TOT Public Company Limited

TOT CA ถอยแถลงแนวทางปฏิบัติในการออกใบรับรองอิเล็กทรอนิกส

Certification Practices Statement

สารบัญ 1. คํานํา .............................................................................................................................................................................. 1

1.1 ภาพทั่วไป ............................................................................................................................................................ 1 1.2 การระบุตัวผูถือใบรับรอง .................................................................................................................................... 5 1.3 ชุมชนและการใชงาน........................................................................................................................................... 5 1.4 รายละเอียดการติดตอ........................................................................................................................................... 9

2. ขอกําหนดทั่วไป .......................................................................................................................................................... 10 2.1 ภาระหนาที่ ........................................................................................................................................................ 10 2.2 ความรับผิดชอบ ................................................................................................................................................. 13 2.3 ความรับผิดชอบทางการเงิน .............................................................................................................................. 13 2.4 การตีความและการบังคับใช .............................................................................................................................. 14 2.5 คาธรรมเนียม ..................................................................................................................................................... 15 2.6 การเผยแพรและแหลงเก็บขอมูล (Repository) .................................................................................................. 15 2.7 การตรวจสอบวาเปนไปตามขอกําหนดหรือไม................................................................................................. 17 2.8 การรักษาความลับ.............................................................................................................................................. 18 2.9 สิทธิในทรัพยสินทางปญญา .............................................................................................................................. 20

3. การรับรองตัวบุคคลและการรักษาความถูกตองของขอมูล ......................................................................................... 21 3.1 การลงทะเบียนแรกเริ่ม ...................................................................................................................................... 21 3.2 การ Re-key ตามปกติ........................................................................................................................................ 22 3.3 การ Re-key หลังจากยกเลิกใบรับรอง ............................................................................................................... 22 3.4 คํารองขอการยกเลิก ........................................................................................................................................... 22

4. ขอกําหนดการปฏิบัติการ ............................................................................................................................................ 23 4.1 การขอใบรับรอง ................................................................................................................................................ 23 4.2 การออกใบรับรอง.............................................................................................................................................. 23 4.3 การยอมรับใบรับรอง ......................................................................................................................................... 24 4.4 การระงับและการยกเลิกใบรับรอง .................................................................................................................... 24 4.5 ขั้นตอนการตรวจสอบการปองกันความปลอดภัย ............................................................................................. 28 4.6 การเก็บรักษาบันทึกตาง ๆ ................................................................................................................................. 30 4.7 การเปลี่ยนกุญแจ................................................................................................................................................ 31 4.8 การประนีประนอมและการฟนตัวจากความเสียหาย......................................................................................... 31 4.9 การยกเลิก CA ...................................................................................................................................................... 32

5. การควบคุมในการรักษาความปลอดภัยทางกายภาพ วิธีดําเนินการและบุคลากร ...................................................... 33 5.1 การควบคุมทางกายภาพ..................................................................................................................................... 33 5.2 การควบคุมวิธีดําเนินการ ................................................................................................................................... 34 5.3 การควบคุมบุคลากร........................................................................................................................................... 35

6. การควบคุมดานการรักษาความปลอดภัยทางเทคนิค.................................................................................................. 37 6.1 ผลิตชุดกุญแจคูและการติดตั้ง ............................................................................................................................ 37 6.2 การปองกันกุญแจสวนบุคคล............................................................................................................................. 38 6.3 เรื่องอื่น ๆ เกี่ยวกับการจัดการชุดกุญแจคู .......................................................................................................... 40 6.4 ขอมูลในการกระตุนใหเกิดการทํางาน .............................................................................................................. 40 6.5 การควบคุมการรักษาความปลอดภัยของคอมพิวเตอร ...................................................................................... 40 6.6 การควบคุมทางดานเทคนิคเกี่ยวกับวงจรชีวิต ................................................................................................... 41 6.7 การควบคุมการรักษาความปลอดภัยของเครือขาย ............................................................................................ 41 6.8 การควบคุมวิศวกรรมดานโมดูลการเขารหัส ..................................................................................................... 41

7. รูปโครงรางของใบรับรองและ CRL ........................................................................................................................... 42 7.1 รูปโครงรางของใบรับรอง ................................................................................................................................. 42 7.2 โครงสราง CRL ................................................................................................................................................. 43

8. วิธีการบริหารคุณลักษณะเฉพาะ ................................................................................................................................. 44 8.1 วิธีการเปลี่ยนคุณลักษณะเฉพาะ ........................................................................................................................ 44 8.2 นโยบายการเผยแพรและการใหคําบอกกลาว .................................................................................................... 44 8.3 ขั้นตอนการอนุมัติ CPS ..................................................................................................................................... 44

- 1 -

1. คํานํา

1.1 ภาพทั่วไป ถอยแถลงแนวทางปฏิบัติในการออกใบรับรอง (CPS) นี้เขียนขึ้นอยางชัดแจง เพื่อใชในภายใน

เทคโนโลยีโครงสรางพื้นฐานระบบกุญแจสาธารณะ (PKI) ของบริษัท ทีโอที จาํกัด (มหาชน) (“ทีโอท”ี) TOT PKI สนับสนุนการสรางและการใชกุญแจคูและใบรับรองกุญแจสาธารณะ

กุญแจคูและใบรับรองกุญแจสาธารณะจะใชในการใหบริการใบรับรอง PKI ของ ทีโอที รวมถึงแตไมจํากัดเพียง

1. บริการการรักษาความถูกตอง (การระบุตัวบุคคล ความถูกตองของขอมูล และการไมปฏิเสธ ความรับผิดชอบ) และ

2. บริการการรักษาความลับ ถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้แสดงเทคโนโยลีและกระบวนการปฏิบัติที่ ทีโอที ใชเพื่อประกันความสมบูรณและความเชื่อถือไดของการบริการของ ทีโอที

1.1.1 มาตรฐาน

ถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้เรียกวา “TOT PKI CPS” ถอยแถลงแนวทางปฏิบัติในการออกใบรับรองจะอาศัย RFC 2527 ซึ่งเปนนโยบายใบรับรอง

ตามโครงสรางพื้นฐานกุญแจสาธารณะ อินเตอรเน็ต X.509 และขอบขายการปฏิบัติใบรับรอง IETF PKIX RF2527 โดย เอส. โชคานี และ ดับเบิ้ลยู. ฟอรด มีนาคม 2542 อยางไรก็ตามในบางครั้งถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้จะแตกตางจากคําแนะนําเทาที่จําเปนเพื่อใหความกระจางในบางประเด็น

TOT CA เปนสวนหนึ่งของ TOT ซึ่งการปฏิบัติการไดรับการออกแบบและจัดทําตามมาตรฐานสากลและหลักปฏิบัติที่ดีที่สุดของอุตสาหกรรมนี้

เมื่อจัดทําและดําเนินการตามมาตรฐานการรับรองของรัฐบายไทย TOT CA จะดําเนินการตามเกณฑมาตรฐานการรับรองเพื่อใหไดมาซึ่งใบรับรองตามมาตรฐานเหลานี้

1.1.2 ประเภทของใบรับรองที่ออก

ถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้สนับสนุนการปฏิบัติการของ 1. ใบรับรองของหนวยงานออกใบรับรองของ ทีโอที (TOT CA) ซึ่งเปนการรับรองตนเอง 2. ใบรับรองของหนวยงานลงทะเบียนของ ทีโอที (TOT RA) ที่ออกโดย TOT CA 3. ใบรับรองของผูใชทั่วไปที่มีการเสนอชื่อที่ออกโดย TOT CA 4. ใบรับรองอื่นที่สนับสนุนตามนโยบายใบรับรองที่อาจอนุมัติโดย TOT PAA

- 2 -

1.1.3 วงจรชีวิตการจัดการใบรับรอง (CMLC) วงจรชีวิตของใบรับรองของ ทีโอที (CLC) มีภาพแสดงคือ รูป 1.1 ขางลางนี้ CMLC จะใชกับ

ใบรับรองทั้งหมดที่ออกภายใน TOT PKI

สภาพของใบรับรองในระยะแรก(ระยะท่ี 1)

ที่เก็บตนฉบับใบรับรอง

ใบรับรองหมดอายุ

การสรางใบรับรอง

การใชใบรับรอง

การลวงรูกุญแจ

การยกเลิกใบรับรอง การพัก(ระงับ)ใช

ใบรับรอง

สภาพของใบรับรองในระยะที่ 2

รูปที่ 1.1 วงจรชีวิตการจัดการใบรับรอง

CLC แสดงถึงกระบวนการจัดการใบรับรองระดับสูงภายใน TOT PKI ซึง่ประกอบดวย สภาพของใบรับรองระยะที่ 1 และสภาพของใบรับรองระยะที่ 2

สภาพของใบรับรองระยะที่ 1 คือ: 1. การสรางใบรับรอง 2. การใชงาน 3. การหมดอายุ และ 4. ที่เก็บตนฉบับใบรับรอง ทุกชนิดของใบรับรองที่ออกจะผานสภาพเบื้องตนทั้งสามเหลานี้ ซึ่งถือเปนสวนหนึ่งของวงจร

