ГОСТ Р ИСО 17090-3—2010
Средства контролязащитыкомпьютерадолжны соответствоватьИСО/МЭК27002 (или егоэквива
ленту) либо утвержденным критериям аккредитации или лицензирования, а также следующим доку
ментам:
- IETF/RFC 3647, пункт6.5.1 — Особые техническиетребования защиты компьютеров:
- IETF/RFC 3647. пункт6.5.2 — Ранжирование защиты компьютера.
7.6.6 Технические средства контроля жизненного цикла
(
6
.
6
)
Технические средства контроля жизненного цикла должны соответствовать ИСО/МЭК 27002 (или
его эквиваленту) либо утвержденным критериям аккредитации или лицензирования, а также следую
щимдокументам:
- IETF/RFC 3647. пункт6.6.1— Средства контроля разработки системы:
- IETF/RFC 3647, пункт 6.6.2 — Средства контроля управления безопасностью;
- IETF/RFC 3647, пункт 6.6.3 — Средства контроля безопасностижизненного цикла.
7.6.7 Средства контроля защиты сети
(6.7)
Средства контроля защиты сети должны соответствовать ИСО/МЭК 27002 (или его эквиваленту)
либо утвержденным критериям аккредитации или лицензирования.
7.6.8 Метки времени
(
6
.
8
)
Критерии применения меток времени должны быть указаны в соответствии со спецификацией
IETF/RFC 3647, подраздел 6.8.
7.7 Профили сертификата, СОС и ОПСС
Профили сертификата. СОС и ОПСС (при их наличии) должны соответствовать ИСО 17090-2.
7.8 Аудит соответствия
7.8.1 Общие сведения
(
8
)
Аудит соответствия является существенной составляющей многих моделей интероперабельнос
ти цифровыхсертификатов (см., например. ИСО 17090-1:2008, пункт9.2.4).
7.8.2 Периодичность аудита соответствия ЦС
(
8
.
1
)
ЦС. выпускающийсертификаты всоответствиис ПС длясферы здравоохранения, долженубедить
любую доверяющую сторону, что они полностью соответствуют требованиям данной политики. Аудит
соответствия ЦС должен осуществляться квалифицированной независимой третьей стороной с перио
дичностью не реже одного раза в год.
7.8.3 Идвнтичность/квалификация аудитора
(
8
.
2
)
Аудитордолжен иметь квалификацию аудитора по информационным системам, подтвержденную
соответствующим профессиональным органом (напримор. аккредитация по ИСО 9000). Аудитор дол
женобладатьбольшимопытомв областицифровыхсертификатов. Если существуетформальныйорган
аккредитации, тоаудитордолжен соответствовать его требованиям.
7.8.4 Взаимосвязь аудитора с проверяемой стороной
(8.3)
Аудитордолжен быть полностью независим от проверяемой стороны и принадлежать к организа
ции, независимой от ЦС. Аудитор недолжен иметьфинансовый интерес в проверяемой стороне.
7.8.5 Вопросы, затрагиваемые аудитом
(8.4)
Аудиту должны подлежать такие события, как регистрация держателей сертификатов, регистра
ция сертификатов, публикация отчетов о скомпрометированных ключах и отзыв сертификатов. Аудит
обычно охватывает их соответствие ПС и РЦС.
Чтобы гарантировать доверие к ЦР и предоставить информацию лицам, осуществляющим внут
ренний аудит, действия каждого ЦР должны регистрироваться. Аудиторские записи и журналы аудита
должны создаватьсядля событий в соответствии с релевантной политикой.
7.8.6 Действия, предпринимаемые в результате выявления недостатков
(8.5)
7.8.6.1 Общиесведения
18