Базові вимоги до випуску і управлінню публічно довірених сертифікатів DV и OV

17. Аудит

[Примітка: Підкреслені частині пункту 17 набирають чинності з 1 січня 2013]

17.1 Прийнятні схеми аудиту ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) аудит відповідно до однієї з наведених нижче схем:

• 1. WebTrust для Центру Сертифікації v2.0 або;
• 2. Національна схема, яка проводить аудит згідно ETSI TS 101 456 v1.2.1 або;
• 3. Національна схема, яка проводить аудит згідно ETSI TS 102 042 V1.1.1 або;
• 4. Схема, яка проводить аудит згідно ISO 21188:2006, яку виконує Кваліфікований аудитор; або
• 5. Якщо відповідно до Полісом сертифіката керівництво ЦС має використовувати іншу схему внутрішнього аудиту, керівництво ЦС може використовувати її за умови що: (a) аудит або (i) охоплює всі вимоги однієї з наведених вище схем, або (ii) складається з порівняльних критеріїв, які є загальнодоступними, та (b) аудит проводить Кваліфікований аудитор, незалежний від ЦС і який соответствовует критеріям пункту 17.6.

ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) пройти аудит відповідно до однієї з наведених нижче схем:

• 1. WebTrust для Центру Сертифікації v2.0;
• 2. Національна схема, яка проводить аудит згідно ETSI TS 102 042;
• 3. Схема, яка проводить аудит згідно ISO 21188:2006; або
• 4. Якщо відповідно до Полісом Сертифікату керівництво ЦС має використовувати іншу схему внутрішнього аудиту, керівництво ЦС MAY (ВОЗМОЖНО, МОЖЕТ) використовувати її за умови що аудит або (a) охоплює всі вимоги однієї з наведених вище схем, або (b) складається з порівняльних критеріїв, які є загальнодоступними.

  Яка б схема не була обрана, вона MUST (НЕОБХОДИМО, обязательно должно быть) включати в себе періодичний внутрішній моніторинг та / або процедури звітності, щоб гарантувати проведення аудиту відповідно до вимог схеми.

  Аудит MUST (НЕОБХОДИМО, обязательно должно быть) проводити Кваліфікований аудитор, згідно Пункту 17.6.

17.2 Регулярність аудиту

Період протягом якого Сертифікати авторизації SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) бути розділені на безперервну послідовність аудиторських періодів. Періодичність аудиту MUST_NOT (НЕДОПУСТИМО, обязательно не должно быть) перевищувати один рік

17.3 Висновок аудитора

У висновок аудитора SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) докладно викладено те що воно охоплює відповідні системи і процеси які використовуються при видачі всіх сертифікатів, що захищає систему ідентифікаторів, перелічених у розділі 9.3.1 ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) висновок аудиту загальнодоступним. ЦС не зобов'язаний оприлюднювати будь-які загальні висновки, які не впливають на загальну думку аудиторської перевірки Для обох, державних і комерційних ЦС SHOULD (ДОЛЖЕН) зробити результати аудиторської перевірки общесдоступнимі не пізніше ніж через три місяці після закінчення перевірки. У разі затримки більш ніж на три місяці і якщо про це просить Поставщик программного обеспечения (Application Software Supplier) ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть)надати пояснювальну записку підписану Квалифицированный аудитор (Qualified Auditor)

17.4 Готовність до предактіваціі аудиторської перевірки

Якщо CA має дійсне на даний момент Висновок аудитора, який вказує на відповідність системи перевірки, перелічені в розділі 17.1 тоді немає необхідності в оцінці готовності до предактіваціі

Якщо CA не має чинного Висновок аудитора, яке відповідає одній зі схем перевірки, перечісленниех в розділі 17.1 то тоді перед випуском загальнодоступних сертифікатів ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) успішно завершити оцінку готовності до випуску відповідно до застосовних згідно з аудиторським схемами наведеними в розділі 17.1 Оцінка готовності SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) закінчена не раніше ніж за 12 місяців до випуску публічно довірених сертифікатів і SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) бути проведений повний аудит за такою схемою протягом 90 днів з моменту випуску першого публічно довіреної сертифікату

