak
ESZ-01 A jelen dokumentumhoz kapcsolódó fogalmak az alábbiak: Fogalom Föderációs azonosítási rendszer
Rövidítés
Leírás Felhasználó autentikálási logikai rendszer, mely átível a hálózati tartományokon (domain) keresztül több IT rendszert. Jellemzői: a Webes egyszeri bejelentkezési módszer (Single-Sign-On; SSO), hozzáférési adatok kezelése, jogosultság kezelés biztosítása. Támogatott EU projekt: STORK 2. Jellemző protokollok: SAML v2, XACML v2 (ill. v3)
Föderációs azonosítás szolgáltató
A föderációs rendszerben a felhasználók azonosítását, az azonosító adatok kezelését végző szolgáltató. Alapszolgáltatást nyújt. Egy rendszerben egyszerre több azonosítás 7/26.
szolgáltató is dolgozhat. Identity Provider
IdP
Föderációs felhasználói szolgáltató
Service Provider
Föderációs azonosítás szolgáltató A föderációban a felhasználóknak értéket (nem a föderáció működtetéséhez szükséges alapszolgáltatásokat) nyújtó szolgáltató.
SP
Föderációs irányító szolgáltató
Föderációs felhasználói szolgáltató A föderációs rendszer azonosítás szolgáltatóihoz kapcsolódó irányítási szolgáltatást biztosít. Alapszolgáltatást nyújt.
Discovery Service Provider
DSP
Föderációs irányító szolgáltató
Publikus kulcsú infrastruktúra
PKI
A PKI (Public Key Infrastructure) olyan platformot biztosít, amely lehetővé teszi az elektronikus aláírás használatát, részletesebben: a hitelesítési, hozzáférési és adatbiztonsági eljárások (ezek között a letagadhatatlanság, integritás és bizalmasság) igénybe vételét a különféle informatikai és kommunikációs technológiai alkalmazások számára.
Digitális aláírás
A PKI szabályai szerint megvalósuló aláírási funkció fájlok (ld. tanúsítványok) valamint technikai üzenetek (ld. az authentikáció) esetében.
Elektronikus aláírás
Digitális aláírás elektronikusan rögzített dokumentumokhoz. Ld. továbbá a 2001. évi XXX. törvényt.
Titkosítás
Jelen irányelv a PKI-vel megvalósított titkosítást tárgyalja
Entitás
Természetes személy; jogi, vagy jogi személyiséggel nem rendelkező szervezet, személyként kezelt technikai eszköz. (Ld. még objektum-nyilvántartás)
Névképzési szabályzat
Személyek és technikai eszközök, dokumentumok regiszterét meghatározó dokumentum. Meghatározza többek között a nevek jellemzőit és kapcsolatait (fastruktúrát képez).
Hitelesítés-szolgáltatás
A 2001. évi XXX. törvény 6. § (1) a) pontjában, valamint a 9. § - 12. § -okban meghatározott szolgáltatás.
Kormányzati célú hitelesítésszolgáltatás
A Ket. és végrehajtási rendeletei alapján, az elektronikus ügyintézésben alkalmazható
8/26.
tanúsítványok életciklus szerint menedzselő szolgáltatása. Hitelesítés-szolgáltató
HSZ
Kormányzati hitelesítés-szolgáltató
Az entitások számára tanúsítványokat kibocsátó, a 2001. évi XXX. törvény 6. § (2) pontjában megadott szolgáltató. Kormányzati ügyfeleket kiszolgáló HSZ.
Kormányzati Gyökér Hitelesítés Szolgáltató
KGYHSZ
A 78/2010 Korm. R. által meghatározott, technológiailag az elektronikus ügyintézésben igénybe vehető hitelesítés- és más elektronikus aláíráshoz kapcsolódó szolgáltatások rendszereit felülhitelesítő szolgáltatás. A tanúsítványlánc felépítésében és kiértékelésében van szerepe.
Trusted Service List
TSL
Az EU által létrehozott és menedzselt lista, amely megadott formátumban, egy állam TSLadatok megadására kijelölt szervezetének az adatait, valamint az adott állam által megbízhatóként nyilvántartott szolgáltatókat tartalmazza.
Certificate Service Provider
CSP
Hitelesítés-szolgáltató; megfelel a HSZ-nek.
Szolgáltatói menedzsment (egység)
Menedzseli és működteti az aláírás ellenőrzési szolgáltatás(okat), valamint az elektronikus ügyintézés céljaira felhasználható aláírásokkal összefüggésben nyújtott elektronikus aláírással kapcsolatos szolgáltatások igénybe vételét.
Ügyfél-menedzsment
A szolgáltató ügyfeleinek (szolgáltatás igénybe vevőinek) a kezelése, az ügyfél és a szolgáltató kapcsolattartásának teljes életciklusában (magába foglalja a leendő ügyfél információkkal történő ellátásától kezdve, a szolgáltatás megszűnéséig tartó időszakot.) Ellátja a számlázáshoz kapcsolódó feladatokat is.
Ügyfél-nyilvántartás
A szolgáltató ügyfeleinek (szolgáltatás igénybe vevőinek) kapcsolattartási adatait, ezek között az ügyfelek személyes adatait tartalmazza.
Batch ellenőrzési rendszer
Nagytömegű (kötegelt) elektronikus aláírással ellátott, elektronikus dokumentum befogadását és kibocsátását végző rendszer.
ITU X.509 certificate
X.509
A PKI tanúsítvány formátuma.
Aláíró tanúsítvány
PC
Technikailag egy nyilvános kulcsot és a kulcs birtokosának a megjelölését tartalmazó X.509 szerkezetű adatstruktúra, a jog szempontjából a 2001. évi XXX. törvény 2. § 21. pontjában
9/26.
van meghatározva. Tanúsítvány-politika
CP
PKI szabványos dokumentum, amely egy ellenőrző fél, jelen esetben a szolgáltató számára leírja a tanúsítványhoz kapcsolódó elvárásokat.