ชีวิตของใบรับรองนั้น

- 3 -

สภาพของใบรับรองระยะที่ 2 คือ: 1. การลวงรูกุญแจ 2. การพัก(ระงับ)ใชใบรับรอง และ 3. การยกเลิกใบรับรอง เปนที่คาดหวังวาเฉพาะแตใบรับรองจํานวนเล็กนอยเทานั้นภายในโครงสรางของ TOT PKI ที่

จะผานเขาสูสภาพของใบรับรองในระยะที่ 2 เนื่องจากใบรับรองเหลานี้จะถือเปนสภาพการณพิเศษ 1.1.3.1 การสรางใบรับรอง

การสรางใบรับรองใหมภายใน TOT PKI จะเกี่ยวของกับสิ่งตอไปนี้ 1. การรับคําขอใบรับรองที่อนุมัติและตรวจสอบแลวจาก TOT RA 2. การสรางใบรับรองใหม 3. การผูกมัดคูกุญแจที่เกี่ยวของกับใบรับรองเขากับเจาของใบรับรอง 4. การออกใบรับรองและกุญแจสาธารณะที่เกี่ยวของเพื่อการใชงาน ในการจัดทําคําขอใบรับรอง จะกําหนดให TOT RA ทําการ: 1. ยืนยันวาช่ือของผูใชไมปรากฏในรายชื่อของผูใชที่ถูกลวงรู 2. ปฏิบัติการตามวิธีการจดทะเบียนเพื่อรวมการตรวจสอบหลักฐานบุคลและ/หรือ

การจางงาน 3. ปฏิบัติตามขอกําหนดการรักษาความลับทั้งหมด 4. ขอรับอนุมัติเพื่อทําคําขอใบรับรอง 5. ขอรับหนังสือรับทราบวารายละเอียดใบรับรองสามารถพิมพบนระบบบริการ

ไดเรกทอรี ช่ือของเจาของใบรับรองจะเปนเอกลักษณเฉพาะและปฏิบัติตาม “มาตรฐาน X.500

สําหรับช่ือแตละช่ือที่จําแนกแลว” 1.1.3.2 การใชงาน

ใบรับรองจะนํามาใชในการปฏิบัติการในเวลาที่ออกใบรับรองและยังคงใชในการปฏิบัติการจนกระทั่ง ใบรับรองนั้น:

- หมดอายุ หรือ - พัก(ระงับ)ใชใบรับรองหรือยกเลิก ใบรับรองที่ถูกพักใชนั้นจะนํากลับมาใชได ถาเพิกถอนการพักใชใบรับรอง หรือ

ถาไมไดรับคําบอกกลาวการเพิกถอนภายในชวงสิ้นสุดระยะเวลาที่เรียกวา “ระยะเวลาผอนผัน” 1.1.3.3 ชวงอายุของใบรับรอง

TOT PAA จะกําหนดชวงอายุของใบรับรอง จะออกใบรับรองทั้งหมดโดยมีวันที่หมดอายุที่กําหนด

1.1.3.4 การหมดอายุ ใบรับรองจะหมดอายุโดยอัตโนมัติในวันที่หมดอายุตามที่กําหนด ซึ่งในเวลานั้นจะ

เก็บใบรับรองโดย TOT CA

- 4 -

1.1.3.5 ที่เก็บตนฉบับใบรับรอง (Archive) ใบรับรองที่หมดอายุจะเก็บตามกฎหมายการเก็บตนฉบับใบรับรอง (Archiving) ของ

รัฐบาลไทย 1.1.3.6 การลวงรู (Compromise)

ใบรับรองที่สงสัยวาถูกลวงรูจะถูกหยุดชะงักทันทีเพื่อตรวจสอบวาถูกลวงรูจริง หรือไม วิธีการนี้เปนการประกันวาไมมีการยกเลิกใบรับรองโดยไมจําเปน เมื่อตรวจสอบใบรับรองที่ถูกลวงรูจะยกเลิกใบรับรองทันทีและจะออกใบรับรองใหม

1.1.3.7 การพัก(ระงับ)ใชใบรับรอง เมื่อหยดุระงับใชใบรับรอง จะตองบรรจุใบแจงการพัก(ระงับ)ใชใบรับรองไวใน

ไดเรกทอรีสาธารณะของ ทีโอที ซึ่งจะเตือนผูใชลายมือช่ือวากําลังตรวจสอบใบรับรองอยู ใบแจงนี้ไมระบุเหตุผลสําหรับการพัก(ระงับ)ใชใบรับรอง เพียงแตแจงวาใบรับรองหยุดชะงักเทานั้น

การพักใชใบรับรองนี้ทําใหผูใชลายมือช่ือ (Relying Parties) ทําการตัดสินเองวาจะไววางใจหรือไมในการติดตอธุรกรรมที่ลงนามโดยใบรับรองที่เปนปญหาอยู

1.1.3.8 การยกเลิก จะยกเลิกใบรับรองเมื่อ: 1. มีการลวงรูกุญแจลับสวนบุคคลของเจาของใบรับรอง 2. มีการใหคํารับรองผิดหรือมีการทําผิดในใบรับรอง 3. ไมตองการใบรับรองอีก ใบรับรองที่ถูกยกเลิกจะเพิ่มเขาในรายการเพิกถอนใบรับรองของ ทีโอที (TOT PKI

X.500 Directory Certificate Revocation List “CRL” ) 1.1.4 ขอบเขต

การปฏิบัติการที่ระบุในถอยแถลงแนวทางปฏิบัติในการออกใบรับรอง (CPS) นี้เกี่ยวของกับ การออกการใชและกําหนดอายุของใบรับรอง และในการบํารุงรักษาในการปฏิบัติการตามโครงสรางพื้นฐานของ PKI ซึ่งจะรวมถึงแตไมจํากัดเพียงสิ่งตอไปนี้:

1. ประเภทของใบรับรอง 2. หนาที่และภาระผูกพันของ ทีโอที 3. ทะเบียนของผูใชทั่วไป 4. หนาที่และภาระผูกพันของผูใชทั่วไป 5. กระบวนการอนุมัติประเภทตาง ๆ ของใบรับรองใหมและนโยบายของใบรับรอง

- 5 -

1.2 การระบุตัวผูถือใบรับรอง ถอยแถลงแนวทางการปฏิบัติในการออกใบรับรอง (CPS) นี้เรียกวา “TOT PKI CPS” Object Identifiers (OID) ไมใชกับเอกสาร CPS

1.3 ชุมชนและการใชงาน

ทีโอที ไดจัดตั้งหนวยงานออกใบรับรอง (CA) ซึ่งหนวยงานรับลงทะเบียน (RA) ภายใต CA จะเปน ผูดําเนินงาน

หนวยงานรับลงทะเบียน (RA) นี้เปนของ ทีโอที และดําเนินงานภายในที่ต้ังที่เดียวกันกับ TOT CA ถอยแถลงแนวทางปฏิบัติในการออกใบรับรอง (CPS) นี้จะสนับสนุน: 1. บริการของ RA ที่ดําเนินงานภายใต TOT CA ซึ่งอยูภายใน “หวงโซความเชื่อถือ” ของ ทีโอที 2. ชนิดตาง ๆ ทั้งหมดของใบรับรองที่ออกภายใตโครงสรางของ TOT PKI ในการรักษาจุดประสงคเบื้องตนของการปฏิบัตินี้ การปฏิบัติในเอกสารนี้จะ: 1. เปนขอกําหนดขั้นต่ําที่จําเปนเพื่อประกันวาผูใชทั่วไปและผูใชลายมือช่ือ มีระดับความมั่นใจสูงสุด

และวามีการจัดหาหนาที่สาํคัญในระดับความเชื่อถือที่เหมาะสม 2. ใชกับองคกร/นิติบุคคล (Entities) ทุก ๆ แหงในโครงสรางของ TOT PKI สําหรับการสราง

การออกใบรับรอง การใชงานและการจัดการใบรับรอง และคูกุญแจทั้งหมด

1.3.1 หนวยงานออกใบรับรอง TOT CA เปนหนวยงานที่เช่ือถือไดสูงสุดภายในโครงสราง TOT PKI จุดประสงคเบื้องตน

ของ TOT CA คือรับรองหนวยงานรับลงทะเบียน (RA) ตาง ๆ โดยการลงชื่อดิจิตัลในใบรับรองของเขาและออกใบรับรองผูใชทั่วไปภายในโครงสรางของ TOT PKI โดยที่ TOT CA จะสรางลายมือช่ือและออกใบรับรองของตนเอง

การเขาใช TOT CA จะผานผูปฏิบัติการของหนวยงานที่ออกใบรับรอง (CAO) ความยาวของกุญแจลงลายมือช่ือของ TOT CA ที่ใชในการลงลายมือช่ือในใบรับรอง คือ 2048

บิต การสรางกุญแจของ TOT CA จะใชในสิ่งอํานวยความสะดวกที่มีการรักษาความปลอดภัยจริง ๆ บนแพล็ทฟอรมที่สอดคลองกับมาตรฐานอุตสาหกรรมทั้งหมดที่ประกันความสมบูรณและความปลอดภัย

1.3.1.1 หนาที่ของ TOT CA TOT CA มีหนาที่ดังตอไปนี้

1. สรางกุญแจของตนเอง 2. ตีพิมพนโยบายการออกใบรับรองแตละฉบับที่ซึ่งตามนโยบายดังกลาว หนวยงานนี้

จะออกใบรับรองเพื่อที่วาใบรับรองจะมีพรอมเรียบรอยแกทุกฝายที่อาศัยใบรับรองเหลานั้น TOT CA ตีพิมพนโยบายการออกใบรับรองนี้บนเว็บไซตของ TOT ที่: http://www.tot.co.th.

