ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 24760-3:2025 «Концепция управления идентификационными профилями – Часть 3: Практика»

В сентябре 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 24760-3:2025 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Концепция управления идентификационными профилями – Часть 3: Практика» (Information security, cybersecurity and privacy protection - A framework for identity management - Part 3: Practice) объёмом 38 страниц, см. https://www.iso.org/standard/87486.html и https://www.iso.org/obp/ui/en/#!iso:std:87486:en . Данный документ заменил ранее действовавшую редакцию ISO/IEC 24760-3:2016.

Стандарт разработан подкомитетом SC 27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединённого технического комитета Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК) JTC1 «Информационные технологии».

В России данный стандарт (в редакции 2016 года) был адаптирован как ГОСТ Р 59382-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 3. Практические приемы», см. https://protect.gost.ru/document1.aspx?control=31&baseC=6&id=240682 .

Во вводной части стандарта отмечается:

Что представляет собой стандарт ISO/IEC 24760-3?

Стандарт ISO/IEC 24760-3:2025 содержит практические рекомендации и требования к управлению информацией идентификационных профилей и к обеспечению соответствия систем управления идентификационными профилями установленным концептуальным рамкам, - в частности, стандартам ISO/IEC 24760-1 (основные термины и понятия) и ISO/IEC 24760-2 (эталонная архитектура).

Основное внимание в части 3 стандарта ISO/IEC 24760 уделяется практической реализации, включая такие вопросы, как контроль и управление информацией идентификационных профилей, управление доступом на основе атрибутов идентификационных профилей и механизмы обеспечения уверенности, помогающие поддерживать безопасность и защиту персональных данных в системах, движимых идентификационными профилями.

Данная часть стандарта поддерживает управление идентификационными профилями, охватывающими людей, устройства, организации и программное обеспечение, - способствуя безопасной и дружественной защите персональных данных оперативной деятельности внутри и между системами.

Чем важен стандарт ISO/IEC 24760-3?

Идентификационные профили («идентичности») лежит в основе современных цифровых экосистем, - однако в отсутствие надлежащих практик даже самые лучшие концепции могут оказаться неэффективными. Стандарт ISO/IEC 24760-3 устраняет этот пробел, предоставляя конкретные операционные рекомендации по созданию и поддержке доверенных систем управления идентификационными профилями.

Проектируются ли решения для управления доступом, регистрации новых пользователей (onboarding), мобильной идентификации или федеративных систем, - данный стандарт предлагает основополагающие практики, поддерживающие безопасную, соответствующую законодательно-нормативным требованиям и эффективную обработку данных идентификационных профилей.

Преимущества стандарта

Стандарт ISO/IEC 24760-3:

• Обеспечивает соответствие систем концептуальным положениям стандартов ISO/IEC 24760-1 и ISO/IEC 24760-2
  
  
• Поддерживает реализацию систем управления идентификационными профилями, обеспечивающими сохранение неприкосновенности частной жизни (защиту персональных данных)
  
  
• Поддерживает основанные на оценке рисков меры и средства контроля и управления доступом и проверки личности 
  
  
• Согласуется с имеющими более широкую область применения стандартам защиты персональных данных и кибербезопасности, такими как ISO/IEC 29100 и ISO/IEC 27001
  
  
• Обеспечивает уверенность и доверие в системах управления идентификационными профилями, у которых имеется множество заинтересованных сторон

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения
5. Смягчение рисков, связанных с идентичностью, при управлении информацией идентификационных профилей
6. Информация идентификационных профилей и идентификаторы
7. Аудит использования информации идентификационных профилей
8. Цели, меры и средства контроля и управления
Приложение A: Практика управления информацией идентификационных профилей в федерации систем управления идентификационными профилями
Приложение B: Практика управления идентификационными профилями с использованием содержащихся в атрибутах проверяемых утверждениях  (credentials) для усиления защиты персональных данных
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/87486.html 
https://www.iso.org/obp/ui/en/#!iso:std:87486:en 

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 24760-2:2025 «Концепция управления идентификационными профилями – Часть 2: Эталонная архитектура и требования»

В сентябре 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 24760-2:2025 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Концепция управления идентификационными профилями – Часть 2: Эталонная архитектура и требования» (Information security, cybersecurity and privacy protection — A framework for identity management - Part 2: Reference architecture and requirements) объёмом 54 страницы, см. https://www.iso.org/standard/81953.html и https://www.iso.org/obp/ui/en/#!iso:std:81953:en . Данный документ заменил ранее действовавшую редакцию ISO/IEC 24760-2:2015.