Hitelesítési rend
HR
Megfelel a tanúsítány-politikának.
Tanúsítvány-nyilvántartás
A tanúsítványokat, azok adatait és állapotait (létrejött, érvényes, felfüggesztve, visszavonva) rögzítő nyilvántartás.
Tanúsítványstátusz információ
A tanúsítvány-nyilvántartásból vett, egy tanúsítványra vonatkozó kivonat.
Tanúsítvány lekérdező rendszer
Tanúsítványstátusz információ lekérdezését biztosító rendszer. Lehet humán (pl. webfelületen), vagy gépi (pl. LDAP, vagy DAP) lekérdezés.
Elektronikus aláírás politika
Szabványos formátumú dokumentum, vagy számítógépes fájl (ASN.1, vagy XML), amely a politika kibocsátója által meghatározott elektronikus aláírás jellemzőket rögzíti.
Electronic Signature Policy
SP
Elektronikus aláírás politika
Elektronikus aláírás rendje
AR
Elektronikus aláírás politika
Publikációs egység
Általánosságban web-es szolgáltatás, amely biztosítja a szolgáltatáshoz kapcsolódó nyilvános dokumentumok lekérdezhetőségét, a szolgáltató által használt tanúsítványok adatait is, valamint a szolgáltató által menedzselt egyéb információkat is.
Publikációs rendszer
A publikációs egység(ek) informatikai rendszerei, melyeket a szolgáltató egy alvállalkozója is, saját rendszerében működtethet.
Visszavonási lista
CRL
Nemzetközi standardok által meghatározott formátumú fájl, amely a visszavont, ill. felfüggesztett tanúsítványok adatait tartalmazza. A fájl a megfelelő hitelesítés szolgáltató publikációs rendszeréből tölthető le.
10/26.
On-line tanústvány-státusz infó
OCSP
Nemzetközi standardok által meghatározott formátumú üzenetváltás, amely a visszavont, ill. felfüggesztett tanúsítványok adatait adja meg. Az üzenetváltást a megfelelő hitelesítés szolgáltató publikációs rendszere menedzseli.
Viszontazonosítás
Magyar megoldás egy aláíró személyadatainak a pontosítására, egy HSZ ügyfélnyilvántartásának lekérdezése alapján.
Viszontazonosítási rendszer
A viszontazonosítás üzenetváltással működik, melyet a publikációs rendszer menedzsel.
Hitelesítési szolgáltatási szabályzat
HSZSZ
A hitelesítés-szolgáltatás részletes leírása, amely megadja, hogy a szolgáltató, mely tanúsítvány-politikák (hitelesítési rendek) alapján biztosítja a szolgáltatást, és ebből a szabályzatból kiolvashatók mindazon technikai részletek, amelyek szükségesek a szolgáltatás igénybe vételéhez, ill. az esetleges vitás kérdések rendezéséhez.
Certificate Practice Statement
CPS
Hitelesítési szolgáltatási szabályzat; megfelel a HSZSZ-nek.
Szolgáltatás regiszter
A szolgáltató által biztosított szolgáltatások tételek megnevezése és leírása, a technikai paraméterekkel együtt.
HSZ intrastruktúra egység
Működteti és menedzseli a szolgáltatási rendszerek hardver, szoftver és kommunikációs elemeit, biztosítja a megfelelő funkciók használatát; működteti és menedzseli a biztonsági eszközöket és berendezéseket; működteti és menedzseli a naplózási rendszert.
Kulcsmenedzsment rendszer
Az elektronikus aláíráshoz kapcsolódó szolgáltatásokhoz szükséges, hogy az egyes entitások a kriptográfiai kulcsaik menedzsmentjét, ide értve pl. az aláíró kulcsokat, a PIN-kódokat, valamint a rendszer elemeihez kapcsolódó hozzáférési adatokat is, a kulcsok teljes életciklusában ellássák. Az ilyen eljárások végrehajtását megfelelő informatikai eszközökkel kell biztosítani.
Kártyamenedzsment rendszer
Az elektronikus (illetve digitális) aláírás létrehozásához adott esetben célhardver szükséges. Ilyen hardver lehet például egy alkalmassá tett chipkártya. A kártyák menedzsmentjét (nyilvántartását, életciklus szerinti kezelését) biztosítja ez a rendszer.
HSM-menedzsment rendszer
Az elektronikus (illetve digitális) aláírás 11/26.
létrehozásához adott esetben célhardver szükséges. Ilyen hardver lehet például egy "hardware security modul" (HSM). A HSM-ek menedzsmentjét (nyilvántartását, életciklus szerinti kezelését) biztosítja ez a rendszer. Kriptofájl-kezelő rendszer
Az elektronikus (illetve digitális) aláírás létrehozásához adott esetben egy kriptofájl is elegendő lehet. A kriptofájlok menedzsmentjét (nyilvántartását, életciklus szerinti kezelését) biztosítja ez a rendszer.
Szereptanúsítvány
AC
Attribútumokat és jogosultságokat tartalmazó X.509 szabványos tanúsítvány, amely publikus kulcsot nem tartalmaz, viszont hivatkozik egy aláíró tanúsítványra.
Szereptanúsítványt kibocsátó egység
AA
Egy adott felhasználói kör számára bocsátja ki a szereptanúsítványokat.
Szereptanúsítványt kibocsátó rendszer
A hitelesítés-szolgáltató által adott kulcsok és tanúsítvány(ok) alapján működő rendszer, amely szereptanúsítványokat bocsát ki. A hitelesítés-szolgáltatás mellett működtethető.
Időbélyegzés
A 2001. évi XXX. törvény 6. § (3) pontjában meghatározott szolgáltatatás.
Időbélyegzési rend
Dokumentum, amely egy szolgáltató számára leírja az időbélyegzéshez kapcsolódó elvárásokat.