3. เพื่อดําเนินงานของ TOT CA ในลักษณะที่มีประสิทธิภาพและเชื่อถือได 4. เมื่อไดรับคําขอใบรับรองที่ผานการรับรองถูกตองแลวจาก TOT RA ก็จะออก

ใบรับรองผูใชทั่วไปตามนโยบายการออกใบรับรองของผูใชทั่วไปที่เกี่ยวของ

- 6 -

5. ตีพิมพใบรับรองที่ออกแลวไวในทะเบียนสาธารณะของ ทีโอที 6. ตรวจสอบความถูกตองของลายมือช่ือของตนถูกลวงรูและการที่สงสัยวาลายมือช่ือ

ของตนถูกลวงหนาในกุญแจสวนบุคคลในระดับรองลงไปใด ๆ ในชวงช้ันแหงความเชื่อถือได 7. เพื่อยกเลิกใบรับรองเมื่อไดรับคําขอยกเลิกที่รับรองความถูกตองแลวและมีการจัดรูปแบบ

อยางเหมาะสม 8. จัดสงใบรับรองที่ถูกยกเลิกไปใน CRL ที่พิมพในทะเบียนมหาชนของ ทีโอที 9. ติดตอเพื่อตรวจสอบภายในเปนประจํา

1.3.1.2 รายละเอียดการติดตอของ TOT CA รายละเอียดการติดตอของ TOT CA คือ: ช่ือ: บริษัท ทีโอที จํากัด (มหาชน) หนวยงานออกใบรับรอง ที่อยู: ถนนแจงวัฒนะ แขวงทุงสองหอง เขตหลักสี่ กรุงเทพฯ 10210 ประเทศไทย โทรศัพท: 66-2505-1000 โดเมนเนม: http://www.tot.co.th ที่อยูอี-เมล: info@tot.co.th

1.3.2 หนวยงานรับลงทะเบียน (RA)

จุดประสงคเบื้องตนของ RA คือจดทะเบียนผูใชทั่วไป RA จะรับผิดชอบการยอมรับการ ใชงานใบรับรอง ตรวจสอบหลักฐานบุคคลหรือหลักฐานรับรองอื่น ๆ ของผูสมัครเขาเปนสมาชิก หลังจากนั้นจะอนุมัติหรือปฏิเสธคําขอ

ความยาวของคียการรับรองความถูกตองของบุคคลและการรักษาความลับของ TOT RA คือ 2048 บิต การสรางคียของ TOT RA จะสรางในอุปกรณที่มีการประกันความปลอดภัยจริง ๆ บนแพล็ทฟอรมที่ถูกตองสอดคลองกับมาตรฐานอุตสาหกรรมทั้งหมดที่จะประกันความถูกตองและการรักษาความปลอดภัยของสิ่งดังกลาวนั้น

1.3.2.1 หนาที่ของ RA

RA ปฏิบัติหนาที่ดังตอไปนี้ 1. สรางคีย (Keys) ของตนเอง 2. เสนอกุญแจสาธารณะ (Public Keys) ของเขารวมกับคําขอใบรับรองที่ลงลายมือช่ือ

ดิจิตัลแก CA ที่เปนผูบังคับบัญชาของเขา 3. ปฏิบัติการ RA ในลักษณะที่มีประสิทธิภาพและเชื่อถือได 4. จดทะเบียนผูใชทั่วไปรวมถึง:

- ตรวจสอบขอมูลในใบรับรองจริงและหลักฐานประจําตัวของผูขอ - อนุมัติช่ือที่เปนเฉพาะที่จําแนกไวสําหรับผูขอใบรับรอง - ยืนยันวาช่ือของผูสมัครขอรับใบรับรองไมปรากฏในรายชื่อผูใชที่ถูกลวงรู - สรางคูกุญแจ (Key Pairs) สําหรับผูขอใบรับรองประกันวาผูใชทั่วไปลงนามใน

สัญญาของผูใชทั่วไป 5. เสนอกุญแจสาธารณะ (Public Keys) ของผูใชทั่วไปรวมกับคําขอใบรับรองที่ลง

ลายมือช่ือดิจิตัลแกหนวยงานออกใบรับรอง (CA) ที่เปนผูบังคับบัญชาของเขาและรับใบรับรองที่ออกตามคําขอเหลานี้

- 7 -

6. ออกกุญแจและใบรับรองแกผูใชทั่วไป ประกันวากุญแจสาธารณะ (Public Keys) และ PICs ไมไดรับมาโดยบุคคลที่สามกอนรับโดยผูใชทั่วไป

7. รับรองความถูกตองของคําขอจากผูใชทั่วไปเพื่อยกเลิกใบรับรองของเขาและสราง คําขอยกเลิกที่ลงลายมือช่ือดิจิตัลแกหนวยงานอกใบรับรอง (CA) ที่เปนผูบังคับบัญชาของเขา

8. ทําคําสอบถามที่สมเหตุสมผลเพื่อกําหนดอายุการใชงานของสิ่งที่ลวงรู และการลวงรู ที่สงสัยของกุญแจสาธารณะ

9. นําคํายกเลิกใบรับรองไปผานการประมวลผลเมื่อไดรับคําขอยกเลิกที่ลงลายมือช่ือ ดิจิตัลที่มีการรับรองความถูกตองหรือเมื่อไดตรวจสอบคําขอยกเลิก

1.3.2.2 รายละเอียดการติดตอของ RA รายละเอียดการติดตอสําหรับ TOT RA จะเหมือนกับของ TOT CA ดูขอ 1.3.1.2

รายละเอียดการติดตอของ TOT CA 1.3.3 ผูใชทั่วไป

ผูใชทั่วไปอาจเปนหนวยงานและลูกคาของหนวยงานนั้น หรือหนวยงานทางกฎหมายหรือ นิติบุคคลที่เปนบริษัทหรือบุคคลธรรมดา

ผูใชทั่วไปจะดําเนินการเปนผูใชทั่วไปเมื่อเขาใชกุญแจของเขาเพื่อเขารหัสและ/หรือลงลายมือ ช่ือดิจิตัลลงในขอความ หรือการติดตอธุรกรรม หรืออิเล็กทรอนิกสไฟลอื่น ๆ

ผูใชทั่วไปจะดําเนินการเปนฝายที่เช่ือถือไดเมื่อเขาอาศัยกุญแจสาธารณะของผูใชอีกคนหนึ่ง เพื่อถอดและ/หรือรับรองขอความ การติดตอธุรกรรมหรืออิเล็กทรอนิกสไฟลอื่น ๆ

1.3.4 ความสามารถในการใชงาน

ใบรับรองที่ออกใหโดย TOT CA จะใชเพื่อสนับสนุนพาณิชยอิเล็กทรอนิกสที่มีการประกันความปลอดภัยและการแลกเปลี่ยนขอมูลที่มีการประกันความปลอดภัยโดยวิธีการอิเล็กทรอนิกส

1.3.4.1 การใชใบรับรองที่ใชได TOT CA จะสนับสนุนประเภทตาง ๆ ในการทําหนาที่ตามมาตรฐานใบรับรองที่

สนับสนุนโดยถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้จะอยูในประเภทของหนาที่เบื้องตนที่ระบุขางลางนี้: 1. ใบรับรอง “หลักฐานประจําตัว” 2. ใบรับรอง “การเงิน” 3. ใบรับรอง “คุณสมบัติ”

- 8 -

ตารางแสดงประเภทของใบรับรองหนาที่

ประเภท จุดประสงค ระดับการประกัน

หลักฐานประจําตัว รับรองความถูกตองของหลักฐานประจําตัวของผูถือใบรับรองผานกระบวนการ EOI ที่แข็งแกรง

ระดับต่ํา กลาง และสูง

การเงิน อนุญาตใหผูถือใบรับรองริเริ่มการติดตอ ธุรกรรมทางการเงินในประเภทและขีดจํากัดอยางหนึ่ง

ระดับต่ํา กลาง และสูง

คุณสมบัติ เกี่ยวโยงผูถือใบรับรองเขากับสิทธิการเขาใชที่กําหนดไวกอนและสิทธิพิเศษในระดับ

สิ่งที่ไมใชเปนระดับการเขาใช ฯลฯ จะกําหนดอยูภายในคุณสมบัติใบรับรอง

1.3.2.4 ใบรับรองหลักฐานประจําตัว

ใบรับรองหลักฐานประจําตัวจะรับรองหลักฐานประจําตัวของบุคคลหรือองคกรที่มีการออกใบรับรองใหเขา การใชประโยชนตามที่กําหนดไดแก:

1. ภายในระบบขอความขาวสารเพื่อการรับรองหลักฐานประจําตัวของบุคคลหรือองคกรที่สงขอความขาวสารและจัดหาการประกันวาการติดตอสื่อสารในภายหลังมาจากบุคคลเดียวกันหรือองคกรเดียวกัน

2. ในการแลกเปลี่ยนขอมูลอิเล็กทรอนิกสที่มีการประกันความปลอดภัยเพื่อรับรองความถูกตองและปองกันขอมูลลับ