Стандарт разработан подкомитетом SC 27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединённого технического комитета Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК) JTC1 «Информационные технологии».

В России данный стандарт (в редакции 2015 года) был адаптирован как межгосударственный стандарт ГОСТ ISO/IEC 24760-2-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 2. Базовая архитектура и требования», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230539 , а также мой пост https://rusrim.blogspot.com/2021/07/isoiec-24760-2-2021-2.html 

Во вводной части стандарта отмечается:

Что представляет собой стандарт ISO/IEC 24760-2?

Стандарт ISO/IEC 24760-2:2025 определяет эталонную архитектуру и системные требования для реализации концепций управления идентификационными профилями в информационных системах. Будучи частью более широкой серии стандартов ISO/IEC 24760, настоящий документ основан на основных терминах и понятиях, определенных в ISO/IEC 24760-1, и предлагает детальные архитектурные модели, которые помогут организациям безопасно и согласованно управлять данными идентификационных профилей.

В стандарте описаны компоненты, функции и взаимодействия, необходимые для надежной системы управления идентификационными профилями – охватывая при этом отдельных лиц, организации, устройства и программное обеспечение, - а также рассматриваются вопросы защиты персональных данных и растущая актуальность мобильных идентификационных профилей.

Чем важен стандарт ISO/IEC 24760-2?

Современные цифровые экосистемы зависят от эффективного принятия решений на основе идентификационных профилей - от входа пользователей в систему до управления правами доступа и обеспечения соблюдения правил защиты персональных данных. В отсутствие единой архитектуры и руководящих указания системы управления идентификационными профилями могут стать фрагментированными, несогласованными и/или уязвимыми для атак.

Данный стандарт предоставляет согласованный «чертёж», помогающий организациям проектировать, оценивать и развивать системы управления идентификационными профилями, уважая как потребности в сфере безопасности, так и обязательства по защите персональных данных. Документ также является «горизонтальным» стандартом, т.е. он применяется в различных секторах и способствует соответствию взаимосвязанным стандартам, таким как ISO/IEC 29100 (концепция защиты персональных данных), ISO/IEC 29115 (обеспечение уверенности в аутентификации субъектов) и ISO/IEC 29146 (стратегическое управление идентификационными профилями).

Преимущества стандарта

Стандарт ISO/IEC 24760-2:

• Предлагает чёткую и ясную эталонную архитектуру для проектирования систем управления идентификационными профилями
  
  
• Поддерживает интеграцию различных моделей и развернутых систем управления идентификационными профилями
  
  
• Поддерживает принятие решений на основе рисков при управлении доступом и стратегическом управлении идентификационными профилями
  
  
• Отражает текущие реалии цифровых идентификационных профилей, включая поддержку мобильных идентификационных профилей
  
  
• Улучшает совместимость с другими стандартами идентификации и защиты персональных данных

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Эталонная архитектура
6. Архитектура управления внутренними идентификационными профилями, корпоративная модель
7. Архитектура управления внешними идентификационными профилями
8. Требования к управлению идентификационной информацией
Приложение А: Модель варианта использования
Приложение B: Компонентная модель
Приложение C: Модель делового процесса 
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/81953.html 
https://www.iso.org/obp/ui/en/#!iso:std:81953:en 

ИСО и МЭК: Опубликована новая редакция стандарта ISO/IEC 24760-1:2025 «Концепция управления идентификационными профилями - Часть 1: Терминология и понятия»

В сентябре 2025 года сайт Международной организации по стандартизации (ИСО) сообщил о публикации новой, второй редакции стандарта ISO/IEC 24760-1:2025 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни - Концепция управления идентификационными профилями - Часть 1: Терминология и понятия»  (Information security, cybersecurity and privacy protection - A framework for identity management - Part 1: Core concepts and terminology) объёмом 32 страницы, см. https://www.iso.org/standard/87485.html и https://www.iso.org/obp/ui/en/#!iso:std:87485:en . Данный документ заменил ранее действовавшую редакцию ISO/IEC 24760-1:2019 (о ней см. мой пост https://rusrim.blogspot.com/2019/07/blog-post_24.html ).

