ایزو زیر ساخت کلید عمومی (PKI) در سرویس مالی

استاندارد ایزو زیر ساخت کلید عمومی در سرویس مالی (PKI) چیست؟
ایزو 21188 چارچوبی از الزامات مدیریت یک PKI را از طریق خط مشی های گواهینامه و اظهارات عملیات صدور گواهینامه و استفاده از گواهینامه های کلیدی عمومی(Public Key Infrastructure)در صنعت خدمات مالی فراهم می کند. این استاندارد همچنین اهداف کنترل و حمایت از روش های مدیریت ریسک را تعریف می کند. در حالیکه این سند، تولید گواهیهای کلیدی عمومی را که ممکن است برای امضاهای دیجیتالی یا ایجاد کلیدی استفاده شود را در نظر میگیرد،ولی اصول متد روش های تأیید اعتبار، الزامات عدم رد صلاحیت یا پروتکل های مدیریت کلید را شامل نمی شود.در کل ISO 21188 تمایز بین سیستم های PKI مورد استفاده در محیط بسته، باز و قراردادی را ترسیم می کند. این استندارد بیشتر عملیات عملی نسبت به اهداف کنترل اطلاعات سیستم های اطلاعات مالی و خدمات را تعریف می کند.
صنعت خدمات مالی متکی به روش های متقاعد کننده ای از شناسایی الکترونیکی، تأیید اعتبار و تأیید هویت و حفاظت از معاملات مالی است. در طول بیست سال گذشته، صنعت خدمات مالی فرآیندهای مدیریت ریسک و سیاست هایی را برای حمایت از استفاده از این فن آوری ها در برنامه های مالی توسعه داده است. استفاده گسترده از فن آوری های اینترنتی توسط صنعت خدمات مالی و نیازهای صنعت به طور کلی برای ارائه تراکنش های امن، خصوصی و قابل اعتماد و سیستم های محاسباتی، موجب پیشرفت تکنولوژی امنیتی همراه با رمزنگاری کلید عمومی شده است. رمزنگاری کلید عمومی نیاز به یک زیرساخت فناوری، مدیریت و سیاست بهینه سازی شده کسب و کار (زیرساخت کلید عمومی یا PKI، همانطور که در این سند تعریف شده است) برای رعایت الزامات شناسایی الکترونیکی، احراز هویت، حفاظت از یکپارچگی پیغام و مجوز در سیستم های کاربردی مالی دارد. استفاده از شیوه های استاندارد برای شناسایی الکترونیکی، تأیید هویت و مجوز در PKI، امنیت بیشتر و پایدار و قابل اطمینان در این سیستم ها را تضمین می کند و اعتماد به ارتباطات الکترونیکی را تضمین می کند.همچنین برنامه های کاربردی که در صنعت خدمات مالی به کار می روند می توانند با امضای دیجیتالی و قابلیت های PKI توسعه یابند. ایمنی و قابلیت اطمینان این برنامه ها به طور جزئی براساس پیاده سازی ها و شیوه های طراحی شده برای اطمینان از یکپارچگی کلی زیرساخت ها است. استفاده کنندگان از سیستم های مبتنی بر اقتدار که از طریق الکترونیک هویت افراد و اشخاص دیگر را به مواد رمزنگاری (مثلا کلید های رمزنگاری) پیوند می دهند، از سیستم های مدیریت ریسک استاندارد و پایه ای از روش های حسابرسی شده تعریف شده در این استاندارد بین المللی بهره مند می شوند.

محدوده استاندارد ایزو 21188:

این استاندارد بین المللی تسهیل اجرای عملیاتی، شیوه های کنترل پایه PKI که نیازهای صنعت خدمات مالی را در یک محیط قراردادی را نشان می دهد،برآورده می کند. در حالی که تمرکز این استاندارد بین المللی دریک  محیط قراردادی و مشخص است، استفاده از این سند به محیط های دیگر به طور خاص متوقف نمی شود و بلا مانع است. برای اهداف این سند، اصطلاح “گواهی” به گواهینامه های کلید عمومی اشاره دارد. گواهی های مشخصه خارج از محدوده این استاندارد بین المللی هستند.
این استاندارد بین المللی برای مخاطبان مختلفی که دارای نیازهای متفاوتی هستند،مورد هدف قرار می گیرد و بنابراین استفاده از این سند برای هر یک از آنها الزامی است.

اصطلاحات و تعاریف در استاندارد ایزو 21188:

-داده های فعال سازی: مقادیر داده ها به غیر از کلید هایی که برای استفاده از مدل های رمزنگاری مورد نیاز هستند و باید محافظت شوند (مثلا پین، عبارت عبور، بیومتریک یا سهم کلیدی کلید دستی).
– احراز هویت: تأیید هویت ادعایی فرد
•    در ثبت نام، عمل ارزیابی اعتبارنامه نهایی (به عنوان مثال، مشترکین) به عنوان مدرک هویت ادعایی آنها؛
•    در طی استفاده از عمل مقایسه هویت و اعتبار های ارسالی الکترونیکی (یعنی شناسه کاربر و رمز عبور) با ارزش های ذخیره شده برای اثبات هویت