ČSN P ENV 13729   (982013) Zdravotnická informatika - Bezpečná identifikace uživatele - Silná autentizace pomocí mikroprocesorových karet

Anotace textu normy ČSN P ENV 13729   (982013)

Tato předběžná evropská norma vymezuje metodu silné autentizace identity uživatele zdravotnického informačního systému, kdy uživatel používá mikroprocesorovou kartu. Systémem se rozumí zejména počítačový systém pro všeobecné použití, jehož hardware je v rozsahu od osobního počítače až po střediskový počítač. Nejsou uvažovány vyhrazené vnořené systémy se speciálními operačními systémy ani řízení přístupu k datům na inteligentní kartě, jako je karta s daty pacienta. Tato předběžná evropská norma však nebrání přidání dalších funkcí do karty uživatele.

Středem zájmu jsou uživatelé, kteří jsou pracovníky zdravotní péče, profesionálové s oprávněním a další pracovníci používající zdravotní informace. Tato evropská předběžná norma může být rovněž využita v situacích, kdy je pacientům dovoleno přímo používat informační systém zdravotní péče, pro dosažení jejich osobních dat, a kdy je nutná bezpečná identifikace uživatelů.

Tato předběžná evropská norma vymezuje kryptografický autentizační postup s použitím mikroprocesorových karet s možností digitálního podpisu. Tento postup je navržen tak, aby byl vhodný pro lokální systémy a rovněž pro vzdálené systémy, přes nechráněnou síť.

Tato předběžná evropská norma stanoví používaný kryptografický algoritmus, který musí být k dispozici v mikroprocesorové kartě a rovněž v libovolném autentizačním systému, vzdáleném nebo lokálním, při implementaci definované silné metody autentizace.

Tato předběžná evropská norma uvádí minimální sadu fyzických a elektrických norem a norem protokolů, které musí podporovat mikroprocesorové karty, aby byly ve shodě s touto normou, nevymezuje vnitřní strukturu systémů, které podporují tyto karty.

Tato ENV identifikuje řadu norem IETF (Skupina pro internetové inženýrství), které podporují autentizaci na dálku, způsobem, který je kompatibilní s používáním této předběžné normy. Metoda silné autentizace definovaná v této předběžné evropské normě vyžaduje certifikační služby. Tyto jsou popsány v autentizačním referenčním modelu a jsou zahrnuty některé funkční požadavky na služby důvěryhodné třetí strany (TTP). Jejich podrobná specifikace je mimo předmět této předběžné normy. Jsou rovněž definovány požadavky na postupy pro procesy karet autentizujících uživatele se zaměřením na manipulaci s PIN kódem, kde ověření PIN se provádí pouze v rámci IC karty. Toto zahrnuje srovnávání PIN dodaného uživatelem s referenčním PIN, který je uložen na kartě. Bylo učiněno opatření pro možné budoucí doplnění biometrických technik.

Identita autentizovaná metodou podle této evropské předběžné normy je držena v sadě dat poskytnutých ve specifikaci certifikátu veřejného klíče, který je založen na normě ISO/IEC 9594-8 (X.509). Tato evropská předběžná norma zahrnuje některé další požadavky na taková data pro přeshraniční použití. Pro doplňkovou specifikaci bude často potřebný národní nebo lokální profil implementace.

Tato metoda autentizace může být rovněž použita pro autentizaci role / třídy profesionála s oprávněním, pomocí stejné základní technologie. Tato stavová informace může být použita pro autorizaci, řízení přístupu, povinnosti skládat účty (včetně nepopření, autentizace původu dat, integrity) atd., avšak takové doplňkové funkce jsou mimo předmět této evropské předběžné normy. Jeden příklad struktury dat pro použití v certifikátech je uveden v informativní příloze B.

Technologie asymetrického šifrování, použitá pro silnou autentizaci, může být rovněž použita pro poskytnutí mechanizmu vytvoření digitálního podpisu a služeb důvěrnosti. Tyto možné služby některých karet jsou mimo předmět této evropské předběžné normy. Tato předběžná norma definuje mechanizmus, který může být použit jako opatření pro obecné aspekty bezpečnosti komunikace ve zdravotní péči, popsané v ENV 13608-1.

Norma je převzata schválením k přímému používání jako ČSN a je doplněna národní přílohou, která obsahuje překlad termínů, definic a zkratek. Rozsah normy ENV 13729 schválené k přímému používání je 38 stran.