ΚΕΝΤΡΟ ΑΞΙΟΠΙΣΤΙΑΣ BYTE. Δήλωση Πρακτικής BYTE General CA

ΚΕΝΤΡΟ ΑΞΙΟΠΙΣΤΙΑΣ BYTE Δήλωση Πρακτικής BYTE General CA (CPS - Certification Practice Statement) Αναγνωρισμένα πιστοποιητικά για τη δημιουργία ψηφιακών υπογραφών Υπεύθυνος του Έργου: Έμπιστη Αρχή BYTE Στοιχεία της ΑΠ: Αρχή Πιστοποίησης (ΑΠ) BYTE QC General CA Διαβάθμιση: Έκδοση: 1.001 Έγγραφο: BYTE QC General CA CPS_1.001_gr Ημερομηνία Έναρξης Ισχύος: 16/11/2014 Με την επιφύλαξη παντός δικαιώματος: Η εταιρεία BYTE διατηρεί όλα τα δικαιώματα πνευματικής ιδιοκτησίας ως προς το περιεχόμενο του παρόντος εγγράφου ή έχει δεόντως εξουσιοδοτηθεί να το χρησιμοποιεί. Όλα τα σήματα στο παρόν έγγραφο χρησιμοποιούνται μόνο για την ταυτοποίηση των προϊόντων και των υπηρεσιών και υπόκεινται στους κανόνες προστασίας που προβλέπονται από το νόμο. Κανένα τμήμα του παρόντος εγγράφου δεν δύναται να φωτοτυπηθεί, αντιγραφεί, αποθηκευτεί, μεταφραστεί ή διαβιβαστεί σε τρίτους με οιοδήποτε μέσο χωρίς την προηγούμενη έγγραφη άδεια της ΒΥΤΕ. Ο Πελάτης θα πρέπει επίσης να διασφαλίσει ότι η «τεχνογνωσία» και οι μέθοδοι εργασίας που έχει θεσπίσει η BYTE δεν θα χρησιμοποιηθούν εκτός του πεδίου εφαρμογής του έργου, ούτε θα διαβιβαστούν σε τρίτους. Εμπιστευτικότητα Όλες οι πληροφορίες που παρουσιάζονται στις σελίδες του παρόντος εγγράφου, συμπεριλαμβανομένων των οργανωτικών εννοιών, είναι απόρρητες εμπορικές ή οικονομικές πληροφορίες, εμπιστευτικές ή απαραβίαστες, και αποτελούν ιδιοκτησία της ΒΥΤΕ. Τίθενται στη διάθεση του Πελάτη γνωρίζοντας ότι δεν θα χρησιμοποιηθούν ούτε θα γνωστοποιηθούν χωρίς την άδεια της ΒΥΤΕ για οποιονδήποτε άλλο σκοπό εκτός από εκείνους του σχεδίου, και σύμφωνα με τους όρους που μπορεί να ορίζονται στο τελικό σχέδιο. Ο Πελάτης μπορεί να επιτρέψει σε ορισμένους υπαλλήλους, συμβούλους, και εντολοδόχους οι οποίοι μπορεί να χρειαστεί να γνωρίζουν το περιεχόμενο του παρόντος εγγράφου, να έχουν πρόσβαση σε αυτό το περιεχόμενο, αλλά θα πρέπει να λάβει τα δέοντα μέτρα για να διασφαλίσει ότι τα εν λόγω φυσικά ή νομικά πρόσωπα οφείλουν να το διατηρούν εμπιστευτικό. Οι αναφερόμενοι περιορισμοί δεν περιορίζουν το δικαίωμα χρήσης ή γνωστοποίησης πληροφοριών σε αυτό το έγγραφο από τον Πελάτη, όταν λαμβάνονται από οποιαδήποτε άλλη πηγή που δεν υπόκειται σε οιουσδήποτε κανόνες απορρήτου, ή όταν η πληροφορία πριν δοθεί έχει ήδη αποκαλυφθεί από τρίτους. BYTE Α.Ε. Καλλιρρόης 98 & Τριβόλη 117 41 Αθήνα, Ελλάδα. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 1 / 88

Πίνακας Περιεχομένων 0. Γενικό Πλαίσιο... 10 1. Εισαγωγή... 12 1.1. Επισκόπηση... 12 1.1.1. Πολιτικές Αναγνωρισμένου Πιστοποιητικού... 13 1.2. Ονομασία και Ταυτοποίηση Εγγράφου... 13 1.3. Συμμετέχοντες στην Υποδομή υ Κλειδιού (ΥΔΚ)... 14 1.3.1. Αρχές Πιστοποίησης... 14 1.3.2. Αρχές Εγγραφής - Registration Authorities... 15 1.3.3. Συνδρομητές (Υποκείμενο, Κάτοχοι τίτλου, Χρήστες)... 16 1.3.4. Βασιζόμενα Μέρη (Relying Parties)... 16 1.3.5. Συμμετέχων... 17 1.3.6. Αρχή Διαπίστευσης... 17 1.3.7. Ανεξάρτητος Ελεγκτής... 17 1.4. Χρήση Πιστοποιητικού... 18 1.4.1. Κατάλληλες Χρήσεις Πιστοποιητικών... 18 1.4.2. Μη-εξουσιοδοτημένη (απαγορευμένη) Χρήση... 19 1.5. Διαχείριση Πολιτικής... 19 1.5.1. Οργανισμός που χορηγεί το έγγραφο... 19 1.5.2. Πρόσωπο/Οντότητα που προσδιορίζει την καταλληλότητα ΔΠΠ ως προς ΠΠ... 20 1.5.3. Διαδικασίες Έγκρισης ΔΠΠ... 20 1.6. Ορισμοί και Ακρωνύμια... 20 2. Υποχρεώσεις όσον αφορά θέματα δημοσίευσης και αποθετηρίου... 21 2.1. Αποθετήρια... 21 2.2. Δημοσίευση Στοιχείων Πιστοποιητικού... 21 2.3. Χρόνος και Συχνότητα Δημοσίευσης... 22 2.4. Έλεγχος Πρόσβασης στα Αποθετήρια... 22 3. Αναγνώριση και Επιβεβαίωση της Γνησιότητας... 23 3.1. Ονοματοδοσία... 23 3.1.1. Τύποι ονομάτων... 23 3.1.2. Η σημασία της σωστής ονοματοδοσίας... 24 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 2 / 88

3.1.3. Ανωνυμία ή Ψευδονόματα Συνδρομητών... 24 3.1.4. Μοναδικότητα των Ονομάτων... 24 3.1.5. Κανόνες για την Ερμηνεία των Διαφόρων Τύπων Ονομάτων... 25 3.1.6. Αναγνώριση, Επιβεβαίωση Γνησιότητας και Ρόλος Κατοχυρωμένων Εμπορικών Σημάτων 25 3.2. Αρχική Επαλήθευση Ταυτότητας... 25 3.2.1. Μέθοδος Απόδειξης της Κατοχής Ιδιωτικού Κλειδιού... 26 3.2.2. Ψηφιακό Πιστοποιητικό Αναγνωρισμένης Υπογραφής... 26 3.2.3. Επιβεβαίωση της γνησιότητας των στοιχείων φυσικών προσώπων... 27 3.2.4. Μη-Επαληθευμένα Στοιχεία Συνδρομητή... 28 3.2.5. Έλεγχος της αξιοπιστίας μιας Οντότητας... 28 3.2.6. Κριτήρια Διαλειτουργικότητας... 28 3.3. Ταυτοποίηση και Επιβεβαίωση Γνησιότητας για Αιτήματα Επαναδημιουργίας Κλειδιών 28 3.3.1. Ταυτοποίηση και Επιβεβαίωση γνησιότητας για Τακτική Επαναδημιουργία Κλειδιών29 3.3.2. Αναγνώριση και ταυτοποίηση για επαναδημιουργία κλειδιών μετά την ανάκληση πιστοποιητικού... 29 3.4. Αναγνώριση και Ταυτοποίηση για Αίτημα Ανάκλησης... 29 4. Λειτουργικές Απαιτήσεις κατά τη Διάρκεια Ζωής Πιστοποιητικού... 31 4.1. Αίτηση για Πιστοποιητικό... 31 4.1.1. Ποιος μπορεί να υποβάλει αίτηση πιστοποιητικού... 31 4.1.2. Διαδικασία εγγραφής και υποχρεώσεις... 31 4.2. Επεξεργασία Αίτησης Πιστοποιητικού... 31 4.2.1. Αίτημα έκδοσης πιστοποιητικού από BYTE General CA... 31 4.2.5. Επεξεργασία Αίτησης Πιστοποιητικού... 32 4.3. Έκδοση Πιστοποιητικού... 33 4.3.1. Ενέργειες ΑΠ κατά την Έκδοση Πιστοποιητικών... 33 4.3.2. Αναγνωρισμένα Ψηφιακά Πιστοποιητικά.... 33 4.3.3. Κοινοποίηση της έκδοσης του πιστοποιητικού στον συνδρομητή... 33 4.4. Αποδοχή Πιστοποιητικού... 33 4.4.1. Ενέργειες Αποδοχής Πιστοποιητικού... 33 4.4.2. Δημοσίευση του Πιστοποιητικού... 33 4.4.3. Κοινοποίηση της Έκδοσης Πιστοποιητικού στις Λοιπές Οντότητες... 34 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 3 / 88

