ГОСТ Р ИСО 17090-3-2010

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                             ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                       НАЦИОНАЛЬНЫЙ
                                          СТАНДАРТ
                                                                             ГОСТ Р и с о
                                        РОССИЙСКОЙ                           17090 3-   -


                                         ФЕДЕРАЦИИ                           2010




                                 Информатизация здоровья

                 ИНФРАСТРУКТУРА С ОТКРЫТЫМ КЛЮЧОМ
                                               Часть            3

                  Управление политиками центра сертификации

                                              ISO 17090-3:2008
                 Health informatics — Public key infrastructure — Part 3: Policy management
                                          of certification authority
                                                     (IDT)



                                            Издание официальное




                                                         Москва
                                                   С та м д ар ти н ф о рм
                                                           2011




регистрация ту

ГОСТ Р ИСО 17090-3—2010

                                          Предисловие
     Цели и принципы стандартизации в Российской Федерации установлены Федеральным законом от
27 декабря 2002 г. N» 184-ФЗ «О техническом регулировании», а правила применения национальных
стандартов Российской Федерации — ГОСТ Р 1.0—2004 «Стандартизация в Российской Федерации.
Основные положения»

     Сведения о стандарте

     1 ПОДГОТОВЛЕН Федеральным государственным учреждением «Центральный научно-исследо­
вательский институт организации и информатизации здравоохранения» Минздравсоцразвития
(ЦНИИОИЗ Минздравсоцразвития) и Государственным научным учреждением «Центральный
научно-исследовательский и опытно-конструкторский институт робототехники и технической киберне­
тики» на основе собственного аутентичного перевода на русский язык международного стандарта, ука­
занного в пункте 4

   2 ВНЕСЕН Техническим комитетом по стандартизации ТК 468 «Информатизация здоровья» при
ЦНИИОИЗ Минздравсоцразвития — постоянным представителем ИСО ТК215

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому
регулированию и метрологии от 26 октября 2010 г. No 329-ст

       4 Настоящий стандарт идентичен международному стандарту И С 0 17090-3:2008 «Информатиза­
ция здоровья. Инфраструктура с открытым ключом. Часть 3. Управление политиками центра сертифика­
ции» (ISO 17090-3:2008 «Health informatics — Public key infrastructure — Part 3: Policy management of
certification authority»).
       При применении настоящего стандарта рекомендуется использовать вместо ссылочных междуна­
родных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о
которых приведены в дополнительном приложении ДА

     5 ВВЕДЕН ВПЕРВЫЕ



     Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом
информационном указателе «Национальные стандарты», а текст изменений и поправок — вожеме-
сячно издаваемых информационных указателях «Национальные стандарты». В случав пересмотра
(замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано
в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответству­
ющая информация, уведомление и тексты размещаются также в информационной системе общего
пользования — на официальном сайте Федералыюго агентства по техническому регулированию и
метрологии в сети Интернет




                                                                           © Стандартинформ. 2011

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии

ГОСТ Р ИСО 17090-3—2010

                                                                       Содержание
1 ОБЛАСТЬ П РИМ ЕНЕНИЯ............................................................................................................................... 1
2 НОРМАТИВНЫЕ С СЫ ЛКИ ............................................................................................................................... 1
3 ТЕРМИНЫ И ОПРЕДЕЛЕНИЯ..........................................................................................................................2
4 СОКРАЩ ЕНИЯ.................................................................................................................................................. 2
5 ТРЕБОВАНИЯ К УПРАВЛЕНИЮ ПОЛИТИКАМИ ПО ЦИФРОВЫМ СЕРТИФИКАТАМ В СФЕРЕ
  ЗДРАВООХРАНЕНИЯ....................................................................................................................................... 2
  5.1 Общие сведения...........................................................                                                                                         2
  5.2 Необходимость высокой степени гарантии правильного функционирования.................................2
  5.3 Необходимость высокой степени доступности инфраструктуры........................................................ 2
  5.4 Необходимость высокой степени д о в е р и я ............................................................................................3
  5.5 Необходимость совместимости со стандартами И нтернет.................................................................3
  5.6 Необходимость упрощения оценки и сравнения политик по сертификатам................................... 3
6 СТРУКТУРА ПОЛИТИК ПО СЕРТИФИКАТАМ И РЕГЛАМЕНТОВ ЦЕНТРОВ СЕРТИФИКАЦИИ
  В СФЕРЕ ЗДРАВООХРАНЕНИЯ.................................................................................................................... 3
  6.1 Общие требования к П С ............................................................................................................................ 3
  6.2 Общие требования к Р Ц С ..........................................................................................................................4
  6.3 Взаимосвязь между ПС и Р Ц С ................................................................................................................. 4
  6.4 Область применения..................................................................................................................................4
7 МИНИМАЛЬНЫЕ ТРЕБОВАНИЯ К ПОЛИТИКЕ ПО СЕРТИФИКАТАМ В СФЕРЕ ЗДРАВООХРА­
  НЕНИЯ ................................................................................................................................................................5
  7.1 Общие требования............................................................................                                                                      5
  7.2 Ответственность за публикацию и хранение......................................................................................... 5
      7.2.1 Хранилищ а....................................................................................................................................... 5
      7.2.2 Публикация информации о сертификации....................................................................................5
      7.2.3 Частота публикаций..........................................................................................................................5
      7.2.4 Контроль доступа к хранилищам....................................................................................................5
  7.3 Идентификация и аутентификация..........................................................................................................5
      7.3.1 Начальная регистрация..................................................................................................................5
      7.3.2 Начальная проверка идентичности.............................................................................................. 6
      7.3.3 Идентификация и аутентификация запросов на замену кл ю че й..............................................7
      7.3.4 Идентификация и аутентификация при запросе на отзыв сертиф иката................................ 7
  7.4 Эксплуатационные требования к жизненному циклу сертификата......................................................8
      7.4.1 Получение сертификата..................................................................................................................8
      7.4.2 Обработка заявки на получение сертиф иката............................................................................8
      7.4.3 Выпуск сертиф иката....................................................................................................................... 9
      7.4.4 Принятие сертификата.................................................................................................................... 9
      7.4.5 Пара ключей и использование сертификата . ............................................................................9
      7.4.6 Продление действия сертификата ...............................................................................................9
      7.4.7 Замена ключа в сертификате...................................                                                                                             10
      7.4.8 Изменение сертификата............................................................................................................... 10
      7.4.9 Отзыв и приостановка сертификата............................................................................................11
      7.4.10 Службы статуса сертиф икатов................................................................................................. 13
      7.4.11 Завершение подписки..................................................................................................................13
      7.4.12 Временное депонирование секретного ключа у третьего л и ц а ........................................... 13
  7.5 Физические средства контроля............................................................................................................... 13
      7.5.1 Общие сведения.............................................................................................................................14
      7.5.2 Физические средства контроля.................................................................................................... 14
      7.5.3 Процедурные средства ко н т р о л я ...............................................................................................14
                                                                                                                                                                      hi