Időbélyegzési egység
TSP
A beérkező időbélyeg-kéréseket kiszolgáló egység.
e-Pecsét
SEAL
Szervezeti elektronikus aláírás, amely egy szervezet által használt bélyegző (ld. hatósági bélyegző, cégbélyegző) szerepét tölti be.
Szolgáltatói belső ellenőrzés
Objektum azonosító
Független szervezeti egység, amely kikényszeríti a kézi eseménynaplók és gépi naplózás használatát, a naplóadatok célszerű kigyűjtését, valamint a menedzsmentnek szóló jelentések hiteles, pontos és tárgyszerű elkészítését. OID
Az ITU-T és az ISO/IEC szabványosítási szervezetek által létrehozott nemzetközi azonosítási szisztéma szám-kódja. Az OIDnyilvántartásben objektumok, ill. entitások szerepelnek. Ld. http://www.oid-info.com/
12/26.
Rationalised Framework for Electronic Signature Standardisation
Az EU által indított kezdeményezés, amely az elektronikus aláíráshoz kapcsolódó szabványok és ajánlások új rendszerét fogja létrehozni. Ld. ETSI SR 001 604.
Felépítés
6.2
ESZ-02: A kormányzati elektronikus aláírás ellenőrzési szolgáltatás, valamint a kormányzati célokra igénybevett elektronikus aláírás ellenőrzési szolgáltatások technikailag az alábbi egységekből épülnek fel: 6.3
Szolgáltatói menedzsment (ESZM) Ügyfél-menedzsment (ESZU) Aláírás ellenőrzési és kommunikációs egység (ESZA) Publikációs egység (ESZP) Szolgáltatói belső ellenőrzés (ESZE) Időbélyegzési egység (ESZB) Aláírás ellenőrzési szolgáltatás infrastruktúra egység (ESZI) Tervezés
ESZ-03: A magyar kormányzati informatikai rendszer architektúrájának ismeretében, meg kell vizsgálni az Európai Unió rendszereihez történő integráció lehetőségeit, elő kell készíteni a technikai együttműködést, megfelelő körülmények fennállása esetén el kell kezdeni beépíteni az EU által támogatott föderációs azonosítási rendszer (ld. ESZ-01 pont) elemeit. A jelen dokumentum követelményeit ennek megfelelően kell értelmezni.
7. FUNKCIONÁLIS KÖVETELMÉNYEK Az alábbi követelmények a felelős szolgáltatási egységek szerint vannak jelölve. ESZM-01: A szolgáltatás vezetése az elfogadott szolgáltatási dokumentumok szerint, folyamatosan ellenőrizze az alkalmazott PKI rendszer, a kriptográfiai eszközök, valamint a kriptográfiai kulcsok felhasználására vonatkozó előírások betartását. ESZM-02: A szolgáltatói dokumentumokat (esetleg csak ezek szabványokban meghatározott részét), vagy ezek hiteles másolatait egyenként olyan objektum azonosítóval (OID) kell ellátni, amely illeszkedik a kormányzati objektumnyilvántartásba. Az felhasználható OID tartományt, valamint a tartomány használatára
13/26.
vonatkozó szabályokat az Elektronikus Ügyintézési Felügyelet (ld. Ket. 161. §; továbbiakban Felügyelet) határozza meg1. Az elektronikus aláírási rend és szolgáltatási szabályzat dokumentumokban szerepeltetni kell a következőket: "Azzal, hogy a szolgáltató az általa létrehozott adatok között referenciaként a magyar kormányzati nyilvántartásban megtalálható egyik objektum azonosítóját szerepelteti, azt állítja, hogy menedzseli az objektum azonosító által meghatározott objektumot. Amennyiben az objektum azonosító egy dokumentumra mutat, a szolgáltató azt állítja, hogy megfelel az ezen dokumentumban rögzített adatoknak, leírásoknak, elvárásoknak és feltételeknek." ESZM-03: A szolgáltató elektronikusan aláírt dokumentumokat és az elektronikus aláírás ellenőrzésére vonatkozó elektronikusan hitelesített kérelmeket fogad be ügyfeleitől, és elektronikusan aláírt üzeneteket (jelentést, hibajelzéseket, opcionálisan státuszinformációkat) küld az aláírások megfelelőségéről az ügyfél számára. Külön megállapodás alapján lehetséges egy, minden ellenőrzéshez hozzá kapcsolható kérelem elküldése és felhasználása, amennyiben az ügyfél és a szolgáltató egy biztonságos, alkalmazási szintű csatornán keresztül kommunikál egymással. ESZM-04: Az aláírás ellenőrzések egyedi azonosítóját és eredményét a szolgáltató egy elektronikus jelentésbe írja, amelyet elküld az ügyfél által megadott elektronikus címre. A jelentés formátumát és tartalmi jellemzőit a szolgáltatási szabályzatban kell megadni. ESZM-05: A szolgáltató számára küldött dokumentumok fájljai lehetnek titkosítottak. A szolgáltató csak olyan PKI-alapú titkosított dokumentumot fogad be, amelyek a szolgáltató nyilvános kulcsával lettek kódolva. A nyilvános kulcs letölthető a szolgáltató publikációs felületéről. A máskép' kódolt titkosított dokumentumokat a szolgáltató megsemmisíti, erről az eseményről hiteles naplófeljegyzés készül. ESZM-06: A szolgáltató csak vírusmentes dokumentum-fájlokat kezel, ezért a szolgáltató minden fájlt vírusellenőrzésnek vet alá. A vírusos dokumentum-fájlokat a szolgáltató megsemmisíti, erről az eseményről hiteles naplófeljegyzés készül. ESZM-07: A szolgáltató az alábbi aláírás-formátumokat kezeli:
1
bináris - CAdES (ETSI TS 101 733 Electronic Signatures and Infrastructures (ESI); CMS Advanced Electronic Signatures (CAdES) (V2.2.1)) XML - XAdES (ETSI TS 103 171 Electronic Signatures and Infrastructures (ESI);XAdES Baseline Profile V2.1.1) XML - ETSI TS 101 903 Electronic Signatures and Infrastructures (ESI);XML Advanced Electronic Signatures (XAdES) (V1.4.2) PDF - PAdES (ETSI TS 102 778 Electronic Signatures and Infrastructures (ESI);PDF Advanced Electronic Signature Profiles) ASiC (ETSI TS 102 918 Electronic Signatures and Infrastructures (ESI);Associated Signature Containers (ASiC) (V1.3.1)) e-akta (.es3, .et3; további információ: https://srv.e-szigno.hu/?lap=eakta30) e-dosszie (.dosszie; további információ: http://www.netlock.hu/html/mokka/mokka.html)
Magyarország számára a {joint-iso-itu-t(2) country(16) hu(348)}, OID 2.16.348 le van foglalva. 14/26.
