Изисквания за прилагане на специфични подходи при проектиране и реализиране на системни и приложни архитектури, елементи и компоненти от националната схема за електронна идентификация
Изисквания за прилагане на специфични подходи при проектиране и реализиране на системни и приложни архитектури, елементи и компоненти от националната схема за електронна идентификация
|
| -
|
При проектирането, разработката и разгръщането на всички софтуерни компоненти трябва да се следва принципът “сигурност по дизайн” (Security by design).
|
|
| -
|
Отделните компоненти трябва да бъдат проектирани и реализирани така, че за безпроблемната им работа, да им бъдат необходими възможно най-малко привилегии върху операционната система, на която работят.
|
|
| -
|
Мрежовият достъп трябва между компонентите на системата по подразбиране трябва да бъде забранен (Deny all), като са разрешени единствено връзките към конкретни ресурси, необходими за работата на системата.
|
|
|
|
Специфични изисквания за методите и подходите при реализация на националната схема за електронна идентификация, за ограничаване на заплахи за сигурността и атаки
|
Специфични изисквания за методите и подходите при реализация на националната схема за електронна идентификация, за ограничаване на заплахи за сигурността и атаки
|
| -
|
Трябва да бъде осигурена защита срещу манипулиране на съдържанието (напр. UUID) на сигурния носител (смарткарта, токен)
|
|
| -
|
Трябва да бъде осигурена защита срещу прихващане на комуникацията между сигурният носител и четеца, както и между потребителя и IdP
|
|
| -
|
Трябва да бъде осигурена защита срещу реализиране на Man-in-the-middle (MITM) атаки при комуникацията между сигурният носител и четеца, както и между потребителя и IdP
|
|
| -
|
Трябва да бъде осигурена защита срещу подписване на злонамерено подменен или нов документ, без знанието на потребителя
|
|
| -
|
Трябва да бъде осигурена защита срещу оторизация на потребителите към злонамерен външен IP адрес и последващо предоставяне на лични данни
|
|
| -
|
Трябва да бъде осигурена защита при загуба или кражба на носител на еИД
|
|
| -
|
Трябва да бъде осигурена защита срещу физически атаки на сигурния носител (смарткарта, токен)
|
|
| -
|
Трябва да бъде осигурена защита срещу Side-Channel атаки
|
|
| -
|
Трябва да бъде осигурена защита срещу "Skimming" атаки към носител с безконтактен интерфейс
|
|
| -
|
Трябва да бъде осигурена защита срещу еднозначно идентифициране на потребителя чрез извличане на константна информация от техническия носител по контактен или безконтактен път – проследяване на местоположението и поведенчески профил
|
|
|
|
Изисквания за информационна сигурност към уеб/интернет страници и потребителски интерфейси (публични и служебни)
|
Изисквания за информационна сигурност към уеб/интернет страници и потребителски интерфейси (публични и служебни)
|
| -
|
Всички уеб-страници (публично-достъпни в Интернет и вътрешни/служебни) трябва да бъдат достъпни единствено и само през протокол HTTPS.
Криптирането трябва да се базира на сигурен сертификат с валидирана идентичност (Extended Validation / Verified Identity), позволяващ задължително прилагане на TLS 1.2, който е издаден от удостоверителен орган, разпознаван от най-често използваните браузъри (Microsoft Internet Explorer, Google Chorme, Mozilla Firefox)
Всички сигурни сертификати с валидирана идентичност, необходими за разгръщането използването на съответните системи, трябва да бъдат с валидност от минимум 36 месеца и да бъдат доставени от Изпълнителя за негова сметка.
