ГОСТ Р ИСОГГС 17090-1— 2009
Для получения доступа к секретному ключу, хранящемуся на одном из вышеперечисленных уст
ройств,держателю сертификата либо другому устройству или приложению необходимо пройти аутентифи
кацию. чаще всего посредством ввода пароля, кодовой фразы или биометрическихданных. Существуют
разные способы аутентификации, главным образом основанные на таких характеристиках аутентифициру
емого. как его местонахождение, нечто ему известное, его специальность или нечто ему принадлежащее.
Например, требуется вводпароля (нечто ему известное) с использованием электронного устройства (нечто
ему принадлежащее). Рекомендуется использование более одного способа аутентификации, называемое
двухступенчатой аутентификацией, значительноповышающее защищенностьсекретного ключа.
Настоящий стандарт определяет необходимость многоуровневой защиты и устанавливает, что для
более высоких уровней безопасности защита секретного ключа должна осуществляться с помощью элек
тронных устройств. Управление секретным ключом определено подробно в ИСО/ТС17090-3.
Перемещение личной медицинской информации между ведомствами, за пределы государственных
границ с использованием незащищенной среды, например Интернет, в которой отправитель и получатель
раньше не вступали в контакт и не знали друг друга лично, требует наличия способов аутентификации
участвующих сторон для обеспечения того, чтобы передаваемая и хранимая информация оставалась кон
фиденциальной, не была изменена при передаче и чтобы ни одна из сторон не смогла позже отрицать факт
отправления или получения информации. Это является основным требованием индустрии здравоохране
ния ксервисам обеспечения безопасности, используемым в ИОК.
7 Инфраструктура с открытым ключом
7.1 Компоненты инфраструктуры с открытым ключом
7.1.1 Общие положения
ИОК является инфраструктурой, содержащей перечисленные ниже компоненты и используемой в
процессе взаимодействия междудержателем ключа и участвующей стороной, включая УС. которая позво
ляет участвующей стороне использовать сертификат, связанный с держателем ключа, по крайней мере,
для одной операции с использованием сервиса обеспечения безопасности на основе открытого ключа.
7.1.2 Политика по сертификатам
Политика по сертификатам (ПС) представляет собой поименованный свод правил, определяющий
применимость сертификата вопределенной отрасли здравоохранения и/или классе приложений собщими
требованиями кобеспечению безопасности. Сертификаты, основанные на ПС, которая специально разра
ботана для удовлетворения потребностей медицинской информации, поддерживают такие сервисы, как
авторизация, контрольдоступа и целостность информации. Специфические потребности системы здраво
охранения, описанные в разделе 5. требуют, чтобы цифровые сертификаты были определены особым
образом именнодля нужд здравоохранения.
7.1.3 Свод правил по сертификации
Свод правил по сертификации (СПС) представляет собой формулировку правил, которые уполномо
ченноелицо по сертификации использует при выдаче сертификатов, реализуя ПС. Например, в СПС указа
ны действия, которые необходимо предпринять, когда из медицинского учреждения поступает запрос на
выдачу сертификата медицинскому работнику.
7.1.4 Уполномоченное лицо по сертификации
Уполномоченное лицо посертификации (УС) является довереннымсубъектом, который подтверждает
личностьдержателя сертификата и присваивает «персональное имя» данномудержателю сертификата.
УС также подтверждает правильность информации, относящейся кличности держателя сертификата, под
писываяданные и таким образом подтверждая связь между именами или личностями и открытыми ключа ми.
которые устанавливают электронную подписьдля данногодержателя сертификата. Некоторые из этих
функций могут бытьделегированы УР (см. 7.1.5). например функции подтверждения личности и присвое ния
персонального имени, поскольку данные функции наилучшим образом могут быть выполнены на мест ном
уровне.
Секретный ключ может храниться на компьютере субъекта, дискете или другом носителе, например
смарт-карте. Обычнодоступ к ключу осуществляется держателем сертификата посредством ввода кодо
вой фразы.
Настоящий стандарт допускает, что медицинские учреждения могут получать услуги по сертифика
ции разными способами. Некоторые могут осуществлять этудеятельность самостоятельно, другие могут
передать полномочия на нее уполномоченным частным организациям. Кроме того, могут существовать
13