17.5 Аудит делегованих функцій

Якщо Незалежна третя сторона на даний момент не провела аудит відповідно до розділу 17 і не є співробітником підприємства Enterprise RA, тоді до видачі сертифіката ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) забезпечити те, щоб перевірка доменів управління технологічними процесами відповідно до розділу 11.1 була правильно виконана Незалежним третьою особою або (1) з використанням допоміжного механізму, що включає, принаймні, однієї людини, яка діє від імені ЦР або від імені Незалежної третьої сторони для підтвердження автентичності запиту на сертифікат, або відомості, що підтверджують запит на сертифікат або (2) проведення самостійної перевірки процесів управління доменом.

Якщо ЦС не використовує жодну з вищевказаних процедур, і Незалежна третя сторона не є працівником Enterprise RA, то ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) отримати висновок аудитора, видане відповідно до аудиторськими стандартами, що лежать в основі прийнятих аудиторських схем згідно з пунктом 17.1, це вказує на те, чи відповідає виконання Незалежної третьої сторони вимог Поліса сертифіката ЦС та / або Положення про рекомендованої практики. Якщо ж відповідності нету, то ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) not дозволяти Незалежної третій стороні продовжувати виконання делегованих функцій.

Аудиторський період для Независимой третьої сторони SHALL NOT (НЕ РАЗРЕШАЕТСЯ, не должно быть) перевищувати один рік (відповідно до вимог аудиту ЦС). Однак, якщо ЦС або Незалежна третя сторона знаходиться під контролем Державного підприємства і аудиторська схема завершена в перебігу декількох років, то річний аудит MUST (НЕОБХОДИМО, обязательно должно быть) охоплювати, принаймні, основні елементи управління, які зобов'язані проводити щорічний аудит за такою схемою, плюс частина другорядних елементів, аудит яких проводиться не так часто, але ні в якому випадку аудит другорядних елементів управління не повинен проводиться рідше, ніж раз на три роки .

17.6 Кваліфікація аудитора

Аудит ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) здійснювати Кваліфікований аудитор. Кваліфікований аудитор - це фізична особа, Юридична особа, або група фізичних або юридичних осіб, які в сукупності володіють наступними кваліфікаціями і навичками:

• 1. Незалежність від об'єкта аудиту;
• 2. Здатність проводити аудит, який відповідає Критеріям схеми проведення аудиту;
• 3. Має в штаті людей, які добре розбираються в технології Приватного ключа, засобах захисту інформації і техніки, інформаційної технології та засобах захисту аудиту, а також функціях атестації третіх осіб;
• 4. Сертифіковані, акредитовані, що мають ліцензію або те, що свідчить про володіння необхідними навичками згідно схеми проведення аудиту;
• 5. Зобов'язані перед законом, державними постановами чи кодексом професійної етики; і
• 6. За винятком випадків Державного агентства внутрішнього аудиту, яке несе Професійну відповідальність / Страхування від помилок і упущень лімітів поліса в межах одного мільйона доларів США.

Аудит ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) здійснювати Кваліфікований аудитор. Кваліфікований аудитор - це фізична особа, Юридична особа, або група фізичних або Юридичних осіб, які в сукупності володіють наступними кваліфікаціями і навичками:

• 1. Незалежність від об'єкта аудиту;
• 2. Здатність проводити аудит, який відповідає критеріям Схеми проведення аудиту (дивіться пункт 17.1);
• 3. Має в штаті людей, які добре розбираються в технології приватного ключа, засобах захисту інформації і техніки, інформаційної технології та засобах захисту аудиту, а також функціях атестації третіх осіб;
• 4. (Для аудитів, які проводяться відповідно до будь-яким з стандартів ETSI), акредитовані відповідно до ETSI TS 119 403, або акредитованих для проведення такого роду аудитів в рамках еквівалентної національної схеми, або акредитованих національним сертифікаційним агентством відповідно до ISO 27006 для проведення аудитів ISO 27001;
• 5. (Для аудитів, які проводяться у відповідності зі стандартами WebTrust) мають ліцензію WebTrust;
• 6. Зобов'язані перед законом, державними постановами чи кодексом професійної етики; і
• 7. За винятком випадків Державного агентства внутрішнього аудиту, яке несе Професійну відповідальність / страхування від помилок і упущень лімітів поліса в межах одного мільйона доларів США.

