Постановление № 1090 от 31.12.2013
о правительственной электронной услуге аутентификации и контроля доступа (MPass)
ПРАВИТЕЛЬСТВО РЕСПУБЛИКИ МОЛДОВА
ПОСТАНОВЛЕНИЕ
о правительственной электронной услуге
аутентификации и контроля доступа (MPass)
№ 1090 от 31.12.2013
(в силу 10.01.2014)
Мониторул Офичиал № 4-8 ст.2 от 10.01.2014
* * *
Примечание: По всему тексту слова "технико-технологический оператор" в любой грамматической форме заменить словами "технический администратор" в соответствующей грамматической форме согласно Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022
Примечание: По всему тексту постановления слова "Центр электронного управления (E-Government)" и слова "Публичное учреждение "Центр электронного управления (E-Government)" в любом падеже заменить словами "Публичное учреждение "Агентство электронного управления" в соответствующем падеже, а слова "Государственное предприятие "Центр специальных телекоммуникаций" в любом падеже заменить словами "Публичное учреждение "Служба информационных технологий и кибернетической безопасности" в соответствующем падеже согласно Пост.Прав. N 414 от 08.05.2018, в силу 18.05.2018
В соответствии со статьей 2 Закона о ратификации Финансового соглашения между Республикой Молдова и Международной ассоциацией развития для реализации проекта "е-Преобразование управления" № 173 от 28 июля 2011 года (Официальный монитор Республики Молдова, 2011 г., № 131-133, ст.425) Правительство
ПОСТАНОВЛЯЕТ:
1. Учредить правительственную электронную услугу аутентификации и контроля доступа (MPass), являющуюся собственностью государства.
[Пкт.1 изменен Пост.Прав. N 397 от 05.06.2017, в силу 09.06.2017]
2. Утвердить Положение о правительственной электронной услуге аутентификации и контроля доступа (MPass) (прилагается).
3. Назначить:
1) Публичное учреждение "Агентство электронного управления" в качестве владельца правительственной электронной услуги аутентификации и контроля доступа (MPass);
2) Публичное учреждение "Служба информационных технологий и кибернетической безопасности" в качестве технического администратора правительственной услуги аутентификации и контроля доступа (MPass).
4. Министерствам, другим подведомственным Правительству центральным административным органам и организационным структурам, находящимся в сфере их компетенции (подведомственные административные органы, деконцентрированные и подведомственные общественные службы, а также публичные учреждения, в которых министерство, Государственная канцелярия или другой центральный административный орган выступает в качестве учредителя) публичные органы/учреждения и автономные государственные организации, подведомственные Правительству или учрежденные Правительством, а также юридические лица частного права, которые предоставляют публичные услуги в пределах компетенций, предусмотренных законом:
1) интегрировать за счет собственных финансовых средств правительственную электронную услугу аутентификации и контроля доступа (MPass) в новые электронные публичные услуги и сопутствующие информационные системы, в том числе разрабатываемые;
2) в 9-месячный срок со дня опубликования настоящего Постановления разработать и утвердить при обязательном согласовании с Публичным учреждением "Агентство электронного управления" планы по интеграции правительственной электронной услуги аутентификации и контроля доступа (MPass) в существующие публичные электронные услуги и в информационные системы, сопутствующие этим услугам;
3) в 18-месячный срок со дня опубликования настоящего Постановления интегрировать за счет собственных финансовых средств правительственную электронную услугу аутентификации и контроля доступа (MPass) в существующие публичные электронные услуги в соответствии с утвержденными планами интеграции;
4) для повышения эффективности публичных расходов не создавать услуги, схожие с правительственной электронной услугой аутентификации и контроля доступа (MPass).
[Пкт.4 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
[Пкт.4 дополнен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
41. Другие публичные органы и учреждения, кроме указанных в пункте 4, и некоммерческие организации, которым в соответствии со статьей 22 Закона № 86/2020 о некоммерческих организациях был присвоен статус общественной полезности, могут использовать бесплатно, в соответствии с настоящим постановлением, правительственную электронную услугу аутентификации и контроля доступа (MPass).
[Пкт.41 введен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
42. Физические и юридические лица частного права, владеющие информационными системами, могут обращаться в Публичное учреждение "Агентство электронного управления" для заключения возмездного договора с целью использования услуг аутентификации и авторизации посредством правительственной электронной услуги аутентификации и контроля доступа (MPass).
