2. Експлуатаційний рівень

Даний рівень об’єднує учасників та функції, що пов’язані з експлуатацією та адмініструванням інфраструктури електронної ідентифікації. Всі учасники інфраструктури електронної ідентифікації, які виконують прикладні функції, також виконують і функції з адміністрування та експлуатації схем та засобів електронної ідентифікації.

Досягнення бажаного рівня гарантій електронної ідентифікації залежить не тільки від технічних чинників, але й від нормативних положень, договірних угод зваженого розуміння того, як здійснюється управління наданням послуг та його організація. У відсутність належного управління та організації роботи будь-яке технічно надійне рішення може втратити свій потенціал забезпечення безпеки при забезпеченні певного рівня гарантій.

Базовими функціями рівня експлуатації принаймні повинно бути визначено:

• ініціація надання послуг;

• правове та договірне регулювання;

• фінансові аспекти;

• інформаційна безпека та аудит;

• взаємодія із зовнішніми компонентами;

• управляння операційною інфраструктурою;

• оцінювання технічних характеристик;

Ініціація надання послуг охоплює як юридичний статус постачальника послуг, так і функціональний статус забезпечення обслуговування. Наприклад, якщо відомо, що постачальник (провайдер) послуг електронної ідентифікації є зареєстрованою юридичною особою, то це дає впевненість у тому, що провайдер користується довірою серед інших організацій в межах своєї юрисдикції. Важливість цього зростає, коли компоненти обслуговування управляються різними юридичними особами (наприклад, якщо реєстрація є окремою функцією).

Хоча основні вимоги є однаковими для всіх рівнів гарантій електронної ідентифікації, на більш високих рівнях слід забезпечити більшу залежність від повноти та надійності обслуговування. Наприклад, на рівні гарантій «суттєвий» та «високий» постачальник (провайдер) послуг електронної ідентифікації, повинен підтримувати більш високу гарантію щодо забезпечення обслуговування, у тому числі з урахуванням знання корпоративних зв'язків і розуміння рівня незалежності, дозволеного при операціях.

В межах правового та договірного регулювання, всі учасники інфраструктури електронної ідентифікації повинні розуміти вимоги закону, покладені на них у зв'язку з організацією надання послуг, і забезпечувати відповідність цим вимогам. Це включає, зокрема, визначення типу інформації, яка може запитуватися, порядок виконання перевірки чинності ідентичності та визначення інформації, яка може бути збережена. Повинні бути враховані всі юрисдикції, в рамках яких діють учасники. Для рівнів гарантій електронної ідентифікації «суттєвий» та «високий» мають бути визначені також конкретні вимоги політики і договірні умови.

У контексті фінансових аспектів, якщо об'єкт і постачальник (провайдер) послуг електронної ідентифікації припускають довгострокову доступність послуг, то останні повинні продемонструвати фінансову стабільність, достатню для гарантування безперервного обслуговування та угоди про ступінь потенційної відповідальності сторін. Малоймовірно, що такі положення будуть розглядатися для рівня гарантій електронної ідентифікації «низький», але слід враховувати необхідність в них для послуг, що забезпечують більш критичні транзакції, та передбачають рівні гарантій електронної ідентифікації «суттєвий» та «високий».

Стосовно управління інформаційною безпекою та аудиту слід наголосити, що починаючи з рівня гарантій електронної ідентифікації «низький» (в контексті Регламенту eIDAS) постачальники (провайдери) послуг електронної ідентифікації повинні забезпечувати документально оформлені практику управління інформаційною безпекою, стратегії, підходи до управління ризиками та інші визнані засоби контролю, з метою забезпечення застосування ефективних методів захисту.

Для рівня гарантій «суттєвий» (в контексті Регламенту eIDAS) постачальники (провайдери) послуг електронної ідентифікації повинні використовувати офіційну систему управління інформаційною безпекою (наприклад, ISO/IEC 27000 або НД ТЗІ).

Залежно від угоди про відповідність правовим нормам, договірними умовами та технічними характеристиками провайдери повинні гарантувати виконання зобов'язань та забезпечення відшкодування в разі їх порушень. Вже починаючи з рівня гарантій електронної ідентифікації «низький» (в контексті Регламенту eIDAS) гарантії безпеки повинні підтримуватися перевірками захищеності інформаційних систем, як внутрішніми, так і зовнішніми, веденням журналів реєстрації подій тощо. Аудит може використовуватися для перевірки того, що методи сторін відповідають угодам. У разі розбіжностей можуть використовуватися послуги вирішення спорів.

Відносно функції управління взаємодією із зовнішніми компонентами обслуговування, варто зазначити, що якщо постачальник (провайдер) послуг електронної ідентифікації залучає для забезпечення частини своїх послуг треті сторони, то загальна гарантія забезпечення якості обслуговування буде залежати від управління діями цих сторін і нагляду за ними. Зміст і масштаб домовленостей мають бути пропорційні необхідному рівню гарантій електронної ідентифікації та впровадженій системі управління інформаційною безпекою. При цьому, чим вище рівень гарантій, тим більше заходи взаємодії з третіми сторонами будуть впливати на загальний рівень забезпечення гарантії.

Описуючи функцію управління операційною інфраструктурою, треба наголосити на тому, що для забезпечення великомасштабних мереж довіри може використовуватися та чи інша структура довіри. У структурі довіри учасники процесів надання послуг електронної ідентифікації (провайдери послуг електронної ідентифікації, органи реєстрації, сторони, які довіряють) підтримують інформаційні потоки між собою. Залежно від угод можливе звернення до додаткових учасників, з тим щоб забезпечити виконання всіма сторонами зобов'язань і перспективи відшкодування у разі порушення.

В контексті функцій оцінювання експлуатаційних характеристик, органи технічного регулювання сфери електронної ідентифікації мають встановити технічні та договірні вимоги щодо структур довіри. Технічні вимоги можуть включати, наприклад, рівні версій продукту, конфігурацію системи, налаштування і протоколи, а договірні вимоги можуть містити політики використання інформації. При встановленні таких вимог органи технічного регулювання повинні включати в них критерії, за якими можна оцінити потенційні об'єкти структури довіри. Замість розробки таких критеріїв органи технічного регулювання можуть використовувати стандартні критерії, вже розроблені експертами, наприклад ISO/IEC 29115. Чим ширше органи технічного регулювання будуть використовувати стандартні критерії в різних структурах довіри, тим простіше для постачальників (провайдерів) послуг електронної ідентифікації буде узгоджено розуміти і застосовувати ці критерії. Крім того, поіменовані набори критеріїв можуть служити в якості умовного позначення різних ступенів і типів строгості вимог або можливостей для різних рівнів гарантій електронної ідентифікації.