Удостоверяющий центр - Форум по вопросам информационной безопасности

Здравствуйте!

Пишу дипломную работу, если есть возможность поделитесь следующей информацией.

Организация, занимающаяся защитой информации, решила открыть Удостоверяющий центр. Все необходимые лицензии для этого есть.

С чего начинать? Какой первый шаг? Привлекать ли для работ стороннюю организацию?

Буду благодарна любой информации.
Заранее спасибо!

для начала пошариться по известным УЦ, почитать их документы, ссылки на РД и т.д. многие из них предлагают услуги по созданию УЦ (в черне описан данный процесс)...
Если есть лицензии, для чего привлекать стороннюю организацию? Если привлекать (не хватает человекоресурсов) - не понятно зачем открывать УЦ. Если открывать для внутреннего использования (юридическая значимость не является обязательной) - не понятно зачем нужны лицензии.... Попросите руководителя сформулировать задачу по нормальному (или сами ее сформулируйте)...

Доброго дня.

1. Понять, для чего именно организации нужен "УЦ".
2. Определить, какими ресурсами для создания УЦ с нужными характеристиками обладает организация (серверные мощности, специалисты, сертификаты и разрешения).
3. В случае недостатка своих материально-технических ресурсов и личного состава - пополнить штат и материальную базу, либо решить вопрос о привлечении сторонней организации на часть работ (а может быть, и вовсе отдать на аутсорс).

Первый шаг - "Понять, для чего именно организации нужен УЦ." :) от него зависят все остальные шаги.

Где-то так.. собственно как и для любого другого пректа, необязательно IT :)

УЦ создается не для собственных нужд, а как одно из направлений, по которому организация планирует работать в будущем.
Цель создания УЦ:
- выпуск ЭЦП для внешних пользователей (организаций), которые задействованы в электронном документообороте
- в будущем выпуск эцп для участия в электронных торгах.
Я понимаю, что для реализации второй цели требуется больше усилий, но там хотя бы понятно отчего плясать, т.е. уже надо быть УЦ.

Хм.. первым делом, мне кажется, стоит разобраться с терминологией. Как мне подсказывает интуиция, выпускать все-таки планируется сертификаты, а не ЭЦП ;) . Или я ошибаюсь, и именно ЭЦП?
Далее - строится подробная схема сервиса - для каких пользователей, как они физически будут это получать (какие действия для этого выполнять), какие действия их заведомо нельзя заставлять делать, как все это будет управляться - т.е. бизнесовые требования. С помощью каких средств реализовываться (базы данных, сервера, средства разработки и тп) - т.е. технические возможности. Обеспечивается также юридическая схема - это не только сертификаты разработчика (на ТЗКИ и тп), но и условия признания эцп и прочее - т.е. схема самого ЭДО (в случае, если создается только УЦ под уже существующие взаимоотношения - схема их ЭДО берется как данность). Эти схемы (техническая, бизнесовая и юридическая) согласуются между собой, чтобы не было противоречий. Все они также анализируются на предмет ИБ. На основе согласованной картинки пишется ТЗ.

Тема управления ключами вообще всегда была весьма обширной и интересной )