[Пкт.42 введен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
[Пкт.5 утратил силу согласно Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
[Пкт.5 изменен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
6. Публичному учреждению "Агентство электронного управления":
1) обеспечить размещение и оперирование правительственной электронной услуги аутентификации и контроля доступа (MPass) на общей правительственной технологической платформе (MCloud);
2) в целях продвижения электронных услуг предоставлять в период до 1 января 2015 года правительственную услугу аутентификации и контроля доступа (MPass) без взимания какой-либо платы;
21) обеспечить бесплатное предоставление услуг аутентификации и авторизации посредством правительственной электронной услуги аутентификации и контроля доступа (MPass) субъектам, предусмотренным пунктами 4 и 41;
22) обеспечить платное предоставление правительственной услуги аутентификации и контроля доступа (MPass) физическим лицам и юридическим лицам частного права;
3) предоставить методологическую поддержку в процессе интеграции с правительственной электронной услугой аутентификации и контроля доступа (MPass);
4) обеспечить расширение правительственной электронной услуги аутентификации и контроля доступа (MPass), в том числе для интеграции новых механизмов аутентификации;
5) обеспечить автоматическое предоставление отчетности по показателям использования правительственной электронной услуги аутентификации и контроля доступа (MPass);
6) в 6-месячный срок разработать и представить Правительству на утверждение тарифы на правительственную электронную услугу аутентификации и контроля доступа (MPass);
7) утвердить договорные условия использования правительственной услуги аутентификации и контроля доступа (MPass) и соответствующие правила использования.
[Пкт.6 дополнен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
7. Министерствам, другим подведомственным Правительству центральным административным органам и организационным структурам, находящимся в сфере их компетенции, запланировать в соответствии с бюджетным законодательством расходы, необходимые для использования правительственной электронной услуги аутентификации и контроля доступа (MPass).
8. В целях внедрения настоящего постановления Государственной канцелярии совместно с публичным учреждением "Агентство электронного управления" ежегодно оценивать затраты, необходимые для администрирования и непрерывного развития правительственной услуги аутентификации и контроля доступа (MPass), и вносить Министерству финансов предложения о запросе финансовых средств, в соответствии с положениями Закона № 181/2014 о публичных финансах и бюджетно-налоговой ответственности, для их включения в закон о государственном бюджете на соответствующий год.
[Пкт.8 в редакции Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
9. Контроль за выполнением настоящего Постановления возложить на Государственную канцелярию.
| ПРЕМЬЕР-МИНИСТР | Юрие ЛЯНКЭ |
Кишинэу, 31 декабря 2013 г. |
|
| № 1090. |
Утверждено
Постановлением Правительства
№ 1090 от 31 декабря 2013 г.
ПОЛОЖЕНИЕ
о правительственной электронной услуге аутентификации
и контроля доступа (MPass)
Раздел I
ОБЩИЕ ПОЛОЖЕНИЯ
1. Настоящее Положение устанавливает порядок функционирования и администрирования правительственной электронной услуги аутентификации и контроля доступа (MPass).
2. Для целей настоящего Положения используются следующие основные понятия:
правительственная электронная услуга аутентификации и контроля доступа (MPass) (в дальнейшем – услуга MPass) – многоразовая услуга, размещенная на общей правительственной технологической платформе (MCloud), целью которой является обеспечение интегрирующего, безопасного и гибкого механизм аутентификации и контроля доступа пользователей в информационные системы, включая электронные услуги;
аутентификация – процедура, применяемая информационными системами для дистанционного распознавания лица или системы с помощью приемов и средств электронной идентификации, с целью получения в рамках информационных систем определенных прав на основании идентичности данного лица;
контроль доступа или авторизация – способ, используемый информационными системами для выборочного ограничения доступа к информационным ресурсам на основе прав, связанных с аутентифицированной идентичностью;
участники услуги MPass – владелец услуги MPass, технический администратор услуги MPass, бенефициары услуги MPass, поставщик идентификационной информации, поставщик утверждений, оператор по подтверждению пользовательских аккаунтов, администратор услуги MPass, администратор доступа, пользователь услуги MPass;
владелец услуги MPass – Публичное учреждение "Агентство электронного управления";
технический администратор услуги MPass – Публичное учреждение "Служба информационных технологий и кибернетической безопасности", которое действует в соответствии с законодательством Республики Молдова и поддерживает технико-технологическую платформу, необходимую для внедрения услуги MPass;
бенефициары услуги MPass – поставщики публичных услуг и поставщики услуг из частного сектора, обладатели информационных систем, интегрированных с услугой MPass;
