ГОСТ Р 70262.1-2022. Национальный стандарт Российской Федерации. Защита информации. Идентификация и аутентификация. Уровни доверия идентификации

3 Термины и определения

В настоящем стандарте применены термины по ГОСТ Р 50922, а также следующие термины с соответствующими определениями:

3.1

анонимный субъект доступа; аноним: Субъект доступа, первичная идентификация которого выполнена в конкретной среде функционирования, но при этом его идентификационные данные не соответствуют требованиям к первичной идентификации или не подтверждались.

[ГОСТ Р 58833-2020, пункт 3.1]

3.2

атрибут (субъекта [объекта] доступа): Признак или свойство субъекта доступа или объекта доступа.

[ГОСТ Р 58833-2020, пункт 3.2]

3.3

аутентификация: Действия по проверке подлинности субъекта доступа и/или объекта доступа, а также по проверке принадлежности субъекту доступа и/или объекту доступа предъявленного идентификатора доступа и аутентификационной информации.

[ГОСТ Р 58833-2020, пункт 3.4]

3.4

верификация: Процесс проверки информации путем сопоставления предоставленной информации с ранее подтвержденной информацией.

[ГОСТ Р 58833-2020, пункт 3.9]

3.5 верифицирующая сторона: Сторона, которая осуществляет верификацию идентификационных данных.

3.6 вспомогательный атрибут (субъекта [объекта] доступа): Атрибут, который не является идентификационным атрибутом, но может использоваться при подтверждении идентификационных данных субъекта доступа или объекта доступа.

Примечание - Вспомогательный атрибут, как правило, используется для подтверждения существования идентификационного атрибута субъекта доступа или объекта доступа.

3.7

вторичная идентификация: Действия по проверке существования (наличия) идентификатора, предъявленного субъектом доступа при доступе, в перечне идентификаторов доступа, которые были присвоены субъектам доступа и объектам доступа при первичной идентификации.

Примечание - Вторичная идентификация рассматривается применительно к конкретному субъекту доступа.

[ГОСТ Р 58833-2020, пункт 3.12]

3.8

вычислительные ресурсы: Технические средства ЭВМ, в том числе процессор, объемы оперативной и внешней памяти, время, в течение которого программа занимает эти средства в ходе выполнения.

[ГОСТ 28195-89, приложение 1]

3.9

доверие (assurance): Выполнение соответствующих действий или процедур для обеспечения уверенности в том, что оцениваемый объект соответствует своим целям безопасности.

[ГОСТ Р 54581-2011/ISO/IEC/TR 15443-1:2005, пункт 2.4]

Примечание - Доверие рассматривается в качестве основания для уверенности.

3.10

доступ: Получение одной стороной информационного взаимодействия возможности использования ресурсов другой стороны информационного взаимодействия.

Примечания

1 В качестве ресурсов стороны информационного взаимодействия, которые может использовать другая сторона информационного взаимодействия, рассматриваются информационные ресурсы, вычислительные ресурсы средств вычислительной техники и ресурсы автоматизированных (информационных) систем, а также средства вычислительной техники и автоматизированные (информационные) системы в целом.

2 Доступ к информации - возможность получения информации и ее использования.

[ГОСТ Р 58833-2020, пункт 3.17]

3.11

идентификатор доступа (субъекта [объекта] доступа), [идентификатор]: Признак субъекта доступа или объекта доступа в виде строки знаков (символов), который используется при идентификации и однозначно определяет (указывает) соотнесенную с ним идентификационную информацию.

[ГОСТ Р 58833-2020, пункт 3.20]

3.12

идентификационная информация: Совокупность значений идентификационных атрибутов, которая связана с конкретным субъектом доступа или конкретным объектом доступа.

[ГОСТ Р 58833-2020, пункт 3.21]

Примечание - Идентификационная информация как совокупность значений идентификационных атрибутов может быть, например, зарегистрирована в учетной записи субъекта (объекта) доступа, которая используется автоматизированной (информационной) системой.

3.13

идентификационные данные: Совокупность идентификационных атрибутов и их значений, которая связана с конкретным субъектом доступа или конкретным объектом доступа.

Примечание - При первичной идентификации идентификационные данные, как правило, предоставляются субъектом доступа, ассоциированным с физическим лицом, или получаются возможным (доступным) способом от субъекта доступа, ассоциированного с ресурсом, и объекта доступа. Указанные идентификационные данные считаются идентификационными данными, заявленными субъектом (объектом) доступа (заявленными идентификационными данными).

[ГОСТ Р 58833-2020, пункт 3.22]

Примечания

1 Идентификационные данные, которые подтверждены в соответствии с устанавливаемыми требованиями к первичной идентификации, считаются подтвержденными идентификационными данными.