Стандарт разработан подкомитетом SC 27 «Информационная безопасность, кибербезопасность и защита неприкосновенности частной жизни» (Information security, cybersecurity and privacy protection) Объединённого технического комитета Международной организации по стандартизации (ИСО) и Международной электротехнической комиссии (МЭК) JTC1 «Информационные технологии».

В России данный стандарт (в редакции 2019 года) был адаптирован как ГОСТ Р 59381-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 1. Терминология и концепции», см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230278 , а также мой пост https://rusrim.blogspot.com/2021/06/blog-post_19.html .

В стандарте, в частности, определены следующие термины:

3.1.1. Сущность (entity) – явно существующий отдельно элемент, имеющий отношение к цели функционирования предметной области (домена)

Примечание: Сущность может иметь физическое или логическое воплощение.

Примеры: Лицо, организация, устройство и группа таких элементов, абонент-человек телекоммуникационной услуги, SIM-карта, паспорт, сетевая карта, программное приложение, услуга или веб-сайт.

3.1.2. Идентичность (идентификационный профиль - identity), частичная идентичность (partial identity) - набор атрибутов, относящихся к сущности.

Примечание 1: Сущность может иметь несколько идентификационных профилей (идентичностей).

Примечание 2: Несколько сущностей могут иметь один и тот же идентификационный

Примечание 3: В опубликованной Международным союзом электросвязи (МСЭ – ITU) Рекомендации ITU-T X.1252 (04/2021) «Базовые термины и определения управления идентификационными профилями» (Baseline identity management terms and definitions) делается акцент на использование идентификационных профилей для различения сущностей. В настоящем документе для этой цели используется термин «идентификатор» (identifier).

Для сравнения, в Рекомендации ITU-T X.1252 определение понятия «идентичность» следующее:

6.40. Идентичность (identity): представление сущности в форме одного или нескольких атрибутов, позволяющих достаточно точно различить сущность или сущности в данном контексте. Для целей управления идентификацией термин «идентичность» понимается как идентичность (подмножество атрибутов) в контексте, - т.е. разнообразие атрибутов ограничено концептуальными рамками, с определёнными граничными условиями (контекстом), в которых сущность существует и взаимодействует.

Примечание. Каждая сущность представляется одной всесторонней идентичностью (идентификационным профилем), которая включает в себя все возможные информационные элементы, характеризующие эту сущность (атрибуты). Однако такая всесторонняя идентичность является теоретическим понятием и не поддаётся описанию и практическому применению, поскольку число всех возможных атрибутов бесконечно.

Мой комментарий: Существует русская редакция стандарта МСЭ – Рекомендация МСЭ-Т «Базовые термины и определения в области управления определением идентичности», в которой переводы терминов отличаются от англоязычной редакции.

Во вводной части стандарта отмечается:

Что представляет собой стандарт ISO/IEC 24760-1?

Стандарт ISO/IEC 24760-1:2025 определяет основные термины и понятия, являющиеся необходимыми для управления идентификационными профилями (идентичностями) в контексте информационной безопасности, кибербезопасности и обеспечения неприкосновенности частной жизни (защиты персональных данных). Будучи основополагающей частью серии стандартов ISO/IEC 24760, данный документ предоставляет язык и структуру, необходимые для проектирования, внедрения и оценки систем управления идентификационными профилями во всех типах цифровых сред.

Независимо от того, управляете ли вы учетными записями пользователей в корпоративной системе или верифицируете компоненты во взаимосвязанной экосистеме, - данный стандарт разъясняет различия между «идентичностью» (identity), «идентификатором» (identifier), атрибутами и другими основными понятиями, способствуя тем самым согласованной и безопасной обработке идентификационных профилей.

Чем важен стандарт ISO/IEC 24760-1?

По мере того, как цифровые системы все больше полагаются на решения, основанные на данных идентификационных профилей – в вопросах от аутентификации до авторизации и управления доступом - единое понимание связанных с «идентификационными профилями» понятий становится критически важным. В отсутствие чёткой концептуальной структуры (концепции) управление идентификационными профилями может стать непоследовательным, ввиду чего у организаций могут возникнуть риски, связанные с защитой персональных данных, могут появиться проблемы исполнения законодательно-нормативных требований и угрозы безопасности.