4.5. Χρήση Ζεύγους Κλειδιών και Πιστοποιητικού... 34 4.5.1. Χρήση Ιδιωτικού Κλειδιού Συνδρομητή και Πιστοποιητικού... 34 4.5.2. Χρήση υ Κλειδιού Βασιζόμενου Μέρους και Πιστοποιητικού... 34 4.6. Ανανέωση Πιστοποιητικού με Δημιουργία Νέου Ζεύγους Κλειδιών... 35 4.6.1. Συνθήκες για ανανέωση του πιστοποιητικού, Δημιουργία Νέου Ζεύγους Κλειδιών.. 35 4.6.2. Ποιος μπορεί να ζητήσει Πιστοποιητικό Νέου υ Κλειδιού... 35 4.6.3. Επεξεργασία Αιτήσεων Ανανέωσης Πιστοποιητικού με Δημιουργία Νέου Ζεύγους Κλειδιών 35 4.6.4. Κοινοποίηση Έκδοσης Νέου Πιστοποιητικού στον Συνδρομητή... 35 4.6.5. Ενέργειες Αποδοχής Ανανέωσης Πιστοποιητικού με Δημιουργία Νέου Ζεύγους Κλειδιών 35 4.6.6. Δημοσίευση ενός ανανεωμένου πιστοποιητικού με Δημιουργία Νέου Ζεύγους Κλειδιών 35 4.6.7. Κοινοποίηση της Έκδοσης Ανανεωμένου Πιστοποιητικού στις Λοιπές Οντότητες... 35 4.7. Επαναδημιουργία Κλειδιών Πιστοποιητικού... 35 4.7.1. Συνθήκες για Επαναδημιουργία Κλειδιών Πιστοποιητικού... 35 4.7.2. Ποιοι μπορούν να Αιτηθούν την Πιστοποίηση Νέου υ Κλειδιού... 36 4.7.3. Επεξεργασία Αιτήματος Επαναδημιουργίας Κλειδιών Πιστοποιητικού... 36 4.7.4. Κοινοποίηση Έκδοσης Νέου Πιστοποιητικού στον Συνδρομητή... 36 4.7.5. Ενέργειες Αποδοχής Πιστοποιητικού Επαναδημιουργίας Κλειδιών... 36 4.7.6. Δημοσίευση Πιστοποιητικού Επαναδημιουργίας Κλειδιών... 36 4.7.7. Κοινοποίηση της Έκδοσης Πιστοποιητικού στις Λοιπές Οντότητες... 36 4.8. Τροποποίηση Πιστοποιητικού... 36 4.8.1. Λόγοι αλλαγής του πιστοποιητικού... 36 4.8.2. Ποιος μπορεί να αιτηθεί Τροποποίηση Πιστοποιητικού... 36 4.8.3. Επεξεργασία Αιτημάτων Τροποποίησης Πιστοποιητικού... 36 4.8.4. Κοινοποίηση Έκδοσης Νέου Πιστοποιητικού στον Συνδρομητή... 36 4.8.5. Ενέργειες Αποδοχής Τροποποιημένου Πιστοποιητικού... 37 4.8.6. Δημοσίευση Τροποποιημένου Πιστοποιητικού από την ΑΠ... 37 4.8.7. Κοινοποίηση Έκδοσης Πιστοποιητικού από την ΑΠ προς Άλλες Οντότητες... 37 4.9. Αναστολή και Ανάκληση Πιστοποιητικού... 37 4.9.1. Συνθήκες για Αναστολή Πιστοποιητικού... 37 4.9.2. Ποιοι μπορούν να Αιτηθούν την Αναστολή Πιστοποιητικού... 38 4.9.3. Διαδικασία Υποβολής Αιτήματος Αναστολής... 38 4.9.4. Περιορισμοί για το Χρονικό Διάστημα Αναστολής... 38 4.9.5. Άλλα έντυπα διαθέσιμα για την κοινοποίηση της αναστολής... 38 4.9.6. Συνθήκες για Ανάκληση Πιστοποιητικού... 39 4.9.7. Ποιοι μπορούν να Αιτηθούν την Ανάκληση Πιστοποιητικού... 39 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 4 / 88

4.9.8. Διαδικασία Υποβολής Αιτήματος Ανάκλησης Πιστοποιητικού... 40 4.9.9. Περίοδος Χάριτος του Αιτήματος Ανάκλησης... 40 4.9.10. Χρονική Περίοδος Διεκπεραίωσης της Διαδικασίας Ανάκλησης... 40 4.9.11. Απαιτήσεις Ελέγχου Κατάστασης Ανακληθέντων Πιστοποιητικών Βασιζόμενα Μέρη40 4.9.12. Συχνότητα έκδοσης Καταλόγου Ανακληθέντων Πιστοποιητικών (ΚΑΠ)... 41 4.9.13. Μέγιστη Χρονική Περίοδος μεταξύ Έκδοσης και Δημοσίευσης του ΚΑΠ... 41 4.9.14. Διαθεσιμότητα Επαλήθευσης της Κατάστασης / Ανάκλησης Πιστοποιητικού... 41 4.9.15. Απαιτήσεις για Διαδικτυακή Επαλήθευση της Ανάκλησης... 42 4.9.16. Άλλες Διαθέσιμες Μορφές Αναγγελίας Ανάκλησης... 42 4.9.17. Ειδικές Απαιτήσεις σχετικά με την Έκθεση σε Κίνδυνο του Κλειδιού... 42 4.10. Υπηρεσίες Κατάστασης Πιστοποιητικών... 42 4.10.1. Λειτουργικά Χαρακτηριστικά... 42 4.10.2. Διαθεσιμότητα υπηρεσιών... 42 4.10.3. Προαιρετικά χαρακτηριστικά... 42 4.11. Τερματισμός Συνδρομής... 43 4.12. Παρακαταθήκη και Ανάκτηση Κλειδιού... 43 4.12.1. Πολιτικές και πρακτικές ανάκτησης κλειδιών... 43 4.12.2. Πολιτικές και πρακτικές ι ανάκτησης των κλειδιών περιόδων λειτουργίας... 43 5. Μέτρα Προστασίας εγκαταστάσεων, διαχείρισης, λειτουργίας και ΦΥΣΙΚΑ Μέτρα Προστασίας... 44 5.1. Φυσικά Μέτρα Ασφαλείας... 44 5.1.1. Χωροθέτηση και Κατασκευή του Χώρου... 44 5.1.2. Φυσική Πρόσβαση... 45 5.1.3. Παροχή Ηλεκτρικού Ρεύματος και Κλιματισμός... 45 5.1.4. Έκθεση σε Νερό... 46 5.1.5. Πρόληψη και Προστασία από Πυρκαγιά... 46 5.1.6. Αποθήκευση - Φύλαξη Μέσων... 46 5.1.7. Διάθεση αποβλήτων... 47 5.1.8. Φύλαξη αντιγράφων ασφαλείας εκτός του χώρου εγκαταστάσεων... 47 5.2. Διαδικαστικοί Έλεγχοι... 47 5.2.1. Ρόλοι Εμπιστοσύνης. Οι Ομάδες Εργασίας... 47 5.2.2. Αριθμός Προσώπων που απαιτούνται ανά τομέα εργασίας... 48 5.2.4. Ρόλοι που Απαιτούν Διαχωρισμό Καθηκόντων... 49 5.3. Έλεγχος Ασφαλείας Προσωπικού... 49 5.3.1. Απαιτήσεις σχετικές με τα προσόντα, την εμπειρία και την εξουσιοδότηση... 50 5.3.2. Διαδικασία ελέγχου ιστορικού (παρελθόντος)... 50 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 5 / 88

5.3.3. Απαιτήσεις κατάρτισης και πείρας... 50 5.3.4. Συχνότητα και απαιτήσεις εκπαίδευσης (π.χ. νέες επικαιροποιήσεις και υπηρεσίες) 51 5.3.5. Συχνότητα και Απαιτήσεις για την Εναλλαγή Θέσεων Εργασίας... 51 5.3.6. Κυρώσεις για μη εξουσιοδοτημένες ενέργειες... 51 5.3.7. Απαιτήσεις περί Ανεξάρτητων Αναδόχων (ή/και παρόχων υπηρεσιών)... 51 5.3.8. Έντυπα που διατίθενται στο Προσωπικό... 52 5.4.1. Τύποι γεγονότων που καταχωρίζονται (καταγράφονται)... 52 5.4.2. Συχνότητα επεξεργασίας των αρχείων καταγραφής... 53 5.4.3. Περίοδος διατήρησης του ημερολογίου καταγραφής ελέγχων... 53 5.4.4. Προστασία του αρχείου καταγραφής... 53 5.4.5. Διαδικασίες εφεδρικών αντιγράφων των αρχείων καταγραφής... 53 5.4.6. Σύστημα συλλογής αρχείων ελέγχου (Εσωτερικό - Εξωτερικό)... 53 5.4.7. Κοινοποίηση στο υποκείμενο που προκάλεσε το περιστατικό... 53 5.4.8. Εκτίμηση Τρωτότητας... 54 5.5.1. Είδη τηρούμενων αρχείων... 54 5.5.2. Περίοδος διατήρησης αρχείου... 54 5.5.3. Προστασία του Αρχείου... 54 5.5.4. Διαδικασίες Αρχειοθέτησης Εφεδρικών Αντιγράφων... 54 5.5.5. Απαιτήσεις για την χρονοσήμανση των αρχείων... 54 5.5.6. Σύστημα Ελέγχου Αρχείων (Εσωτερικό - Εξωτερικό)... 55 5.5.7. Διαδικασίες για την πρόσβαση και την επαλήθευση πληροφοριών αρχείου... 55 5.7. Αποκατάσταση Έπειτα από Καταστροφή και Έκθεση σε Κίνδυνο... 55 5.8. Παύση Εργασιών της ΑΠ... 57 6. ΤΕΧΝΙΚΟΙ Έλεγχοι Ασφαλείας... 58 6.1. Παραγωγή και Εγκατάσταση Ζεύγους Κλειδιών... 58 6.1.1. Παραγωγή Ζεύγους Κλειδιών... 58 6.1.2. Παράδοση Ιδιωτικού Κλειδιού στον Συνδρομητή... 58 6.1.3. Παράδοση υ Κλειδιού στον εκδότη του πιστοποιητικού... 59 6.1.4. Παράδοση υ Κλειδιού ΑΠ σε βασιζόμενα μέρη... 59 6.1.5. Μέγεθος κλειδιού... 59 6.1.6. Δημιουργία παραμέτρων και έλεγχος ποιότητας δημόσιων κλειδιών... 59 6.2. Προστασία Ιδιωτικών Κλειδιών και Έλεγχοι Κρυπτογραφικής Μονάδας... 59 6.2.1. Πρότυπα και μέτρα ελέγχου κρυπτογραφικής μονάδας... 59 6.2.2. Έλεγχος του Ιδιωτικού Κλειδιού από Πολλαπλά Πρόσωπα (n από m)... 61 6.2.3. Παρακαταθήκη Ιδιωτικού Κλειδιού (Συνδρομητή)... 61 6.2.4. Δημιουργία αντίγραφου ασφαλείας Ιδιωτικού Κλειδιού ΑΠ... 61 6.2.5. Αρχειοθέτηση Ιδιωτικών Κλειδιών ΑΠ... 61 6.2.6. Μεταφορά Ιδιωτικού Κλειδιού προς/από κρυπτογραφική μονάδα ΑΠ... 61 6.2.7. Αποθήκευση Ιδιωτικού Κλειδιού σε κρυπτογραφική μονάδα ΑΠ... 62 6.2.8. Μέθοδος ενεργοποίησης ιδιωτικού κλειδιού ΑΠ... 62 6.2.9. Μέθοδος απενεργοποίησης ιδιωτικού κλειδιού ΑΠ... 62 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 6 / 88