ГОСТ Р ИСО 17090-3—2010

      7.5.4 Средства контроля персонала.................................................................................................... 14
      7.5.5 Процедуры ведения журнала аудита безопасности................................................................. 14
      7.5.6 Архив за п и с е й ................................................................................................................................14
      7.5.7 Замена клю чей................................................................................................................................14
      7.5.8 Устранение последствий компрометации и а в а р и й ................................................................. 14
      7.5.9 Завершение деятельности Ц С .................................................................................................... 14
  7.6 Технические средства контроля безопасности.................................................................................... 15
      7.6.1 Генерация и установка пары кл ю ч е й ..........................................................................................15
      7.6.2 Защита секретного к л ю ч а .............................................................................................................15
      7.6.3 Другие аспекты управления ключами..........................................................................................17
      7.6.4 Данные активации.......................................................................................................................... 17
      7.6.5 Средства контроля защиты компьютера.................................................................................... 17
      7.6.6 Технические средства контроля жизненного ц и к л а ................................................................. 18
      7.6.7 Средства контроля защиты с е ти ..................................................................................................18
      7.6.8 Метки врем ени................................................................................................................................18
  7.7 Профили сертификата. СОСи О П С С .................................................................................................... 18
  7.8 Аудит соответствия.................................................................................................................................. 18
      7.8.1 Общие сведения.............................................................................................................................18
      7.8.2 Периодичность аудита соответствия Ц С .................................................................................... 18
      7.8.3 Идентичность/квалификация аудитора.......................................................................................18
      7.8.4 Взаимосвязь аудитора с проверяемой стороной...................................................................... 18
      7.8.5 Вопросы, затрагиваемые аудитом............................................................................................... 18
      7.8.6 Действия, предпринимаемые в результате выявления недостатков......................................18
      7.8.7 Рассылка результатов аудита....................................................................................................... 19
  7.9 Юридические и другие аспекты деятельности.................................................................................... 19
      7.9.1 О пла та ............................................................................................................................................. 19
      7.9.2 Финансовая ответственность....................................................................................................... 19
      7.9.3 Конфиденциальность деловой инф орм ации............................................................................19
      7.9.4 Защита персональной информации............................................................................................ 20
      7.9.5 Права интеллектуальной собственности....................................................................................20
      7.9.6 Претензии и гарантии.................................................................................................................... 20
      7.9.7 Отказ от гарантийных обязательств............................................................................................ 22
      7.9.8 Ограничение ответственности.................................................................................................... 22
      7.9.9 Возмещение убы тков.................................................................................................................... 22
      7.9.10 Сроки и прекращение полномочий............................................................................................ 22
      7.9.11 Индивидуальные уведомления и обмен информацией с участниками................................ 23
      7.9.12 Поправки....................................................................................................................................... 23
      7.9.13 Процедуры разрешения споров................................................................................................. 23
      7.9.14 Правовые норм ы ..........................................................................................................................23
      7.9.15 Соответствие применяемым правовым н о р м а м ................................................................... 23
      7.9.16 Прочие положения....................................................................................................................... 23
8 МОДЕЛЬ ОФИЦИАЛЬНОГО ОТЧЕТА ОБ И О К ........................................................................................ 23
  8.1 В в е д е н и е .................................................................................................................................................. 23
  8.2 Структура официального отчета об И О К...............................................................................................24
Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов
                    ссылочным национальным стандартам Российской Ф е де р а ц ии...................................26
Библиография................ .. .................................................................................................................................. 27
IV