ПОСТАНОВЛЕНИЕ ПРАВИТЕЛЬСТВА РЕСПУБЛИКИ МОЛДОВА

от 31 декабря 2013 года №1090

О правительственной электронной услуге аутентификации и контроля доступа (MPass)

В соответствии со статьей 2 Закона о ратификации Финансового соглашения между Республикой Молдова и Международной ассоциацией развития для реализации проекта "е-Преобразование управления" №173 от 28 июля 2011 года (Официальный монитор Республики Молдова, 2011 г., №131-133, ст. 425) Правительство ПОСТАНОВЛЯЕТ:

1. Учредить правительственную электронную услугу аутентификации и контроля доступа (MPass), являющуюся собственностью государства, в качестве составной части общей технологической платформы Правительства.

2. Утвердить Положение о правительственной электронной услуге аутентификации и контроля доступа (MPass) (прилагается).

3. Назначить:

1) Центр электронного управления (E-Government) в качестве владельца правительственной электронной услуги аутентификации и контроля доступа (MPass);

2) государственное предприятие "Центр специальных телекоммуникаций" в качестве технико-технологического оператора правительственной услуги аутентификации и контроля доступа (MPass).

4. Министерствам, другим подведомственным Правительству центральным административным органам и организационным структурам, находящимся в сфере их компетенции (подведомственные административные органы, деконцентрированные и подведомственные общественные службы, а также публичные учреждения, в которых министерство, Государственная канцелярия или другой центральный административный орган выступает в качестве учредителя) публичные органы/учреждения и автономные государственные организации, подведомственные Правительству или учрежденные Правительством, а также юридические лица частного права, которые предоставляют публичные услуги в пределах компетенций, предусмотренных законом:

1) интегрировать за счет собственных финансовых средств правительственную электронную услугу аутентификации и контроля доступа (MPass) в новые электронные публичные услуги и сопутствующие информационные системы, в том числе разрабатываемые;

2) в 9-месячный срок со дня опубликования настоящего Постановления разработать и утвердить при обязательном согласовании с Центром электронного управления (E-Government) планы по интеграции правительственной электронной услуги аутентификации и контроля доступа (MPass) в существующие публичные электронные услуги и в информационные системы, сопутствующие этим услугам;

3) в 18-месячный срок со дня опубликования настоящего Постановления интегрировать за счет собственных финансовых средств правительственную электронную услугу аутентификации и контроля доступа (MPass) в существующие публичные электронные услуги в соответствии с утвержденными планами интеграции;

4) для повышения эффективности публичных расходов не создавать услуги, схожие с правительственной электронной услугой аутентификации и контроля доступа (MPass);

5) обеспечить, чтобы лица, исполняющие ответственные государственные должности, и государственные служащие органов центрального публичного управления использовали в качестве средства аутентификации в рамках правительственной услуги аутентификации и контроля доступа (MPass) компоненты Электронной системы идентификации государственного служащего.

5. Государственной канцелярии при содействии Центра электронного управления (E-Government) и по согласованию с Государственным предприятием "Центр специальных телекоммуникаций" в 6-месячный срок утвердить приказом Генерального секретаря Правительства:

1) правила о порядке администрирования правительственной электронной услуги аутентификации и контроля доступа (MPass);

2) правила о порядке интеграции поставщиков идентификационной информации и поставщиков утверждений с правительственной электронной услугой аутентификации и контроля доступа (MPass);

3) правила о порядке интеграции пользователей услуги MPass с правительственной электронной услугой аутентификации и контроля доступа (MPass);

4) типовое соглашение и типовой договор между публичным учреждением "Центр электронного управления (E-Government)" и поставщиками публичных услуг или, при необходимости, поставщиками услуг из частного сектора о предоставлении услуг аутентификации и авторизации через правительственную электронную услугу аутентификации и контроля доступа (MPass);

4-1) типовое соглашение и типовой договор между публичным учреждением "Центр электронного управления (E-Government)" и поставщиками идентификационной информации о предоставлении услуг по подтверждению идентичности (аутентификации).