6.2.10. Μέθοδος καταστροφής ιδιωτικού κλειδιού ΑΠ... 62 6.2.11. Αξιολόγηση Ασφαλείας κρυπτογραφικής μονάδας... 62 6.3. Άλλα θέματα διαχείρισης του Ζεύγους Κλειδιών... 63 6.3.1. Αρχειοθέτηση υ Κλειδιού... 63 6.3.2. Λειτουργικές περίοδοι πιστοποιητικών και περίοδος χρήσης ζεύγους κλειδιών... 63 6.4. Δεδομένα Ενεργοποίησης ΑΠ... 63 6.4.1. Παραγωγή και Εγκατάσταση δεδομένων ενεργοποίησης... 63 6.4.2. Προστασία δεδομένων ενεργοποίησης... 64 6.4.3. Άλλα θέματα για την ενεργοποίηση δεδομένων... 64 6.5. Μέτρα Ασφαλείας των Υπολογιστών... 64 6.5.1. Τεχνικές Προδιαγραφές Ασφάλειας Υπολογιστών... 64 6.5.2. Αξιολόγηση Ασφάλειας Υπολογιστών... 64 6.6. Μέτρα Ελέγχου Ασφάλειας κατά τη Διάρκεια Ζωής Πιστοποιητικού... 65 6.6.1. Μέτρα/μέσα ελέγχου ανάπτυξης συστήματος... 65 6.6.2. Μέτρα/μέσα ελέγχου διαχείρισης ασφάλειας... 65 6.6.3. Μέτρα/μέσα ελέγχου ασφάλειας κατά τη Διάρκεια Ζωής Πιστοποιητικού... 65 6.7. Μέτρα Ελέγχου Ασφάλειας Δικτύου... 65 6.8. Χρονοσήμανση (Χρονολογική Επαλήθευση)... 65 7. Προφίλ Πιστοποιητικού και ΚΑΠ... 66 Παρακαλείσθε να ανατρέξετε στη σχετική Πολιτική Πιστοποιητικών.... 66 8. ΈΛΕΓΧΟΣ ΣΥΜΜΟΡΦΩΣΗΣ ΚΑΙ άλλες ΑΞΙΟΛΟΓΗΣΕΙΣ... 67 8.1. Συχνότητα ή Περιστάσεις/Λόγοι της Επιθεώρησης / του Ελέγχου... 67 8.2. Ταυτότητα/προσόντα του αξιολογητή/ελεγκτή... 67 8.3. Σχέση του αξιολογητή με την υπό αξιολόγηση οντότητα... 68 8.4. Θέματα που καλύπτει η αξιολόγηση - Πεδίο εφαρμογής του ελέγχου... 68 8.5. Ανάληψη ενεργειών λόγω ελλείψεων... 68 8.6. Κοινοποίηση των αποτελεσμάτων... 69 9. ΛΟΙΠΑ ΕΠΙΧΕΙΡΗΣΙΑΚΑ ΚΑΙ ΝΟΜΙΚΑ ΘΕΜΑΤΑ... 70 9.1. Τέλη 70 9.1.1. Τέλη έκδοσης ή ανανέωσης πιστοποιητικού... 70 9.1.2. Τέλη για την πρόσβαση σε πιστοποιητικό... 70 9.1.3. Τέλη για την πρόσβαση σε πληροφορίες ανάκλησης ή κατάστασης... 70 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 7 / 88

9.1.4. Τέλη λοιπών υπηρεσιών... 70 9.1.5. Πολιτική Επιστροφής Χρημάτων... 70 9.2. Οικονομική Ευθύνη... 71 9.2.1. Ασφαλιστική κάλυψη... 71 9.2.2. Άλλοι πόροι... 71 9.2.3. Ασφαλιστική ή Εγγυητική κάλυψη για τελικούς φορείς... 71 9.3. Εμπιστευτικότητα Επιχειρησιακών Πληροφοριών... 72 9.3.1. Εύρος εμπιστευτικών πληροφοριών... 72 9.3.2. Πληροφορίες που δεν εμπίπτουν στην κατηγορία των εμπιστευτικών πληροφοριών72 9.3.3. Ευθύνη προστασίας εμπιστευτικών πληροφοριών... 73 9.4. Προστασία Προσωπικών Πληροφοριών... 73 9.4.1. Σχέδιο προστασίας προσωπικών δεδομένων - Μέτρα για τη διασφάλιση των προσωπικών δεδομένων... 73 9.4.2. Πληροφορίες που αντιμετωπίζονται ως ιδιωτικές... 73 9.4.3. Πληροφορίες που δεν θεωρούνται ιδιωτικές... 73 9.4.4. Ευθύνη προστασίας προσωπικών πληροφοριών... 73 9.4.5. Αναγγελία και συγκατάθεση για χρήση προσωπικών πληροφοριών... 73 9.4.6. Αποκάλυψη πληροφοριών σύμφωνα με δικαστική ή διοικητική διαδικασία... 74 9.4.7. Λοιπές συνθήκες γνωστοποίησης πληροφοριών... 74 9.5. Δικαιώματα πνευματικής ιδιοκτησίας... 74 9.6. Δηλώσεις και Εγγυήσεις... 74 9.6.1. Δηλώσεις και Εγγυήσεις της ΑΠ... 74 9.6.2. Δηλώσεις και Εγγυήσεις του Συνδρομητή... 75 9.6.3. Δηλώσεις και εγγυήσεις βασιζόμενου μέρους... 76 9.6.4. Δηλώσεις και εγγυήσεις λοιπών συμμετεχόντων... 76 9.7. Αποποιήσεις Εγγυήσεων... 76 9.8. Περιορισμοί Ευθύνης... 77 9.9. Αποζημιώσεις... 77 9.10. Διάρκεια και Καταγγελία... 78 9.10.1. Διάρκεια 78 9.10.2. Καταγγελία... 78 9.10.3. Αντικατάσταση και ανάκληση της ΔΠΠ... 78 9.10.4. Συνέπειες από την παύση εργασιών... 79 9.11. Ατομικές κοινοποιήσεις και επικοινωνίες με συμμετέχοντες... 79 9.12. Τροποποιήσεις... 79 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 8 / 88

9.12.1. Διαδικασία τροποποίησης... 79 9.12.2. Μηχανισμός και χρονική περίοδος κοινοποίησης... 79 9.12.3. Συνθήκες υπό τις οποίες επιβάλλεται τροποποίηση του Αναγνωριστικού Αντικειμένου (ΑΑ) 80 9.13. Διατάξεις περί Επίλυσης Διαφορών... 80 9.14. Εφαρμοστέο Δίκαιο... 80 9.15. Συμμόρφωση με την Ισχύουσα Νομοθεσία... 80 9.16. Διάφορες Διατάξεις... 80 9.16.1. Σύνολο της συμφωνίας... 80 9.16.2. Εκχώρηση/Ανεξαρτησία... 80 9.16.3. Ακυρότητα Επιμέρους Διατάξεων... 81 9.16.4. Εφαρμογή (αμοιβές δικηγόρων και παραίτηση από δικαιώματα)... 81 9.16.5. Ανωτέρα Βία... 81 9.16.6. Λοιπές διατάξεις... 81 10. Μέτρα ασφαλείας ελέγχων και Συμπέρασμα... 82 10.1. Εσωτερικοί και Εξωτερικοί Έλεγχοι... 82 10.2. Πρότυπα Αναγνωρισμένων Ψηφιακών Πιστοποιητικών... 82 10.3. Συμπέρασμα... 82 11. PPENDIX OF DEFINITIONS AND ACRONYMS... 83 11.1. Definitions... 83 11.2. Ακρωνύμια Συντομογραφία Ελληνικοί Όροι... 86 11.3. Acronyms... 86 11.4. Βιβλιογραφία... 88 Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 9 / 88