Стандарт ISO/IEC 24760-1 устанавливает такую концептуальную структуру, упрощая для систем и заинтересованных сторон взаимодействие и интеграцию, а также обеспечивая возможность доверять связанным с идентификационными профилями процессам.

Стандарт также служит в качестве «горизонтального» документа, т.е. он поддерживает и связывает широкий спектр стандартов, таких как ISO/IEC 29100 (защита персональных данных), ISO/IEC 29115 (аутентификация сущностей) и др., - способствуя интероперабельности и исполнению законодательно-нормативных требований во всех секторах.

Преимущества стандарта

Стандарт ISO/IEC 24760-1:

• Способствует четкости и ясности при проектировании, интеграции и аудите систем
  
  
• Поддерживает запроектированную защиту персональных данных (privacy-by-design) благодаря точным определениям терминов, связанных с управлением идентификационными профилями
  
  
• Формирует основу для взаимосвязанных стандартов в области кибербезопасности и защиты персональных данных
  
  
• Помогает организациям оценивать возможность доверять системам управления идентификационными профилями и степень обеспечения ими защиты персональных данных
  
  
• Применим в отношении любой системы, обрабатывающей данные идентификационных профилей, включая ИТ-компоненты, отдельных лиц и/или организации

Содержание документа следующее:

Предисловие
Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Обозначения и сокращения
5. Идентификационный профиль («идентичность»)
6. Атрибуты
7. Управление информацией идентификационных профилей
8. Идентификация
9. Аутентификация
10. Поддержание идентификационных профилей
11. Аспекты реализации
12. Неприкосновенность частной жизни (защита персональных данных)
Библиография

Источник: сайт ИСО
https://www.iso.org/standard/87485.html
https://www.iso.org/obp/ui/en/#!iso:std:87485:en 

Росстандарт: Опубликован межгосударственный стандарт ГОСТ ISO/IEC 24760-2-2021 «Основы управления идентичностью. Часть 2. Базовая архитектура и требования»

На сайте Федерального агентства по техническому регулированию и метрологии ( http://www.gost.ru/ ) в июльском 2021 года разделе ( http://protect.gost.ru/default.aspx?control=6&month=7&year=2021 ) выложен межгосударственный стандарт ГОСТ ISO/IEC 24760-2-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 2. Базовая архитектура и требования» объёмом 54 страницы, вступающий в силу 30.11.2021 года, см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230539

Напомню, что две другие части международного стандарта ISO/IEC 24760 недавно были адаптированы в качестве национальных стандартов ГОСТ Р 59381-2021 и ГОСТ Р 59382-2021 (см. пост о них здесь: http://rusrim.blogspot.com/2021/06/blog-post_19.html ).

Стандарт подготовлен Федеральным исследовательским центром «Информатика и управление» Российской академии наук» (ФИЦ ИУ РАН). АО «Аладдин Р.Д.» и ООО «Информационно-аналитический центр» (ИАВЦ) на основе собственного перевода на русский язык англоязычной версии международного стандарта ISO/IEC 24760-2:2015 «Безопасность информационных технологий и обеспечение неприкосновенности частной жизни - Концепция управления идентификационными данными - Часть 2: Эталонная архитектура и требования» (Information technology - Security techniques - A framework for identity management - Part 2: Reference architecture and requirements, см. https://www.iso.org/standard/57915.html и https://www.iso.org/obp/ui/#!iso:std:57915:en ).

Документ внесён Техническим комитетом по стандартизации ТК 022 «Информационные технологии».

Во вводной части отмечается:

«Настоящий стандарт

• представляет собой руководство по реализации управления идентификационными данными,
  
  
• определяет требования для реализации и эксплуатации архитектуры управления идентификационными данными.

Настоящий стандарт применим для любой информационной системы, обрабатывающей или хранящей информацию, связанную с идентификационными данными.»