6. Центру электронного управления (E-Government):

1) обеспечить размещение и оперирование правительственной электронной услуги аутентификации и контроля доступа (MPass) на общей правительственной технологической платформе (MCloud);

2) в целях продвижения электронных услуг предоставлять в период до 1 января 2015 года правительственную услугу аутентификации и контроля доступа (MPass) без взимания какой-либо платы;

3) предоставить методологическую поддержку в процессе интеграции с правительственной электронной услугой аутентификации и контроля доступа (MPass);

4) обеспечить расширение правительственной электронной услуги аутентификации и контроля доступа (MPass), в том числе для интеграции новых механизмов аутентификации;

5) обеспечить автоматическое предоставление отчетности по показателям использования правительственной электронной услуги аутентификации и контроля доступа (MPass);

6) в 6-месячный срок разработать и представить Правительству на утверждение тарифы на правительственную электронную услугу аутентификации и контроля доступа (MPass).

7. Министерствам, другим подведомственным Правительству центральным административным органам и организационным структурам, находящимся в сфере их компетенции, запланировать в соответствии с бюджетным законодательством расходы, необходимые для использования правительственной электронной услуги аутентификации и контроля доступа (MPass).

8. Услуги в области цифровой подписи, предоставляемые государственным предприятием "Центр электронных телекоммуникаций" в контексте инициативы "Правительство без бумаги", утвержденной Постановлением Правительства №975 от 22 декабря 2012 г., будут финансироваться за счет средств государственного бюджета.

9. Контроль за выполнением настоящего Постановления возложить на Государственную канцелярию.

Утверждено Постановлением Правительства Республики Молдова от 31 декабря 2013 года №1090

Положение о правительственной электронной услуге аутентификации и контроля доступа (MPass)

Раздел I Общие положения

1. Настоящее Положение устанавливает порядок функционирования и администрирования правительственной электронной услуги аутентификации и контроля доступа (MPass).

2. Для целей настоящего Положения используются следующие основные понятия:

правительственная электронная услуга аутентификации и контроля доступа (MPass) (в дальнейшем - услуга MPass) - многоразовая услуга, предоставляемая на уровне общей технологической платформы Правительства, целью которой является обеспечение интегрирующего, безопасного и гибкого механизм аутентификации и контроля доступа пользователей в информационные системы, включая электронные услуги;

аутентификация - процедура, применяемая информационными системами для дистанционного распознавания лица или системы с помощью приемов и средств электронной идентификации, с целью получения в рамках информационных систем определенных прав на основании идентичности данного лица;

контроль доступа или авторизация - способ, используемый информационными системами для выборочного ограничения доступа к информационным ресурсам на основе прав, связанных с аутентифицированной идентичностью;

участники услуги MPass - владелец услуги MPass, технико-технологический оператор услуги MPass, бенефициары услуги MPass, поставщик идентификационной информации, поставщик утверждений, оператор по подтверждению пользовательских аккаунтов, администратор услуги MPass, администратор доступа, пользователь услуги MPass;

владелец услуги MPass - Центр электронного управления (E-Government);

технико-технологический оператор услуги MPass - государственное предприятие "Центр специальных телекоммуникаций", которое действует в соответствии с законодательством Республики Молдова и поддерживает технико-технологическую платформу, необходимую для внедрения услуги MPass;

бенефициары услуги MPass - поставщики публичных услуг и поставщики услуг из частного сектора, обладатели информационных систем, интегрированных с услугой MPass;

поставщики публичных услуг, в том числе публичных электронных услуг, - министерства, другие подведомственные Правительству центральные административные органы и организационные структуры, находящиеся в сфере их компетенции, другие юридические лица публичного права, оказывающие пользователям определенные публичные услуги, в пределах компетенции, предусмотренной законом, и обладающие информационными системами;

публичные услуги, в том числе публичные электронные услуги, - совокупность мероприятий и действий, представляющих общественный интерес (в том числе принятие решений), которые осуществляются министерствами, другими подведомственными Правительству центральными административными органами и организационными структурами, находящимися в сфере их компетенции, другими юридическими лицами публичного права, для выполнения своих обязанностей перед физическими и юридическими лицами для обеспечения механизма исполнения обязательств, законных прав и интересов последних;