Megjegyzés: A fent megadott specifikációk nem fedik le teljes mértékben az adott aláírásformátumokat, csak támpontot szolgáltatnak az egyes megnevezett formátumok értelmezéséhez. A komplett leírást a szolgáltató elektronikus aláírási rendje, illetve a szolgáltatási szabályzat ismerteti, amely megtalálható a szolgáltató publikus felületén.
ESZM-08: A szolgáltató nem ellenőrzi az aláíró tanúsítványokban szereplő aláírók azonosítóit (név/CN,SN; e-mail cím; szervezet és szervezeti egység), és nem végez viszontazonosítást. ESZM-09: A szolgáltató ellenőrzi az elektronikus aláírás, valamint a az aláíró tanúsítványok sértetlenségét. ESZM-10: A szolgáltató ellenőrzi, hogy az aláíró tanúsítvány kibocsátója szerepel-e az EU által kibocsátott megbízható tanúsítványkiadók listáján (TSL; ETSI TS 102 231 Electronic Signatures and Infrastructures (ESI);Provision of harmonized Trust-service status information (V3.1.2)). Mivel ez a lista országonként van felosztva, a szolgáltató először a magyar listán keres. Amennyiben a szolgáltató nem található meg a listán, akkor a tanúsítvány ország-mezőjében (Country; C; OID: 2.5.4.6) megadott országkód (ISO 3166-1) és az EU központi elosztási listája szerint állapítja meg a TSL helyét. ESZM-11: A szolgáltató ellenőrzi továbbá, hogy a TSL szerint a tanúsítványt minősített szolgáltató bocsátotta-e ki. Amennyiben nem, akkor a további ellenőrzésekhez meg kell vizsgálni az adott hitelesítés szolgáltató hitelesítési rendjét, hogy az megfelel-e a 78/2010 Korm. R. által megadott elvárásoknak. A szolgáltató ezeket a kivételeket saját nyilvántartásába rögzítheti és a továbbiakban felhasználhatja. ESZM-12: A TSL ellenőrzéseket követően a szolgáltató felépíti a tanúsítványláncot, és megállapítja, hogy a tanúsítvány-kibocsátó egység rendszere visszavezethető-e KGYHSZ felülhitelesítésre. ESZM-13: A tanúsítványlánc alapján megtörténnek a hitelesítés-ellenőrzések (visszavonási listák, online tanúsítvány-státusz üzenetek alapján), amennyiben az adott információk rendelkezésre állnak, illetve engedélyezettek. ESZM-14: A szolgáltató kiolvassa az aláírói blokkból, ha van, a küldő elektronikus aláírás politikájának (aláírási rend; ETSI TR 102 272 Electronic Signatures and Infrastructures (ESI); ASN.1 format for signature policies; ETSI TR 102 038 TC Security - Electronic Signatures and Infrastructures (ESI); XML format for signature policies)) a címét. Ez a cím csak a jelentésbe kerül be, az ellenőrzés során az aláírás politika tartalma nem lesz figyelembe véve. ESZM-15: Az aláírás-ellenőrzéskor rögzítésre kerül, hogy hány aláírója volt az elektronikus dokumentumnak, és az aláírók milyen szerepben írták alá a dokumentumot (egyszeres, vagy többszörös aláírás: párhuzamos aláírás, ellenjegyzés). ESZM-16: A szolgáltató ellenőrzi, hogy az elektronikus aláírás időbélyeggel, ill. időbélyegekkel el van-e látva. Amennyiben nem, akkor a szolgáltató az ügyfél kérelme alapján időbélyeget kér a kijelölt időbélyeg szolgáltatótól (RFC 3161 Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP)), és ezt az időbélyeget elhelyezi az elektronikus aláírás mellé.
15/26.
