8.4. Проведення заходів, спрямованих на підвищення інформаційної безпеки та захисту кіберпростору

Уряд та органи місцевого самоврядування мають проводити активну політику та заходи серед громадян та приватного сектору з метою підвищення рівня інформаційної безпеки, у тому числі конфіденційності даних. Концентрація зусиль на реалізації політики безпеки, процесах та технологіях захисту інформації та даних дозволить всім учасникам схем електронної ідентифікації розробити та впровадити сучасні методи, засоби та стандарти забезпечення конфіденційності, цілісності та доступності інформації та даних, забезпечити безпеку персональних даних та особистої інформації громадян. Уряд має розробляти, планувати та впроваджувати заходи щодо виконання політики безпеки інфраструктури електронної ідентифікації та вимагати від постачальників ідентифікації та електронних послуг:

• надавати короткі, змістовні, своєчасні та зрозуміли повідомлення для користувачів відносно збору, використання, розповсюдження та технічної обробки персональних даних та особистої інформації;

• обмежувати збір та передачу ідентифікаційних даних учасників системи електронної ідентифікації, використовувати мінімум інформації, яка потрібна для виконання конкретної операції (транзакції);

• обмежувати зберігання даних до терміну, який необхідний лише для надання послуг окремим користувачам, якщо інше не передбачено законом;

• мінімізувати накопичення даних та послинь, які формують у результаті здійснення електронних транзакцій в системи електронної ідентифікації;

• створювати механізми, що надають окремим особам можливість доступу, редагування та видалення інформації, а також мінімізувати перешкоди для задоволення відмови фізичних осіб від послуг електронної ідентифікації;

• встановлювати стандарти та специфікації стосовно протоколів форматів даних та ідентифікаторів, що використовуються в технічних рішеннях електронної ідентифікації;

• захищати та надійно знищувати інформацію у разі відмови юридичних або фізичних осіб від електронних послуг та послуг електронної ідентифікації;

• пропонувати механізми компенсації особам, які вважають, що їх персональні та особисті данні були використанні не за призначенням.

Орієнтована на користувача інфраструктура електронної ідентифікації відкриває нові можливості для фізичних осіб у сфері контролю та захисту персональних даних за допомогою сучасних технологій захисту інформації. Стратегія закликає до дій, які будуть визначати способи безпечного надання користувачами своїх персональних даних та особистої інформації державним та комунальним установам, приватним підприємствам, а також використовувати зручні механізми управління особистою інформацією.

8.5. Розробка моделей ризику електронної ідентифікації, електронних послуг та стандартів інтероперабельності

Рішення щодо використання технічних рішень електронної ідентифікації має ґрунтуватися на розроблених та затверджених моделях ризику. Модель ризиків, що має бути прийнята, має знижувати ризики безпеки у масштабах держави. Прискорення впровадження системи електронної ідентифікації також суттєво залежить від розробки та прийняття стандартів, що визначають вимоги до рівнів гарантій електронної ідентифікації. Стандарти мають містити керівні принципи забезпечення конфіденційності та безпеки персональних даних, базові правили стосовно обробки персональних даних, їх накопичення та зберігання. Прийняття стандартів забезпечить незалежність та свободу вибору технічних рішень, гнучкість системи електронної ідентифікації та ефективну міжвідомчу та міжнародну взаємодію.

Базові рекомендації щодо побудови моделей ризику та вибору рівнів гарантій електронної ідентифікації, засновані на положеннях міжнародного стандарту ISO/IEC 29115 наведено у Додатку Г до цього документу.