1.3.4.3 ใบรับรองทางการเงิน ใบรับรองทางการเงินออกใหเพื่ออนุญาตและตรวจสอบการติดตอทางการเงินใน

ขอบเขตทางการเงินที่กําหนดและเพื่อจุดประสงคที่กําหนด 1.3.4.4 ใบรับรองคุณสมบัติ

ใบรับรองคุณสมบัติจะผูกมัดเจาของใบรับรองใหผูกติดกับคุณสมบัติหนึ่งอยางหรือหลายอยางที่เกี่ยวกับเจาของใบรับรอง การใชที่กําหนดจะรวมถึง:

1. ความสัมพันธของเจาของใบรับรองกับองคกร 2. สิทธิการเขาสูระบบ (Log on) หรือสิทธิพิเศษของไดเรกทอรีที่เกี่ยวของกับ

เจาของใบรับรอง 3. บทบาทของบุคคลหรือนิติบุคคลอื่น ๆ

- 9 -

1.4 รายละเอียดการติดตอ นโยบายการออกใบรับรองนี้ออกใหโดย TOT PAA การสอบถามหรือการติดตออื่นๆ เกี่ยวกับเอกสาร

นี้ควรสงไปที่: บริษัท ทีโอที จํากัด (มหาชน) หนวยงานอนุมัตินโยบาย ถนนแจงวัฒนะ แขวงทุงสองหอง เขตหลักสี่ กรุงเทพฯ 10210 ประเทศไทย หรือ อาจสง อี-เมลไปที่ info@tot.co.th

1.4.1 องคกรบริหารที่มีคุณลักษณะเฉพาะ

นโยบายการออกใบรับรองนี้จะบริหารงานโดยหนวยงานอนุมัตินโยบายของ ทีโอที (TOT PAA) 1.4.2 บุคคลที่ติดตอ

ดูขอ ............ 1.4.3 บุคคลที่ตัดสินความเหมาะสมของถอยแถลงแนวทางปฏิบัติในการออกใบรับรองสําหรับนโยบายนี้

ดูขอ ..............

- 10 -

2. ขอกําหนดทั่วไป

PKI ของ ทีโอที ดําเนินการตามมาตรฐานอุตสาหกรรมและกฎหมายลายมือช่ือดิจิตัลของประเทศไทย 2.1 ภาระหนาที่

เจาของใบรับรองจะ: 1. ไดรับแจงผานนโยบายการออกใบรับรองที่เกี่ยวกับชนิดของใบรับรองของเขาเรื่องหนาที่และ

ภาระหนาที่ของเขาเพื่อประกันวาจะมีความปลอดภัย การปองกันและการรักษาความถูกตองของกุญแจลับสวนบุคคลของเขา

2. ตองทําสัญญาที่กําหนดอยางชัดเจนเรื่องภาระผูกพันเหลานี้ 3. ไมแทรกแซงกับหรือทําลายหรือพยายามแทรกแซงกบัหรือทําลายโครงสรางพื้นฐานในการ ปฏิบัติการของ TOT PKI หรือสวนประกอบใด ๆ นั้น TOT PKI ไดรับการ: - กําหนดโครงสรางและดําเนินการในลักษณะที่จะลดความเสี่ยงในการลวงรูหรือต้ังใจทําลายโดย

เจาของใบรับรอง - กําหนดนโยบายการรักษาความปลอดภัยที่จะจัดใหเพื่อการตรวจหาในชวงแรกดูความพยายามที่

จะทําลายโครงสรางพื้นฐานและรวบรวมหลักฐานที่เพียงพอเพื่อการฟองรอง 2.1.1 ภาระหนาที่ของ CA

TOT CA ปฏิบัติภาระหนาที่ของเขาตามถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้โดย: 1. ทําความพยายามที่สมเหตุสมผลเพื่อประกันวาเขาปฏิบติัการอยางมีประสิทธิภาพและ

เช่ือถือได “ความพยายามที่สมเหตุสมผล” จะรวมถึงแตไมจํากัดเพียง CA ที่จะปฏิบัติการตาม: - ขอตกลงสัญญา - วิธีการปฏิบัติการภายในที่มีเอกสารกํากับ - นโยบายการออกใบรับรองที่ใช - ถอยแถลงแนวทางการปฏิบัติในการออกใบรับรองนี้ - ภายในกฎหมายที่ใช 2. บังคับภายในขอบเขตของการปฏิบัติการของเขาในการปฏิบัติที่ระบุภายในถอยแถลง

แนวทางปฏิบัติในการออกใบรับรองนี้ หรือถอยแถลงแนวทางปฏิบัติในการออกใบรับรองที่ไดรับอนุมัติที่เกี่ยวของกับสิ่งแวดลอมการปฏิบัติการของ CA

3. ตีพิมพนโยบายในการออกใบรับรองที่ใชและถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้บนเว็บไซตที่ระบุในนโยบายการออกใบรับรองนี้

4. เมื่อไดรับคําขอใบรับรองที่ใชได ทําการออกบรับรองที่ปฏิบัติตามมาตรฐาน X.509 และทําใหสอดคลองกับความตองการของคําขอ

5. ทําการออกใบรับรองที่ในความเปนจริงถูกตองจากขอมูลที่เขาทราบมาในเวลาที่ออกและซึ่งไมมีขอผิดพลาดในการบันทึกขอมูล

6. ทําการตีพิมพใบรับรองที่ออกใหโดยไมดัดแปลงในไดเรกทอรีสาธารณะ TOT X.500

- 11 -

7. ทําคําสอบถามที่สมเหตุสมผลตามการตกลงที่ตกลงกับลูกคาเพื่อกําหนดชวงเวลาอายุของการลวงรูและการลวงรูที่สงสัยของกุญแจลับสวนบุคคล

8. ยกเลิกใบรับรองเมื่อไดรับคําขอยกเลิกที่ลงลายมือช่ือดวยดิจิตัลที่มีการรับรองความถูกตองแลวหรือเมื่อคําขอเหลานี้ไดรับการตรวจสอบแลว

9. รักษารายชื่อของกุญแจและใบรับรองที่สงสัยหรือที่ยกเลิกและเปนระยะๆ ไวในไดเรกทอรีสาธารณะของ ทีโอที TOT X.500 เพื่อประกันการตีพิมพดังกลาวไวใน CRL

10. ทําการตรวจสอบวาเปนไปตามขอกําหนดหรือไมเมื่อถึงกําหนดกาตออายุใบรับรอง 2.1.2 ภาระหนาที่ของ RA

TOT RA ปฏิบัติภาระหนาที่ของเขาตามถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้โดย: 1. ใชความพยายามที่สมเหตุสมผลเพื่อประกันวาเขาปฏิบัติการอยางมีประสิทธิภาพและ

เช่ือถือได 2. บังคับใชหลักปฏิบัติที่ระบุในถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้ 3. ยอมรับการใชงานใบรับรองผูใชทั่วไป ตรวจสอบหลักฐานประจําตัวของผูขอและยอมรับ

หรือปฏิเสธคําขอ 4. แจงผูใชทั่วไปเรื่องภาระหนาที่ของเขา 5. ออกกุญแจและใบรับรองแกผูใชทั่วไปและประกันวากุญแจลับสวนบุคคลและกลไก

ควบคุมการเขาใชในการขนสงกุญแจไมไดรับมาโดยบุคคลภายนอกกอนรับไวโดยผูใชทั่วไปและกุญแจลับสวนบุคคลไมไดรับไวโดยกลไกอื่นใดภายใตการควบคุมของ RA

6. ยกเลิกใบรับรองตามขอ 4.4.1 สภาพการณเพื่อการยกเลิก 7. แจงเจาของใบรับรองทันทีในกรณีที่เขาริเริ่มการยกเลิกใบรับรองของเขา 8. รักษาบันทึกทะเบียนตามที่อาจตองการ 9. ชวยในการตรวจสอบที่กระทําโดย TOT CA เพื่อทําใหการตออายุใบรับรองของเขาเอง

ไดผล 2.1.3 ภาระหนาที่ของผูใชทั่วไป

ผูใชทั่วไปปฏิบัติภาระหนาที่ของเขาตามถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้โดย: 1. ใหขอมูลที่ถูกตองแทจริงแก RA 2. จัดหาหลักฐานที่กําหนดคือขอมูลเรื่องใบรับรองแสดงสาระสําคัญของหลักฐานประจําตัว

เพื่อใหสอดคลองกับขอกําหนดการจดทะเบียนผูใชหรือขอกําหนดการตออายุใบรับรอง 3. รับทราบวาในการทําคําขอใบรับรองพวกเขาใหความยินยอมแกการออกใบรับรองในกรณี

ที่อนุมัติคําขอ 4. ตกลงตามกุญแจสาธารณะของเขาและใบรับรองที่ตีพิมพเผยแพรในบริการไดเรกทอรีของ

ทีโอที โดยถือเปนสวนหนึ่งของการออกใบรับรอง 5. ลงนามในสัญญาผูใชทั่วไปในที่ที่กําหนดโดยนโยบายการออกใบรับรองที่เกี่ยวของ 6. แจงทันทีให RA ของเขาทราบขอผิดพลาดใด ๆ หรือขอบกพรองใด ๆ ในใบรับรองของเขา