Содержание документа следующее:

Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Сокращения и обозначения
5. Базовая архитектура
6. Требования управления идентификационной информацией
Приложение А (справочное): Правовые и нормативные аспекты
Приложение В (справочное): Модель варианта использования
Приложение С (справочное): Компонентная модель
Приложение D (справочное): Модель процесса функционирования
Библиография

Источник: сайт Росстандарта
http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230539

Новые ГОСТы управления идентификационными профилями («идентичностью») на сайте Росстандарта

На сайте Федерального агентства по техническому регулированию и метрологии ( http://www.gost.ru/ ) в июньском 2021 года разделе ( http://protect.gost.ru/default.aspx?control=6&month=6&year=2021 ) выложен стандарт ГОСТ Р 59381-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 1. Терминология и концепции» объёмом  24 страницы, вступает в силу 30.11.2021 года, см.  http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230278

Стандарт подготовлен на основе международного стандарта ISO/IEC 24760-1:2019 «Безопасность информационных технологий и обеспечение неприкосновенности частной жизни - Концепция управления идентификационными данными - Часть 1: Терминология и понятия» (IT Security and Privacy - A framework for identity management - Part 1: Terminology and concepts), см. https://www.iso.org/standard/77582.html и https://www.iso.org/obp/ui/#!iso:std:77582:en (данный документ распространяется свободно); а также мой пост: http://rusrim.blogspot.com/2019/07/blog-post_24.html

Стандарт разработан Федеральным исследовательским центром «Информатика и управление» Российской академии наук» (ФИЦ ИУ РАН), акционерным обществом «Аладдин Р.Д.» и ООО «Информационно-аналитический вычислительный центр» (ООО ИАВЦ); представлен техническим комитетом по стандартизации ТК 022 «Информационные технологии».

Во вводной части отмечается:

«Настоящий стандарт определяет термины, относящиеся к управлению идентичностью, основные концепции идентичности и управления идентичностью, а также их взаимосвязь.

Положения настоящего стандарта применимы для любой информационной системы, обрабатывающей идентификационную информацию, и используются совместно с документами по стандартизации, регламентирующими вопросы идентификации.

Настоящий стандарт предназначен для применения путем включения нормативных ссылок на него в соответствии с действующим законодательством и (или) прямого использования устанавливаемых в нем положений.»

Ключевое определение сформулировано следующим (на мой взгляд – заумным) образом:

3.13 Идентичность (identity): Представление (образ) сущности в виде одного или нескольких атрибутов, которые позволяют сущностям быть различимыми в домене.

Примечания:

1. Сущность может иметь более одного набора относящихся к ней атрибутов.

2. Несколько сущностей могут иметь одинаковый набор атрибутов.

3. Другие документы, например, ITU-T Х1252 (1]. также определяют различительное использование набора атрибутов.

Я бы предложила иную формулировку, более близкую к оригинальному английскому тексту: «Идентификационный профиль (identity) – набор атрибутов, относящихся к физическому или логическому объекту (субъекту)»

«Неудобный» термин credential, на мой взгляд, неудачно переведен как «мандат». Замечу, что, например, в ГОСТ Р 57544-2017 использован перевод «аттестационное удостоверение», вызывающий меньше протестов. Я бы также попробовала вариант «удостоверитель» (объекта или субъекта).

Содержание документа следующее:

Введение
1. Область применения
2. Нормативные ссылки
3. Термины и определения
4. Идентичность
5. Атрибуты
6. Управление идентичностью
7. Идентификация
8. Аутентификация
9. Поддержка
10. Реализация
11. Обеспечение конфиденциальности персональных данных
Библиография

Одновременно опубликованы:

ГОСТ Р 59382-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Основы управления идентичностью. Часть 3. Практические приемы» объёмом 32 страницы, вступает в силу 30.11.2021 года, см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230279 .

Стандарт подготовлен на основе международного стандарта ISO/IEC 24760-3:2016 «Информационные технологии – Методы обеспечения безопасности – Концепция управления идентификационными данными – Часть 3: Практика» (Information technology — Security techniques - A framework for identity management - Part 3: Practice), см. https://www.iso.org/standard/57916.html и https://www.iso.org/obp/ui/#!iso:std:57916:en

ГОСТ Р 59515-2021 «Информационные технологии. Методы и средства обеспечения безопасности. Подтверждение идентичности» объёмом 20 страниц, вступает в силу 30.11.2021 года, см. http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230277

Стандарт подготовлен на основе международных технических спецификаций ISO/IEC TS 29003:2018 «Информационные технологии – Методы обеспечения безопасности – Подтверждение идентичности» (Information technology - Security techniques - Identity proofing), см. https://www.iso.org/standard/62290.html и https://www.iso.org/obp/ui/#!iso:std:62290:en .

Источник: сайт Росстандарта
http://protect.gost.ru/v.aspx?control=8&baseC=6&id=230278