0. ΓΕΝΙΚΟ ΠΛΑΙΣΙΟ ΠΕΡΙΛΗΨΗ ΔΙΟΙΚΗΣΗΣ Στο πλαίσιο εφαρμογής των διαφόρων δημόσιων και ιδιωτικών προγραμμάτων για την προώθηση των τεχνολογιών της πληροφορίας και των επικοινωνιών και την εισαγωγή νέων διαδικασιών σχέσεων στην κοινωνία - μεταξύ πολιτών, επιχειρήσεων, μη κυβερνητικών οργανώσεων και του κράτους - έτσι ώστε να ενισχυθεί η κοινωνία της πληροφορίας, η ηλεκτρονική διακυβέρνηση και το ηλεκτρονικό εμπόριο, τα ψηφιακά πιστοποιητικά που εκδίδονται από την Αρχή Πιστοποίησης ΒΥΤΕ General CA (ΑΠ ή CA Certification Authority) της BYTE (ΑΠ της ΒΥΤΕ General CA για συντομία), που είναι καταχωρημένη στην Αρχή Διαπίστευσης (όπως προβλέπεται από την Ευρωπαϊκή και την Ελληνική νομοθεσία), παρέχουν στον κάτοχο του ηλεκτρονικού πιστοποιητικού τους απαραίτητους μηχανισμούς για την αξιόπιστη ψηφιακή επαλήθευση της γνησιότητας, καθώς και αναγνωρισμένες ηλεκτρονικές υπογραφές (νομικά ισοδύναμες με τις χειρόγραφες υπογραφές), απαραίτητες για τις διαδικασίες αποϋλοποίησης. Η Υποδομή υ Κλειδιού της BYTE (ΥΔΚ της BYTE χάριν συντομίας, ή ΒΥΤΕ PKI), στην οποία εντάσσεται η BYTE General ΑΠ (CA), περιλαμβάνει μια ιεραρχία αξιοπιστίας που προάγει την ηλεκτρονική ασφάλεια του κατόχου ψηφιακού πιστοποιητικού. Η ΥΔΚ της BYTE καθορίζει μια δομή ηλεκτρονικής εμπιστοσύνης, η οποία επιτρέπει τη διεξαγωγή ασφαλών ηλεκτρονικών συναλλαγών, αδιάβλητη επαλήθευση της γνησιότητας, ένα μέσο συναλλαγών με ηλεκτρονική υπογραφή ή ηλεκτρονικών πληροφοριών και εγγράφων, εξασφαλίζοντας την πατρότητα, την ακεραιότητα και τη μη άρνηση αναγνώρισής τους, καθώς και την εμπιστευτικότητα των συναλλαγών ή πληροφοριών. Η Αρχή Πιστοποίησης της BYTE είναι δεόντως καταχωρισμένη στην ΕΕTΤ (Εθνική Επιτροπή Τηλεπικοινωνιών και Ταχυδρομείων, δηλαδή την Εθνική Ρυθμιστική Αρχή) όπως προβλέπεται από την ευρωπαϊκή και ελληνική νομοθεσία, οπότε είναι νομίμως εξουσιοδοτημένη να εκδίδει όλους τους τύπους ψηφιακών πιστοποιητικών, δηλαδή αναγνωρισμένα ψηφιακά πιστοποιητικά (ψηφιακά πιστοποιητικά με τον υψηλότερο βαθμό ασφάλειας που παρέχεται από το νόμο). Το παρόν έγγραφο ορίζει τη Δήλωση Πρακτικών Πιστοποίησης (ΔΠΠ ή CPS Certificate Practice Statement) που χρησιμοποιείται για την παροχή υπηρεσιών πιστοποίησης για Αναγνωρισμένα Πιστοποιητικά (ΑΠ ή QC Qualified Certificates), σύμφωνα με την Ευρωπαϊκή και την Ελληνική νομοθεσία, που εκδίδεται από την ΑΠ της BYTE. Το παρόν έγγραφο καθορίζει την ισχύουσα Δήλωση Πρακτικών (ΔΠ) Πιστοποίησης (ΔΠΠ) που χρησιμοποιείται για την έκδοση του πιστοποιητικού αναγνωρισμένης ψηφιακής υπογραφής, το οποίο θα αναφέρεται ως «Πιστοποιητικό υπογραφής» το οποίο συμπληρώνει και συμφωνεί με την αντίστοιχη Πολιτική Πιστοποιητικών (ΠΠ ή CP Certificate Policy) της ΑΠ της BYTE σύμφωνα με την ευρωπαϊκή και την ελληνική νομοθεσία. Ανάλογα με την εφαρμογή και χρήση για την αποθήκευση του πιστοποιητικού χρησιμοποιούνται ΑΔΔΥ-Ασφαλής Διάταξη Δημιουργίας Υπογραφής γνωστό ως SSCD- Secure Signature Creation Device. Σκοπός του εγγράφου Ο σκοπός του παρόντος εγγράφου είναι να καθορίσει τις επαγγελματικές, νομικές και τεχνικές απαιτήσεις και πολιτικές για την έγκριση, έκδοση, διαχείριση, χρήση, ανάκληση, και ανανέωση ηλεκτρονικών πιστοποιητικών και την παροχή των σχετικών υπηρεσιών από την BYTE. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 10 / 88

Στοχευόμενο κοινό Το παρόν έγγραφο θα δημοσιοποιείται και θα απευθύνεται σε όλους τους φορείς που σχετίζονται με κάποιο τρόπο με την ΑΠ BYTE QC General CA ειδικότερα. Δομή Εγγράφου Το έγγραφο είναι απλό, άμεσο και κατανοητό στο ευρύ κοινό, συμπεριλαμβανομένων των ατόμων που δεν διαθέτουν τεχνικές ή νομικές γνώσεις. Ωστόσο, σε περίπτωση που ο αναγνώστης δεν έχει τις ανάλογες γνώσεις και επιθυμεί να γνωρίσει τις έννοιες της κρυπτογραφίας, της Υποδομής υ Κλειδιού (ΥΔΚ ή PKI) και της ηλεκτρονικής υπογραφής, το εισαγωγικό τμήμα του αντίστοιχου εγγράφου Πολιτικής Πιστοποιητικού (ΠΠ ή CP) παρέχει τις εν λόγω πληροφορίες για να βοηθήσει στην κατανόηση του παρόντος εγγράφου. Το έγγραφο αυτό συμπληρώνει την Πολιτική Πιστοποιητικού της Βασικής ΑΠ της BYTE, και θεωρείται ότι ο αναγνώστης έχει διαβάσει ολόκληρο το περιεχόμενό της προτού διαβάσει το παρόν έγγραφο. Ιστορικό εκδόσεων Version Nr. Date Details Author(s) 1.001 16/11/2014 Εγκεκριμένη έκδοση BYTE ΑΒΕΕ Related Documents Document ID Details Author(s) BYTE QC General CA CP_1.001_gr Πολιτική Πιστοποιητικού BYTE ΑΒΕΕ Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 11 / 88

1. ΕΙΣΑΓΩΓΗ Το παρόν έγγραφο συνιστά Δήλωση Πρακτικών Πιστοποίησης (ΔΠΠ ή CPS ), σκοπός της οποίας είναι ο ορισμός του συνόλου των πολιτικών και των δεδομένων για την έκδοση και την επαλήθευση των πιστοποιητικών, καθώς και για τη διασφάλιση της αξιοπιστίας τους. Δεν παραθέτει συγκεκριμένους νομικούς κανόνες και υποχρεώσεις, αλλά ο σκοπός του είναι ενημερωτικός. Ως εκ τούτου, το παρόν έγγραφο προορίζεται να είναι απλό, άμεσο και κατανοητό στο ευρύ κοινό, συμπεριλαμβανομένων των ατόμων που δεν διαθέτουν τεχνικές ή νομικές γνώσεις. Σε συνδυασμό με την Πολιτική Πιστοποιητικού καθορίζει τις επαγγελματικές, νομικές και τεχνικές απαιτήσεις για την έγκριση, έκδοση, διαχείριση, χρήση, ανάκληση, και ανανέωση ψηφιακών πιστοποιητικών και την παροχή των σχετικών υπηρεσιών εμπιστοσύνης. Το παρόν έγγραφο περιγράφει τις πρακτικές για την έκδοση και διαχείριση των Αναγνωρισμένων Πιστοποιητικών Ψηφιακής Υπογραφής που εκδίδονται από την Αρχή Πιστοποίησης BYTE General CA. Το παρόν έγγραφο επεξηγεί την έννοια και τη λειτουργία του πιστοποιητικού, καθώς και τις διαδικασίες που πρέπει να ακολουθούνται από τα Βασιζόμενα Μέρη ή Τρίτοι Συμβαλόμενοι (Trusting Parties ή Relying Parties), καθώς και από κάθε άλλο ενδιαφερόμενο πρόσωπο, προκειμένου να εμπιστευθούν τα πιστοποιητικά που έχουν εκδοθεί από την ΑΠ της BYTE. Το παρόν έγγραφο ενδέχεται να υποβληθεί σε τακτικές επικαιροποιήσεις. Τα πιστοποιητικά που εκδίδονται από την ΑΠ της BYTE περιέχουν παραπομπή στην Πολιτική Πιστοποητικού (ΠΠ), έτσι ώστε τα Βασιζόμενα Μέρη και οι άλλοι ενδιαφερόμενοι να μπορούν να βρουν πληροφορίες σχετικά με το πιστοποιητικό και τις πολιτικές του φορέα που το εξέδωσε. 1.1. Επισκόπηση Οι πρακτικές για τη δημιουργία, την υπογραφή και την έκδοση των πιστοποιητικών, καθώς και την ανάκληση των άκυρων πιστοποιητικών, που εφαρμόζονται από μια Αρχή Πιστοποίησης (ΑΠ) είναι θεμελιώδους σημασίας για τη διασφάλιση της εμπιστοσύνης και της εμπιστοσύνης της Υποδομής υ Κλειδιού (ΥΔΚ). Η παρούσα ΔΠΠ ισχύει ειδικά για την ΑΠ QC General CA της BYTE, και αναγνωρίζει και εφαρμόζει την Οδηγία 1999/93/ΕΚ του Ευρωπαϊκού Κοινοβουλίου και του Συμβουλίου, της 13ης Δεκεμβρίου 1999, σχετικά με το Κοινοτικό πλαίσιο για τις ηλεκτρονικές υπογραφές (εφεξής στο παρόν έγγραφο «η Οδηγία»). Επίσης, εφαρμόζονται τα εξής πρότυπα: RFC 3647: Internet X.509 Public Key Infrastructure - Certificate Policy a(cp) and Certification Practices Framework; RFC 5280: Internet X.509 PKI - Certificate and CRL Profile; ETSI TS 101 456 Electronic Signatures and Infrastructures (ESI); Policy requirements for certification authorities issuing qualified certificates; CA/Browser Forum: Baseline Requirements for the Issuance and Management of Publicly Trusted Certificates, v.1.1.6. Ακολουθεί το ETSI TS 101 042, για Ηλεκτρονικές Υπογραφές και Υποδομές, Απαιτήσεις Πολιτικών για ΑΠ που εκδίδουν δημόσια κλειδιά. Η ΥΔΚ της BYTE PKI έχει πιστοποιηθεί σύμφωνα με το Web Trust, την τρέχουσα έκδοση του AICPA/CICA Web Trust Program for Certification Authorities. ΣΗΜΕΙΩΣΗ: Το πιστοποιητικό δημόσιου κλειδιού (εφεξής «πιστοποιητικό»), καθώς και όλα τα ακρωνύμια, και μια σύντομη περιγραφή των Όρων και Ορισμών παρατίθενται στο τέλος, στο ΠΑΡΑΡΤΗΜΑ ΟΡΙΣΜΩΝ ΚΑΙ ΑΚΡΩΝΥΜΙΩΝ. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 12 / 88