поставщики электронных услуг из частного сектора - лица частного права, которые предоставляют пользователям определенные услуги, в том числе электронные услуги, и обладают информационными системами;

поставщик идентификационной информации (Identity Provider) - организационная структура, уполномоченная подтверждать в автоматизированном порядке идентичность пользователя посредством информационных систем;

поставщик утверждений (Claims Provider) - организационная структура, поставляющая информацию, дополнительную к поставляемой поставщиком идентификационной информации, относительно идентичности аутентифицированного пользователя, в целях использования поставщиками электронных услуг в процессе предоставления доступа к информационным системам;

дополнительная информация (дополнительные данные) - информация, идентифицирующая пользователя конкретной электронной услуги (например, относительно занятий, образования, опыта работы и пр., но не ограничиваясь этими сведениями), сбор которой четко предусмотрен законом, нормативным актом или контрактом, регламентирующим соответствующую электронную услугу, кроме минимального набора данных, необходимых для аутентификации пользователя согласно пункту 24. Дополнительная информация (дополнительные данные) не должна быть чрезмерной с учетом четко и законно установленной цели, для которой она собирается;

оператор по подтверждению пользовательских аккаунтов - организационная структура, уполномоченная подтверждать аккаунты пользователей услуги MPass; администратор услуги MPass - лицо, уполномоченное владельцем услуги MPass, которое имеет неограниченный доступ ко всем разделам системы в целях полного управления услугой MPass;

администратор доступа - лицо, уполномоченное бенефициарами услуги MPass, которое уполномочено предоставлять аутентифицированным идентичностям права в информационных системах, интегрированных с услугой MPass;

пользователь услуги MPass (в дальнейшем - пользователь) - лицо, у которого есть собственный профиль в рамках услуги MPass; профиль пользователя - набор данных, предусмотренных в пункте 24, а также дополнительные сведения, связанные с идентичностью в рамках услуги MPass.

Раздел II Функции услуги MPass

3. К основным функциям услуги MPass относятся:

1) аутентификация пользователей в информационных системах бенефициаров услуги MPass;

2) предоставление информации об аутентифицированной идентичности, необходимой для процесса авторизации;

3) регистрация, в том числе саморегистрация, пользователей для использования электронных услуг и сопутствующих информационных систем;

4) управление правами идентичностей в информационных системах.

4. Функция аутентификации пользователей может осуществляться различными способами аутентификации, предоставленными поставщиками аутентификации.

Раздел III Полномочия участников услуги MPass

5. Владелец услуги MPass:

1) обеспечивает непрерывное функционирование услуги MPass;

2) обеспечивает содействие в процессе интеграции с информационными системами бенефициара услуги MPass;

3) обеспечивает непрерывное развитие услуги MPass путем выявления, внедрения и интеграции новых механизмов аутентификации и авторизации;

4) обеспечивает защиту информации, в том числе персональных данных, в соответствии с положениями действующего законодательства;

5) обеспечивает качество предоставления услуги MPass в соответствии с показателями качества, оговоренными с бенефициарами услуги MPass;

6) обеспечивает бенефициарами услуги MPass необходимое содействие в ее использовании;

7) назначает администраторов услуги MPass;

8) назначает операторов по подтверждению пользовательских аккаунтов;

9) обеспечивает доступ операторов по подтверждению пользовательских аккаунтов к возможностям услуги MPass;

10) заключает с поставщиками публичных услуг соглашения в соответствии с образцом, утвержденным приказом генерального секретаря Правительства;

11) заключает с поставщиками услуг из частного сектора договоры в соответствии с образцом, утвержденным приказом генерального секретаря Правительства;

12) заключает с поставщиками услуг идентификационной информации соглашения или, при необходимости, договоры о предоставлении услуг по подтверждению идентичности в соответствии с образцом, утвержденным приказом генерального секретаря Правительства;

13) исключен в соответствии с Постановлением Правительства Республики Молдова от 28.11.2016 г. №1281

14) заключает с операторами по подтверждению пользовательских аккаунтов соглашения или, при необходимости, договоры о предоставлении услуг по подтверждению пользовательских аккаунтов, согласованные с генеральным секретарем Правительства;

15) выписывает, при необходимости, пользователям услуги MPass счета за использование данной услуги.

