Изисквания за контрол на достъпа до СО
Изисквания за контрол на достъпа до СО
| -
|
СО не е публична система, съдържа чувствителна информация, и трябва да бъде защитен от прониквания и манипулации с инструменти и системи за сигурност, в съответствие с изискванията за информационна сигурност по ЗЕУ.
|
|
-
|
Служебен потребителски достъп за приложна администрация до СО трябва да имат само лица, определени със заповед на Министъра на вътрешните работи, които трябва да се идентифицират по електронен път преди всяко осъществяване на достъп.
|
|
-
|
Служебния системен достъп до всеки СО през съответния програмен интерфейс (API) на СО (например за заявки за издаване на сертификати), трябва да бъде ограничен до определени информационни системи, в зависимост от окончателната йерархия и разпределението на ролите на отделните СО в нея.
|
|
-
|
Достъпът до CRLs генерирани от всички инстанции на СО и достъпът за проверки и проверки по протокол OCSP трябва да бъде публичен. Трябва да бъдат реализирани специфични мерки за защита от злонамерени атаки от типа "отказ от услуги".
|
|
|
Специфични изисквания за съдействие по процедура за признаване на Държавен СО
|
Специфични изисквания за съдействие по процедура за признаване на Държавен СО
|
-
|
Изпълнителят трябва да съдейства на Възложителя с технически и юридически консултации за стартиране и провеждане на процедури по одобрение на държавния основен СО (Bulgaria Root CA) и включването му в Trust Stores на следните организации:
-
Mozilla Foundation
-
Microsoft
-
Apple
-
Google
-
Oracle
|
|
-
|
С оглед процедурите и необходимото време за удостоверяването на Bulgaria Root CA от различните организации, трябва да бъдат реализирано временно решение за "Cross Signing" на базовото удостоверение от вече одобрен CA, изграждайки алтернативна доверителна верига (Trust Chain), до приключване на процедурите.
Като минимум Cross sign CA трябва да е одобрено от Microsoft и Oracle, като End Entity удостоверенията, които трябва да се валидират са:
-
Bulgaria eID Citizen CA
-
Bulgaria eGov CA
|
|
|
Изисквания за изготвяне на документация за СО
|
Изисквания за изготвяне на документация за СО
|
-
|
Трябва да бъде изготвена техническа документация, отговаряща на релевантните изисквания, и с обхват, в съответствие с т. Error: Reference source not found от ТС
|
|
|
Поддръжка за периода до приключване на дейностите по договора за възлагане на обществена поръчка
|
Поддръжка за периода до приключване на дейностите по договора за възлагане на обществена поръчка
|
-
|
Изпълнителят трябва да осигури наблюдение на работоспособността и натовареността на СО, и при необходимост оптимизации за по-добра производителност и надеждност.
|
|
-
|
Изпълнителят трябва да осигури изменения в изходния код и реализираните процеси в СО, вследствие на изменения в нормативната уредба, настъпили преди края на договора за обществена поръчка.
|
|
|
Гаранционна поддръжка, отстраняване на дефекти и пропуски в сигурността
|
Гаранционна поддръжка, отстраняване на дефекти и пропуски в сигурността
|
-
|
Изпълнителят трябва да осигури гаранционна поддръжка на СО за период от 36 (тридесет и шест) месеца.
|
|
-
|
Изпълнителят трябва да осигури гаранционна поддръжка за непрекъсната работоспособност на СО, без отклонения от изискванията на ТС.
|
|
-
|
Изпълнителят трябва да осигури отстраняване на грешки и пропуски в сигурността, допуснати в изходния код на СО, както и корекции за отстраняване на отклонения от изискванията на ТС.
|
|
|
Общи изисквания за реализиране на Подсистема за управление на носители (ПУН)
|
Общи изисквания за реализиране на Подсистема за управление на носители (ПУН)
|
-
|
Трябва да бъде реализирана Подсистема за управление на носители (ПУН), която да предлага сходна функционалност със системите за управление на банкови смарт-карти (Card Management System) или аналогични системи за управление на сигурни носители, идентифицируеми чрез уникален код / сериен номер.
|
|
-
|
ПУН трябва да осигури управлението на носителите, върху които се персонализират удостоверения за електронна идентичност, съгласно процеса описан в т. Error: Reference source not found от ТС
|
|
-
|
ПУН трябва да осигури проследимост и контрол през целия жизнен цикъл на всеки носител, върху който е персонализирано удостоверение за електронна идентичност, отговарящо на изискванията на Националната схема за електронна идентификация.
|
|
-
|
ПУН трябва да осигурява мащабируемост и капацитет за управление на минимум 10 000 000 (десет милиона) активни смарт-карти / носители.
