Видання правил технічного аудиту електронних підписів та довірених послуг: забезпечення безпеки та підвищення довіри в цифровому просторі

Міністерство науки і технологій щойно видало циркуляр, що регулює технічні аудити електронних підписів та довірчих послуг, спрямований на посилення управління, забезпечення безпеки, прозорості та надійності електронних транзакцій у контексті національної цифрової трансформації.

Циркуляр є важливою правовою основою для стандартизації процесів технічного аудиту, забезпечення дотримання технічних стандартів та інформаційної безпеки системами та організаціями, що надають та використовують електронні підписи, що сприяє зміцненню довіри людей, підприємств та управлінських органів у середовищі цифрових транзакцій.

Згідно з нормативними актами, цей Циркуляр застосовується до організацій та осіб, які беруть участь у діяльності з технічного аудиту інформаційних систем, процесів надання послуг безпечного електронного підпису, сертифікатів безпечного електронного підпису, цифрових підписів, сертифікатів цифрового підпису та інших довірених послуг або пов'язані з нею.

Зокрема, агентствам та організаціям, які створюють та використовують безпечні електронні підписи, рекомендується проактивно проводити технічні аудити для самостійної оцінки відповідності та безпеки своїх систем і процесів надання послуг. Це важливий крок, що демонструє дух проактивного запобігання ризикам кібербезпеки, а не лише реагування на інциденти, коли відбуваються порушення.

Довірені постачальники послуг зобов'язані проводити технічні аудити кожні два роки, щоб забезпечити безпечний та стабільний стан систем та процесів надання послуг, а також їх відповідність технічним вимогам згідно з національними стандартами.

Агентствам та організаціям, які створюють та використовують захищені електронні підписи та сертифікати захищеного електронного підпису, рекомендується проводити проактивні технічні аудити.

Згідно з Циркуляром, основою для оцінки технічного аудиту є конкретні вимоги до інформаційних систем та процесів надання послуг, зазначені в технічних регламентах, технічних стандартах та технічних вимогах, що застосовуються до електронних підписів, електронних сертифікатів та довірчих послуг.

Технічний аудит здійснюється у два основні етапи: оцінка інформації та документів під час процесу планування та фактична оцінка в організації, що аудитується. Весь зміст має бути об'єктивним, прозорим, відповідно до попередньо узгодженого плану та обсягу.

Максимальна тривалість аудиту становить 6 місяців, а за необхідності її можна продовжити до 45 днів для виконання коригувальних дій. Після завершення, на основі результатів оцінки та коригувальних дій (якщо такі є), аудиторська організація розглядатиме питання про видачу аудитованій організації сертифіката зі Звітом технічного аудиту. Якщо вимоги не виконуються, аудиторська організація повинна повідомити про це письмово, вказавши причини та додавши Звіт технічного аудиту.

У Циркулярі також детально викладено обов'язковий вміст Звіту про технічний аудит, включаючи: загальну інформацію про аудит, час проведення, метод оцінки, результати аналізу ризиків інформаційної безпеки, результати тестування системи, технічні рекомендації та підстави для рішень щодо сертифікації.

Довірені постачальники послуг повинні надсилати звіти про технічний аудит до Міністерства науки і технологій через Національний центр електронної автентифікації (NEAC), який є координатором для синтезу, моніторингу та обслуговування роботи державного управління.

Регулярна звітність не лише допомагає оцінити операційний стан довірених постачальників послуг, але й створює єдину базу даних для розробки політики, управління ризиками та підтримує державні органи у покращенні якості та безпеки національної інфраструктури цифрових транзакцій.

Циркуляр визначає, що організації технічного аудиту несуть відповідальність за здійснення своїх прав та обов'язків відповідно до положень законодавства про технічні стандарти та регламенти; забезпечення незалежності, об'єктивності та повного дотримання процедур технічного аудиту відповідно до нормативних актів щодо якості продукції та товарів, а також безпеки мережевої інформації.

Національний комітет зі стандартів, метрології та якості при Міністерстві науки і технологій є координаційним центром для отримання та оцінки реєстраційних досьє для призначення організацій технічного аудиту та подання їх Міністру науки і технологій для прийняття рішення про призначення кваліфікованих організацій відповідно до закону про стандарти та якість.

Тим часом, Національний центр електронної автентифікації відповідає за отримання та синтез звітів про технічний аудит від організацій, що пройшли аудит, періодично звітуючи перед Міністром науки і технологій для забезпечення державного управління наданням надійних послуг.

Видання Циркуляра щодо технічного аудиту електронних підписів та довірчих послуг вважається важливим кроком у завершенні національного правового коридору з питань інформаційної безпеки, електронної автентифікації та цифрової трансформації.

Циркуляр сприяє стандартизації системи незалежної оцінки, посиленню контролю ризиків, покращенню технологічної автономії та створенню цифрової довіри для користувачів у процесі здійснення транзакцій, підписання та обміну електронними даними.

Циркуляр набирає чинності з 1 січня 2026 року, що знаменує собою новий крок вперед у технічному управлінні та забезпеченні безпеки та надійності національної інфраструктури електронного підпису на шляху до побудови безпечного, прозорого та сталого розвитку цифрового уряду, цифрової економіки та цифрового суспільства.

Центр науково-технічної комунікації

Джерело: https://mst.gov.vn/ban-hanh-quy-dinh-kiem-toan-ky-thuat-doi-voi-chu-ky-dien-tu-va-dich-vu-tin-cay-bao-dam-an-toan-nang-cao-niem-tin-trong-khong-gian-so-197251015202125722.htm