ГОСТ Р 57301—2016
a) по получении подтверждать действительность подписи (т. е. что соответствующий сертификат
подписи и вся связанная цепочка сертификатов не были аннулированы),
b
) хранить, создавать резервные копии или архивировать цифровые подписи и все связанные с
ними данные (информация о корневых сертификатах, цепочки сертификатов, сертификаты подписав
шего и информация об аннулировании) всегда, когда осуществляется хранение или архивирование
подписанных данных;
c) передавать цифровую подпись вместо с данными или по ссылке каждый раз, когда осущест
вляется передача подписанных данных;
d) позволять пользователям подтверждать действительность подписи на момент подписания
(т. е. что соответствующий сертификат подписи не был аннулирован) каждый раз при осуществлении
доступа к подписанным данным.
Требование 82. Цель использования цифровой подписи и роль подписавшего. Системы
POS. предоставляющие возможность использования цифровых подписей, должны включать в себя
атрибут «индикация типа обязательства» (commitment-type-indication) и роль подписавшего (т. е. атри
бут роли подписавшего).
Обоснование
Данное требование действительно для оказания услуг, при которых необходим электронный ана
лог собственноручной подписи, например, при электронном назначении.
Ссылки;
ИСО 27799. ИСО/МЭК 15408 (все части). ИСО 18308. ETSITS 101 733. ETSI TS 101 903. RFC3280,
RFC2560.
5.4 Общие критерии
l
Общие критерии (ОК). опубликованные в ИСО/МЭК 15408, состоящем из трех частей, предоставляют
общий набор требований к функциям обеспечения безопасности ИТ-продуктов и систем, а также к методам
обеспечения достоверности и эффективности, применяемым к этим функциям в ходе оценки защиты.
Стандарт направлен на то, чтобы охватить все различные виды ИТ-продуктов и систем, и предо
ставляет широкий спектр требований, позволяя разработчику продукта или системы определить об
ласть применения, называемую объектом оценки (ОО), и выбрать набор требований, который приме
няется в конкретном случае.
Так как этот стандарт является международным и общеизвестным, он полезен при отображении
связи между требованиями, представленными в настоящем стандарте, и классами ОК. Перекрестное
сопоставление, предоставленное ниже, может помочь тем. кто уже знаком с общими критериями, луч ше
понять настоящий стандарт и наоборот.
Ниже приведен список классов ОК:
a) аудит безопасности (FAU):
b
) связь (FCO);
c) криптографическая поддержка (FCS);
d) защита данных пользователя (FDP):
e) (G) идентификация и аутентификация (FIA);
0 (Н) управление безопасностью (FMT).
g) (I) неприкосновенность частной жизни (FPR);
h) (J) защита функций безопасности объекта оценки TSF — TOE (FPT);
i) (К) использование ресурсов (FRU);
j) (L) доступ к объекту оценки (FTA):
k) доверенный маршрут/канал (FTP);
) управление безопасностью;
- управление версиями;
- документация и методы;
- доступность;
- контроль времени:
т ) неприкосновенность частной жизни;
п) защита функций безопасности:
о) управление доступом.
В таблице 1 приведено перекрестное сопоставление классов ОК с требованиями, установленны
ми в предыдущем разделе.
25