Додаток г. Моделі ризиків для інфраструктури електронної ідентифікації.

За основу розробки моделей ризиків для інфраструктури електронної ідентифікації слід брати положення міжнародного стандарту ISO/IEC 29115 та нормативних документів з питань технічного захисту інформації (НД ТЗІ).

Стандартом ISO/IEC 29115 визначено основні шляхи вибору рівня гарантій електронної ідентифікації відносно ризиків від впливу хибної ідентифікації та автентифікації та ймовірних загроз на кожному з етапів функціональної моделі.

Ставлячи у відповідність рівні впливу до рівнів гарантій електронної ідентифікації, сторони транзакції мають визначити, який рівень гарантій необхідний, встановити вимоги до послуг електронної ідентифікації у контексті безпеки. У Таблиці Г наведено можливі наслідки та впливи хибної автентифікації на різних рівнів гарантій електронної ідентифікації.

Таблиця Г Можливі наслідки та впливи хибної автентифікації на різних рівнів гарантій електронної ідентифікації

Можливі наслідки хибної ідентифікації та автентифікації	Потенційний вплив хибної автентифікації відносно рівнів гарантій електронної ідентифікації за ISO 29115
	Low	Medium	High	Very High
Незручність, підрив репутації, шкода для репутації або стану	Мн.*	Пм.	Ст.	Вс.
Фінансові втрати або відповідальність організації	Мн.	Пм.	Ст.	Вс.
Нанесення шкоди організації, її програмам або суспільним інтересам	Н/З	Мн.	Пм.	Вс.
Несанкціоноване розкриття конфіденційної інформації	Н/З	Пм.	Ст.	Вс.
Особиста безпека	Н/З	Н/З	Мн. Пм.	Ст. Вс.
Адміністративні правопорушення або кримінальні злочини	Н/З	Мн.	Ст.	Вс.
* Мн. – мінімальний, Пм. – помірний, Ст. – суттєвий, Вс. – високий, Н/З – не можна застосовувати

Визначення того, що є мінімальним, помірним, істотним та високим ризиком, обумовлено критеріями ризику, визначеними стороною, що довіряє (провайдером електронних послуг, адміністратора порталу адміністративних послуг) для кожного з можливих наслідків. Поряд з цим, можливо застосовувати сценарії з декількома видами впливу (наприклад, наслідки можуть включати шкоду для організації, а також несанкціоноване розкриття конфіденційної інформації). За сценаріями транзакцій з декількома видами впливу слід використовувати найбільш високий рівень гарантій електронної ідентифікації, відповідний до ймовірних наслідків.

Рис.Г.1 Умовна матриця ризиків хибної автентифікації, рівнів гарантій електронної ідентифікації та засобів електронної ідентифікації

Кожний рівень гарантій електронної ідентифікації повинен бути визначений за силою та строгістю способів захисту від загроз та процесів, які постачальник (провайдер) послуг електронної ідентифікації застосовує відносно послуг, що ним надаються, для кожного етапу функціональної моделі.

Постачальники (провайдери) електронних послуг, в свою чергу, повинні встановити конкретні критерії виконання вимог кожного рівня гарантій електронної ідентифікації, які вони планують забезпечувати. Ці постачальники повинні оцінити провайдерів послуг електронної ідентифікації, які заявляють про відповідність цим критеріям.

Аналогічно, провайдери послуг електронної ідентифікації повинні визначити рівні гарантій, яким їх послуги відповідають, шляхом оцінки своїх робочих процесів і технічних механізмів на відповідність конкретним критеріям.

Можливим варіантом такого визначення може бути впровадження процедур оцінки відповідності з боку незалежної компетентної організації, яка має відповідну акредитацію відповідно до законодавства.

Оцінка ризику транзакції може бути проведена в рамках загальної оцінки ризиків інформаційної безпеки в організації (наприклад, за ISO/IEC 27001 або за НД ТЗІ). Її слід проводити згідно конкретної потреби у забезпеченні безпеки передбачуваних транзакцій.

Результати оцінки ризику повинні порівнюватися з рівнями гарантій електронної ідентифікації. Вибиратися повинен той рівень гарантій, який найбільшою мірою відповідає результатам оцінки ризику.

Якщо надання електронних послуг передбачає декілька класів транзакцій, можливо застосовувати різні рівні гарантій електронної ідентифікації до кожної транзакції або до групи транзакцій. Іншими словами, в системі надання електронних послуг, яка належить одній організації, можуть бути прийняті кілька рівнів гарантій електронної ідентифікації в залежності від конкретної транзакції.