ГОСТ Р 57301—2016
Во избежание неоднозначности толкования использование входа в систему, независимого от сервиса SSB, в
данном требовании предполагается только в случаях, при которых сервис SSB временно недоступен.
Требование 3.1.4 Управления информацией Великобритании (требование Великобритании по использова
нию смарт-карт для конкретного случая)
В случаях когда пользователь осуществил вход в систему независимо от сервиса SSB. в соответствии с
описанием в требовании 3.1.3 система должна предотвратить несанкционированный доступ к системам и
данным CRS NHS (несмотря на это. доступ к данным, содержащимся в локальных системах, может быть
осуществлен в процессе использования локальной аутентификации, когда SSB недоступен). В таких случаях
система может либо активировать вход в CRS NHS и применить средства управления доступом CRS NHS при
попытке пользователя получить доступ у системам CRS NHS или предоставить вызов функции входа в CRS
NHS из системы. То есть пользователю не требуется выходить из системы для аутентификации SSB и
осуществлять повторный вход до получения доступа к CRS NHS. После того как пользователь успешно
завершил вход в CRS NHS. он должен оставаться аутентифицированным для CRS NHS в течение всего
локального сеанса, при этом соответствуя времени ожидания сеанса Sptne. времени ожидания активности и
требованиям удаления смарт-карты.
Единственным исключением к данному требованию является случай, когда взаимодействия, инициирован
ные системой, могут извлекать данные PDS с помощью средства извлечения PDS или простых сообщений о
трассировке PDS. Системы не должны вводить какие-либо данные в SSB без аутентификации.
Требование 3.1.9 Управления информацией Великобритании (требование Великобритании по использова
нию смарт-карт для конкретного случая)
Пользователи, чьи смарт-карты не зарегистрированы в системе (см. предыдущее требование), могут ис
пользовать только локальную аутентификацию и вследствие этого не получат доступ к функциям системы,
которые требуют использования смарт-карты.
Требование 3.1.10 Управления информацией Великобритании (требование Великобритании по использова
нию смарт-карт для конкретного случая)
Периодически приложение должно проверять наличие локальных разрешений для того, чтобы гарантиро
вать наличие аутентифицированной смарт-карты, за исключением случаев, когда приложение создает дей
ствующее исключение, позволяющее удалить смарт-карту для получения новой.
Российская Федерация
Рекомендация Министерства здравоохранения РФ 2009-12-23. тр. 6.2 (необязательное)
Имя пользователя и пароль
В.6.6 Защита профилей пользователя, пароли и другие аутентификационные маркеры
Бразилия
NGS1.02.03
Защита параметров аутентификации
Все данные или параметры, использованные в процессе аутентификации пользователя, должны храниться
или передаваться безопасным способом. Например, путем хранения только хэш-кодов пароля пользователя и
обеспечения ограниченного доступа к месту хранения. Должны использоваться только абсолютно безопас ные
алгоритмы, например SHA-1, SHA-2 или последующие алгоритмы, и/или криптографическая защита с
помощью стандарта тройного шифрования данных (3DES). продвинутого стандарта шифрования (AES) и их
преемников.
П р и м е ч а н и е — При применении технологий, которые используют начальные числа для создания кода,
начальное число должно быть защищено от несанкционированного доступа и изменения.
США
ССН1Т SC 03.11
Аутентификация
При использовании паролей система должна поддерживать возможность защиты паролей во время переда чи
или хранения посредством использования криптографического хэширования с помощью SHA1. SHA256 или
их преемников и/или криптографической защиты с помощью Стандарта тройного шифрования данных (3DES).
Продвинутого стандарта шифрования (AES) и их преемников.
Канада: Онтарио 5.3.12.а (управление доступом к системе):
ИСО/МЭК 15408. CCSFR: FCS_CKM;
NIST SP 800-53: SC-12 СОЗДАНИЕ И УПРАВЛЕНИЕ КРИПТОГРАФИЧЕСКИМИ КЛЮЧАМИ;
HIPAA: 164.312(e)(1): 164.308(а)(5К«КО).
FIPS PUB 197
FIPS PUB 140-2
CCHIT SC 06.02
Технические службы
При использовании паролей система не должна отображать пароль во время его ввода.
ИСО/МЭК 15408. СС SFR: FPTJTC;
58