หรือทราบเรื่องการเปลี่ยนแปลงในภายหลังใด ๆ ในขอมูลเกี่ยวกับใบรับรอง

- 12 -

7. อานนโยบายการออกใบรับรองที่ใชและถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้กอนใชคูกุญแจของเขา

8. ใชคูกุญแจของเขาและกุญแจสาธารณะของผูใชทั่วไปเฉพาะแตตามนโยบายการออกใบรับรองที่เกี่ยวของ

9. รับรองความปลอดภัยและการรักษาความถูกตอง (Integrity) ของกุญแจลับสวนบุคคลรวมถึง:

- การควบคุมการเขาสูคอมพิวเตอรที่มีกุญแจลับสวนบุคคล - ปองกันกลไกการควบคุมการเขาใชที่ใชในการเขาสูกุญแจลับสวนบุคคล 10. แจงให RA ของเขาทราบในทันทีที่มีเรื่องหรือเหตุการณใด ๆ ซึ่งมีการลวงรูกุญแจคูหรือ

ซึ่งเขามีเหตุผลที่จะเชื่อวากุญแจคูอาจถูกลวงรู 11. ใชความระมัดระวังและการตัดสินอยางสมเหตุสมผลกอนตัดสินใจเชื่อถือลายมือช่ือดิจิตัล

รวมถึงการตรวจสอบเรื่องสถานะของใบรับรองที่เกี่ยวของ 12. สอบถามเรื่องสถานะของใบรับรองสําหรับการติดตอธุรกรรมแตละครั้งจาก CRL

2.1.4 ภาระหนาที่ของผูใชลายมือช่ือ

ภาระหนาที่ของผูใชลายมือช่ือ (Relying Party)จะถูกระบุในสัญญาผูใชทั่วไป ซึ่งผูใชลายมือช่ือ (Relying Party) จะมีภาระหนาที่ดังตอไปนี้

1. เขาใจขอบเขตซึ่งสามารถเชื่อถือใบรับรอง 2. รูจักนโยบายการออกใบรับรองที่สนับสนุนใบรับรองที่พวกเขาเชื่อถือ 3. รูจักขอจํากัด (ถามี) ของใบรับรองที่พวกเขาเชื่อถือ 4. ใชความระมัดระวังและการตัดสินอยางสมเหตุสมผลกอนตัดสินใจเชื่อถือลายมือช่ือดิจิตัล

ในขั้นต่ํา ฝายที่เช่ือถือควรทําใหตนเองพึงพอใจวา: - ใบรับรองยังคงใชได เชน ตรวจ CRL - ใบรับรองเหมาะสมสําหรับชนิดของการติดตอธุรกรรมนั้น - การรักษาความถูกตองของขอความไมไดถูกลวงรู (ใบคําขอขึ้นอยูกับการรักษาความ

ถูกตองนั้น) 2.1.5 ภาระหนาที่ในการเก็บรักษา

หนาที่การเก็บรักษาของ ทีโอที จะปฏิบัติการโดยไดเรกทอรีสาธารณะ TOT X.500 TOT CA จัดหาและรักษาโครงสรางพื้นฐานปฏิบัติการสําหรับไดเรกทอรี X.500 และประกาศ

ใบรับรอง และ CRLs ไวในไดเรกทอรีนี้ดวย ดังนั้นภาระหนาที่การเก็บรักษาจะรวมเขาในขอ 2.1.0.2 ภาระหนาที่ของ TOT CA และ 2.1.1

ภาระหนาที่ของ CA

- 13 -

2.2 ความรับผิดชอบ ทีโอที ผลิตเอกสารจํานวนหนึ่งที่ใหวิธีการและมาตรการโดยละเอียดที่กําหนดขึ้นเพื่อรับรองในเรื่อง

การรักษาความถูกตองของ TOT PKI และลดหรือจํากัดความรับผิดชอบของ ทีโอที มาตรการเหลานี้จะรวมถึงมาตรการการรักษาความปลอดภัยทางกายภาพ ในแงระดับการทํางาน และ

วิธีการจัดการกับสภาพแวดลอมที่มีความปลอดภัยอยางสูงซึ่งปฏิบัติตามมาตรฐานระหวางประเทศและหลักปฏิบัติที่ดีที่สุดทางอุตสาหกรรม

2.2.1 ความรับผิดชอบของ CA

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.2.2 ความรับผิดชอบของ RA

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.2.3 ความรับผิดชอบของผูใชทั่วไป

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.3 ความรับผิดชอบทางการเงิน

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.3.1 การชดใชคาเสียหายโดยผูใชลายมือช่ือ

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.3.2 ความสัมพันธเกี่ยวกับความไววางใจ (Fiduciary)

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.3.3 กระบวนการบริหาร

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

- 14 -

2.4 การตีความและการบังคับใช 2.4.1 กฎหมายที่ครอบคลุมถึง

นโยบายการออกใบรับรองนี้ครอบคลุมโดยกฎหมายที่บังคับใชในราชอาณาจักรไทย 2.4.1.1 โครงสราง

สัญญาที่ผูกมัดนโยบายและหลักปฏิบัติที่ระบุในเอกสารนี้จะระบุเคาโครงในสัญญาผูใชทั่วไป สัญญานี้กําหนดความสัมพันธทางสัญญาระหวางผูใชทั่วไปและ TOT RA และ TOT CA เพื่อการจัดหาใบรับรองดิจิตัลภายใน TOT PKI

2.4.2 การแยกออกจากกันได การดํารงอยู การรวมเขาดวยกัน การแจงใหทราบ

2.4.2.1 การแยก โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.4.2.2 การดํารงอยู (ภาระหนาที่ที่ตอเนื่องและการโอน) โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.4.2.3 การรวมเขาดวยกัน โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.4.2.4 การแจง โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.4.2.5 การดําเนินการแจง โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.4.2.6 การรับทราบหนังสือแจง โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.4.3 วิธีการการแกไขขอพิพาท

2.4.3.1 โครงสรางของนโยบายการออกใบรับรอง นโยบายการออกใบรับรองแตละอยางจะรวมถอยแถลงเรื่องโครงสรางของนโยบาย

การออกใบรับรอง 2.4.3.2 กระบวนการ

นโยบายการออกใบรับรองแตละฉบับจะรวมถอยแถลงเรื่องนโยบาย

- 15 -

2.5 คาธรรมเนียม โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.5.1 คาธรรมเนียมการออกใบรับรองหรือคาธรรมเนียมการตออายุ โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.5.2 คาธรรมเนียมการเขาใชใบรับรอง โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.5.3 คาธรรมเนียมการยกเลิกหรือคาธรรมเนียมการเขาใชขอมูล โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.5.4 คาธรรมเนียมสําหรับการบริการอื่น ๆ เชน ขอมูลนโยบาย โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.5.5 นโยบายชําระคืน โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.6 การเผยแพรและแหลงเก็บขอมูล (Repository)

2.6.1 การเผยแพรขอมูลของ CA

ถอยแถลงแนวทางปฏิบัติในการออกใบรับรอง (CPS) นี้ไดรับการตีพิมพทางอิเล็กทรอนิกสในรูปแบบของ PDF บนเว็บไซตของ ทีโอที

2.6.2 ความสม่ําเสมอของการเผยแพร

จะตีพิมพการประกาศนโยบายการออกใบรับรองและ CPS ทันทีเมื่อขอมูลเปลี่ยนแปลง ฉบับที่เรียบเรียงขึ้นใหมทั้งหมดของนโยบายการออกใบรับรอง และ CPS จะมีอยูบนเว็บไซตของ ทีโอที สําหรับการอางอิงผูใชทั่วไป/ผูใชลายมือช่ือ (Relying Party)

2.6.3 การควบคุมการเขาใช

ไมมีการควบคุมการเขาใชที่เกี่ยวกับการอานนโยบายการออกใบรับรองหรือ CPS บนเว็บไซตของ ทีโอที

การควบคุมการเขาใชอยางเหมาะสมจะใชเพอจํากัดบุคลากรที่ไดรับอนุญาตในเรื่องความสามารถที่จะเขียน หรือแกไขรายการเหลานี้

- 16 -

2.6.4 แหลงเก็บรักษาขอมูล (Repositories) แหลงเก็บรักษาขอมูลสําหรับ TOT PKI จัดหาใหโดยผานไดเรกทอรีสาธารณะ TOT X.500

ไดเรกทอรีนี้จะมีขอมูลเกี่ยวกับใบรับรองสําหรับใบรับรองที่ออกภายใน TOT PKI ขอมูลที่มีภายในไดเรกทอรีสาธารณะ TOT X.500 จะปฏิบัติตามกฎหมายการรักษาความลับ

ของรัฐบาลไทย มีการรักษาขอมูลในไดเรกทอรีในรูปแบบใด ๆ ไดเรกทอรีสาธารณะ TOT X.500 ใหสิ่งอํานวยความสะดวกแกผูใชลายมือช่ือ (Relying Parties)

เพื่อทําการดาวนโหลดกุญแจสาธารณะของผูใชทั่วไปหรือตรวจสอบความถูกตองของใบรับรองที่เขากําลังสอบถาม 2.6.4.1 หนาที่ของไดเรกทอรี X.500

