Este documento establece un marco de requisitos para gestionar la seguridad de la información en proveedores de servicios de confianza para infraestructuras de clave pública (PKI) mediante políticas de certificados, declaraciones de práctica de certificado, y, donde sea aplicable, su soporte interno a través de un sistema de gestión de la seguridad de la información (ISMS). El marco de requisitos incluye el análisis y tratamiento de los riesgos de seguridad de la información, adaptados para cumplir con las necesidades de servicio acordadas por sus usuarios, como se especifica a través de la política de certificado. Este documento también tiene como objetivo ayudar a los proveedores de servicios de confianza a apoyar múltiples políticas de certificados. Este documento aborda el ciclo de vida de los certificados de clave pública utilizados para firmas digitales, autenticación o establecimiento de claves para encriptación de datos. No aborda métodos de autenticación, requisitos de no repudiables ni protocolos de gestión de claves basados en el uso de certificados de clave pública. Para los propósitos de este documento, el término "certificado" se refiere a certificados de clave pública. Este documento no es aplicable a certificados atributivos. Este documento utiliza conceptos y requisitos de un ISMS tal como están definidos en la familia de estándares ISO/IEC 27000. Utiliza el código de práctica para los controles de seguridad de la información, tal como se define en ISO/IEC 27002. Los requisitos específicos sobre PKI (por ejemplo, contenido del certificado, prueba de identidad, manejo de revocación de certificados) no se abordan directamente por un ISMS tal como se define en ISO/IEC 27001 [26]. El uso de un ISMS o equivalente se adapta a la aplicación de las necesidades de servicios PKI especificadas en la política de certificado, tal como se describe en este documento. Un proveedor de servicio de confianza basado en PKI es una clase especial de servicio de confianza para el uso de certificados de clave pública. Este documento distingue entre sistemas PKI utilizados en entornos cerrados, abiertos y contractuales. Este documento tiene como objetivo facilitar la implementación de controles y prácticas de nivel básico operativos en un entorno contractual.
DANSK DS/ISO/IEC 27099:2022 Historia
2022DANSK DS/ISO/IEC 27099:2022 Tecnología de la información – Infraestructura de clave pública – Prácticas y marco de políticas