|
|
| -
|
Като временна мярка за съвместимост, настройките на уеб-сървърите и Reverse Proxy сървърите трябва да бъдат балансирани така, че Системата да позволява използване и на клиентски браузъри поддържащи по-стария протокол TLS 1.1. Това изключение от общите изисквания за информационна сигурност не се прилага за достъпа на служебни потребители от държавната администрация и доставчици на обществени услуги, които имат служебен достъп до ресурси на Системата
|
|
| -
|
Програмният код трябва да включва методи за автоматична санитизация на въвежданите данни и потребителски действия за защита от злонамерени атаки, като минимум SQL инжекции, XSS атаки и други познати методи за атаки, и да отговаря, където е необходимо, на Наредбата за оперативна съвместимост и информационна сигурност и на последните актуални препоръки на OWASP (Open Web Application Security Project);
|
|
| -
|
Трябва да бъдат извършени тестове за сигурност на всички уеб-страници, като минимум чрез автоматизираните средства на SSL Labs за изпитване на сървърна сигурност (https://www.ssllabs.com/ssltest/). За нуждите на автентикация с КЕП трябва да се предвиди имплементирането на обратен прокси сървър (Reverse Proxy) с балансиране на натоварването, който да препраща клиентските сертификати към вътрешните приложни сървъри с нестандартно поле (дефинирано в процеса на разработка на Системата) в HTTP Header-а. Схемата за проксиране на заявките трябва да бъде защитена от Spoofing;
|
|
|
|
Изисквания за прилагане на специфични подходи при инсталиране, разгръщане и конфигуриране
|
Изисквания за прилагане на специфични подходи при инсталиране, разгръщане и конфигуриране
|
| -
|
В централизираната система за управление и наблюдение на сървърни системи и крайни устройства, трябва да се конфигурират списъци на позволените софтуерни приложения и услуги, които могат да се стартират върху крайните устройства и сървърните системи.
|
|
| -
|
Централизираната система за управление и наблюдение на сървърни системи и крайни устройства, трябва да се конфигурира така, че да налага политики, които позволяват стартиране само на подписани приложения.
|
|
| -
|
Средства за разработка, build и компилиране трябва да има единствено в Development работната среда.
|
|
|
|
Изисквания за осигуряване на системна и мрежова сигурност
|
Изисквания за осигуряване на системна
и мрежова сигурност
|
| -
|
Осигуряването на системна и мрежова сигурност е един от най-важните аспекти при гарантиране на информационната сигурност и защитата на личните данни в националната схема за електронна идентификация.
Голяма част от информацията, която ще се съхранява и обработва представлява лични и/или чувствителни данни.
Трябва да бъдат взети необходимите мерки за гарантирането на информационната сигурност и защитата на личните и чувствителните данни.
|
|
| -
|
Трябва да се имплементира модерно решения за осигуряване на максимална защита от "zero-day" уязвимости и Advanced Persistent Threats (APTs).
|
|
| -
|
Трябва да се осигури възможност за създаване на отделни инстанции (Тenant / Virtual Instances) и на ниво мрежова инфраструктура
|
|
| -
|
Трябва да се осигури достатъчно ниво на видимост в мрежата от гледна точка журнали със системни събития, анализ на протоколи и потоци с мрежов трафик.
|
|
| -
|
Трябва да се имплементира DNSSec. Съгласно подзаконовата нормативна уредба към ЗЕУ всички компоненти на Националната схема за електронна идентификация трябва да бъдат конфигурирани, и да използват DNSsec, където това е приложимо.
|
|
| -
|
Всички външни за информационните центрове връзки трябва да бъдат криптирани (LAN Encryption / MACsec/ IPsec), където това е приложимо.
|
|
| -
|
Трябва да се конфигурират списъци за достъп (ACL) за всички виртуални компоненти на Националната схема за електронна идентификация, така че те да имат достъп само до необходимите им ресурси (напр. с прилагане на VM to VM защитни стени)
|
|
| -
|
Трябва да се конфигурират списъци за достъп (ACL) между отделните компоненти на всяка една услуга предоставяна от Националната схема за електронна идентификация, така че всеки компонент да има достъп само до необходимите му ресурси (WEB<->APP, APP<->DB, WEB<->DB).