|
|
-
|
ПУН трябва да може да бъде надграждана в бъдеще за поддръжка и на по-голям брой носители, чрез добавяне на хардуерни ресурси, без необходимост от надграждане на софтуера и/или промени в архитектурата на ПУН.
|
|
-
|
ПУН трябва да осигурява мащабируемост и капацитет за съхранение на историческите регистрации на носители за удостоверения за електронна идентичност за срок от минимум 5 години и да реализира функционалност за дългосрочно архивиране на по-старите електронни записи, по начин, който позволява инцидентни онлайн справки и анализи, без възстановяване на данни от архив.
|
|
-
|
ПУН трябва да осигурява възможност за регистриране и проследяване на жизнения цикъл и на носители, които се управляват от външни информационни системи за управление на носители, като например Системата за управление на персонализация, част от НАИФ НРБЛД. Тази функционалност трябва да бъде достъпна през програмния интерфейс (API) на ПУН, за да може да бъде реализирана бъдеща интеграция между СУП на НАИФ НРБЛД и ПУН, без да се налага надграждане на ПУН.
|
|
|
Общи изисквания за реализиране на клиентски интеграции с програмни интерфейси (APIs) на други / външни АИС
|
Общи изисквания за реализиране на клиентски интеграции с програмни интерфейси (APIs) на други / външни АИС
|
-
|
Трябва да бъде реализирана клиентска интеграция между ПУН и "Журнал на събитията" (ПЖС), чрез програмния интерфейс (API) на ПЖС.
|
|
|
Изисквания за журналиране на събитията и операциите в ПУН
|
Изисквания за журналиране на събитията и операциите в ПУН
|
-
|
Всички операции, които се извършват в ПУН, трябва да се записват и съхраняват в локален журнал на събитията, който да осигурява одитна проследимост.
|
|
-
|
В локалния журнал трябва да се регистрират всички операции, независимо дали са инициирани през потребителски или чрез програмен интерфейс (API).
|
|
-
|
Интегритетът на локалния журнал и журналните записи трябва да бъде защитен чрез криптографски методи.
|
|
-
|
Трябва да бъде реализирана системна функционалност за гарантиране на интегритета на журнала - електронно подписване по време на група от записи, през определен интервал от време, или на определен брой записи.
|
|
-
|
Всички операции, които се записват в локалния журнал на събитията трябва да се репликират или изпращат в реално време и към Подсистемата "Журнал на събитията" (ПЖС), през която се осигурява достъп и функционалности за контрол от страна на гражданите.
|
|
|
Изисквания за реализиране на служебен потребителски интерфейс (UI) за приложна администрация на ПУН
|
Изисквания за реализиране на служебен потребителски интерфейс (UI) за приложна администрация на ПУН
|
-
|
Трябва да бъде реализиран служебен потребителски интерфейс (UI) за приложна администрация, който да бъде отделен от другите потребителски интерфейси.
|
|
-
|
Служебният потребителски интерфейс (UI) за приложна администрация трябва да бъде достъпен на отделен адрес (URL), само от вътрешната мрежа на Възложителя.
|
|
-
|
Служебният потребителски интерфейс (UI) за приложна администрация трябва да предоставя функционалности за администриране на системни процеси, конфигуриране на приложни настройки (например лимити за заявки към програмните интерфейси), контрол на достъпа (например блокиране / разрешаване на достъп на потребител или система) и следене на статуса на отделните вътрешни услуги, програмните интерфейси, интеграциите и активните сесии и пр.
|
|
-
|
Служебният потребителски интерфейс (UI) за приложна администрация трябва да предоставя и специфични функционалности за одитиране на локалните журнали за събития и иницииране на проверки за интегритета на записите.
|
|
|
Изисквания за реализиране на програмен интерфейс (API) на ПУН
|
Изисквания за реализиране на програмен интерфейс (API) на ПУН
|
-
|
Трябва да бъде реализиран програмен интерфейс (API) за автоматизиран междусистемен достъп до услугите, функционалностите и данните на ПУН.
|
|
-
|
Услугите и функционалностите на програмния интерфейс (API) трябва да бъдат съобразени и разработени така, че като минимум да се посрещнат нуждите на порталите, информационните системи, подсистемите и модулите, за които е предвиден достъп, съгласно изискванията в настоящата ТС.
|
|
-
|
Програмният интерфейс (API) трябва да осигурява възможност за външни информационни системи да регистрират носители, на които са персонализирани удостоверения за електронна идентичност.
|
|
-
|
Програмният интерфейс (API) на ПУН трябва да е дефиниран с нормализирана структура от данни, подходяща за приемане на заявки за регистрация на различни видове носители, с различен формат на серийните номера.
|
|
-
|
Програмният интерфейс (API) трябва да отговаря и на общите технически и функционални изисквания за реализиране на програмни интерфейси (APIs), съгласно т. Error: Reference source not found от ТС.