17.7 Процес генерації ключів

Для Кореневого ЦС пари приватного та відкритого ключів створюються після Дати набрання чинності, які або (i) використовуються в якості Пари ключів для Кореневого ЦС або (ii) Пари ключів, які створюються для ЦС, що не є оператором Кореневого ЦС або афілійованою компанією Кореневого ЦС, ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть):

• 1. Підготувати і слідувати скрипту для генерації приватного ключа,
• 2. Повинен бути Кваліфікований аудитор, який засвідчить процес створення Пари ключів кореневого ЦС або запише на відео цей процес, і
• 3. Повинен бути Кваліфікований аудитор, який оприлюднить звіт і дасть професійний висновок про те, що ЦС дотримувався послідовності створення ключів під час процесу формування ключа та сертифіката, а також контроль за забезпеченням цілісності та конфіденційності для Пари ключів.

Для інших Пар ключів ЦС, створених після Дати набрання чинності, які призначені оператору Кореневого ЦС або Афілійованої кореневого ЦС, ЦС SHOULD (ДОЛЖЕН):

• 1. Підготувати і слідувати Скрипту для генерації ключа і
• 2. Повинен бути Кваліфікований аудитор, який засвідчить процес створення пари ключів кореневого ЦС або запише на відео цей процес.

У всіх випадках, ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть):

• 1. Згенерувати ключі в захищеному середовищі, як описано в Полісі сертифіката ЦС та / або в Положенні про рекомендованої практики;
• 2. Згенерувати ключі ЦС за допомогою довірених працівників відповідно до принципів неодноразового контролю людини і поділу знань;
• 3. Згенерувати ключі ЦС в рамках криптографічних модулів відповідно до застосовних технічних і бізнес вимогами, як описано в Полісі сертифіката ЦС та / або в Положенні про рекомендованої практики;
• 4. Зареєструвати дії необхідні для формування ключа центру сертифікації; і
• 5. Підтримувати ефективний контроль для забезпечення обгрунтованих гарантій того, що Приватний ключ був сформований і захищений відповідно до процесів, описаними в Полісі сертифіката та / або в Положенні про рекомендованої практики (якщо застосуємо) його Скрипт для генерації приватного ключа.

17.8 Регулярна якісна оцінка власного аудиту

Протягом періоду, під час якого ЦС видає сертифікати, ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) контролювати дотримання Поліса сертифіката, Положення про рекомендованої практики і ці Вимоги; строго контролювати якість своїх послуг шляхом проведення щоквартальних самоперевірок, випадково вибираючи зразки більше, ніж одного сертифіката, або, принаймні 3% сертифікатів, які були видані ЦС протягом періоду, який розпочався відразу після завершення самоперевірки попереднього зразка. За винятком Незалежних третіх сторін, які проходять щорічний аудит, що відповідає критеріям відповідно пункту 16.3, ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) суворо контролювати якість послуг виданих Сертифікатів або зміст інформації, яку перевіряє фахівець в області ратифікації, який працює в ЦС і проводить постійні квартальні аудити випадково вибраних зразків сертифікатів, або принаймні 3% сертифікатів, завірених Незалежної третьою стороною в період, що розпочався відразу ж після того, як був узятий останній зразок. ЦС SHALL (РАЗРЕШАЕТСЯ, НУЖНО, должно быть) перевіряти діяльність і механізм дій Незалежної третьої сторони щоб гарантувати те, Незалежна третя сторона відповідає з цими Вимогами та Полісу сертифіката та / або Положень про рекомендовану практиці.