ไดเรกทอรี X.500 ทําหนาที่ดังตอไปนี้ 1. ยอมใหมีการสอบถามคนหาช่ือบนมาสเตอรไดเรกทอรีหรือสําเนานั้นเพื่อ

กําหนดภายในชวงของโครงสรางไดเรกทอรี - จํานวนของใบรับรองที่บุคคลที่ไดรบการเสนอชื่อถือไว - ชนิดของใบรับรองแตละใบ - สถานะของใบรับรองแตละใบคือยังคงใชได หรือถูกยกเลิก หรือหมดอายุ 2. จัดหาการเขาใชกุญแจสาธารณะผานการดาวนโหลดใบรับรอง 3. ตรวจสอบ CRL อยางอัตโนมัติกอนดาวนโหลดใบรับรองและแจงฝายที่รองขอ

ถายกเลิกใบรับรอง ไดเรกทอรี TOT X.500 จะไมตีพิมพขอมูลเกี่ยวกับ: 1. ยกเลิกหรือระงับใบรับรองอยางไรหรือทําไม 2. ขอมูลลับใด ๆ

2.6.4.2 รายละเอียดการติดตอของไดเรกทอรี X.500 ไดเรกทอรีสาธารณะ TOT X.500 เปนของ ทีโอที และดําเนินการโดย ทีโอที ณ ที่ต้ัง

ที่แทจริงที่เดียวกันกับ TOT CA และ TOT PA ดูขอ 3.1.2 รายละเอียดการติดตอของ TOT CA

2.6.4.3 การมีพรอมของไดเรกทอรี X.500 ทีโอที จะพยายามใหบริการไดเรกทอรีสาธารณะ TOT X.500 ในแบบสัปดาหละ 7

วัน วันละ 24 ช่ัวโมง อยาไรก็ตามการสนับสนุนทางเทคนิคสําหรับไดเรกทอรีจะมีพรอมระหวางชั่วโมงทําการคือ 8.00 น. - 18.00 น. วันจันทรถึงวันศุกร

2.6.4.4 ฉบับตีพิมพเผยแพร CRL ไดเรกทอรีสาธารณะ TOT X.500 จะตีพิมพ CRL อยางอัตโนมัติเปนชวง ๆ เปน

ประจําเพื่อประกันวา ขอมูลที่ทันสมัยสามารถขอรับมาไดโดยผูใชลายมือช่ือ (Relying Parties)

- 17 -

2.7 การตรวจสอบวาเปนไปตามขอกําหนดหรือไม 2.7.1 ความสม่ําเสมอของการตรวจสอบวาเปนไปตามขอกําหนดหรือไมขององคกร/นิติบุคคล (Entity)

ผูใชทั่วไปจะไมถูกตรวจสอบวาเปนไปตามขอกําหนดหรือไม ทีโอที ตองดําเนินงานการตรวจสอบวาเปนไปตามขอกําหนดโดยละเอียดตามแบบแผนของ

TOT CA ตามที่มีเอกสารประกอบใน CPS ที่ไดรับการอนุมัติ: 1. ปละครั้ง 2. ในเวลาใด ๆ ก็ตามที่ถือวาไดรับการรับรองจากรัฐบาลไทยวาเวลาใดที่แผนการรับรองของ

CA จะจัดอยางเหมาะสม 2.7.2 ลักษณะ/คุณสมบัติของผูตรวจสอบ

บริษัทหรือบุคคลใด ๆ ที่ทําสัญญาหรือดําเนินงานดานการตรวจสอบเกี่ยวกับ TOT CA หรือ TOT RA ตองมีประสบการณที่สําคัญเกี่ยวของในการใช PKI และเทคโนโลยีการเขารหัส

2.7.3 ความสัมพันธของผูตรวจสอบกับฝายที่ถูกตรวจสอบ

นอกเหนือจากหนาที่การตรวจสอบ ผูตรวจสอบและฝายที่ถูกตรวจสอบจะไมมีความสัมพันธทางกฎหมายหรือทางดานการเงิน หรืออื่น ๆ ในปจจุบันหรืออนาคตที่วางแผนไวที่อาจมีผลขัดแยงทางผลประโยชน

2.7.4 หัวเรื่องตาง ๆ ของการตรวจสอบ

หัวเรื่องตาง ๆ ที่จะไดรับการตรวจสอบ รวมถึง: การรักษาความปลอดภัยที่แทจริง การทําเอกสารประกอบและขั้นตอน (กรรมวิธีตาง ๆ) การตรวจสอบยอนหลังของบุคลากรปฏิบัติการ เทคโนโลยี

2.7.5 การดําเนินการเพราะผลของความไมเพียงพอ

เมื่อพบสิ่งผิดปกติ เจาหนาที่ที่ใหการอนุญาตตามนโยบายของบริษัท ทีโอที จํากัด (มหาชน) จะเขาไปควบคุมหรือดําเนินการแกไขอยางเหมาะสมทันที

2.7.6 การติดตอสื่อสารเพื่อสงผลของการตรวจสอบ

ผลการตรวจสอบคือขอมูลเชิงพาณิชยที่ละเอียดออน เวนแตระบุไวเปนอยางอื่นในสัญญา ผลการตรวจสอบดังกลาวจะไดรับการคุมครองตามขอตอไปนี้

- 18 -

2.8 การรักษาความลับ 2.8.1 ชนิดของขอมูลที่เก็บเปนความลับ

2.8.1.1 ขอมูลการบันทึกทะเบียน จะใชขอมูลทั้งหมดที่ TOT CA และ TOT RA เก็บรวบรวมหรือถือครองในการ

สนับสนุนการดําเนินการโครงสรางของ TOT PKI เทานั้น ขอมูลสวนบุคคลสําหรับจุดประสงคการบันทึกทะเบียนภายใตนโยบายการออก

ใบรับรองจะแบงเปน 2 ชนิด คือ: 1. ขอมูล EOI ที่ TOT CA เก็บรวบรวมเพื่อชวยเหลือสนับสนุนการปฏิบัติงาน RA

ของหนวยงาน (“การบันทึกทะเบียน”) และ 2. ขอมูลที่ TOT CA ทําขึ้นเพื่อขยายพื้นที่เก็บขอมูลในใบรับรอง X.509 (“ขอมูล

ใบรับรอง”) 2.8.1.2 ขอมูลใบรับรอง

ในเวลาที่มีการทําบันทึกทะเบียน การเก็บขอมูลดังกลาวจะรวมถึงขอมูลสวนบุคคลดวยขอมูลบางอยางจะรวมในใบรับรอง TOT RA ตาม “ITU – T recommendation X.500 (1993) ISO/IEC 9594 – 1:1993 เทคโนโลยีสารสนเทศ – การเชื่อมตอระหวางระบบแบบเปด – ไดเรคทอรี่ – ภาพรวมของขอคิดเห็นทั่วไป – ตนแบบและการบริการตาง ๆ” และสอดคลองกับอนุสัญญาเรื่องช่ือพิเศษเฉพาะ

ขอมูลที่ถือเปนสวนหนึ่งของการบันทึกทะเบียนและรวมในใบรับรอง TOT RA ตามวรรคกอนหนานี้ไมถือเปนขอมูลลับและขอนี้ไมปองกันการเผยแพรขอมูลดังกลาว

ขอมูลอื่นทั้งหมดที่มีอยูในบันทึกทะเบียนเปนขอมูลสวนบุคคล 2.8.2 ชนิดของขอมูลที่ไมเปนความลับ

จะไมมีการคุมครองขอมูลใบรับรองในลักษณะที่เปนขอมูลสวนบุคคลและถือวาเปนขอมูลสาธารณะ

2.8.3 การเปดเผยขอมลูการยกเลิกใบรับรอง/ขอมูลเรื่องการถูกระงับ

จะไมมีการเปดเผยขอมูลเรื่องการยกเลิกหรือระงับใบรับรอง ไดเรกทอรีจะไมใหขอมูลเกี่ยวกับเหตุผลของการยกเลิกหรือการระงับแตเพียงระบุวายกเลิกหรือระงับใบรับรอง

- 19 -

2.8.4 การใหขอมูลลับแกเจาหนาที่ดําเนินการตามกฎหมาย จะมีการใหขอมูลสวนบุคคลหรือขอมูลลับที่ TOT CA หรือ TOT RA เปนเจาของหรือถือครอง

ภายใตสถานการณดังตอไปนี้: 1. ในที่ที่มีคําสั่งจากศาลหรือเจาหนาที่ที่มีอํานาจศาลตามกฎหมายอยางใดอยางหนึ่งซึ่ง

ตองการใหจัดทําขอมูลดังกลาว และ 2. ในที่ที่บุคคลหรือองคกรซึ่งตองการใหจัดทําขอมูลดังกลาวเปนบุคคลหรือองคกรที่ไดรับ

อนุญาตใหดําเนินการตามกฎหมาย 2.8.5 การใหขอมูลที่เปนสวนหนึ่งของการคนพบของพลเรือน (Civil)

ขอมูลสวนบุคคลหรือขอมูลลับที่เปนของหรือถือครองโดย TOT CA หรือ TOT RA จะใหคืนในสภาพการณดังตอไปน้ี:

1. ในที่ที่มีคําสั่งจากศาลหรือเจาหนาที่ที่มีอํานาจศาลตามกฎหมายอยางใดอยางหนึ่งซึ่งตองการใหจัดทําขอมูลดังกลาว และ

