ហត្ថលេខាអេឡិចត្រូនិចពពកនៅក្នុងប្រទេសរុស្ស៊ីនិងពិភពលោក

សួស្តីអ្នកអានជាទីគោរព!
ខ្ញុំបានតាមដានយ៉ាងសកម្មនូវព័ត៌មានថ្មីៗ និងព័ត៌មាននៃកម្មវិធី Digital Economy សម្រាប់ពេលខ្លះ។ តាមទស្សនៈរបស់បុគ្គលិកផ្ទៃក្នុងនៃប្រព័ន្ធ EGAIS ពិតណាស់ដំណើរការនេះនឹងមានរយៈពេលជាច្រើនទសវត្សរ៍។ ទាំងពីចំណុចនៃទិដ្ឋភាពនៃការអភិវឌ្ឍន៍ និងពីចំណុចនៃទិដ្ឋភាពនៃការធ្វើតេស្ត ការវិលត្រឡប់មកវិញ និងការអនុវត្តបន្ថែមទៀត អមដោយការកែតម្រូវដែលជៀសមិនរួច និងឈឺចាប់នៃកំហុសគ្រប់ប្រភេទ។ ទោះយ៉ាងណាក៏ដោយ បញ្ហាគឺចាំបាច់ សំខាន់ និងបន្ទាន់។ អតិថិជនចម្បង និងជាអ្នកបើកបរនៃការសប្បាយទាំងអស់នេះគឺជាការពិតណាស់ រដ្ឋ។ តាម​ពិត​ទៅ ដូច​នៅ​ទូទាំង​ពិភពលោក​ដែរ។
ដំណើរការទាំងអស់បានផ្លាស់ប្តូរជាយូរមកហើយទៅជាឌីជីថល ឬកំពុងស្ថិតនៅលើផ្លូវទៅកាន់វា។ នេះនៅតែអស្ចារ្យ។ ទោះយ៉ាងណាក៏ដោយ មានគុណវិបត្តិចំពោះមេដាយសម្រាប់ឧត្តមភាព។ ខ្ញុំជាមនុស្សម្នាក់ដែលតែងតែធ្វើការជាមួយហត្ថលេខាឌីជីថល។ ខ្ញុំជាអ្នកគាំទ្រប្រហែលជា "កាលពីម្សិលមិញ" ប៉ុន្តែ "ម៉ូដចាស់" ដែលអាចទុកចិត្តបាន និងវិធីសាស្ត្រឈ្នះឈ្នះក្នុងការការពារហត្ថលេខាអេឡិចត្រូនិកដោយប្រើសញ្ញាសម្ងាត់។ ប៉ុន្តែឌីជីថលនីយកម្មបង្ហាញយើងថាអ្វីគ្រប់យ៉ាងបានស្ថិតនៅក្នុង "ពពក" អស់រយៈពេលជាយូរមកហើយ ហើយ CEP ក៏ត្រូវការនៅទីនោះ ហើយត្រូវការយ៉ាងឆាប់រហ័ស។
ខ្ញុំបានព្យាយាមស្វែងយល់ថា នៅកម្រិតនៃក្របខ័ណ្ឌនីតិប្បញ្ញត្តិ និងបច្ចេកទេស ដែលជាកន្លែងដែលអាចធ្វើទៅបាន របៀបដែលអ្វីៗឈរជាមួយនឹងហត្ថលេខាអេឡិចត្រូនិកពពកនៅទីនេះ និងនៅអឺរ៉ុប។ ជាការពិត វិញ្ញាសាវិទ្យាសាស្ត្រច្រើនជាងមួយត្រូវបានបោះពុម្ពរួចហើយលើប្រធានបទនេះ។ អាស្រ័យហេតុនេះ យើងសូមលើកទឹកចិត្តដល់អ្នកជំនាញក្នុងរឿងនេះ ចូលរួមអភិវឌ្ឍប្រធានបទនេះ។
ហេតុអ្វីបានជា CEP នៅក្នុងពពកមានភាពទាក់ទាញ? តាមពិតមានគុណសម្បត្តិ។ មានគុណសម្បត្តិទាំងនេះគ្រប់គ្រាន់ហើយ។ វាលឿន និងងាយស្រួល។ វាស្តាប់ទៅដូចជាពាក្យស្លោកផ្សាយពាណិជ្ជកម្ម អ្នកនឹងយល់ព្រម ប៉ុន្តែទាំងនេះគឺជាលក្ខណៈគោលបំណងនៃហត្ថលេខាឌីជីថលពពក។