поставщики публичных услуг, в том числе публичных электронных услуг, – министерства, другие подведомственные Правительству центральные административные органы и организационные структуры, находящиеся в сфере их компетенции, другие юридические лица публичного права, оказывающие пользователям определенные публичные услуги, в пределах компетенции, предусмотренной законом, и обладающие информационными системами;
публичные услуги, в том числе публичные электронные услуги, – совокупность мероприятий и действий, представляющих общественный интерес (в том числе принятие решений), которые осуществляются министерствами, другими подведомственными Правительству центральными административными органами и организационными структурами, находящимися в сфере их компетенции, другими юридическими лицами публичного права, для выполнения своих обязанностей перед физическими и юридическими лицами для обеспечения механизма исполнения обязательств, законных прав и интересов последних;
поставщики электронных услуг из частного сектора – лица частного права, которые предоставляют пользователям определенные услуги, в том числе электронные услуги, и обладают информационными системами;
поставщик идентификационной информации (Identity Provider) – организационная структура, уполномоченная подтверждать в автоматизированном порядке идентичность пользователя посредством информационных систем;
поставщик утверждений (Claims Provider) – организационная структура, поставляющая информацию, дополнительную к поставляемой поставщиком идентификационной информации, относительно идентичности аутентифицированного пользователя, в целях использования поставщиками электронных услуг в процессе предоставления доступа к информационным системам;
дополнительная информация (дополнительные данные) – информация, идентифицирующая пользователя конкретной электронной услуги (например, относительно занятий, образования, опыта работы и пр., но не ограничиваясь этими сведениями), сбор которой четко предусмотрен законом, нормативным актом или контрактом, регламентирующим соответствующую электронную услугу, кроме минимального набора данных, необходимых для аутентификации пользователя согласно пункту 24. Дополнительная информация (дополнительные данные) не должна быть чрезмерной с учетом четко и законно установленной цели, для которой она собирается;
оператор по подтверждению пользовательских аккаунтов – организационная структура, уполномоченная подтверждать аккаунты пользователей услуги MPass;
администратор услуги MPass – лицо, уполномоченное владельцем услуги MPass, которое имеет неограниченный доступ ко всем разделам системы в целях полного управления услугой MPass;
администратор доступа – лицо, уполномоченное бенефициарами услуги MPass, которое уполномочено предоставлять аутентифицированным идентичностям права в информационных системах, интегрированных с услугой MPass;
пользователь услуги MPass (в дальнейшем – пользователь) – лицо, у которого есть собственный профиль в рамках услуги MPass;
профиль пользователя – набор данных, предусмотренных в пункте 24, а также дополнительные сведения, связанные с идентичностью в рамках услуги MPass.
[Пкт.2 изменен Пост.Прав. N 397 от 05.06.2017, в силу 09.06.2017]
[Пкт.2 дополнен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
Раздел II
ФУНКЦИИ УСЛУГИ MPass
3. К основным функциям услуги MPass относятся:
1) аутентификация пользователей в информационных системах бенефициаров услуги MPass;
2) предоставление информации об аутентифицированной идентичности, необходимой для процесса авторизации;
3) регистрация, в том числе саморегистрация, пользователей для использования электронных услуг и сопутствующих информационных систем;
4) управление правами идентичностей в информационных системах.
4. Функция аутентификации пользователей может осуществляться различными способами аутентификации, предоставленными поставщиками аутентификации.
Раздел III
ПОЛНОМОЧИЯ УЧАСТНИКОВ УСЛУГИ MPass
5. Владелец услуги MPass:
1) обеспечивает непрерывное функционирование услуги MPass;
2) обеспечивает содействие в процессе интеграции с информационными системами бенефициара услуги MPass;
3) обеспечивает непрерывное развитие услуги M-Pass путем выявления, внедрения и интеграции новых механизмов аутентификации и авторизации;
4) обеспечивает защиту информации, в том числе персональных данных, в соответствии с положениями действующего законодательства;
5) обеспечивает качество предоставления услуги MPass в соответствии с показателями качества, оговоренными с бенефициарами услуги MPass;
6) обеспечивает бенефициарами услуги MPass необходимое содействие в ее использовании;
7) назначает администраторов услуги MPass;
8) назначает операторов по подтверждению пользовательских аккаунтов;
9) обеспечивает доступ операторов по подтверждению пользовательских аккаунтов к возможностям услуги M-Pass;
10) заключает с поставщиками публичных и частных услуг договоры с целью использования услуги MPass;
[Подпкт.11) утратил силу согласно Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
12) заключает договоры с поставщиками идентификационной информации с целью предоставления услуг по подтверждению идентичности;
[Подпкт.13) исключен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
14) заключает договоры с операторами по подтверждению пользовательских аккаунтов с целью предоставления услуг по подтверждению пользовательских аккаунтов;
15) выписывает, при необходимости, пользователям услуги MPass счета за использование данной услуги.