ESZU-01: Az ügyfélmenedzsment gondoskodjon az ügyfelek kielégítő szintű tájékoztatásáról, valamint az ügyfél jogos kéréseinek a teljesítéséről. Az ügyfelek által kezdeményezett eseti kommunikációk számát és jellegét (pl. érdeklődés, hibajelzés, visszavonásra és felfüggesztésre vonatkozó igény), az átvett paraméterekkel (pl. az ügyfél neve, telefonszáma) napi bontásban, a pontos idő (óra, perc, másodperc) rögzítésével együtt kell nyilvántartani. Hibajelzés esetén eseménynaplóba kell rögzíteni az átvett információkat. ESZU-02: Az ügyfélnyilvántartás az alábbi személyre vonatkozó ügyféladatok közül legalább az alábbiakat kell kezelje:
a személyazonosító okmányban szereplő név pszeudonim (személyazonosító okmányban szereplő névhez kapcsolható álnév)2 viselt név (családi név, első utónév, további utónevek) anyja születési neve (családi név, első utónév, további utónevek) születési helye (születés ország neve, születés település neve) születési ideje (év, hó, nap) neme (férfi/nő) képviselt szervezet és azon belül a szervezeti egység(ek) megnevezése állampolgársága (elsődleges állampolgársága) illetőségi hely: ország és város értesítési címek: postacím, elektronikus levélcím (e-mail), telefonszámok
ESZU-03: A szolgáltató az ügyfél azonosításához igénybe veheti a központi összerendelési nyilvántartást is. ESZU-04: Az ügyfél és a közigazgatás szervezetei által kezdeményezett kommunikációk számát és jellegét (pl. érdeklődés, hibajelzés) napi bontásban, a pontos idő (óra, perc, másodperc) rögzítésével együtt kell nyilvántartani. ESZA-01: Az aláírás ellenőrzési és kommunikációs egység az alábbi adatokat kezeli:
2
az ügyfél kérelmének adatait: a. az ügyfél megnevezése, b. az ügyfél aláírótanúsítványának az adatai, c. az ügyfél autentikációs tanúsítványának az adatai, d. értesítési cím, ahova az ellenőrzés eredményeként előállított jelentést küldi el a szolgáltató a szolgáltató kezeli az aláírási struktúrában megadott információk közül a kötelezettségvállalásra vonatkozó bejegyzést tanúsítvány sémákban meghatározott egyéb adatokat, például: kulcsfelhasználás (ld. DS, NR bitek), kiterjesztett kulcshasználat (OID: 2.5.29.37; kód-aláírás OID 1.3.6.1.5.5.7.3.3; időbélyegzés OID: 1.3.6.1.5.5.7.3.8, OCSP aláírás OID 1.3.6.1.5.5.7.3.9, stb.) ezen felül a tanúsítvány állapotinformációkat: a tanúsítvány felfüggesztésére, illetve visszavonására vonatkozóan felhasznált CRL szétosztási pont (OID: 2.5.29.31), OCSP-cím szolgáltatói információ elérése (OID: 1.3.6.1.5.5.7.1.1; a szolgáltatói tanúsítvány közléséhez) a szolgáltató kezeli a minősített tanúsítvánnyal kapcsolatos bejegyzések (OID: 1.3.6.1.5.5.7.1.3):
Anonim személy nem kezelhető! 16/26.
– a tanúsítvány minősített tanúsítvány (OID: 0.4.0.1862.1.1) – a tanúsítványhoz kapcsolódó tranzakciós limit értéke (OID: 0.4.0.1862.1.2) – nyilatkozat, hogy a szolgáltató a tanúsítványhoz kapcsolódó adatokat a tanúsítvány lejárta után 10 évig megőrzi (OID: 0.4.0.1862.1.3). – nyilatkozat arra vonatkozóan, hogy a tanúsítványhoz tartozó aláírókulcs SSCD eszközön van elhelyezve (OID: 0.4.0.1862.1.4).
ESZA-02: Az aláírás ellenőrzési és kommunikációs egység a jelentésében megadja az ESZA-01 pontban megjelölt adatokat, valamint közli az ellenőrzés eredményét. ESZP-01: A publikációs egység az alábbi adatokat kezeli:
a szolgáltató elektronikus aláírás rendjét a szolgáltató aláíró és titkosító tanúsítványát egyéb, a szolgáltató által megjelölt adatot.
ESZB-01: Az időbélyegzési egység az alábbi adatokat kezeli:
az időbélyegzési egység az ügyfél által megadott elektronikus dokumentum ujjlenyomatára kér időbélyeget, a szolgáltató által igénybe vett időbélyeg-szolgáltatótól amennyiben az időbélyeg nem érkezik meg, az a szolgáltató elektronikus aláírás rendjében megadott időintervallumon belül, a jelentés tartalmazni fogja az időbélyegzés hiányát
ESZI-01: A szolgáltató infrastruktúra egysége biztosítsa a szolgáltatási dokumentumokban megadott működtetési és menedzselési feladatokat, és folyamatosan ellenőrizze a PKI rendszer, a kriptográfiai eszközök, valamint a kriptográfiai kulcsok felhasználására vonatkozó előírások betartását. ESZI-02: Kiemelt feladatként, szolgáltató infrastruktúra egysége folyamatosan biztosítsa a hiteles gépi naplózás feltételeit, a naplóelemzésekhez és kimutatásokhoz szükséges eszközök rendelkezésre állását. ESZI-03: A HSZ infrastruktúra egység - a feladatai között - lássa el a mentési és hiteles archiválási tevékenységeket, ide értve az adatok biztonságos megőrzését is. ESZE-01: A szolgáltatói belső ellenőrzés által megbízott és felhatalmazott munkatársak végzik el az egységek és rendszerek eseménynaplóinak és naplófájlainak ellenőrzését. Az ellenőrzést az üzleti elvárásoknak és a jogszabályoknak megfelelő, kellően hatékony naplóolvasó eszközök (számítógép és szoftver) végezzék. Az ellenőrzés eredményéről jelentés készül, amit a szolgáltatás menedzsmentnek adnak át. ESZE-02: Jelentést kell készíteni a jellemző szolgáltatási adatokról. Ennek körében, ellenőrizni kell a kibocsátott a. b.
a feldolgozott elektronikus dokumentumok számát az ügyfelek számát
17/26.
számát a beérkezett kérések és az esetleges elutasítások, valamint hibajelzések darabszámának a figyelembe vételével.