ល្បឿនស្ថិតនៅក្នុងសមត្ថភាពក្នុងការចុះហត្ថលេខាលើឯកសារដោយមិនចាំបាច់ភ្ជាប់ទៅនឹងសញ្ញាសម្ងាត់ ឬកាតឆ្លាតវៃ។ មិនតម្រូវឱ្យយើងប្រើតែផ្ទៃតុទេ។ រឿងឆ្លងវេទិកាមួយរយភាគរយសម្រាប់ OS និងកម្មវិធីរុករកណាមួយ។ នេះជាការពិតជាពិសេសសម្រាប់អ្នកគាំទ្រផលិតផល Apple ដែលមានការលំបាកជាក់លាក់ក្នុងការគាំទ្រហត្ថលេខាអេឡិចត្រូនិកនៅក្នុងប្រព័ន្ធ MAC ។ ចាកចេញពីគ្រប់ទីកន្លែងក្នុងពិភពលោក សេរីភាពនៃការជ្រើសរើស CAs (សូម្បីតែអ្នកមិនមែនជាជនជាតិរុស្សី)។ មិនដូចផ្នែករឹង CEP ទេ បច្ចេកវិទ្យាពពកអនុញ្ញាតឱ្យអ្នកជៀសវាងការលំបាកជាមួយនឹងភាពឆបគ្នានៃកម្មវិធី និងផ្នែករឹង។ មួយណា បាទ ងាយស្រួល ហើយ បាទ លឿន។
ហើយ​ធ្វើ​ម៉េច​មិន​ឲ្យ​គេ​ល្បួង​ដោយ​សម្រស់​បែប​នេះ? អារក្សស្ថិតនៅក្នុងព័ត៌មានលម្អិត។ ចូរនិយាយអំពីសុវត្ថិភាព។
"ពពក" CEP នៅប្រទេសរុស្ស៊ី
សុវត្ថិភាពនៃដំណោះស្រាយលើពពក និងជាពិសេសហត្ថលេខាឌីជីថល គឺជាចំណុចឈឺចាប់ដ៏សំខាន់មួយសម្រាប់អ្នកជំនាញផ្នែកសន្តិសុខ។ អ្វី​ដែល​ខ្ញុំ​មិន​ពេញ​ចិត្ត​អ្នក​អាន​នឹង​សួរ​ខ្ញុំ​ព្រោះ​អ្នក​រាល់​គ្នា​បាន​ប្រើ​សេវា​ពពក​ជា​យូរ​មក​ហើយ​ជាមួយ SMS វា​កាន់​តែ​អាច​ទុកចិត្ត​បាន​ក្នុង​ការ​ផ្ទេរ​តាម​ធនាគារ​។
ជាការពិតម្តងទៀត សូមត្រលប់ទៅព័ត៌មានលម្អិតវិញ។ ហត្ថលេខាឌីជីថល Cloud គឺជាអនាគតដែលពិបាកនឹងប្រកែក។ ប៉ុន្តែមិនមែនឥឡូវនេះទេ។ ដើម្បីធ្វើដូច្នេះ ការផ្លាស់ប្តូរបទប្បញ្ញត្តិត្រូវតែកើតឡើងដែលនឹងការពារម្ចាស់ហត្ថលេខាឌីជីថលលើពពក។
តើថ្ងៃនេះយើងមានអ្វីខ្លះ? មានឯកសារមួយចំនួនដែលកំណត់គោលគំនិតនៃហត្ថលេខាឌីជីថល ការគ្រប់គ្រងឯកសារអេឡិចត្រូនិក (EDF) ក៏ដូចជាច្បាប់ស្តីពីការការពារព័ត៌មាន និងការចរាចរទិន្នន័យ។ ជាពិសេសអ្នកត្រូវគិតគូរពីក្រមរដ្ឋប្បវេណី (ក្រមរដ្ឋប្បវេណីនៃសហព័ន្ធរុស្ស៊ី) ដែលគ្រប់គ្រងការប្រើប្រាស់ហត្ថលេខាអេឡិចត្រូនិកនៅក្នុងឯកសារ។