2. ในที่ที่บุคคลหรือองคกรซึ่งตองการใหจัดทําขอมูลดังกลาวเปนบุคคลหรือองคกรที่ไดรับอนุญาตใหดําเนินการตามกฎหมาย

2.8.6 การเปดเผยขอมูลเมื่อเจาของรองขอ บรรดาเจาของใบรับรองจะสามารถเขาใชบันทึกทะเบียนของตนไดอยางเต็มที่ หามเขาใชบันทึก

ทะเบียนของเจาของใบรับรองอื่นใด เวนแตเจาของใบรับรองดังกลาวจะอนุญาตอยางถูกตองแกผูที่มีขอมูลเกี่ยวของ การอนุญาตที่เหมาะสมมีดวยกัน 2 แบบ คือ: 1. การรองขอทางอิเล็กทรอนิกสที่ผูไดรับการรับรองทําขึ้นอยางเหมาะสม โดยมีเงื่อนไขวา

การรองขอไดรับการลงลายมือช่ือแบบดิจิตัลพรอมดวยกุญแจลับ (Private Key) ที่ระบุตัวบุคคล หรือ 2. การแจงเปนลายลักษณอักษรที่ลงนามโดยผูไดรับการรับรอง

2.8.7 สถานการณการใหขอมูลอื่น ๆ หามใหขอมูลอื่นใด เวนแตไดรับอนุญาตโดยนิติบุคคลหรือบุคคลที่ขอมูลนั้นเกี่ยวของหรือเวน

แตกฎหมายกําหนด

- 20 -

2.9 สิทธิในทรัพยสินทางปญญา โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.9.1 ขอกําหนดทั่วไป

โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.9.1.1 TOT PKI โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.9.1.2 กุญแจสาธารณะและกุญแจสวนบุคคล โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.9.1.3 ใบรับรอง โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ 2.9.1.4 ช่ือพิเศษเฉพาะ โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.9.2 ลิขสิทธิ ์

2.9.2.1 ทั่วไป โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

2.9.2.2 ใน OID โปรดดูนโยบายการออกใบรับรองที่เกี่ยวของ

- 21 -

3. การรับรองตัวบุคคลและการรักษาความถูกตองของขอมูล

3.1 การลงทะเบียนแรกเริ่ม

3.1.1 ชนิดของชื่อตาง ๆ

ช่ือพิเศษเฉพาะเปนช่ือที่ปรากฏบนใบรับรอง ตองมีช่ือพิเศษเฉพาะในแบบที่เปนเอกลักษณเฉพาะในลักษณะเดียวกันกับที่อยูอี-เมล เพื่อประกันวาสามารถผูกมัดใบรับรองเขากับบุคคล

RA จะอนุมัติช่ือพิเศษเฉพาะสําหรับผูขอใบรับรองและตรวจสอบวาไมไดกําลังใชช่ือนั้น โดยตรวจสอบไดเรกทอรีสาธารณะ TOT X.500

3.1.2 ตองการชื่อที่มีความหมาย

ช่ือพิเศษเฉพาะตองมีคามหมาย TOT PKI จะสนับสนุนการใชใบรับรองเปนรูปแบบของการระบุรับรองตัวบุคคลภายในชุมชน

เฉพาะที่มีผลประโยชนอยูดวย ใบรับรองที่ไมระบุช่ือไมไดรับการสนับสนุนจาก TOT PKI 3.1.3 กฎการตีความแบบชื่อตาง ๆ

ใบรับรองผูใชทั่วไปของ ทีโอที ตองการใหสอดชื่อองคกรและแผนกใหเปนสวนหนึ่งของชื่อพิเศษเฉพาะ ในกรณีที่ผูใชทั่วไปไมตองการใหกรอกฟลดเหลานี้ จะใสคําวา “ไมใช” ในฟลดเหลานี้เพื่อรักษาโครงสรางใบรับรอง

3.1.4 เอกลักษณของชื่อ

ช่ือพิเศษเฉพาะตองเปนเอกลักษณและตองมีความเกี่ยวของอยางชัดเจนกับหลักฐานระบุตัวบุคคลของผูใชทั่วไป

3.1.5 วิธีการแกไขขอพิพาทการอางสิทธิที่เกี่ยวกับช่ือ

ขอพิพาทใด ๆ เกี่ยวกับช่ือพิเศษเฉพาะจะตกลงตามขอ 2.4.3.2 กระบวนการ 3.1.6 การยอมรับ การรักษาความถูกตองของขอมูล และบทบาทของเครื่องหมายการคา

การรับทราบ การรับรองความถูกตอง และบทบาทของเครื่องหมายการคาเปนประเด็นหนึ่งทางการคาไมมีสิ่งใดใน CPS นี้จะกีดกันไมใหใชเครื่องหมายการคาในชื่อพิเศษเฉพาะ

3.1.7 วิธีการพิสูจนการถือครองกุญแจลับ

กระบวนการบันทึกทะเบียนสําหรับ TOT PKI ตองการการใชงานแบบพบปะกันสําหรับใบรับรองของผูใชทั่วไป ดังนั้นจึงสรางกุญแจลับสวนบุคคลโดยผูปฏิบัติการของ RA เทานั้นในเวลาที่บันทึกทะเบียนและหลักฐานการถือครองกุญแจลับสวนบุคคลจึงไมเปนที่ตองการ

- 22 -

3.1.8 การระบุตัวบุคคลเกี่ยวกับการรับรองขององคกร หลักฐานระบุองคกรจะตองรับการรับรองความถูกตอง: 1. ระหวางการสัมภาษณกับนายทะเบียนที่ไดรับอนุญาตที่เขารวมดวยตนเองโดยผูแทนที่

ไดรับอนุญาตขององคกร 2. เปนไปตาม: - การปฏิบัติการ EOI ที่ระบุในถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้ - กระบวนการและรูปแบบที่ระบุในนโยบายการออกใบรับรองที่เกี่ยวของไมอนุญาตใหมี

เทคนิคออนไลนเพื่อการระบุหลักฐานองคกร 3.1.9 การระบุตัวบุคคลเกี่ยวกับการรับรองเฉพาะตัวรายบุคคล

1. ระหวางการสัมภาษณกับนายทะเบียนที่ไดรับอนุญาตที่เขารวมดวยตนเองโดยบุคคล 2. เปนไปตาม:

- การปฏิบัติการ EOI ที่ระบุในถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้ - กระบวนการและรูปแบบที่ระบุในนโยบายการออกใบรับรองที่เกี่ยวของไมอนุญาตใหมี

เทคนิคออนไลนเพื่อการระบุหลักฐานองคกร

3.2 การ Re-key ตามปกติ

การตออายุใบรับรองไมไดรับการสนับสนุนโดย TOT PKI การตออายุใบรับรองทั้งหมดจะถือเปนการลงทะเบียนใหม อยางไรก็ตามกระบวนการขอตออายุอาจแตกตางกันถารายละเอียดทั้งหมดของผูใชทั่วไปยังคงไมเปลี่ยนแปลงจากชองที่ออกใบรับรองเดิม

3.3 การ Re-key หลังจากยกเลิกใบรับรอง

Re-key ไมไดรับอนุญาตหลังจากยกเลิกใบรับรอง การตออายุใบรับรองทั้งหมดจะถือเปน การลงทะเบียนใหม อยางไรก็ตามกระบวนการเพื่อการขอตออายุใบรับรองอาจแตกตางกันถารายละเอียดทั้งหมดของผูใชทั่วไปยังคงไมเปลี่ยนแปลงจากชองที่ออกใบรับรองเดิม

3.4 คํารองขอการยกเลิก

ใหทําคํารองขอเพื่อยกเลิกใบรบัรองของ TOT RA ตามขอ .....................

- 23 -

4. ขอกําหนดการปฏิบัติการ

4.1 การขอใบรับรอง

การขอใบรับรองเปนความรับผิดชอบของบุคคลที่ตองการใบรับรอง การขอใบรับรองสามารถขอได ณ สํานักงานสาขาของ ทีโอที ที่กําหนดและตองทําดวยตนเอง โดยผู

ขอรายละเอียดของชนิดของขอมูลที่เปนที่ตองการเมื่อจดทะเบียนเพื่อใบรับรองจะระบุในนโยบายการออกใบรับรองที่ตรงกับใบรับรองที่กําลังขอ

4.2 การออกใบรับรอง

TOT RA ปฏิบัติตามหลักปฏิบัติที่ระบุในถอยแถลงแนวทางปฏิบัติในการออกใบรับรองนี้และตามขอกําหนดใด ๆ ที่บังคับใชโดยนโยบายการออกใบรับรองซึ่งตามขอกําหนดนั้นมีการออกใบรับรอง

การดําเนินการที่สมบูรณเพื่อประกันวาขอมูลในใบรับรองไมมีการใหคํามั่นสัญญาผิดในขอเท็จจริงใดๆ และวาไมมีขอผิดพลาดในการบันทึกขอมูลใด ๆ เมื่อยอมรับใบคําขอหรือสรางใบรับรอง

รายละเอียดวิธีการไดจัดทําโดย ทีโอที เพื่อตรวจสอบขอมูลในใบรับรองกอนออกใบรับรองแกผูใชทั่วไป