[Пкт.5 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
[Пкт.5 изменен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
6. Технический администратор услуги MPass:
1) обеспечивает доступность и оперирование технологической платформы услуги MPass согласно параметрам качества, установленным в договоре, заключенном с владельцем услуги MPass;
2) оперирует услугой MPass;
3) обеспечивает непрерывность функционирования технологической платформы услуги MPass в случае аварийных ситуаций;
4) обеспечивает безопасность услуги MPass;
5) обеспечивает техническую поддержку услуги MPass.
7. Поставщики публичных услуг:
1) в процессе предоставления электронных публичных услуг используют услугу MPass для аутентификации и авторизации пользователей;
2) заключает договоры с владельцем услуги MPass.
[Пкт.7 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
8. Поставщики услуг из частного сектора:
1) заключает договоры с владельцем услуги MPass;
2) несут за свой счет затраты, связанные с интеграцией услуги MPass;
3) оплачивают использование услуги MPass согласно счету, выписанному владельцем услуги MPass.
[Пкт.8 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
9. Поставщик идентификационной информации:
1) автоматически подтверждает идентичность пользователей на основе информации, предоставленной ими;
2) обеспечивает поставку услуге MPass точных и обновленных данных;
3) обеспечивает доступность механизмов автоматического подтверждения идентичности согласно параметрам качества, установленным в договорных обязательствах;
4) обеспечивает доступ услуги MPass к механизмам подтверждения идентичности;
5) заключает с владельцем услуги MPass договоры с целью использования услуг по подтверждению идентичности.
[Пкт.9 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
10. Поставщик утверждений:
1) предоставляет, посредством платформы интероперабельности (MConnect), дополнительную информацию, которая необходима процессу авторизации услуги MPass, относительно аутентифицированной идентичности;
2) обеспечивает достоверность и содержательность данных, предоставляемых услуге MPass;
3) обеспечивает доступность механизмов автоматического предоставления авторизованной информации;
4) обеспечивает доступ услуги MPass к механизмам автоматической поставки авторизованной информации.
[Пкт.10 изменен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
11. Оператор по подтверждению пользовательских аккаунтов:
1) утверждает (подтверждает) аккаунт пользователя посредством возможностей, предоставляемых услугой MPass;
2) заключает с владельцем услуги MPass договоры с целью использования услуг по подтверждению пользовательских аккаунтов.
[Пкт.11 изменен Пост.Прав. N 239 от 13.10.2021, в силу 22.01.2022]
12. Администратор услуги MPass осуществляет полномочия, указанные в разделе V настоящего Положения.
13. Администратор доступа предоставляет аутентифицированным идентичностям права доступа к информационным системам, интегрированным с услугой Mpass.
14. Пользователь:
1) использует услугу MPass для регистрации, аутентификации и авторизации в контексте использования электронных услуг, в том числе информационных систем бенефициаров услуги MPass;
2) администрирует свой личный профиль.
Раздел IV
БЕЗОПАСНОСТЬ ИНФОРМАЦИИ И ЗАЩИТА ПЕРСОНАЛЬНЫХ
ДАННЫХ В РАМКАХ УСЛУГИ MPass
15. Услуга MPass размещена на общей правительственной технологической платформе (MCloud) и подчиняется требованиям безопасности, предусмотренным действующим законодательством.
[Пкт.2 изменен Пост.Прав. N 397 от 05.06.2017, в силу 09.06.2017]
16. Обмен сообщениями с информационными системами в целях функциональности услуги MPass осуществляется через защищенные каналы, с использованием механизмов криптографической защиты информации.
[Пкт.17 утратил силу согласно Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
[Пкт.17 изменен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
18. Администраторы услуги MPass аутентифицируются только с использованием механизма аутентификации посредством квалифицированной электронной подписи.
[Пкт.18 изменен Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
[Пкт.18 в редакции Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
19. В процессе аутентификации и авторизации пользователей услуга MPass обрабатывает и передает персональные данные.