8. NEM FUNKCIONÁLIS KÖVETELMÉNYEK ESZM-50: Az elektronikus aláírási termékek (kriptográfiai eszközök, szoftvertermékek) megfelelőségét igazoló dokumentumokat, a szolgáltató kockázatmenedzsmentje alapján bizalmas dokumentumnak tekintettek kivételével, publikálni kell. ESZM-51: A szolgáltató elektronikus aláírási és titkosítási szabályzata adja meg mindazon aláírási információkat, melyeket a szolgáltatás biztosításához a szolgáltató felhasznál, és a szolgáltatási szabályzatban nem szerepelnek. Ilyennek tekinthetők a szolgáltató elektronikus dokumentumainak aláírására vonatkozó, valamint az autentikációs tanúsítványokra és titkosító tanúsítványok használatára vonatkozó információk. Ezt a dokumentumot RFC 3125 és a megfelelő ETSI szabványdokumentumok (ld. 5. Mértékadó szabványok és ajánlások pont) szerint kell elkészíteni. ESZM-52: Folyamatosan el kell látni az eseménynaplók működőképességének és használhatóságának monitorozását, az események meghatározott rend szerinti elemzését, az eredményekről jelentést kell készíteni. ESZM-53: A szolgáltatási dokumentációban megadott biztonsági kritériumok szerint kell riasztani az érintett munkatársakat a beavatkozásra. ESZM-54: A szolgáltatói menedzsment a belső ellenőrzést végző munkatársak által készített jelentések alapján irányítsa a jobbító és hibaelhárító tevékenységeket, valamint a változáskezelést. ESZM-55: A naplók és jelentések elemzésének eredménye szerint, a biztonsági elvárások alapján a szükséges beavatkozásokat írásban kell elrendelni. ESZM-56: Figyelemmel kell kísérni a szolgáltatások rendelkezésre állásának napi, havi és éves időszakának a mértékét, valamint az elrendelt beavatkozások és változtatások idejét, továbbá a hatóság által határozatban megjelölt határidőket. ESZM-57: A szolgáltatói menedzsment úgy lássa a szolgáltatási szabályzatban meghatározott feladatokat, hogy az egyes szakterületért felelős vezető hitelesített jelentésével alátámasztja az alábbi elvárások teljesítését:
a szolgáltató rendelkezik a megfelelő fizikai-környezeti védelemmel, számítógépes programokkal/rendszerekkel, nyilvántartásokkal, valamint az ezek ellenőrzésére szolgáló kontroll rendszerrel a szolgáltatói rendszerek biztosítják a tevékenység folyamatos és biztonságos végzéséhez szükséges feltételeket a mentési és helyreállítási eljárások biztosítják a jogszabályban, a szolgáltatási szabályzatban és a belső eljárási rendben meghatározott határidőn belül a szolgáltatások helyreállíthatóságát és folyamatos működését a szolgáltató hardver, szoftver, telekommunikációs eszközeire és üzleti folyamataira lebonyolított tesztek igazolják a rendszer megfelelőségét a kontroll rendszer működtetéséhez a megfelelő képzettséggel, ismeretekkel és gyakorlattal rendelkező, megfelelő számú személyzet rendelkezésre áll 18/26.
személyzeti politika, szerepkör-meghatározások és ezek alapján elkészített egyéni feladatleírások összhangban vannak a szolgáltatással kapcsolatos elvárásokkal szolgáltató rendelkezik a szükséges független ellenőri háttérrel
ESZM-58: A szolgáltató az elektronikus aláírás ellenőrzéséhez, valamint az elektronikus aláírás készítéséhez csak az ETSI interoperabilitási tesztjén (ld. http://www.etsi.org/about/how-we-work/testing-and-interoperability; ETSI Plugtests™) sikeresen szereplő terméket használhatja, és csak azon funkciókra, amelyekre az ETSI Centre for Testing and Interoperability (CTI) megfelelőségi igazolást adott ki. ESZM-59: Az elektronikus aláírás ellenőrzési szolgáltatás megfelelőségéért a szolgáltató szervezet felel. Ennek megfelelően, az együttműködő szervezetek és az esetleges alvállalkozók el kell, hogy fogadják a szolgáltató általános felelősségét, vezetési és irányítási elsőbbségi szerepét. A szolgáltató jogosult felfüggeszteni az együttműködést, amennyiben az elektronikus aláírás ellenőrzési szolgáltatás egy része, vagy egésze veszélybe kerül, vagy a szolgáltatási paraméterek romlása miatt a jogszabályokban rögzített szolgáltatási minőség nem biztosítható. ESZM-60: A szolgáltatói menedzsment készítesse el elektronikus aláírási és titkosítási szabályzat, valamint a rövid (néhány oldal) szolgáltatási ismertető dokumentumokat; vegye nyilvántartásba és őrizze meg az elektronikus aláírási termékek (kriptográfiai eszközök, szoftvertermékek) megfelelőségét igazoló dokumentumokat; a nem publikus dokumentumok közül a szolgáltatás regisztert, rendszerterveket, a rendszerismertetőket és kezelési kézikönyveket, oktatási anyagokat, együttműködési megállapodásokat, alvállalkozói szerződéseket, tesztelési terveket és tesztjegyzőkönyveket, a belső szabályozási dokumentumokat, a kockázatmenedzsment dokumentumokat készítesse el. ESZM-61: A szolgáltatás beindítását követő 3 hónapon belül készüljön előzetes terv a szolgáltatás leállítására. ESZM-62: A rendszeres, független szolgáltatói ellenőrzések (auditok) a ESZM-60 pontban megadott dokumentumok megfelelőségét állapítsák meg, és ezen dokumentumokból kiindulva legyenek végrehajtva az ellenőrzések.
9. GARANCIÁLIS KÖVETELMÉNYEK ESZG-01: A jelen dokumentumban szereplő szolgáltatások EU szintű megfelelését az 5. pontban megadott mértékadó szabványok és ajánlások alapján kell értelmezni. ESZG-02: A jelen dokumentumban szereplő szolgáltatások biztonságos működését az ISO/IEC 27000 szabványcsoportban meghatározottak szerint, független szakértő (auditor) igénybe vételével kell értékelni. ESZG-03: A kriptográfiai algoritmusok és digitális aláíró eszközök megfelelőségét az EU szabályok és eljárások szerint kell kezelni, ezek: a. A kriptográfiai algoritmusok vonatkozásában az Nemzeti Média- és Hírközlési Hatóság határozatait, valamint az ETSI TS 102 176-1 Electronic Signatures and Infrastructures (ESI);Algorithms and Parameters for Secure Electronic Signatures; Part 1: Hash functions 19/26.
