Удостоверение личности содержит информацию ограниченного распространения (персональные данные). В этой связи информационное обеспечение удостоверения личности и всей прикладной инфраструктуры должно гарантировать целостность, доступность и конфиденциальность обрабатываемых сведений.
Целостность размещаемых на электронном носителе удостоверения личности данных обеспечивается с использованием криптографических методов защиты информации, а также механизмов аутентификации и авторизации. Конфиденциальность данных при доступе к ним напрямую или через электронные приложения обеспечивается механизмами аутентификации и авторизации. Доступность данных определяется показателями надежности программно-аппаратных средств удостоверения личности, устанавливаемыми на этапе комплексного проектирования.
При использовании криптографического электронного приложения реализуются стандарты, принятые в Российской Федерации в соответствии с ГОСТ 34.10-2012 и ГОСТ 34.11-2012. Криптографическое электронное приложение проходит оценку соответствия в совокупности с удостоверением личности как средой функционирования в порядке, установленном законодательством Российской Федерации.
Криптографическое приложение удостоверения личности использует квалифицированный сертификат электронной подписи его владельца для произвольных передаваемых данных после прохождения успешной аутентификации по персональному идентификационному номеру (ПИН-коду). Конфиденциальность ПИН-кода с момента его выработки до момента передачи обеспечивается организационными и техническими мероприятиями.
На этапе комплексного и технического проектирования сведения, размещаемые на электронном носителе удостоверения личности, могут быть классифицированы как:
данные однократной записи;
данные, для которых возможна операция добавления;
изменяемые данные.
Правила и механизмы распределения прав доступа к сведениям, размещаемым на электронном носителе удостоверения личности, разрабатываются на стадии комплексного проектирования.
Функции аутентификации и авторизации реализуются в соответствии с правовыми актами Федеральной службы по техническому и экспортному контролю. На этапе комплексного проектирования следует рассмотреть возможность разработки специальных технических рекомендаций по реализации и оценке соответствия механизмов аутентификации и авторизации непосредственно для удостоверения личности. Данные специальные технические рекомендации подлежат согласованию с Федеральной службой по техническому и экспортному контролю и Федеральной службой безопасности Российской Федерации в установленном порядке.
При разработке новых и модификации действующих информационных систем в рамках мероприятий, связанных с внедрением удостоверения личности, обеспечивается выполнение требований, направленных на обеспечение безопасности информации. Если информационная система осуществляет обработку информации, нацеленной на обеспечение жизненного цикла удостоверения личности и (или) его использование, то она должна обеспечить конфиденциальность, целостность и доступность обрабатываемой и передаваемой информации и пройти оценку соответствия в порядке, установленном законодательством Российской Федерации. Для указанных систем, обрабатывающих информацию, не содержащую сведений, составляющих государственную тайну, в контексте мероприятий по внедрению удостоверения личности необходимо осуществить разработку и согласование в установленном порядке базовой модели нарушителя и модели угроз, обязательных к применению в качестве отраслевого стандарта при проектировании системы защиты информации. Классы и уровни защищенности отдельных информационных систем, а также требования к безопасности информации, предъявляемые к ним, определяются на этапе комплексного проектирования.