1.1.1. Πολιτικές Αναγνωρισμένου Πιστοποιητικού Τα Πιστοποιητικά και οι αντίστοιχες Πολιτικές Πιστοποιητικού που εξετάζονται στην παρούσα ΔΠΠ, καθορίζονται στην Οδηγία 1999/93/ΕΚ (εν συντομία, η Οδηγία) και συμμορφώνονται με τις προδιαγραφές ETSI, όπως προαναφέρθηκε ισχύουν για τις Αναγνωρισμένες Ηλεκτρονικές Υπογραφές. Η παρούσα ΔΠΠ ισχύει όσον αφορά τις Ηλεκτρονικές Υπογραφές για δύο (2) Πολιτικές Αναγνωρισμένων Πιστοποιητικών (ΠΑΠ): Η QCP public (δημόσια ΠΑΠ), είναι η Πολιτική Αναγνωρισμένων Πιστοποιητικών για τα Αναγνωρισμένα Πιστοποιητικά που έχουν εκδοθεί προς το κοινό QCP public + SSCD, είναι η Πολιτική Αναγνωρισμένων Πιστοποιητικών για τα Αναγνωρισμένα Πιστοποιητικά που εκδίδονται προς το κοινό, απαιτώντας τη χρήση Διάταξης Δημιουργίας Ασφαλών Υπογραφών (ΔΔΑΥ), δηλαδή σε Έξυπνη Κάρτα ή Token. Το πιστοποιητικό είναι ένα αναγνωρισμένο πιστοποιητικό, που η χρήση του αναφέρεται στην πολιτική πιστοποιητικών QCP στο έγγραφο Πολιτικής ETSI, και ισχύει μόνο για τους σκοπούς και τις χρήσεις που αναφέρονται στην ΠΠ και ΔΠΠ. 1.2. Ονομασία και Ταυτοποίηση Εγγράφου Το παρόν έγγραφο αποτελεί τη Δήλωση Πρακτικών (ή Κανονισμό) Πιστοποίησης της BYTE General CA. Η ΔΠΠ αναπαρίσταται σε ένα πιστοποιητικό από έναν μοναδικό αριθμό που ονομάζεται «Αναγνωριστικό Αντικειμένου» (ΑΑ ή Object Identifier). Η τιμή του Αναγνωριστικού Αντικειμένου (ΑΑ) που σχετίζεται με αυτό το έγγραφο είναι στον πίνακα. Ο Προσδιοριστής Αντικειμένου (OID) της Πολιτικής Πιστοποιητικού χρησιμοποιείται σύμφωνα με τις πληροφορίες που περιγράφονται στην παράγραφο 3.1.1. Το παρόν έγγραφο προσδιορίζεται από τα στοιχεία που περιλαμβάνονται στον ακόλουθο πίνακα: Document Information Document Version Version 1.001 Document State Approved QCP public+sscd 1.3.6.1.4.1.43887.3.2.1.1.0 Issuing Date 16/11/2014 Validity Location Not Applicable http://www.byte.gr/pki/repository/general/ Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 13 / 88

1.3. Συμμετέχοντες στην Υποδομή υ Κλειδιού (ΥΔΚ) 1.3.1. Αρχές Πιστοποίησης Μια ΑΠ είναι ένας Πάροχος-Υπηρεσιών-Πιστοποίησης (ΠΥΠ) που εκδίδει πιστοποιητικά όπως ορίζεται στην οδηγία. Η αρχή την οποία εμπιστεύονται οι χρήστες των υπηρεσιών πιστοποίησης (δηλαδή οι συνδρομητές, καθώς και τα βασιζόμενα μέρη) για τη δημιουργία και τη χορήγηση πιστοποιητικών ονομάζεται Αρχή Πιστοποίησης. Η αρχή πιστοποίησης έχει τη συνολική ευθύνη για την παροχή των υπηρεσιών πιστοποίησης που προσδιορίζονται παρακάτω. Η ΑΠ προσδιορίζεται στο πιστοποιητικό ως ο εκδότης και το ιδιωτικό κλειδί της χρησιμοποιείται για την υπογραφή αναγνωρισμένων πιστοποιητικών. Η ΑΠ μπορεί να κάνει χρήση άλλων φορέων για να παρέχει τμήματα της υπηρεσίας πιστοποίησης. Ωστόσο, η ΑΠ διατηρεί πάντα τη συνολική ευθύνη και εξασφαλίζει ότι πληρούνται οι προδιαγραφές πολιτικής που προσδιορίζονται στο παρόν έγγραφο. Για παράδειγμα, η ΑΠ μπορεί να αναθέσει το σύνολο των επιμέρους υπηρεσιών, συμπεριλαμβανομένης της δημιουργίας πιστοποιητικού. Ωστόσο, το κλειδί που χρησιμοποιείται για την υπογραφή των πιστοποιητικών θεωρείται ότι ανήκει στην ΑΠ, και η ΑΠ διατηρεί τη συνολική ευθύνη για την εκπλήρωση των απαιτήσεων που ορίζονται στο παρόν έγγραφο και την ευθύνη για την έκδοση των πιστοποιητικών προς το κοινό, όπως προβλέπεται από την οδηγία. Η BYTE διατηρεί επί του παρόντος τις παρακάτω Αρχές Πιστοποίησης: Βασική ΑΠ της BYTE (BYTE Root CA), Δευτερεύουσα ΑΠ της BYTE - ΑΠ (BYTE Sub CA eprescription CA), ως ΑΠ έκδοσης του Αναγνωρισμένου Πιστοποιητικού SignMed για τους σκοπούς της εφαρμογής της ηλεκτρονικής συνταγογράφησης, Δευτερεύουσα ΑΠ της BYTE - ΑΠ Υπηρεσιών της BYTE (BYTE Sub CA BYTE Services CA), ως ΑΠ έκδοσης μη Αναγνωρισμένου Πιστοποιητικού (για τους σκοπούς της ηλεκτρονικής συνταγογράφησης (Αυθεντικοποίηση) ή άλλες εφαρμογές αυθεντικοποίησης), Δευτερεύουσα ΑΠ της BYTE - ΑΠ (BYTE Sub CA General CA), ως ΑΠ έκδοσης Αναγνωρισμένων Πιστοποιητικών, Δευτερεύουσα ΑΠ της BYTE - ΑΠ Γενικών Υπηρεσιών της BYTE (BYTE Sub CA BYTE General Services CA), ως ΑΠ έκδοσης μη Αναγνωρισμένου Πιστοποιητικού για εφαρμογές αυθεντικοποίησης, κρυπτογράφησης κα. Κάθε ΑΠ της BYTE είναι μια Αρχή Πιστοποίησης εγγεγραμμένη στην λίστα της την ΕΕΤΤ, την Εθνική Αρχή Πιστοποίησης (http://www.eett.gr ), όπως προβλέπεται από την ευρωπαϊκή και ελληνική νομοθεσία, και ως εκ τούτου νομιμοποιείται για την έκδοση διαφορετικών τύπων ψηφιακών πιστοποιητικών, συμπεριλαμβανομένων των αναγνωρισμένων ψηφιακών πιστοποιητικών (ψηφιακά πιστοποιητικά με τον υψηλότερο βαθμό ασφάλειας που προβλέπεται από το νόμο). Εμπίπτει εντός δύο ιεραρχιών εμπιστοσύνης: ΑΠ BYTE, δεόντως καταχωρημένη στην λίστα ΕΕΤΤ, Σχεδιάζεται στο μέλλον οι ΑΠ της BYTE να διαπιστευθούν ώστε να υπάρχουν στα περισσότερα λειτουργικά συστήματα και web browsers. Με τον τρόπο αυτό, οι BYTE ΑΠ θα γίνουν γνωστές στην πλειονότητα των λειτουργικών συστημάτων και των web browsers, και ο κύριος ρόλος της είναι η διαχείριση των υπηρεσιών πιστοποίησης: έκδοση, λειτουργία, αναστολή, ανάκληση για τους συνδρομητές της. Η BYTE ΥΔΚ εκδίδει πιστοποιητικά για: Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 14 / 88