6. Технико-технологический оператор услуги MPass:

1) обеспечивает доступность и оперирование технологической платформы услуги MPass согласно параметрам качества, установленным в договоре, заключенном с владельцем услуги MPass;

2) оперирует услугой MPass;

3) обеспечивает непрерывность функционирования технологической платформы услуги MPass в случае аварийных ситуаций;

4) обеспечивает безопасность услуги MPass;

5) обеспечивает техническую поддержку услуги MPass.

7. Поставщики публичных услуг:

1) в процессе предоставления электронных публичных услуг используют услугу MPass для аутентификации и авторизации пользователей;

2) заключают с владельцем услуги MPass соглашения в соответствии с образцом, утвержденным приказом генерального секретаря Правительства;

3) оплачивают использование услуги MPass в соответствии со счетом, выписанным владельцем услуги MPass.

8. Поставщики услуг из частного сектора:

1) заключают с владельцем услуги MPass договоры в соответствии с образцом, утвержденным приказом генерального секретаря Правительства;

2) несут за свой счет затраты, связанные с интеграцией услуги MPass;

3) оплачивают использование услуги MPass согласно счету, выписанному владельцем услуги MPass.

9. Поставщик идентификационной информации:

1) автоматически подтверждает идентичность пользователей на основе информации, предоставленной ими;

2) обеспечивает поставку услуге MPass точных и обновленных данных;

3) обеспечивает доступность механизмов автоматического подтверждения идентичности согласно параметрам качества, установленным в договорных обязательствах;

4) обеспечивает доступ услуги MPass к механизмам подтверждения идентичности;

5) заключает с владельцем услуги MPass соглашения или, при необходимости, договоры о предоставлении услуг по подтверждению идентичности.

10. Поставщик утверждений:

1) предоставляет, посредством платформы интероперабельности (MConnect), дополнительную информацию, которая необходима процессу авторизации услуги MPass, относительно аутентифицированной идентичности;

2) обеспечивает достоверность и содержательность данных, предоставляемых услуге MPass;

3) обеспечивает доступность механизмов автоматического предоставления авторизованной информации;

4) обеспечивает доступ услуги MPass к механизмам автоматической поставки авторизованной информации;

5) исключен в соответствии с Постановлением Правительства Республики Молдова от 28.11.2016 г. №1281

11. Оператор по подтверждению пользовательских аккаунтов:

1) утверждает (подтверждает) аккаунт пользователя посредством возможностей, предоставляемых услугой MPass;

2) заключает с владельцем услуги MPass соглашения или, при необходимости, договоры о предоставлении услуг по подтверждению пользовательских счетов.

12. Администратор услуги MPass осуществляет полномочия, указанные в разделе V настоящего Положения.

13. Администратор доступа предоставляет аутентифицированным идентичностям права доступа к информационным системам, интегрированным с услугой MPass.

14. Пользователь:

1) использует услугу MPass для регистрации, аутентификации и авторизации в контексте использования электронных услуг, в том числе информационных систем бенефициаров услуги MPass;

2) администрирует свой личный профиль.

Раздел IV Безопасность информации и защита персональных данных в рамках услуги MPass

15. Услуга MPass размещена на общей правительственной платформе MCloud и подчиняется требованиям безопасности, предусмотренным действующим законодательством.

16. Обмен сообщениями с информационными системами в целях функциональности услуги MPass осуществляется через защищенные каналы, с использованием механизмов криптографической защиты информации.

17. Процессы создания, использования и проверки подлинности электронной подписи в рамках услуги MPass осуществляются в соответствии с действующим законодательством в области электронной подписи.

18. Администраторы услуги MPass аутентифицируются только с использованием механизма аутентификации посредством усиленной квалифицированной электронной подписи.