|
|
|
Изисквания за изготвяне на документация за ПУН
|
Изисквания за изготвяне на документация за ПУН
|
-
|
Трябва да бъде изготвена техническа документация, отговаряща на релевантните изисквания, и с обхват, в съответствие с т. Error: Reference source not found от ТС
|
|
|
Поддръжка за периода до приключване на дейностите по договора за възлагане на обществена поръчка
|
Поддръжка за периода до приключване на дейностите по договора за възлагане на обществена поръчка
|
-
|
Изпълнителят трябва да осигури наблюдение на работоспособността и натовареността на ПУН, и при необходимост оптимизации за по-добра производителност и надеждност.
|
|
-
|
Изпълнителят трябва да осигури изменения в изходния код и реализираните процеси в ПУН, вследствие на изменения в нормативната уредба, настъпили преди края на договора за обществена поръчка.
|
|
|
Гаранционна поддръжка, отстраняване на дефекти и пропуски в сигурността
|
Гаранционна поддръжка, отстраняване на дефекти и пропуски в сигурността
|
-
|
Изпълнителят трябва да осигури гаранционна поддръжка на ПУН за период от 36 (тридесет и шест) месеца.
|
|
-
|
Изпълнителят трябва да осигури гаранционна поддръжка за непрекъсната работоспособност на ПУН, без отклонения от изискванията на ТС.
|
|
-
|
Изпълнителят трябва да осигури отстраняване на грешки и пропуски в сигурността, допуснати в изходния код на ПУН, както и корекции за отстраняване на отклонения от изискванията на ТС.
|
|
|
Общи изисквания за реализиране на Подсистема за автоматични нотификации (ПАН)
|
Общи изисквания за реализиране на Подсистема за автоматични нотификации (ПАН)
|
-
|
Трябва да бъде реализирана Подсистема за автоматични нотификации (ПАН), която да осигурява ефективен и унифициран механизъм, чрез който доставчиците на електронни административни услуги да могат да комуникират с потребителите автоматизирано.
|
|
-
|
ПАН трябва да поддържа изпращането на нотификации за граждани, които имат електронен идентификатор или като минимум регистриран потребителски профил в Портала за граждани.
|
|
-
|
ПАН трябва да поддържа обслужване на различни видове канали за изпращане на нотификации и да осигурява автоматичното насочване и изпращане на нотификациите през съответните канали, избрани и конфигурирани от потребителите в техните профили в Портала за граждани.
|
|
-
|
Като минимум ПАН трябва да поддържа следните канали за комуникация с потребителите:
-
Е-mail нотификации
-
SMS нотификации през външен доставчик
-
Push нотификации към Мобилното приложение за граждани (МПГ)
-
Програмен интерфейс поддържащ абонамент (Subscription) от външни системи
|
|
-
|
При реализацията трябва да бъдат изпълнени релевантните общи изисквания, описани в т. Error: Reference source not found от ТС
|
|
|
Общи изисквания за реализиране на клиентски интеграции с програмни интерфейси (APIs) на други / външни АИС
|
Общи изисквания за реализиране на клиентски интеграции с програмни интерфейси (APIs) на други / външни АИС
|
-
|
Трябва да бъде реализирана клиентска интеграция между ПАН и "Журнал на събитията" (ПЖС), чрез програмния интерфейс (API) на ПЖС.
|
|
|
Изисквания за журналиране на събитията и операциите в ПАН
|
Изисквания за журналиране на събитията и операциите в ПАН
|
-
|
Всички операции, които се извършват в ПАН, трябва да се записват и съхраняват в локален журнал на събитията, който да осигурява одитна проследимост.
|
|
-
|
В локалния журнал трябва да се регистрират всички операции, независимо дали са инициирани през потребителски или чрез програмен интерфейс (API).
|
|
-
|
Интегритетът на локалния журнал и журналните записи трябва да бъде защитен чрез криптографски методи.
|
|
-
|
Трябва да бъде реализирана системна функционалност за гарантиране на интегритета на журнала - електронно подписване по време на група от записи, през определен интервал от време, или на определен брой записи.
|
|
-
|
Всички операции, които се записват в локалния журнал на събитията трябва да се репликират или изпращат в реално време и към Подсистемата "Журнал на събитията" (ПЖС), през която се осигурява достъп и функционалности за контрол от страна на гражданите.
|
|
|
Специфични изисквания за реализиране на нотификации чрез e-mail
|
Специфични изисквания за реализиране на нотификации чрез e-mail
|
-
|
Трябва да бъде реализирана възможност за изпращане на нотификаци по e-mail чрез поддръжка в ПАН за интеграция с множество SMTP сървъри.
|
|
-
|
ПАН трябва да поддръжка възможност за конфигуриране на множество SMTP сървъри за разпределение на натоварването и резервираност.
|
|
|
|