ច្បាប់សហព័ន្ធលេខ 63-FZ "ស្តីពីហត្ថលេខាអេឡិចត្រូនិក" ចុះថ្ងៃទី 06.04.2011/XNUMX/XNUMX ។ ច្បាប់មូលដ្ឋាន និងក្របខ័ណ្ឌដែលពិពណ៌នាអំពីអត្ថន័យទូទៅនៃការប្រើប្រាស់ហត្ថលេខាឌីជីថលនៅពេលធ្វើប្រតិបត្តិការនៃប្រភេទផ្សេងៗ និងការផ្តល់សេវាកម្ម។
ច្បាប់សហព័ន្ធលេខ 149-FZ "ស្តីពីព័ត៌មាន បច្ចេកវិទ្យាព័ត៌មាន និងការការពារព័ត៌មាន ចុះថ្ងៃទី ២៧ ខែកក្កដា ឆ្នាំ ២០០៦។ ឯកសារនេះបញ្ជាក់ពីគោលគំនិតនៃឯកសារអេឡិចត្រូនិក និងផ្នែកពាក់ព័ន្ធទាំងអស់។
មានសកម្មភាពនីតិប្បញ្ញត្តិបន្ថែមដែលពាក់ព័ន្ធនឹងបទប្បញ្ញត្តិរបស់ EDI
ច្បាប់សហព័ន្ធលេខ 402-FZ "ស្តីពីគណនេយ្យ" ចុះថ្ងៃទី 06.12.2011 ខែធ្នូ ឆ្នាំ XNUMX។ ទង្វើនីតិបញ្ញត្តិផ្តល់នូវការរៀបចំជាប្រព័ន្ធនៃតម្រូវការសម្រាប់ឯកសារគណនេយ្យ និងគណនេយ្យក្នុងទម្រង់អេឡិចត្រូនិក។
រួមបញ្ចូល អ្នកអាចយកទៅក្នុងគណនីក្រមនីតិវិធីអាជ្ញាកណ្តាលនៃសហព័ន្ធរុស្ស៊ីដែលអនុញ្ញាតឱ្យឯកសារដែលបានចុះហត្ថលេខាដោយហត្ថលេខាអេឡិចត្រូនិកជាភស្តុតាងនៅក្នុងតុលាការ។
ហើយវាគឺនៅទីនេះដែលវាបានកើតឡើងចំពោះខ្ញុំដើម្បីស្វែងយល់ឱ្យកាន់តែស៊ីជម្រៅអំពីបញ្ហាសុវត្ថិភាព ពីព្រោះស្តង់ដាររបស់យើងសម្រាប់មធ្យោបាយការពារគ្រីបតូត្រូវបានផ្តល់ដោយ FSB និងធានានូវការចេញវិញ្ញាបនបត្រនៃការអនុលោម។ នៅថ្ងៃទី 18 ខែកុម្ភៈស្តង់ដារ GOST ថ្មីត្រូវបានណែនាំ។ ដូច្នេះ សោដែលរក្សាទុកក្នុងពពកមិនត្រូវបានការពារដោយផ្ទាល់ដោយវិញ្ញាបនបត្រ FSTEC ទេ។ ការការពារសោដោយខ្លួនឯង និងធានាការចូលទៅក្នុង “ពពក” គឺជាមូលដ្ឋានគ្រឹះដែលយើងមិនទាន់បានដោះស្រាយនៅឡើយ។ បន្ទាប់មកខ្ញុំនឹងពិនិត្យមើលឧទាហរណ៍នៃបទប្បញ្ញត្តិនៅក្នុងសហភាពអឺរ៉ុបដែលនឹងបង្ហាញយ៉ាងច្បាស់នូវប្រព័ន្ធសន្តិសុខកាន់តែទំនើប។
បទពិសោធន៍អឺរ៉ុបក្នុងការប្រើហត្ថលេខាឌីជីថលលើពពក