Αναγνωρισμένα Πιστοποιητικά Πιστοποιητικά για τις απαιτούμενες υπηρεσίες: o o Δικτυακή επαλήθευση πιστοποιητικού ΠΔΚΠ (Πρωτόκολλο Διαδικτυακής Κατάστασης Πιστοποιητικών ή OCSP Online Certificate Status Protocol), Time Stamping. 1.3.1.1. Πληροφορίες Πιστοποιητικού ΑΠ BYTE General CA : Distinct Name CERTIFICATE INFORMATION CN=BYTE General Certification Authority 001, OU= BYTE-PKI, O=BYTE Computer S.A.,C=GR Validity From 10/09/2014 23:11:41 to 11/03/2027 23:11:41 Thumbprint Issuer ED B3 74 42 D1 EA 38 D4 7B AD E1 65 52 3B F2 E3 28 DC 9E 5A CN = BYTE Root Certification Authority 001,O= BYTE Computer S.A.,C = GR 1.3.2. Αρχές Εγγραφής - Registration Authorities Η Αρχή Εγγραφής (AE), Registration Authority ή RA, είναι το αρμόδιο όργανο για να συλλέξει και να επαληθεύσει τα στοιχεία ταυτότητας από υφιστάμενες ΑΠ και τις πληροφορίες που απαιτούνται από την ΒΥΤΕ για κάθε τύπο πιστοποιητικού που πρόκειται να εκδοθεί. Η BYTE μπορεί να ενεργεί ως ΑΕ ή/και να συνάπτει συμφωνίες με άλλους φορείς, προκειμένου να επιτελούν αυτό το ρόλο. Ο φορέας Αρχή Εγγραφής είναι υπεύθυνος για μία ή περισσότερες από τις ακόλουθες λειτουργίες: Την ταυτοποίηση και επαλήθευση της ταυτότητας των αιτούντων πιστοποιητικό, Την έγκριση ή απόρριψη αιτήσεων έκδοσης πιστοποιητικού, Την ανάληψη ανάκλησης ή αναστολής πιστοποιητικού υπό ορισμένες συνθήκες, Την επεξεργασία των αιτήσεων των συνδρομητών για ανάκληση ή αναστολή των πιστοποιητικών τους, και Την έγκριση ή απόρριψη των αιτημάτων των συνδρομητών για ανανέωση ή επαναδημιουργία κλειδιών των πιστοποιητικών τους. Οι ΑΕ, ωστόσο, δεν υπογράφουν ούτε εκδίδουν πιστοποιητικά (δηλαδή, σε μια ΑΕ ανατίθενται ορισμένα καθήκοντα για λογαριασμό μιας ΑΠ). Σε ειδικές περιπτώσεις, τα βασιζόμενα μέρη και οι λοιποί φορείς μπορούν να λειτουργούν τις δικές τους ΑΕ και να εξουσιοδοτηθούν για την έκδοση πιστοποιητικών μετά από τη σύναψη συμφωνίας (σύμβασης) με την ΒΥΤΕ. Οι εσωτερικές υπηρεσίες της ΥΔΚ της BYTE εκτελούν την εγγραφή και επαλήθευση των απαραίτητων στοιχείων, όπως διευκρινίζεται στην Πολιτική Πιστοποιητικού του κάθε τύπου εκδοθέντων πιστοποιητικών. 1.3.2.1. Εξωτερικές Αρχές Εγγραφής Σε άλλες περιπτώσεις, θα μπορούσε να ανατεθεί από την ΑΠ η λειτουργία ΑΕ σε εξωτερικές αρχές καταχώρισης (αναφερόμενες και ως Τοπικές Αρχές Καταχώρισης ή ΤΑΕ), που μπορεί να αποτελούν ή να μην αποτελούν μέρος του ίδιου νομικού προσώπου με την ΑΠ. Σε άλλες περιπτώσεις, ο πελάτης της ΑΠ (για παράδειγμα, μια εταιρεία) μπορεί να κανονίσει με την εν λόγω ΑΠ να εκτελεί η ίδια τη λειτουργία ΑΕ ή να χρησιμοποιήσει τον εκπρόσωπό του. Υπάρχουν τόσες Αρχές Εγγραφής όσες απαιτούνται. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 15 / 88

1.3.3. Συνδρομητές (Υποκείμενο, Κάτοχοι τίτλου, Χρήστες) Στο πλαίσιο του παρόντος εγγράφου, ο όρος συνδρομητής/κάτοχος τίτλου (subscriber) αφορά σε όλους τους τελικούς χρήστες στους οποίους εκδίδονται πιστοποιητικά από την BYTE General CA. Στις περισσότερες περιπτώσεις, εκδίδονται πιστοποιητικά απευθείας σε φυσικά πρόσωπα για δική τους χρήση. Ωστόσο, είναι συχνές οι περιπτώσεις κατά τις οποίες το μέρος που αιτείται ένα πιστοποιητικό διαφέρει από το υποκείμενο για το οποίο ισχύει το πιστοποιητικό. Για παράδειγμα, μια εταιρεία μπορεί να ζητήσει πιστοποιητικά για τους υπαλλήλους της ώστε να έχουν πρόσβαση σε ηλεκτρονικές δραστηριότητες για λογαριασμό της εταιρείας. Σε αυτές τις περιπτώσεις, η οντότητα που είναι συνδρομήτρια στην αρχή πιστοποίησης για την έκδοση των πιστοποιητικών είναι διαφορετική από την οντότητα που αποτελεί το υποκείμενο του πιστοποιητικού. Σε γενικές γραμμές, ένα πιστοποιητικό δημόσιου κλειδιού συνδέει ένα δημόσιο κλειδί που ανήκει σε μια οντότητα (όπως άτομο, οργάνωση, λογαριασμό, συσκευή, ή ιστοσελίδα) με ένα σύνολο πληροφοριών που προσδιορίζει την οντότητα που σχετίζεται με τη χρήση του αντίστοιχου ιδιωτικού κλειδιού. Στις περισσότερες περιπτώσεις, που αφορούν πιστοποιητικά ταυτοποίησης, αυτή η οντότητα είναι γνωστή ως «υποκείμενο» ή «συνδρομητής» του πιστοποιητικού. Δύο εξαιρέσεις, ωστόσο, περιλαμβάνουν συσκευές (στις οποίες ο συνδρομητής είναι συνήθως το άτομο ή ο οργανισμός που ελέγχει τη συσκευή) και ανώνυμων πιστοποιητικών (στα οποία η ταυτοποίηση του ατόμου ή του οργανισμού δεν είναι διαθέσιμη από το ίδιο το πιστοποιητικό). Άλλοι τύποι πιστοποιητικών συνδέουν τα δημόσια κλειδιά με τα χαρακτηριστικά μιας οντότητας εκτός από την ταυτότητα της οντότητας, όπως ένα ρόλο, έναν τίτλο, ή πληροφορίες φερεγγυότητας. Οι κάτοχοι των πιστοποιητικών που εκδίδονται από την ΑΠ BYTE General CA θεωρούνται εκείνοι των οποίων το όνομα αναγράφεται στο πεδίο "Υποκείμενο" (subject) του πιστοποιητικού και χρησιμοποιούν το πιστοποιητικό και το αντίστοιχο ιδιωτικό κλειδί, σύμφωνα με την καθιερωμένη πολιτική πιστοποιητικών που περιγράφεται στο παρόν έγγραφο, τα πιστοποιητικά που εκδίδονται για τις κάτωθι κατηγορίες κατόχων: Φυσικό πρόσωπο ή οντότητα, Οργανισμοί. Η έκδοση των πιστοποιητικών για τεχνολογικό εξοπλισμό, όπως το πιστοποιητικό για την ΠΔΚΠ (OCSP), πραγματοποιείται πάντα υπό την ευθύνη των Ομάδων Εργασίας ΥΔΚ (PKI Working Groups). Συμφωνία Συνδρομητή (Subscriber Agreement) Πρόκειται για μια συμφωνία (σύμβαση) μεταξύ της ΑΠ και του συνδρομητή που θεσπίζει το δικαίωμα και τις ευθύνες των μερών σχετικά με την έκδοση και διαχείριση των πιστοποιητικών. 1.3.4. Βασιζόμενα Μέρη (Relying Parties) Βασιζόμενα Μέρη ή Τρίτοι Συμβαλλόμενοι ή αποδέκτες είναι φυσικά πρόσωπα, οντότητες ή εξοπλισμός που εγγυώνται την εγκυρότητα των μηχανισμών και των διαδικασιών που χρησιμοποιούνται κατά τη διαδικασία σύνδεσης του ονόματος του κατόχου με το δημόσιο κλειδί του, δηλαδή, εγγυώνται ότι το πιστοποιητικό ανταποκρίνεται στην πραγματικότητα σε όποιον λέει ότι ανήκει. Στο παρόν έγγραφο, ως βασιζόμενο μέρος θεωρείται αυτό που εγγυάται το περιεχόμενο, την εγκυρότητα και τη δυνατότητα εφαρμογής του πιστοποιητικού που έχει εκδοθεί υπό την ΥΔΚ της BYTE. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 16 / 88

Ο όρος Βασιζόμενο Μέρος αναφέρεται σε πρόσωπα ή σε οντότητες που ενεργούν βάσει εμπιστοσύνης σε κάποιο πιστοποιητικό και/ ή ψηφιακή υπογραφή που έχει εκδοθεί υπό την ΥΔΚ της BYTE. Το Βασιζόμενο Μέρος μπορεί να είναι, ή και να μην είναι, Συνδρομητής εντός της ΥΔΚ της BYTE. Συμφωνία Βασιζόμενου Μέρους (ΣΒΜ) Συμφωνία μεταξύ μιας αρχής πιστοποίησης και του βασιζόμενου μέρους που καθορίζει συνήθως τα δικαιώματα και τις υποχρεώσεις μεταξύ των μερών όσον αφορά την επαλήθευση των ψηφιακών υπογραφών ή άλλες χρήσεις των πιστοποιητικών. 1.3.5. Συμμετέχων Άτομο ή οργανισμός που έχει αναλάβει έναν ρόλο μέσα σε μια δεδομένη ΥΔΚ ως συνδρομητής, βασιζόμενο μέρος, ΑΠ ή ΑΕ, αρχή δημιουργίας πιστοποιητικού, πάροχος υπηρεσιών αποθετηρίου, ή παρόμοια οντότητα. 1.3.6. Αρχή Διαπίστευσης Η Αρχή Διαπίστευσης είναι ο αρμόδιος φορέας για τη διαπίστευση και την εποπτεία των Αρχών Πιστοποίησης. Σε γενικές γραμμές, ο ρόλος της Αρχής Διαπίστευσης που στην Ελλάδα ανήκει στην ΕΕΤΤ, είναι σχετικός με την έλεγχο / την επιθεώρηση της συμμόρφωσης, προκειμένου να εκτιμηθεί αν οι διαδικασίες που χρησιμοποιούνται από τις αρμόδιες αρχές στις δραστηριότητες πιστοποίησης τους είναι οι ελάχιστες απαιτούμενες από την ελληνική και ευρωπαϊκή νομοθεσία, καθώς και από τους όρους της παρούσας Δήλωση Πρακτικής (CPS). Η Αρχή Διαπίστευσης είναι ένα από τα «μέρη» που συμβάλλει στην αξιοπιστία των Αναγνωρισμένων Πιστοποιητικών, λόγω των αρμοδιοτήτων της επί των ΑΠ. Στο πλαίσιο των καθηκόντων της, η Αρχή Διαπίστευσης διενεργεί τους ακόλουθους ρόλους όσον αφορά τις ΑΠ: a) Διαπίστευση (Accreditation): διαδικασία για την έγκριση της άσκησης της δραστηριότητας της ΑΠ με βάση την αξιολόγηση των διαφόρων παραμέτρων, όπως φυσική ασφάλεια, HW και SW, καθώς και διαδικασίες πρόσβασης και λειτουργίας, b) Εγγραφή (Registry): διαδικασία χωρίς την οποία η ΑΠ δεν μπορεί να εκδώσει τα Αναγνωρισμένα Πιστοποιητικά, c) Εποπτεία (Supervision): διαδικασία βασιζόμενη στους ελέγχους που γίνονται προς τις Αρχές Πιστοποίησης για τον τακτικό έλεγχο των παραμέτρων συμμόρφωσης, d) Διαπίστευση του Ελεγκτή Ασφαλείας (Accreditation of the Security Auditor): πρέπει να είναι ανεξάρτητος από τον κύκλο επιρροής της ΑΠ. Υπεύθυνος για την εκτέλεση των ελέγχων ασφαλείας και την υποβολή εκθέσεων σχετικά με τη συμμόρφωση της ΑΠ με τους ισχύοντες νόμους. 1.3.7. Ανεξάρτητος Ελεγκτής Απαιτείται από την Αρχή Διαπίστευσης να είναι ανεξάρτητος από τον κύκλο επιρροής της ΑΠ. Αποστολή του είναι να ελέγχει την υποδομή των Αρχών Πιστοποίησης όσον αφορά τον εξοπλισμό, τους ανθρώπινους πόρους, τις διαδικασίες, τις πολιτικές και τους κανόνες. Θα πρέπει επίσης να υποβάλλει ετήσια έκθεση. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 17 / 88