and asymmetric algorithms, valamint a ETSI TS 102 176-2 Electronic Signatures and Infrastructures (ESI); Algorithms and Parameters for Secure Electronic Signatures; Part 2: Secure channel protocols and algorithms for signature creation devices dokumentumai b. a kriptográfiai eszközök EU szintű tanúsítására és adminisztrációjára vonatkozó Nemzeti Média- és Hírközlési Hatóság elvárásai c. CEN ajánlások: CWA 14167-1 Security requirements for trustworthy systems managing certificates for electronic signatures — Part 1: System Security Requirements CWA 14167-2 Security requirements for trustworthy systems managing certificates for electronic signatures — Part 2: cryptographic module for CSP signing operations — Protection Profile (MCSO-PP) CWA 14169 Secure Signature-reation Devices
ESZG-04: Az egyéb elektronikus aláírási, elektronikus aláírás ellenőrzési, valamint az elektronikus aláíráshoz kapcsolódó szolgáltatásokban használt hardver és szoftvertermékek megfelelőségét az EU valamely országában kiadott tanúsítvány, vagy a hazai MIBÉTS módszertan szerint kell meghatározni. ESZG-05: A szervezeti működést, valamint a kockázatkezelést a COBIT módszertan alapján, független szakértő (auditor) igénybe vételével javasolt auditáltatni.
10.
AZ IRÁNYELV ALKALMAZÁSÁNAK FELTÉTELEI
Jelen irányelvet a tervezés, a felügyeli munka, az auditok támogatására akkor lehet eredményesen felhasználni, ha egy jogszabály erre lehetőséget ad. A névképzés szabályozását is javasolt megoldani. Szükséges, hogy a PKI rendszerekben kezelt adatok megfelelő címtárba kerüljenek, egyrészről a nevek lokális egyediségének biztosítása, másrészről a strukturáltság előnyeinek a kihasználása, nem utolsó sorban a szabályozott nyomonkövethetőség érdekében. A PKI rendszerekben elterjedten használják az ITU-T and ISO/IEC objektum-azonosítási szisztémáját, ebben a címtár (~ névtár) kezelést. A nemzetközileg elfogadott rendszerben Magyarország számára a {joint-iso-itu-t(2) country(16) hu(348)} jelzésű, OID: 2.16.348 kódszámú cím le van foglalva. Célszerű lenne ezt kihasználni! Azt nyernénk vele, hogy gyakorlatilag felleltároznánk az együttműködő eszközeinket; elosztott, jól áttekinthető regiszterbe gyűjtenénk a PKI ügyfelek adatait is. (Az így kezelt, megfelelő adatvédelemmel ellátott rendszer jobb, mint a szétszórt adatkezelés.) Magyarország számára jelentős előny származna abból, ha a 2.16.348 kódszámmal kezdődően megjelennének azok a dokumentum-azonosító számok, amelyeket a gépi feldolgozás során is használni kívánunk. Mert amennyiben egy gépi feldolgozáshoz szükséges egy hivatkozás egy dokumentumra, akkor azt a 2.16.348.x.y.z OID-vel lehetne megadni (x,y,z számjegyek, egy fastruktúra elágazási pontjait jelölik, vagyis rögzíthető például, hogy az adott dokumentum milyen körben kezelhető, ki bocsátotta ki, stb.). Egy ilyen rendszer kezelni tudná a dokumentumok verzióit is (ld. 2.16.348.x.y.z.v, ahol v a verziószám lenne).
20/26.
A jogszerű kezelés érdekében, minden olyan dokumentum, amely rendelkezik OID számmal, tartalmaznia kell a következő szöveget: "Azzal, hogy a szolgáltató az általa létrehozott adatok között referenciaként a magyar kormányzati nyilvántartásban megtalálható egyik objektum azonosítóját szerepelteti, azt állítja, hogy menedzseli az objektum azonosító által meghatározott objektumot. Amennyiben az objektum azonosító egy dokumentumra mutat, a szolgáltató azt állítja, hogy megfelel az ezen dokumentumban rögzített adatoknak, leírásoknak, elvárásoknak és feltételeknek." Ezen irányelv továbbfejlesztését a már működő rendszerek dokumentációja alapján, továbbá az érintett szolgáltatói szakértők és az NMHH nyilvántartásában szereplő elektronikus aláírás szakértők, valamint a MELASZ szakértőinek véleménye alapján célszerű elvégezni. Olyan módosításokat kell elhatározni, amelyek előre mutatók, nem olyanokat, amely egy-egy többé-kevésbé elszigetelt rendszer, vagy rendszerelem (elektronikus aláírási termék) üzleti terve, illetve bevezetési gyakorlata szerint vetődik fel. Lényeges szempont, hogy hatékonyan együttműködő szolgáltatási rendszerek működjenek a kormányzati elektronikus ügyintézés, valamint az EU kapcsolatok komplex, egyre inkább kiteljesedő rendszerében. Az új irányelv verziók létrehozása során követni kell az EU tárgybeli jogszabályi változásait (ld. 1999/93/EK irányelv lecserélése; Mandate M460), és a szabványosítást (ld. EN szabványok; Rationalised Framework for Electronic Signature Standardisation/ETSI SR 001 604).
21/26.
1. SZ. MELLÉKLET: HIVATKOZÁSOK JEGYZÉKE A Jogszabályi környezet, a Mértékadó szabványok és ajánlások és az IKT szabályozási környezet pontokban nem szereplő dokumentumokra vonatkozó hivatkozások, amelyek figyelembe vétele javasolt az olvasók számára:
22/26.
Ssz. 1.
