ГОСТ Р 70262.1-2022. Национальный стандарт Российской Федерации. Защита информации. Идентификация и аутентификация. Уровни доверия идентификации

5.3 Уровни доверия первичной идентификации

5.3.1 Уровень доверия первичной идентификации обуславливается уникальностью идентификационных данных и определяется обоснованно подтвержденным соответствием (принадлежностью) заявленных идентификационных данных субъекту (объекту) доступа, которое зависит от результатов проверки существования идентификационных данных и их привязки к субъекту (объекту) доступа.

5.3.2 Устанавливаются три уровня доверия первичной идентификации: низкий, средний, высокий.

На низком уровне доверия первичной идентификации имеется некоторая уверенность в том, что идентификационные данные действительно соответствуют (принадлежат) субъекту (объекту) доступа, который их заявил. При этом идентификационные данные являются уникальными для конкретной среды функционирования, а также предполагается, что идентификационные данные существуют, соответствуют заявленным и предположительно имеют связь с субъектом (объектом) доступа. Регистрация идентификационных данных осуществляется без проверки (верификации), такими, какими их заявляет субъект (объект) доступа.

На среднем уровне доверия первичной идентификации имеется умеренная уверенность в том, что идентификационные данные действительно соответствуют (принадлежат) субъекту (объекту) доступа, который их заявил. При этом идентификационные данные являются уникальными для конкретной среды функционирования, регистрация идентификационных данных осуществляется после их верификации, существование идентификационных атрибутов и достоверность их значений должны удостоверяться подтверждающими свидетельствами, а привязка идентификационных данных к субъекту (объекту) доступа должна выполняться с использованием одного и более факторов.

На высоком уровне доверия первичной идентификации имеется значительная уверенность в том, что идентификационные данные действительно соответствуют (принадлежат) субъекту (объекту) доступа, который их заявил. При этом идентификационные данные являются уникальными для конкретной среды функционирования, регистрация идентификационных данных осуществляется после их верификации, существование идентификационных атрибутов и достоверность их значений должны подтверждаться официальными свидетельствами, а привязка идентификационных данных к субъекту (объекту) доступа должна выполняться с использованием двух и более факторов.

Общая характеристика уровней доверия первичной идентификации приведена в приложении А.

5.3.3 Если существует необходимость достижения среднего или высокого доверия первичной идентификации при недостаточности подтверждающей информации, то могут использоваться вспомогательные атрибуты субъекта (объекта) доступа или должна применяться документированная процедура, определяющая перечень мер, которые позволяют определить существование идентификационных атрибутов и достоверность их значений с уверенностью, соответствующей требуемому уровню доверия.

5.3.4 Если имеется необходимость регистрации субъектов доступа, идентификационные данные которых при первичной идентификации не удовлетворяют необходимому уровню доверия, как минимум, низкому, по причине несоответствия установленным требованиям или недостаточности (отсутствия) подтверждающей информации, то данный субъект доступа определяется как анонимный субъект доступа (аноним). При этом нет никакой уверенности в том, что идентификационные данные действительно соответствуют (принадлежат) субъекту доступа, который их заявил, или в том, что данный субъект доступа существует.