1.4. Χρήση Πιστοποιητικού 1.4.1. Κατάλληλες Χρήσεις Πιστοποιητικών Οι απαιτήσεις και οι κανόνες που ορίζονται στο παρόν έγγραφο ισχύουν για όλα τα πιστοποιητικά που εκδίδονται από την ΑΠ BYTE General CA. Τα πιστοποιητικά που εκδίδονται από την ΥΔΚ της BYTE χρησιμοποιούνται επίσης από τα Βασιζόμενα Μέρη για την εξακρίβωση της αλυσίδας της εμπιστοσύνης ενός πιστοποιητικού που εκδίδεται εντός της ιεραρχίας της ΥΔΚ της ΒΥΤΕ, καθώς και για τη διασφάλιση της αυθεντικότητας και της ταυτότητας του εκδότη της ψηφιακής υπογραφής που δημιουργείται από το ιδιωτικό κλειδί που αντιστοιχεί στο δημόσιο κλειδί, που έχει το πιστοποιητικό που εκδίδεται δυνάμει της ΥΔΚ της ΒΥΤΕ. Τα πιστοποιητικά που εκδίδονται στον τομέα της ΥΔΚ από την BYTE χρησιμοποιούνται από διαφορετικούς συνδρομητές, υποκείμενα, συστήματα, εφαρμογές, μηχανισμούς και πρωτόκολλα με σκοπό να εξασφαλίσουν τις ακόλουθες υπηρεσίες ασφαλείας: Έλεγχος πρόσβασης, Εμπιστευτικότητα, Ακεραιότητα, Αυθεντικοποίηση ή Πιστοποίηση και Μη Αποποίηση Ευθύνης. Οι υπηρεσίες αυτές επιτυγχάνονται με τη χρήση της ΥΔΚ, μέσω της χρήσης της στη δομή εμπιστοσύνης που παρέχεται από την ΥΔΚ της ΒΥΤΕ. Ως εκ τούτου, οι υπηρεσίες ταυτοποίησης, επαλήθευσης της γνησιότητας, ακεραιότητας και μη άρνησης αναγνώρισης επιτυγχάνονται με τη χρήση ψηφιακών υπογραφών. Η εμπιστευτικότητα διασφαλίζεται με τη χρήση κρυπτογραφικών αλγορίθμων, μαζί με μηχανισμούς για τη δημιουργία και τη διανομή κλειδιών. Τα Πιστοποιητικά και οι αντίστοιχες πολιτικές που εξετάζονται στο παρόν έγγραφο, καθορίζονται στην οδηγία 1999/93/ΕΚ (εν συντομία, η οδηγία) και συμμορφώνονται με τις προδιαγραφές ETSI (Technical Specification 101 456), οι οποίες όπως προαναφέρθηκε ισχύουν για τις Ηλεκτρονικές Υπογραφές. Τα πιστοποιητικά που υποστηρίζονται και αναφέρονται στην παρούσα ΔΠ ή ΔΠΠ είναι: 1. Τα Πιστοποιητικά που μπορούν να χρησιμοποιούνται για να υποστηρίζουν ψηφιακές υπογραφές σε εφαρμογές που απαιτούν Ηλεκτρονικές Υπογραφές των οποίων «δεν [οφείλει να] απορρίπτεται η νομική ισχύς και το παραδεκτό ως αποδεικτικού στοιχείου σε νομικές διαδικασίες» σύμφωνα με το άρθρο 5 παράγραφος 2 της οδηγίας. Η χρήση των πιστοποιητικών αντιστοιχεί με την χρήση των πιστοποιητικών που αναφέρεται στη Δημόσια Πολιτική Αναγνωρισμένων Πιστοποιητικών στο έγγραφο πολιτικής του Ευρωπαϊκού Ινστιτούτου Τηλεπικοινωνιακών Προτύπων (ETSI). 2. Τα Πιστοποιητικά που μπορούν να χρησιμοποιούνται για να υποστηρίζουν ψηφιακές υπογραφές σε εφαρμογές που απαιτούν Προηγμένες Ηλεκτρονικές Υπογραφές οι οποίες «ικανοποιούν τις νομικές απαιτήσεις υπογραφής σε σχέση με τα δεδομένα σε ηλεκτρονική μορφή κατά τον ίδιο τρόπο που μια ιδιόχειρη υπογραφή ικανοποιεί τις απαιτήσεις αυτές σε σχέση με τα δεδομένα που καταχωρούνται επί χάρτου» σύμφωνα με το άρθρο 5 παράγραφος 1 της οδηγίας. Η χρήση των πιστοποιητικών αντιστοιχεί στη χρήση πιστοποιητικών που ακολουθούν την Δημόσια Πολιτική Αναγνωρισμένων Πιστοποιητικών + ΑΔΔΥ ή Ασφαλή Διάταξη Δημιουργίας Υπογραφής (QCP public + SSCD) στο έγγραφο πολιτικής ETSI με το OID 0.4.0.1.4.5.6.1.1. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 18 / 88

1.4.1.1. Τα πιστοποιητικά που εκδίδονται για ένα φυσικό πρόσωπο ή οντότητα Τα πιστοποιητικά που εκδίδονται για φυσικά ή νομικά πρόσωπα, ανάλογα με το είδος του πιστοποιητικού που αποκτήθηκε, μπορεί να χρησιμοποιηθούν με το κατάλληλο λογισμικό για: Αναγνωρισμένες Ψηφιακές Υπογραφές Αυθεντικοποίηση, κα. 1.4.2. Μη-εξουσιοδοτημένη (απαγορευμένη) Χρήση Τα πιστοποιητικά μπορούν να χρησιμοποιηθούν και σε άλλες περιπτώσεις μόνο στο βαθμό που αυτό επιτρέπεται από την ισχύουσα νομοθεσία. Τα πιστοποιητικά που εκδίδονται από την ΥΔΚ της BYTE δεν μπορούν να χρησιμοποιηθούν για οποιοδήποτε άλλο σκοπό εκτός του πεδίου εφαρμογής των χρήσεων που περιγράφεται στην ΠΠ την ΔΠΠ και τη συμφωνία με τον συνδρομητή. Οι υπηρεσίες πιστοποίησης που προσφέρει η ΥΔΚ της BYTE δεν έχουν σχεδιαστεί ούτε επιτρέπεται να χρησιμοποιούνται σε δραστηριότητες υψηλού κινδύνου ή σε δραστηριότητες που δεν επιτρέπονται οι αστοχίες, όπως εκείνες που σχετίζονται με τον κλάδο της ιατρικής περίθαλψης, των πυρηνικών, του ελέγχου εναέριας κυκλοφορίας, των συστημάτων ελέγχου σιδηροδρομικής κυκλοφορίας καθώς και οποιαδήποτε άλλη δραστηριότητα όπου ένα λάθος μπορεί να οδηγήσει σε θάνατο, τραυματισμό ή σοβαρές ζημιές στο περιβάλλον. Τα Πιστοποιητικά χρησιμοποιούνται μόνο στο βαθμό που η χρήση τους είναι σύμφωνη με την εφαρμοστέα νομοθεσία και ειδικότερα μόνο στο βαθμό που επιτρέπεται από την εφαρμοστέα νομοθεσία περί εισαγωγών και εξαγωγών. Τα αναγνωρισμένα πιστοποιητικά που εκδίδονται από την Δευτερεύουσα ΑΠ της BYTE προορίζονται για εφαρμογές πελάτη (client application) και δεν θα πρέπει να χρησιμοποιούνται ως διακομιστές ή οργανωτικά Πιστοποιητικά ή ως Πιστοποιητικά ΑΠ. Τα Πιστοποιητικά δεν μπορούν να χρησιμοποιηθούν για άλλες λειτουργίες εκτός από τις λειτουργίες της ΑΠ. 1.5. Διαχείριση Πολιτικής 1.5.1. Οργανισμός που χορηγεί το έγγραφο Υπεύθυνοι για τη διαχείριση αυτής της πολιτικής πιστοποιητικών είναι η Ομάδα Εργασίας Υπευθύνων Ασφαλείας του BYTE Trust Center. NAME Address: E-mail: Organization Administering the document ΒΥΤΕ S.A. Kallirois 98 & Trivoli Athens, 117 41 Greece pki.policies@byte.gr Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 19 / 88