Tárgykör audit
Dokumentum megnevezése Útmutató rendszer értékelőknek
Készítette HunGuard, BME IK BME IK
Tartalmi jellemzők a rendszer értékelők számára biztosít kiegészítő útmutatást az értékelési módszertan néhány kiemelten fontos részterületéhez a dokumentum az interoperabilitási bevizsgálás lehetőségeit és módszereit ismerteti a dokumentum azokat a különböző nemzetközi és nemzeti sémákban megszerezhető, informatika biztonságra vonatkozó tanúsítási eredményeket (tanúsítványokat) tekinti át és hasonlítja össze, melyeket az e-közigazgatási szolgáltató rendszerek biztonság értékelési módszertana elfogad, illetve felhasznál a biztonságos informatikai rendszerek hazai kialakításához nyújt segítséget a szabványtár nemzetközileg értékelt védelmi profilokat és biztonsági előirányzatokat ismertető része
2.
interop
Interoperabilitási bevizsgálási módszertan
3.
audit
Létező tanúsítások megfeleltetése
HunGuard, BME IK
4.
interop
Common Criteria szerint értékelt védelmi profilok és biztonsági előirányzatok feldolgozása, áttekintése
HunGuard, BME IK
5.
interop
IDOM 2000 Konzulens Rt., IHM
egységes követelményrendszer és ezen alapuló megoldási módszertan a közigazgatási információs rendszerek és nyilvántartások közötti együttműködés biztosítására
6.
ajánlás
IHM
az elektronikus ügyintézést lehetővé tevő informatikai rendszerek biztonságának, együttműködési képességének és egységes használatának támogatására készült specifikáció
7.
ajánlás
IHM
meghatározza az együttműködő elektronikus közigazgatási szolgáltatások egyedi aláírási szabályzatainak létrehozásához javasolt közös, kiinduló alapot
8.
ajánlás
Közigazgatási informatikai rendszerek együttműködéséhez szükséges adatmodellek és adatkommunikációs sémák specifikációja és az ehhez szükséges módszertan Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható elektronikus aláírás formátumok műszaki specifikációjára Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható elektronikus aláírási szabályzatok készítésére Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható végfelhasználói tanúsítványok szerkezetének és adattartalmának műszaki specifikációjára
IHM
meghatározza a közigazgatás informatikai rendszereiben biztonságos azonosításnál, elektronikus aláírásnál, valamint titkosításnál alkalmazható végfelhasználói tanúsítványok ajánlott szerkezetének és adattartalmának
9.
ajánlás
10.
ajánlás
11.
ajánlás
12.
ajánlás
13.
ajánlás
14. 15.
irányelv
Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható időbélyegzés formátum műszaki specifikációjára Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható kulcsvisszaállítási rend irányelveire (tervezet) Interoperabilitási szabványtár a közigazgatás elektronikus rendszereinek fejlesztéséhez (Tervezet) 2006. április 4.
IHM
meghatározza az elektronikus közigazgatási szolgáltatásokban alkalmazott időbélyegek egységes formátumát, s ezen keresztül szabályozza az időbélyeg kérés és időbélyeg biztosítás folyamatait
IHM
Az Informatikai és Hírközlési Minisztérium ajánlása a közigazgatásban alkalmazható hitelesítési rendekre Magyar Informatikai Biztonsági Ajánlások (MIBA; KIB 25) Magyar Informatikai Biztonsági Értékelési és Tanúsítási Séma (MIBÉTS; KIB 25/2)
IHM
a dokumentum célja a közigazgatás és ügyfelei számára titkosító tanúsítványokat kibocsátó hitelesítés-szolgáltatók támogatása a közigazgatási felhasználásra vonatkozó követelményeknek megfelelő kulcsvisszaállítási rend meghatározásában ajánlás az elektronikus ügyintézést lehetővé tevő informatikai rendszerek együttműködési képességének, és egységes használatának támogatására, a használatra ajánlott szabványok és szabványjellegű előírások összegyűjtése, rendszerezése és publikálása. A dokumentum egyik elemét képezi a Magyar EKözigazgatási Interoperabilitási Keretrendszernek (MEKIK) a dokumentum az elektronikus közigazgatásban alkalmazható hitelesítési rendekre fogalmaz meg ajánlásokat
Miniszterelnöki Hivatalt vezető miniszter 2/2002. (IV. 26.) MeHVM irányelve a minősített elektronikus aláírással kapcsolatos szolgáltatásokra és ezek szolgáltatóira vonatkozó biztonsági követelményekről
MeHVM
IHM
MeH, NFÜ
összefoglaló ismertető anyag
MeH
alapvetően az informatikai termékek és rendszerek biztonsági értékelését és tanúsítását végző szakemberek számára készült, de használhatják az érdeklődő szervezeti vezetők is Az irányelv funkcionális és biztonsági ajánlásokat fogalmaz meg megbízható rendszerekre és ezek technikai komponenseire vonatkozóan. Az irányelvben foglalt előírások a szolgáltatókra nem kötelezőek, amennyiben azonban egy minősítést kérelmező az ebben foglalt előírásoknak igazoltan megfelel, a Felügyelet a minősítési kérelem elbírálása során a Szolgáltatót megfelelő szolgáltatónak tekinti.
24/26.
2. SZ. MELLÉKLET: NYILATKOZAT (MINTA) ikt. sz. .... NYILATKOZAT
Alulírott ...................................................... szakértő a(z) .......................................................................................... (szervezet neve) kormányzati célú elektronikus aláírás ellenőrzési szolgáltatás rendszerének, a rendszer megkülönböztető azonosítója: .................................................................. értékelésére kijelölt szakértőként, a mellékelt megbízási szerződés alapján nyilatkozom arról, hogy a rendszer (az alábbi megállapításban a megfelelő rész aláhúzandó) teljesíti részben teljesíti; az eltéréseket a nyilatkozat melléklete tartalmazza nem teljesíti; az indoklást a nyilatkozat melléklete tartalmazza az "Irányelv általános és kormányzati elektronikus aláírás ellenőrzés-szolgáltatáshoz" dokumentumban megadott technikai elvárásokat. Nyilatkozatomat a .................... (év.hó.nap) - .................... (év.hó.nap) időszakban végzett vonatkozó vizsgálataim alapján adom ki.
helység, év. hó. nap
................................................................
aláírás
Szakértői nyilvántartási szám: ..........................
25/26.
3. SZ. MELLÉKLET: VÁLTOZÁSKEZELÉS Sor
Változás leírása
Módosítás ideje
Dok. verzió
Módosítást végezte
Ellenőrizte
1.
** Ez itt a dokumentum vége **
26/26.