19. В процессе аутентификации и авторизации пользователей услуга MPass обрабатывает и передает персональные данные.

20. Для обеспечения безопасности персональных данных все учреждения, вовлеченные в обработку таких данных в качестве участников функционирования услуги MPass - от этапа генерирования до этапа их уничтожения, будут действовать в соответствии с действующим законодательством в области защиты персональных данных на своем участке ответственности.

20-1. Дополнительная информация для авторизации от поставщиков утверждений запрашивается после аутентификации пользователя и только от его имени.

21. В рамках процесса аутентификации и авторизации от пользователя требуется как четко подтверждение правильности персональных данных, так и согласие на их передачу другим информационным системам в целях пользования электронными услугами, для которых была запрошена аутентификация и/или авторизация.

22. В случае, когда персональные данные пользователя, предоставленные услуге MPass, не совпадают с фактическими данными либо когда пользователь не согласен с передачей своих персональных данных в представленной форме бенефициару услуги MPass, у пользователя есть возможность отказаться от продолжения операции по аутентификации и/или авторизации; при этом он будет проинформирован о возможности исправления ошибочных данных. В таком случае процедура аутентификации отменяется, а персональные данные пользователя не передаются бенефициару услуги MPass и подлежат уничтожению из оперативной памяти.

23. Ответственность за точность и достоверность данных, передаваемых бенефициару услуги MPass, возлагается исключительно на пользователя.

24. Услуга MPass запрашивает минимальную необходимую информацию для обеспечения процесса аутентификации, авторизации и администрирования аккаунта пользователя. Минимальный набор персональных данных пользователя, необходимый в данных целях, включает:

1) IDNP;

2) фамилия и имя;

3) дата рождения;

4) адрес электронной почты.

25. В случае необходимости бенефициар услуги MPass может потребовать через посредство услуги MPass у пользователя и другие дополнительные данные, в том числе персональные, строго необходимые для его авторизации в своих информационных системах.

Раздел V Администрирование услуги MPass

26. Администратор услуги MPass обладает неограниченным доступом ко всем разделам системы в целях полного управления этой услугой.

27. Основные полномочия администратора услуги MPass:

1) администрирование ролей в рамках информационных систем, интегрированных с услугой MPass;

2) присвоение ролей пользователям;

3) администрирование списка информационных систем, для которых услуга MPass будет осуществлять аутентификацию и авторизацию пользователей.

28. Подробные процедуры администрирования услуги MPass, в том числе спецификация рабочих интерфейсов, описаны в Правилах о порядке администрирования услуги MPass, утвержденных приказом генерального секретаря Правительства.

Раздел VI Интеграция услуги MPass

29. Аутентификация и авторизация осуществляются посредством поставщиков идентификационной информации и поставщиков утверждений, интегрированных в услугу MPass.

30. Ответственность за правильную аутентификацию идентичности пользователя возлагается на поставщиков идентификационной информации, интегрированных в MPass.

31. Поставщики утверждений несут ответственность за достоверность дополнительных данных об аутентифицированном пользователе, которые поставляются услуге MPass.

32. Технико-технологический оператор услуги MPass и владелец услуги MPass несут ответственность за обеспечение целостности информации, полученной вследствие аутентификации поставщиками идентификационной информации или авторизации поставщиками утверждений в контексте обмена данными с подключенными информационными системами.

32-1. Для поставщиков идентификационной информации, предоставляющих услуги сертификации в области усиленной квалифицированной электронной подписи, механизм аутентификации основывается на механизмах усиленной квалифицированной электронной подписи и осуществляется путем подписания заявки об аутентификации.

33. Процесс и порядок интеграции новых поставщиков идентификационной информации и поставщиков утверждений осуществляются в соответствии с Правилами о порядке интеграции поставщиков идентификационной информации и поставщиков утверждений с услугой MPass, утвержденными Государственной канцелярией.

34. Процесс и порядок интеграции бенефициаров услуги MPass осуществляются в соответствии с Правилами о порядке интеграции бенефициаров услуги MPass с услугой MPass, утвержденными генеральным секретарем Правительства.