Webpage: www.byte.gr Telephone number: +30 210 900 2000 Fax: +30 210 900 2075 1.5.2. Πρόσωπο/Οντότητα που προσδιορίζει την καταλληλότητα ΔΠΠ ως προς ΠΠ Οι τροποποιήσεις της παρούσας ΔΠΠ, καθώς και κάθε πολιτική της ΑΠ της ΒΥΤΕ, και μεταγενέστερες τροποποιήσεις γίνονται από την Ομάδα Εργασίας Υπευθύνων Ασφαλείας της ΒΥΤΕ (εφεξής SecOff). Η Ομάδα Εργασίας SecOff καθορίζει τη συμμόρφωση και την εσωτερική εφαρμογή της παρούσας ΔΠΠ (και/ή των σχετικών Πολιτικών Πιστοποιητικών), και την υποβάλλει στην Ομάδα Διοίκησης (TOP Management Group) για έγκριση. Τουλάχιστον μία φορά το χρόνο η ομάδα προχωρά σε επικαιροποίηση των εγγράφων ώστε να αντικατοπτρίζουν οποιεσδήποτε συνθηκών όπως αυτές συμβαίνουν. 1.5.3. Διαδικασίες Έγκρισης ΔΠΠ Η επαλήθευση της παρούσας ΔΠΠ (και/ή των σχετικών Πολιτικών Πιστοποίησης) μετά από τις διορθώσεις (ή επικαιροποιήσεις) θα διεξάγεται από την Ομάδα SecOff. Οι διορθώσεις (ή επικαιροποιήσεις), δημοσιεύονται ως νέες εκδόσεις της παρούσας ΔΠΠ (και/ή των σχετικών ΠΠ), αντικαθιστώντας κάθε προηγούμενη ΔΠΠ (ή/και των σχετικών ΠΠ). Η Ομάδα Εργασίας SecOff θα καθορίζει, επίσης, πότε οι αλλαγές στην ΔΠΠ (και/ή των σχετικών ΠΠ) οδηγούν σε αλλαγή του Αναγνωριστικό Αντικειμένου (ΑΑ) της ΔΠΠ (και/ή των σχετικών ΠΠ). Μετά τη φάση της επαλήθευσης, η ΔΠΠ (ή/και οι σχετικές ΠΠ) υποβάλλεται στη Ανώτερη Ομάδα Διοίκησης (Top Management Group), η οποία είναι υπεύθυνη για την έγκριση και την αδειοδότηση των αλλαγών που έγιναν σε αυτό το είδος των εγγράφων. 1.6. Ορισμοί και Ακρωνύμια Ένας εκτενής κατάλογος με τους σχετικούς Ορισμούς και Ακρωνύμια, καθώς και η Βιβλιογραφία που είναι σχετική με την παρούσα πολιτική περιλαμβάνεται στο τέλος του εγγράφου. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 20 / 88

2. ΥΠΟΧΡΕΩΣΕΙΣ ΟΣΟΝ ΑΦΟΡΑ ΘΕΜΑΤΑ ΔΗΜΟΣΙΕΥΣΗΣ ΚΑΙ ΑΠΟΘΕΤΗΡΙΟΥ Η BYTE διατηρεί το δικαίωμα να δημοσιεύει πληροφορίες σχετικά με τα ψηφιακά πιστοποιητικά που εκδίδει σε ένα αποθετήριο διαθέσιμο στο Διαδίκτυο, καθώς και να δημοσιεύει πληροφορίες σχετικά με την κατάσταση του πιστοποιητικού σε αποθετήρια τρίτων. H BYTE διατηρεί ένα δικτυακό αποθετήριο εγγράφων όπου παρέχει πληροφορίες σχετικά με τις πρακτικές, τις διαδικασίες, και το περιεχόμενο ορισμένων πολιτικών, συμπεριλαμβανομένου της ΔΠΠ. Γνωστοποιείται με το παρόν σε όλους τους φορείς που σχετίζονται με την έκδοση, τη χρήση ή τη διαχείριση των πιστοποιητικών της ΒΥΤΕ ότι η BYTE μπορεί να δημοσιεύει πληροφορίες που υποβάλλονται στο αποθετήριο της, το οποίο δημοσιοποιείται, προκειμένου να παρέχει πληροφορίες σχετικά με την κατάσταση του ψηφιακού πιστοποιητικού. Η BYTE δεν θα δημοσιοποιεί ορισμένα στοιχεία των εγγράφων που σχετίζονται με τους ελέγχους ασφαλείας, τις διαδικασίες, τις πολιτικές εσωτερικής ασφάλειας, κ.λπ. Ωστόσο, τα στοιχεία αυτά υπόκεινται σε τυπικούς ελέγχους διαπίστευσης, (ETSI TS 101 456). 2.1. Αποθετήρια Η BYTE Α.Ε. είναι υπεύθυνη για τη λειτουργία του αποθετηρίου της Βασικής και λοιπών ΑΠ της BYTE, για τη δημοσίευση, μεταξύ άλλων, πληροφοριών σχετικά με τις πρακτικές που υιοθετούνται και την κατάσταση των εκδοθέντων πιστοποιητικών (ΚΑΠ Κατάλογος Ανακληθέντων Πιστοποιητικών ή CRL-Certificate Revocation List). Η πρόσβαση στις πληροφορίες που διατίθενται από το αποθετήριο πραγματοποιείται μέσω του πρωτοκόλλου HTTPS και HTTP, και εφαρμόζονται οι παρακάτω μηχανισμοί ασφαλείας: Ο ΚΑΠ και η ΔΠΠ μπορούν να αλλάξουν μόνο μέσω σαφώς καθορισμένων διεργασιών και διαδικασιών, Η τεχνολογική πλατφόρμα του αποθετηρίου είναι κατάλληλα προστατευμένη μέσω των σύγχρονων τεχνικών φυσικής και λογικής ασφάλειας, Το ανθρώπινο δυναμικό που διαχειρίζεται την πλατφόρμα έχει την κατάλληλη κατάρτιση και πείρα για την εν λόγω υπηρεσία. 2.2. Δημοσίευση Στοιχείων Πιστοποιητικού Η BYTE Α.Ε. διατηρεί ένα αποθετήριο σε περιβάλλον web, επιτρέποντας στα Βασιζόμενα Μέρη (Τρίτους Συμβαλλομένους) να διεξάγουν διαδικτυακές αναζητήσεις σχετικά με την ανάκληση και άλλες πληροφορίες για την κατάσταση των Πιστοποιητικών. Η BYTE δημοσιεύει πάντα τις ακόλουθες δημόσιες πληροφορίες με: Ηλεκτρονικό αντίγραφο της πιο πρόσφατης έκδοσης της παρούσας ΔΠΠ και της Πολιτικής Πιστοποιητικών (ΠΠ) από την BYTE General CA, ηλεκτρονικά υπογεγραμμένο από δεόντως εξουσιοδοτημένο άτομο και με ψηφιακό πιστοποιητικό που δόθηκε για το σκοπό αυτό: o Η ΔΠΠ της BYTE General CA για τα πιστοποιητικά αναγνωρισμένης ψηφιακής υπογραφής είναι διαθέσιμη στην ιστοσελίδα: http://www.byte.gr/pki/repository/general/ Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 21 / 88

o Η Πολιτική Πιστοποιητικών (ΠΠ) για τα πιστοποιητικά αναγνωρισμένης ψηφιακής υπογραφής είναι διαθέσιμη στην ιστοσελίδα: http://www.byte.gr/pki/repository/general/ ΚΑΠ από την BYTE General CA : http://pki.byte.gr/crl/crl_general.crl Δέλτα-ΚΑΠ (Delta-CRL) από την BYTE General CA : http://pki.byte.gr/crl/deltacrl_general.crl Πιστοποιητικό από την BYTE General CA: http://www.byte.gr/pki/repository/general/general.cer Λοιπές σχετικές πληροφορίες http://www.byte.gr/pki/repository/root/ Επιπλέον, όλες οι προηγούμενες εκδόσεις της ΠΠ και της ΔΠΠ της BYTE είναι διαθέσιμες εφόσον ζητηθούν (εφόσον αιτιολογείται η σχετική ανάγκη). Ωστόσο, θα παραμένουν εκτός του δημόσια, με ελεύθερη πρόσβαση αποθετηρίου. 2.3. Χρόνος και Συχνότητα Δημοσίευσης Η παρούσα ΔΠΠ και οι αντίστοιχες ΠΠ επανεξετάζονται σε ετήσια βάση και επιπλέον γίνονται επικαιροποιήσεις εάν χρειαστεί, από το την Ομάδα Εργασίας των Υπεύθυνων Ασφαλείας. Οι επικαιροποιήσεις της παρούσας ΔΠΠ και των αντίστοιχων ΠΠ πραγματοποιούνται με σκοπό την προσαρμογή τους στις αλλαγές που συμβαίνουν και δημοσιεύονται μετά την έγκρισή τους από την Ανώτερη Ομάδα Διοίκησης σύμφωνα με την παράγραφο 9.12. Το πιστοποιητικό από την ΑΠ δημοσιεύεται αμέσως μετά την έκδοσή του. Ο ΚΑΠ από την BYTE General CA θα δημοσιεύεται τουλάχιστον μία φορά την εβδομάδα. Ο Δέλτα-ΚΑΠ από την BYTE General CA θα δημοσιεύεται τουλάχιστον σε καθημερινή βάση. 2.4. Έλεγχος Πρόσβασης στα Αποθετήρια Οι πληροφορίες που δημοσιεύονται από την BYTE Α.Ε. είναι διαθέσιμες στο Διαδίκτυο και υπόκεινται σε μηχανισμούς ελέγχου πρόσβασης (πρόσβαση μόνο για ανάγνωση). Η BYTE Α.Ε. εφαρμόζει φυσικά και λογικά μέτρα ασφαλείας προκειμένου να αποτρέψει την προσθήκη, διαγραφή και αλλαγή των εγγραφών στο αποθετήριο από μη εξουσιοδοτημένα άτομα. Πνευματικά δικαιώματα 2014- BYTE - Με επιφύλαξη παντός δικαιώματος Σελίδα 22 / 88