ГОСТ Р 55811-2013
не должна использоваться для других целей. Кроме того, журнал аудита должен быть до
ступен только уполномоченным лицам и при наличии веских причин, касающихся бизнеса
и безопасности.
5.4.2 Обеспечение безопасности
Документированные процессы и процедуры по обеспечению безопасности необхо
димы как часть системы внутреннего контроля безопасности в процессе управления сер
тификатами ключей проверки электронной подписи. Журнал аудита должен просматри
ваться регулярно (например, ежедневно) согласно установленным требованиям обеспе
чения безопасности. Просмотр должен включать подтверждение целостности журнала
аудита, а также выявление и наблюдение за несанкционированной или подозрительной
деятельностью (например, доступ в необычное время или из необычных источников,
неожиданное увеличение потребления системных ресурсов).
Масштабы и частота просмотра, а также требования к усилению управления долж
ны быть определены с учетом риска бизнеса. Для бизнес-приложений с высокой степе
нью риска или для выполнения правовых и нормативных требований, или и того и друго
го, может потребоваться, чтобы конечные владельцы и пользователи сертификатов вели
журнал аудита.
5.4.3 Проверка УЦ и ЦР
Проверки соответствия УЦ и ЦР требованиям безопасности должны являться обя
занностью органа независимого контроля (внутреннего, внешнего или обоих) с установ
ленной периодичностью (например, ежегодно). Проверка должна охватывать соблюдение
политики применения сертификатов и РВС, руководств по процедурам и спецификации
по конфигурации используемых средств. Результаты проверки должны быть официально
оформлены и предоставлены проверяемым для устранения замечаний и реализации ре
комендаций.
5.4.4 Проверка конечных владельцев сертификатов
В бизнес-приложениях с высокой степенью риска проверке могут подвергнуться
также конечные владельцы и пользователи сертификатов.
41