|
|
| -
|
Всички компоненти на комуникационната и изчислителна инфраструктура, трябва да се интегрират с решенията за наблюдение и управление, и да бъдат конфигурирани така, че всеки неоторизиран достъп, да бъде отразен в журналите.
|
|
|
|
Изисквания за реализиране на сигурна автентикация на вътрешни потребители, приложни и системни администратори
|
Изисквания за реализиране на сигурна автентикация на вътрешни потребители, приложни и системни администратори
|
| -
|
Поради необходимостта от високо ниво на сигурност, е необходимо контрола на достъп до всички устройства и системи да бъде централизиран и където това е възможно, да се използва мултифакторна автентикация.
|
|
| -
|
Трябва да се имплементира нова отделна Active Directory, да се създаде нов домейн за нуждите на Националната схема за електронна идентификация и да се конфигурират необходимите „Trust Relationships”, за да се гарантира безпроблемна интеграция с съществуващата домейнова организация на МВР
|
|
| -
|
Всички системи за контрол на достъпа до отделните инфраструктурни компоненти, трябва да се интегрират с новосъздадената активна директория и с разработеното приложение за мултифакторна автентикация, съгласно изискванията на т. Error: Reference source not found от ТС.
|
|
| -
|
Трябва да се имплементира мултифакторна автентикация за системни администратори и длъжностните лица (УЕИ + парола)
|
|
| -
|
Всички инфраструктурни компоненти трябва да се интегрират със системите за контрол и наблюдение.
|
|
| -
|
Автентикацията на системните администратори към системите оборудването трябва да се извършва със сертификати, където е приложимо
|
|
| -
|
На всички пароли трябва да бъде наложено правило за комплексност, като минимум 10 символа, поне една цифра и поне един специален символ.
|
|
| -
|
Не трябва да се допуска обмен на пароли и ключове в „чист текст“
|
|
|
|
Изисквания за реализиране на сигурна автентикация между уеб-услуги, услуги на ОС, системи, приложения и др.
|
Изисквания за реализиране на сигурна автентикация
между уеб-услуги, услуги на ОС, системи, приложения
и др.
|
| -
|
Автентикацията между отделните компоненти на услугите (уеб услуги , приложни сървъри, сървъри за управление на бази данни и др.) трябва да бъде реализирана на база сертификати, където това е приложимо.
|
|
| -
|
Не се допуска обмен на пароли и ключове в „чист текст“ (clear text)
|
|
| -
|
Не се допуска съхраняване на пароли в конфигурационни файлове в "чист текст" (clear text)
|
|
|
|
Специфични изисквания за използване на криптографски ключове и хеш функции
|
Специфични изисквания за използване на криптографски ключове и хеш функции
|
| -
|
Трябва да бъдат използвани и прилагани само сигурни криптографски алгоритми, за които няма известни "слабости", и които осигуряват целесъобразно ниво на защита.
|
|
| -
|
Трябва да бъдат генерирани, прилагани и използвани криптографски ключове със следните минимални размери:
-
За RSA – минимум 2048 bits
-
За AES – минимум 256 bits
|
|
| -
|
При използване/прилагане на хеширане, като трябва да се използва сигурна функция за хеширане – минимум SHA-256
|
|
| -
|
Частни ключове, използвани за електронно подписване и декриптиране, трябва да бъдат генерирани и съхранявани върху сигурен криптографски модул (HSM)
|
|
|
|
Изисквания за реализиране на сигурно и надеждно управление и мониторинг на техническата инфраструктура, системния и приложния софтуер
|
Изисквания за реализиране на сигурно и надеждно управление и мониторинг на техническата инфраструктура, системния и приложния софтуер
|
| -
|
Конзолите и интерфейсите за управление и наблюдение на всички устройства трябва да се интегрират със системите за автентикация на системните администратори.
|
|
| -
|
Конфигурациите на всички устройства трябва да се архивират върху системите за събиране на конфигурации.
|
|
| -
|
Всички промени по конфигурациите на устройствата трябва да одитират и да се интегрират със системите за управление на промените.
|
|
|
|
|
