Předmluva

ISO (Mezinárodní organizace pro normalizaci) je celosvětovou federací národních normalizačních organizací (členů ISO). Na mezinárodních normách obvykle pracují technické komise ISO. Každý člen ISO, který se zajímá o předmět, pro který byla vytvořena technická komise, má právo být zastoupen v této technické komisi. Práce se zúčastňují i mezinárodní organizace, vládní i nevládní, s nimiž ISO navázalo pracovní styk. ISO úzce spolupracuje s Mezinárodní elektrotechnickou komisí (IEC) ve všech záležitostech normalizace v elektrotechnice.

Návrhy mezinárodních norem přijaté technickými komisemi se rozesílají členům ISO k hlasování. Vydání mezinárodní normy vyžaduje souhlas alespoň 75 % z hlasujících členů.

Mezinárodní norma ISO 9564-1 byla připravena technickou komisí ISO/TC 68, Bankovnictví a souvisící finanční služby, SC 6, Karty pro finanční transakce, souvisící media and operace.

ISO 9564 se skládá z následujících částí, pod společným názvem Bankovnictví - Řízení a bezpečnost osobních identifikačních čísel:

1. část: Principy a techniky ochrany PIN

2. část: Schválené algoritmy pro šifrování PIN

Přílohy A a B jsou integrální součástí této části ISO 9564. Přílohy C, D, E, F, G a H mají pouze informativní charakter.

Úvod

Identifikační číslo (PIN) je prostředek pro ověření identity zákazníka v systému elektronického převodu fondů (EFT).

Cílem řízení PIN je chránit PIN před neautorizovaným odhalením, kompromitováním, a zneužitím během jeho životního cyklu a minimalizovat tak riziko podvodu, vyskytnuvšího se v systému EFT. Utajení PIN je nutné zajistit v průběhu celého životního cyklu, který sestává z jeho výběru, vydání, aktivace, uložení, vstupu, přenosu, validace, deaktivace a jakéhokoliv dalšího použití.

Bezpečnost PIN také závisí na dobré správě klíčů. Udržování kryptografických klíčů v tajnosti má zásadní význam, protože kompromitování kteréhokoliv klíče umožňuje kompromitování každého PIN, zašifrovaného pod tímto klíčem.

Tato část ISO 9564 specifikuje kdekoliv je to možné požadavky v absolutních podmínkách. V některých případech se není možno prakticky vyhnout určité úrovni subjektivity, zejména při diskusi o stupni požadované nebo dosažené úrovně bezpečnosti.

Úroveň bezpečnosti, které by mělo být dosaženo, je nutné vztahovat k určitému počtu faktorů, včetně citlivosti dotyčných dat a pravděpodobnosti, že dojde k zachycení dat, praktičnosti předpokládaného šifrovacího procesu, nákladů na poskytnutí a prolomení zvláštního prostředku na zajištění bezpečnosti. Je proto nezbytné, aby se každý akceptor, zpracovatel a vydavatel karty dohodli na rozsahu a podrobnostech postupů bezpečnosti a řízení PIN. Absolutní bezpečnost není prakticky možné dosáhnout; proto by měly postupy pro řízení PIN implementovat preventivní opatření ke snížení příležitosti k prolomení bezpečnosti a usilovat o „vysokou" pravděpodobnost zjištění jakéhokoliv nelegálního přístupu nebo změny k materiálům PIN, důsledkem čehož by mohla tato preventivní opatření selhat. To se vztahuje na všechny etapy generování, výměny a použití PIN, včetně těch procesů, které se vyskytují v kryptografickém zařízení a těch, které souvisí s komunikací PIN.

Tato část ISO je navržena tak, aby si vydavatelé mohli být jednoznačně jisti, že i když PIN bude pod kontrolou jiných institucí, bylo řádně spravováno. Jsou stanoveny techniky pro ochranu procesu autentizace zákazníka, založeného na PIN, fyzickou ochranou PIN proti neautorizovanému odhalení v průběhu celého životního cyklu PIN.