2 Идентификационные данные включают идентификационные атрибуты, которые могут быть неотчуждаемыми или отчуждаемыми от субъекта (объекта) доступа, и их значения, которые, как правило, являются отчуждаемыми.

3.14

идентификационный атрибут: Атрибут, который характеризует субъект доступа или объект доступа и может быть использован для его распознавания.

[ГОСТ Р 58833-2020, пункт 3.23]

3.15

идентификация: Действия по присвоению субъектам и объектам доступа идентификаторов и (или) по сравнению предъявляемого идентификатора с перечнем присвоенных идентификаторов.

[[3], статья 3.3.9]

3.16

информационные ресурсы: Отдельные документы и отдельные массивы документов, документы и массивы документов в информационных системах (библиотеках, архивах, фондах, банках данных, других информационных системах).

[ГОСТ Р 43.0.2-2006, статья 11]

3.17

метод обеспечения доверия: Общепризнанная спецификация получения воспроизводимых результатов обеспечения доверия.

[ГОСТ Р 54581-2011/ISO/IEC/TR 15443-1:2005, пункт 2.11]

3.18

неотказуемость (non-repudiation): Способность удостоверять имевшее место действие или событие так, чтобы эти события или действия не могли быть позже отвергнуты.

[ГОСТ Р ИСО/МЭК 13335-1-2006, пункт 2.16]

3.19

обладатель информации: Лицо, самостоятельно создавшее информацию либо получившее на основании закона или договора право разрешать или ограничивать доступ к информации, определяемой по каким-либо признакам.

[[4], статья 2]

3.20

объект доступа: Одна из сторон информационного взаимодействия, предоставляющая доступ.

[ГОСТ Р 58833-2020, пункт 3.33]

3.21

объективное свидетельство (objective evidence): Данные, подтверждающие наличие или истинность чего-либо.

Примечания

1 Объективное свидетельство может быть получено путем наблюдения, измерения, испытания или другим способом.

2 Объективное свидетельство для цели аудита обычно включает записи, изложение фактов или другую информацию, которые имеют отношение к критериям аудита и могут быть проверены.

[ГОСТ Р ИСО 9000-2015, пункт 3.8.3]

3.22

оператор автоматизированной (информационной) системы, оператор: Физическое или юридическое лицо, осуществляющие деятельность по эксплуатации автоматизированной (информационной) системы, в том числе по обработке информации, содержащейся в ее базах данных.

[Адаптировано из [4], статья 2]

3.23 официальное свидетельство: Свидетельство идентичности, содержащее идентификационные атрибуты и/или значения идентификационных атрибутов, управление которыми осуществляет полномочная сторона.

Примечание - Официальное свидетельство для конкретного идентификационного атрибута может быть подтверждающим свидетельством для другого идентификационного атрибута.

3.24

первичная идентификация: Действия по формированию и регистрации информации о субъекте доступа или объекте доступа, а также действия по присвоению идентификатора доступа субъекту доступа или объекту доступа и его регистрации в перечне присвоенных идентификаторов доступа.

Примечание - Первичная идентификация рассматривается применительно к конкретному субъекту доступа и/или конкретному объекту доступа.

[ГОСТ Р 58833-2020, пункт 3.41]

3.25

подлинность (authenticity): Свойство, определяющее, что фактический субъект или объект совпадает с заявленным.

[ГОСТ Р ИСО/МЭК 27000-2021, пункт 3.6]

3.26

подтверждающая информация: Информация, собранная и использованная для подтверждения идентификационных данных в соответствии с установленными требованиями к первичной идентификации.

[ГОСТ Р 58833-2020, пункт 3.43]

Примечание - Подтверждающая информация используется как доказательство для уверенности в результатах первичной идентификации.

3.27 подтверждающее свидетельство: Свидетельство идентичности, содержащее идентификационные атрибуты (значения идентификационных атрибутов), управление которыми не осуществляет полномочная сторона.

Примечание - Подтверждающее свидетельство, как правило (но не обязательно), содержит вспомогательные атрибуты.

3.28

политика информационной безопасности (организации): Формальное изложение правил поведения, процедур, практических приемов или руководящих принципов в области информационной безопасности, которыми организация руководствуется в своей деятельности.

[Адаптировано из ГОСТ Р 53114-2008, статья 3.2.18]

3.29 полномочная [верифицирующая] сторона: Сторона, которая обладает общепризнанным правом управления идентификационными атрибутами и их значениями.

Примечания

1 Управление идентификационными атрибутами (значениями идентификационных атрибутов) может включать, например, создание, изменение, удаление, выпуск, отзыв, верификацию, подтверждение и другие аналогичные действия над ними.