20. Для обеспечения безопасности персональных данных все учреждения, вовлеченные в обработку таких данных в качестве участников функционирования услуги MPass – от этапа генерирования до этапа их уничтожения, будут действовать в соответствии с действующим законодательством в области защиты персональных данных на своем участке ответственности.
201. Дополнительная информация для авторизации от поставщиков утверждений запрашивается после аутентификации пользователя и только от его имени.
[Пкт.201 введен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
21. В рамках процесса аутентификации и авторизации от пользователя требуется как четко подтверждение правильности персональных данных, так и согласие на их передачу другим информационным системам в целях пользования электронными услугами, для которых была запрошена аутентификация и/или авторизация.
22. В случае, когда персональные данные пользователя, предоставленные услуге MPass, не совпадают с фактическими данными либо когда пользователь не согласен с передачей своих персональных данных в представленной форме бенефициару услуги MPass, у пользователя есть возможность отказаться от продолжения операции по аутентификации и/или авторизации; при этом он будет проинформирован о возможности исправления ошибочных данных. В таком случае процедура аутентификации отменяется, а персональные данные пользователя не передаются бенефициару услуги MPass и подлежат уничтожению из оперативной памяти.
23. Ответственность за точность и достоверность данных, передаваемых бенефициару услуги MPass, возлагается исключительно на пользователя.
24. Услуга MPass запрашивает минимальную необходимую информацию для обеспечения процесса аутентификации, авторизации и администрирования аккаунта пользователя. Минимальный набор персональных данных пользователя, необходимый в данных целях, включает:
1) IDNP;
2) фамилия и имя;
3) дата рождения;
4) адрес электронной почты.
25. В случае необходимости бенефициар услуги MPass может потребовать через посредство услуги MPass у пользователя и другие дополнительные данные, в том числе персональные, строго необходимые для его авторизации в своих информационных системах.
Раздел V
АДМИНИСТРИРОВАНИЕ УСЛУГИ MPass
26. Администратор услуги MPass обладает неограниченным доступом ко всем разделам системы в целях полного управления этой услугой.
27. Основные полномочия администратора услуги MPass:
1) администрирование ролей в рамках информационных систем, интегрированных с услугой MPass;
2) присвоение ролей пользователям;
3) администрирование списка информационных систем, для которых услуга MPass будет осуществлять аутентификацию и авторизацию пользователей.
28. Подробные процедуры администрирования услуги MPass, в том числе спецификация рабочих интерфейсов, описаны в Правилах о порядке администрирования услуги MPass, утвержденных владельцем услуги MPass.
[Пкт.28 изменен Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
Раздел VI
ИНТЕГРАЦИЯ УСЛУГИ MPass
29. Аутентификация и авторизация осуществляются посредством поставщиков идентификационной информации и поставщиков утверждений, интегрированных в услугу MPass.
30. Ответственность за правильную аутентификацию идентичности пользователя возлагается на поставщиков идентификационной информации, интегрированных в MPass.
31. Поставщики утверждений несут ответственность за достоверность дополнительных данных об аутентифицированном пользователе, которые поставляются услуге MPass.
32. Технический администратор услуги MPass и владелец услуги MPass несут ответственность за обеспечение целостности информации, полученной вследствие аутентификации поставщиками идентификационной информации или авторизации поставщиками утверждений в контексте обмена данными с подключенными информационными системами.
321. Для поставщиков идентификационной информации, предоставляющих квалифицированные доверительные услуги, механизм аутентификации основывается на квалифицированных доверительных услугах и осуществляется путем подписания заявки об аутентификации.
[Пкт.321 изменен Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
[Пкт.321 введен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]
33. Процесс и порядок интеграции новых поставщиков идентификационной информации и поставщиков утверждений осуществляются в соответствии с Правилами о порядке интеграции поставщиков идентификационной информации и поставщиков утверждений с услугой MPass, утвержденными владельцем услуги MPass.
[Пкт.33 изменен Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
34. Процесс и порядок интеграции бенефициаров услуги MPass осуществляются в соответствии с Правилами о порядке интеграции бенефициаров услуги MPass с услугой MPass, утвержденными владельцем услуги MPass.
[Пкт.34 изменен Пост.Прав. N 43 от 29.01.2025, в силу 28.02.2025]
[Пкт.34 изменен Пост.Прав. N 1281 от 28.11.2016, в силу 02.12.2016]