ចូរចាប់ផ្តើមជាមួយនឹងរឿងសំខាន់ - បច្ចេកវិទ្យាពពក មិនត្រឹមតែហត្ថលេខាឌីជីថលមានស្តង់ដារច្បាស់លាស់នោះទេ។ មូលដ្ឋានគឺជាក្រុមសម្របសម្រួលស្តង់ដារពពក (CSC) នៃវិទ្យាស្ថានស្តង់ដារទូរគមនាគមន៍អឺរ៉ុប (ETSI)។ ទោះយ៉ាងណាក៏ដោយ វានៅតែមានភាពខុសគ្នានៅក្នុងស្តង់ដារការពារទិន្នន័យនៅទូទាំងប្រទេសផ្សេងៗគ្នា។
មូលដ្ឋានសម្រាប់ការការពារទិន្នន័យដ៏ទូលំទូលាយគឺជាការបញ្ជាក់ជាកាតព្វកិច្ចសម្រាប់អ្នកផ្តល់សេវាស្របតាម ISO 27001:2013 សម្រាប់ប្រព័ន្ធគ្រប់គ្រងសុវត្ថិភាពព័ត៌មាន (GOST R ISO/IEC 27001-2006 របស់រុស្ស៊ីគឺផ្អែកលើកំណែ 2006 នៃស្តង់ដារនេះ)។
ISO 27017 ផ្តល់នូវធាតុសុវត្ថិភាពបន្ថែមសម្រាប់ពពកដែលបាត់ពី ISO 27002 ។ ឈ្មោះផ្លូវការពេញលេញនៃស្តង់ដារនេះគឺ "ក្រមប្រតិបត្តិសម្រាប់ការគ្រប់គ្រងសុវត្ថិភាពព័ត៌មានផ្អែកលើ ISO/IEC 27002 សម្រាប់សេវាកម្មពពក។" ISO/IEC 27002 សម្រាប់សេវាកម្មពពក។ ")
នៅរដូវក្តៅឆ្នាំ 2014 ISO បានចេញផ្សាយស្តង់ដារ ISO 27018:2015 ស្តីពីការការពារទិន្នន័យផ្ទាល់ខ្លួននៅក្នុងពពក ហើយនៅចុងឆ្នាំ 2015 ISO 27017:2015 ស្តីពីការគ្រប់គ្រងសុវត្ថិភាពព័ត៌មានសម្រាប់ដំណោះស្រាយលើពពក។
នៅរដូវស្លឹកឈើជ្រុះឆ្នាំ 2014 ដំណោះស្រាយថ្មីរបស់សភាអឺរ៉ុបលេខ 910/2014 ហៅថា eIDAS បានចូលជាធរមាន។ ច្បាប់ថ្មីនេះអនុញ្ញាតឱ្យអ្នកប្រើប្រាស់រក្សាទុក និងប្រើប្រាស់សោ EPC នៅលើម៉ាស៊ីនមេរបស់អ្នកផ្តល់សេវាដែលអាចទុកចិត្តបានដែលត្រូវបានទទួលស្គាល់ ហៅថា TSP (អ្នកផ្តល់សេវាទុកចិត្ត)។
នៅខែតុលា ឆ្នាំ 2013 គណៈកម្មាធិការអឺរ៉ុបសម្រាប់ស្តង់ដារនីយកម្ម (CEN) បានអនុម័តលក្ខណៈបច្ចេកទេស CEN/TS 419241 “តម្រូវការសុវត្ថិភាពសម្រាប់ប្រព័ន្ធដែលគួរឱ្យទុកចិត្តដែលគាំទ្រការចុះហត្ថលេខាលើម៉ាស៊ីនមេ” ដែលឧទ្ទិសដល់បទប្បញ្ញត្តិនៃហត្ថលេខាឌីជីថលពពក។ ឯកសារពិពណ៌នាអំពីកម្រិតជាច្រើននៃការអនុលោមតាមសុវត្ថិភាព។ ឧទាហរណ៍ ការអនុលោមតាម "កម្រិត 2" ទាមទារដើម្បីបង្កើតហត្ថលេខាអេឡិចត្រូនិកដែលមានលក្ខណៈសម្បត្តិគ្រប់គ្រាន់ ទាមទារការគាំទ្រសម្រាប់ជម្រើសនៃការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់ខ្លាំង។ យោងតាមតម្រូវការនៃកម្រិតនេះ ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់កើតឡើងដោយផ្ទាល់នៅលើម៉ាស៊ីនមេហត្ថលេខា ផ្ទុយពីឧទាហរណ៍ ការផ្ទៀងផ្ទាត់ដែលត្រូវបានអនុញ្ញាតសម្រាប់ "កម្រិត 1" នៅក្នុងកម្មវិធីដែលចូលប្រើម៉ាស៊ីនមេហត្ថលេខាក្នុងនាមខ្លួនវា។ ដូចគ្នានេះផងដែរ ស្របតាមការបញ្ជាក់នេះ សោហត្ថលេខារបស់អ្នកប្រើសម្រាប់បង្កើតហត្ថលេខាអេឡិចត្រូនិកដែលមានលក្ខណៈសម្បត្តិគ្រប់គ្រាន់ត្រូវតែរក្សាទុកក្នុងអង្គចងចាំនៃឧបករណ៍សុវត្ថិភាពឯកទេស (ម៉ូឌុលសុវត្ថិភាពផ្នែករឹង HSM)។
ការផ្ទៀងផ្ទាត់អ្នកប្រើប្រាស់នៅក្នុងសេវាកម្មពពកត្រូវតែមានយ៉ាងហោចណាស់កត្តាពីរ។ តាមក្បួនជម្រើសដែលអាចចូលដំណើរការបាន និងងាយស្រួលប្រើបំផុតគឺការបញ្ជាក់ការចូលតាមរយៈលេខកូដដែលបានទទួលក្នុងសារ SMS ។ ឧទាហរណ៍ភាគច្រើននៃគណនី RBS ផ្ទាល់ខ្លួនរបស់ធនាគាររុស្ស៊ីត្រូវបានអនុវត្ត។ បន្ថែមពីលើសញ្ញាសម្ងាត់គ្រីបធម្មតា កម្មវិធីនៅលើស្មាតហ្វូន និងម៉ាស៊ីនបង្កើតពាក្យសម្ងាត់តែម្តង (OTP tokens) ក៏អាចត្រូវបានប្រើជាមធ្យោបាយនៃការផ្ទៀងផ្ទាត់ផងដែរ។
សម្រាប់ពេលនេះ ខ្ញុំអាចទាញការសន្និដ្ឋានបណ្តោះអាសន្នទាក់ទងនឹងការពិតដែលថា CEPs ពពកនៅតែត្រូវបានបង្កើតឡើង ហើយវាលឿនពេកក្នុងការផ្លាស់ទីឆ្ងាយពីផ្នែករឹង។ ជាគោលការណ៍ នេះគឺជាដំណើរការធម្មជាតិ ដែលសូម្បីតែនៅអឺរ៉ុប (អូ!
រហូតដល់យើងបង្កើតស្តង់ដារ GOST ល្អដែលគ្រប់គ្រងសេវាកម្មពពករបស់យើង វាលឿនពេកក្នុងការនិយាយអំពីការបោះបង់ចោលទាំងស្រុងនូវដំណោះស្រាយផ្នែករឹង។ ផ្ទុយទៅវិញ ឥឡូវនេះ ពួកគេនឹងចាប់ផ្តើមឆ្ពោះទៅរក “កូនកាត់” ពោលគឺធ្វើការជាមួយនឹងហត្ថលេខាលើពពកផងដែរ។ ឧទាហរណ៍មួយចំនួនដែលបំពេញតាមស្តង់ដារអឺរ៉ុបសម្រាប់ធ្វើការជាមួយ Cloud ត្រូវបានអនុវត្តរួចហើយ។ ប៉ុន្តែ​យើង​នឹង​និយាយ​អំពី​រឿង​នេះ​ដោយ​លម្អិត​បន្តិច​បន្តួច​ក្នុង​សម្ភារៈ​ថ្មី។

ប្រភព: www.habr.com