2 В качестве полномочной стороны для субъектов доступа, которые ассоциированы с физическими лицами, может рассматриваться организация, в соответствии с нормативными правовыми актами имеющая право управления идентификационными данными. К таким организациям относятся, например, федеральные, региональные и муниципальные органы исполнительной власти.

3 В качестве полномочной стороны для субъектов доступа, которые не ассоциированы с физическими лицами, могут рассматриваться: организация (например, производитель устройства), администратор автоматизированной (информационной) системы, устройство [средство вычислительной техники, автоматизированная (информационная) система], которые в области действия единых правил управления доступом обладают признанным правом управления идентификационными данными.

3.30

правила управления доступом: Правила, регламентирующие условия доступа субъектов доступа к объектам доступа на основе прав доступа.

Примечания

1 Права доступа определяют набор возможных действий, которые субъекты доступа могут выполнять над объектами доступа в конкретной среде функционирования.

2 Условия доступа определяют перечень действующих прав доступа субъектов доступа к объектам доступа (перечень существующих разрешенных (запрещенных) действий субъектов доступа над объектами доступа) в конкретной среде функционирования.

3 Правила управления доступом могут устанавливаться нормативными правовыми актами, обладателем информации или оператором.

[ГОСТ Р 58833-2020, пункт 3.45]

3.31 привязка (идентификационных данных): Установление и/или проверка связи идентификационных данных с заявившим (предоставившим) их субъектом (объектом) доступа.

Примечание - При привязке может использоваться подтверждающая информация, идентификационная информация, идентификационные атрибуты, идентификационные данные, которые известны (свойственны) субъекту доступа, ассоциированному с физическим лицом, а также которые свойственны субъекту доступа, ассоциированному с ресурсом, и объекту доступа.

3.32

процедура (procedure): Установленный способ осуществления деятельности или процесса.

Примечание - Процедуры могут быть документированными или нет.

[ГОСТ Р ИСО 9000-2015, пункт 3.4.5]

3.33

процесс (process): Совокупность взаимосвязанных и (или) взаимодействующих видов деятельности, использующих входы для получения намеченного результата.

[ГОСТ Р ИСО 9000-2015, пункт 3.4.1]

3.34

ресурсы (информационной системы): Средства, использующиеся в информационной системе, привлекаемые для обработки информации (например, информационные, программные, технические, лингвистические).

[[5], пункт А.20]

3.35

санкционирование доступа; авторизация: Предоставление субъекту доступа прав на доступ, а также предоставление доступа в соответствии с установленными правилами управления доступом.

[ГОСТ Р 58833-2020, пункт 3.50]

3.36 свидетельство (идентичности): Объективное свидетельство, обеспечивающее уверенность в том, что идентификационные данные действительно соответствуют (принадлежат) субъекту доступа или объекту доступа.

Примечание - В качестве свидетельств идентичности могут рассматриваться, например, результаты верификации заявленных идентификационных данных, документальные подтверждения (официальные документы), в том числе и полученные от субъекта (объекта) доступа, а также другая подтверждающая информация.

3.37

среда функционирования: Среда с предопределенными (установленными) граничными условиями, в которой существуют (функционируют) и взаимодействуют субъекты и объекты доступа.

Примечания

1 Область действия правил управления доступом рассматривается как граничное условие среды функционирования.

2 Граничные условия среды функционирования могут определяться, например, нормативными и правовыми документами, обладателем информации или оператором.

[ГОСТ Р 58833-2020, пункт 3.53]

3.38

субъект доступа: Одна из сторон информационного взаимодействия, которая инициирует получение и получает доступ.

Примечание - Субъектами доступа могут являться как физические лица (пользователи), так и ресурсы стороны информационного взаимодействия, а также вычислительные процессы, инициирующие получение и получающие доступ от их имени.

[ГОСТ Р 58833-2020, пункт 3.55]

3.39

уверенность (confidence): Убежденность в том, что оцениваемый объект будет функционировать в соответствии с заданным или установленным порядком (то есть корректно, надежно, эффективно, в соответствии с политикой безопасности).

[ГОСТ Р 54581-2011/ISO/IEC/TR 15443-1:2005, пункт 2.18]

3.40

управление доступом: Предоставление санкционированного и предотвращение несанкционированного доступа.

[ГОСТ Р 58833-2020, пункт 3.57]

3.41

уровень доверия (assurance level): Степень доверия, соответствующая специальной шкале, применяемой в методе обеспечения доверия.

Примечания

1 Уровень доверия не измеряется количественными показателями.

2 Степень доверия обычно определяется усилиями, затраченными на выполнение определенных действий.

[ГОСТ Р 54581-2011/ISO/IEC/TR 15443-1:2005, пункт 2.10]