ГОСТ Р 58833-2020 Защита информации. Идентификация и аутентификация. Общие положения

ГОСТ Р 58833-2020

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Защита информации

ИДЕНТИФИКАЦИЯ И АУТЕНТИФИКАЦИЯ

Общие положения

Information protection. Identification and authentication. General

ОКС 35.030

Дата введения 2020-05-01

Предисловие

1 РАЗРАБОТАН Федеральной службой по техническому и экспортному контролю (ФСТЭК России), Закрытым акционерным обществом "Аладдин Р.Д." (ЗАО "Аладдин Р.Д.") и Обществом с ограниченной ответственностью "Научно-производственная фирма "КРИСТАЛЛ" (ООО "НПФ "КРИСТАЛЛ")

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации" и Техническим комитетом по стандартизации ТК 26 "Криптографическая защита информации"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 10 апреля 2020 г. N 159-ст

4 ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Одной из главных задач защиты информации при ее автоматизированной (автоматической) обработке является управление доступом. Решение о предоставлении доступа для использования информационных и вычислительных ресурсов средств вычислительной техники, а также ресурсов автоматизированных (информационных) систем, основывается на результатах идентификации и аутентификации.

При автоматизированной обработке информации физическому лицу как субъекту доступа соответствуют вычислительные процессы, выполняющие операции с данными. Это создает риски неоднозначного сопоставления вычислительных процессов с конкретным физическим лицом. Аналогичные риски существуют и при автоматической обработке информации. Кроме того, удаленное информационное взаимодействие дополнительно порождает риск ошибочной идентификации удаленного субъекта доступа и, следовательно, риск предоставления доступа злоумышленнику. Наряду с этим существуют риски того, что вычислительный процесс, действующий в интересах злоумышленника, может имитировать объекты (субъекты) доступа, функционирующие как параллельно с легальными, так и существующие независимо от них.

Устанавливая правила управления доступом к информации и сервисам, обеспечивающим ее обработку, для различных категорий субъектов доступа необходимо учитывать не только конфиденциальность защищаемой информации, но и указанные риски. Для снижения рисков должны применяться соответствующие методы идентификации и аутентификации, которые обеспечивают уверенность в подлинности сторон, участвующих в информационном взаимодействии, включая и субъекты доступа, и объекты доступа. Это особенно востребовано в том случае, когда взаимодействующие стороны имеют дефицит взаимного доверия, обусловленный, например, использованием небезопасной среды функционирования.

Для понимания положений настоящего стандарта необходимы знания основ информационных технологий, а также способов защиты информации.

1 Область применения

Настоящий стандарт устанавливает единообразную организацию процессов идентификации и аутентификации в средствах защиты информации, в том числе реализующих криптографическую защиту, средствах вычислительной техники и автоматизированных (информационных) системах, а также определяет общие правила применения методов идентификации и аутентификации, обеспечивающих необходимую уверенность в результатах.

Положения настоящего стандарта не исключают применение криптографических и биометрических методов (алгоритмов) при идентификации и аутентификации, но не устанавливают требования по их реализации.

Настоящий стандарт определяет состав участников и основное содержание процессов идентификации и аутентификации, рекомендуемое к реализации при разработке, внедрении и совершенствовании правил, механизмов и технологий управления доступом. Положения настоящего стандарта могут использоваться при управлении доступом к информационным ресурсам, вычислительным ресурсам средств вычислительной техники, ресурсам автоматизированных (информационных) систем, средствам вычислительной техники и автоматизированным (информационным) системам в целом.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

Название документа

ГОСТ Р 58833-2020 Защита информации. Идентификация и аутентификация. Общие положения

Номер документа

58833-2020

Вид документа

Нормативно-технический документ

Принявший орган

Росстандарт

Классификация ОКС

35 Информационные технологии 35.030 Безопасность ИТ

Статус

Скрыто

Дата принятия

Скрыто

Дата начала действия

Скрыто

Документ «ГОСТ Р 58833 2020» устанавливает общие положения в области защиты информации, фокусируясь на идентификации и аутентификации пользователей и систем. Он предназначен для применения в различных отраслях, где требуется обеспечить безопасность информации и защиту от несанкционированного доступа. Стандарт может использоваться как в государственных, так и в частных организациях, занимающихся разработкой и внедрением информационных технологий.

Ключевыми аспектами документа являются методы и процедуры, необходимые для корректной идентификации и аутентификации, а также требования к их реализации. Стандарт регламентирует параметры, такие как сложность паролей, использование многофакторной аутентификации и процедуры восстановления доступа. Эти требования направлены на минимизацию рисков, связанных с киберугрозами и утечками данных.

Важные технические детали, указанные в документе, включают условия проведения испытаний на безопасность систем аутентификации и идентификации. Также рассматриваются классификации методов аутентификации, включая как программные, так и аппаратные решения. Измеряемые величины, такие как уровень защиты и время реакции системы на попытки несанкционированного доступа, также подлежат оценке согласно стандарту.

Целевая аудитория стандарта включает производителей программного обеспечения и оборудования, лаборатории, занимающиеся тестированием и сертификацией систем безопасности, а также контролирующие органы, ответственные за соблюдение норм в области защиты информации. Документ предоставляет необходимые рекомендации для разработчиков, позволяя им создавать более безопасные и надежные системы.

Практическое значение стандарта заключается в его влиянии на повышение уровня безопасности информационных систем и защиты данных пользователей. Соблюдение требований ГОСТ Р 58833 2020 способствует улучшению качества систем аутентификации, уменьшению рисков утечки информации и обеспечению совместимости различных решений в области защиты информации. Это, в свою очередь, повышает доверие пользователей к системам и услугам, основанным на современных информационных технологиях.

Стандарт был обновлён с учётом современных угроз и технологий, что позволило учесть новые методы аутентификации и идентификации, а также улучшить существующие процедуры. Внесённые изменения касаются, в частности, рекомендаций по использованию криптографических методов и многофакторной аутентификации, что значительно усиливает защиту информации.

Описание документа носит справочный характер, достоверность этого материала не гарантируется.