4.2.1 ขั้นตอนการออกใบรับรอง

กระบวนการออกใบรับรองจะมีอยูในนโยบายการออกใบรับรองซึ่งมีการออกใบรับรองตามกระบวนการดังกลาวตามมาตรฐาน การออกใบรับรองจะเกี่ยวของกับ:

1. ผูใชทั่วไปรับการสัมภาษณเพื่อบันทึกทะเบียนดวนตัวบุคคล ซึ่งในระหวางนั้น RAO จะ: - ตรวจสอบรายละเอียดในแบบฟอรมคําขอและทําการตรวจสอบหลักฐานระบุตัว

บุคคล (EOI) - อธิบายเรื่องภาระหนาที่และความรับผิดชอบแกผูใชทั่วไปตามนโยบายการออก

ใบรับรองที่ตรงกับชนิดของใบรับรองที่ออก - มีลายมือช่ือของผูใชทั่วไปปรากฏบนสัญญาผูใชทั่วไป

2. RA จะสรางกุญแจคูใบรับรองและมีการแจงใหผูใชทั่วไปเขารหัสการระบุตัวบุคคล (PIC) 3. นายทะเบียนทําการผานกระบวนการคําขอใบรับรองของผูใชทั่วไปและยื่นเสนอคําขอ

ใบรับรองดิจิตัลแก CA ที่ออกสําหรับกุญแจสาธารณะแตละอันรวมถึงกุญแจสาธารณะ 4. CA ที่เปนผูออกจะรับคําขอใบรับรองและกุญแจสาธารณะและจะทําการตรวจสอบ สราง

และลงนามในใบรับรองที่ขอในทันที หลังจากนั้น: - จะทําการโพสต (บันทึก) ใบรับรองเขาสูไดเรกทอรีสาธารณะ TOT X.500 - ออกใบรับรองแก RA

5. RA ออกใบรับรองแกผูใชทั่วไป 6. หลังจากนั้นผูใชทั่วไปจะติดตั้งใบรับรองเหลานี้ไวในคําขอที่เปนที่ยอมรับและกระตุนสิ่ง

ดังกลาวใหทํางานโดยใช PIC ที่ใสเขาไประหวางการจดทะเบียน 7. กุญแจและใบรับรองของผูใชทั่วไปขณะนี้พรอมเพื่อการใชงานในการปฏิบัติการ

- 24 -

4.2.1.1 ระยะเวลาการปฏิบัติการ ใบรับรองทั้งหมดเริ่มระยะเวลาการปฏิบัติการในวันที่ออก

4.3 การยอมรับใบรับรอง

ใบรับแสดงการรับใบรับรองของผูใชทั่วไปและการใชงานในภายหลังใด ๆ ของเขา คือการใชกุญแจและใบรับรองจะประกอบขึ้นเปนการยอมรับใบรับรองนั้น

4.4 การระงับและการยกเลิกใบรับรอง

4.4.1 สถานการณตาง ๆ เพื่อการยกเลิก

ใบรับรองถูกยกเลิกเมื่อเกิดเหตุการณใดเหตุการณหนึ่งดังตอไปน้ี: 1. มีการลวงรูเกี่ยวกับเจาของใบรับรองหรือกุญแจหรือใบรับรองของเขาโดย:

- การโจรกรรม การสูญเสีย การเปดเผย การแกไขเปลี่ยนแปลงหรือการลวงรูอื่น ๆ หรือการลวงรูที่นาสงสัยของกุญแจลับแตละอันของผูใช

- การใชรหัสกุญแจและใบรับรองผิดโดยจงใจหรือไมปฏิบัติตามขอกําหนดการดําเนินการอยางเครงครัดในสัญญาผูใชทั่วไปหรือนโยบายการออกใบรับรองที่เกี่ยวของหรือการปฏิบัติการในถอยแถลงแนวทางปฏิบัติการออกใบรับรองนี้

2. เจาของใบรับรองออกจากชุมชน ทีโอที ที่มีผลประโยชนนั้น เชน: - ผูใชทั่วไปที่เปนองคกรออกจากงานขององคกร - ผูใชทั่วไปเสียชีวิต

3. มีการออกใบรับรองที่ไมถูกตองหรือผิดเนื่องจาก: - ขอมูลใบรับรองเปนที่ทราบหรือเช่ืออยางมีเหตุผลวาผิด - การบันทึกขอมูลหรือขอผิดพลาดในการดําเนินตามกระบวนการอื่น ๆ

4. ขอมูลสําคัญในใบรับรองไมถูกตอง เชน เมื่อเจาของ: - ใบรับรองที่ระบุตัวบุคคลเปลี่ยนช่ือของเขา

5. การไดรบัคํารองขอยกเลิกที่มีรูปแบบเหมาะสมจากผูใชทั่วไป 6. การไดรับคํารองขอที่มีผลบังคับตามกฎหมายจากบุคคลที่สามที่ไดรับอนุญาต ตัวอยางเชน

- คําสั่งศาล - คํารองขอที่ทําขึ้นโดยบุคคลที่มีหนังสือมอบอํานาจ

7. การยกเลิกใบรับรองของ TOT CA

- 25 -

4.4.2 บุคคลใดบางที่สามารถขอยกเลิก สามารถริเริ่มขอยกเลิกใบรับรองโดย: 1. ทีโอที 2. เจาของใบรับรอง 3. บุคคลที่สามที่ไดรับอนุญาต

4.4.2.1 องคกรออกใบรับรอง (CA) TOT CA ตองริเริ่มการยกเลิกภายใตเงื่อนไขที่ระบุในขอ 4.4.1 สภาพการณเพื่อการยกเลิก

4.4.2.2 องคกรที่รับลงทะเบียน (RA) TOT RA ตองริเริ่มการยกเลิกภายใตเงื่อนไขที่ระบุในขอ 4.4.1 สภาพการณเพื่อการยกเลิก

4.4.2.3 ผูใชทั่วไป ผูใชทั่วไปอาจรองขอใหยกเลิกใบรับรองของเขาเองดวยสาเหตุใด ๆ และตองจัดทํา

คําขอดังกลาวผาน RA ที่เปนผูออกใบรับรอง 4.4.2.4 บุคคลที่สามที่ไดรับอนุญาต

บุคคลที่สามที่ไดรับอนุญาตอาจขอใหยกเลิกใบรับรองผาน RA ที่ไดรับอนุญาต ฝายที่ไดรับอนุญาตดังกลาวรวมถึงแตไมจํากัดแตเพียง:

1. เจาหนาที่ที่ไดรับอนุญาตในองคกรของผูใชทั่วไปที่รองขอใหยกเลิก เมื่อผูใชทั่วไปออกจากงานขององคกร

2. บุคคลที่สามที่มีหนังสือมอบอํานาจ 3. ผูจัดการมรดกของทรัพยมรดกของเจาของใบรับรอง 4. ศาลที่มีอํานาจภายในขอบเขตของการปฏิบัติการของ CA ที่เปนผูออก ในทุกกรณี กําหนดอายุของคําขอเหลานี้ตองตรวจสอบโดย ทีโอที กอนที่การยกเลิกจะมีผล

4.4.3 ขั้นตอนการรองขอยกเลิก

ขอนี้ระบุหลักปฏิบัติในที่ที่การยกเลิกนั้น: 1. ผูใชทั่วไปรองขอ 2. ตรวจสอบโดย RA 3. ผานขั้นตอนโดย CA

4.4.3.1 ขั้นตอนการยกเลิกใบรับรองโดย CA TOT CA จะดําเนินตามขั้นตอนยกเลิกใบรับรองเมื่อไดรับคําขอที่มีการจัดรูปแบบ

อยางเหมาะสมจาก TOT RA TOT RA จะรับผิดชอบการประกันความถูกตองของคําขอยกเลิก ในการดําเนินตามขั้นตอนคําขอยกเลิกใบรับอง CA จะตอง: 1. รับและรับรองความถูกตองของคําขอที่มีการลงลายมือช่ือดิจิตัลจาก RA 2. ยกเลิกใบรับรอง 3. เพิ่มใบรับรองเขาไปใน CRL ของเขาในไดเรกทอรี X.500 ใบรับรองที่ยกเลิกแลวจะไมไดขีดทิ้งออกจากบริการไดเรกทอรีของ CA

- 26 -

4.4.3.2 ขั้นตอนการยกเลิกใบรับรองโดย RA เพื่อดําเนินขั้นตอนคําขอยกเลิกใบรับรองที่ริเริ่มโดยผูใชทั่วไป RA จะตอง: 1. รับและรับรองความถูกตองของคําขอ 2. ประกันวาใบรับรองและกุญแจสาธารณะเปนปจจุบัน 3. ผานขั้นตอนการพัก(ระงับ)ใชใบรับรอง 4. ตรวจสอบและรับรองการใชไดของคําขอ 5. สงคําขอยกเลิกที่ลงลายมือช่ือดิจิตัลไปยัง CA

4.4.3.3 คําขอยกเลิกใบรับรอง คําขอยกเลิกใบรับรองตองมีขอมูลดังตอไปนี้: ถาทราบ: - หมายเลขประจําของใบรับรอง - ลําดับเลขที่ของใบรับรอง - ชนิดของใบรับรอง - ช่ือเต็มของเจาของใบรับรอง ผูใชที่เปนองคกรเทานั้น: - ช่ือองคกร - แผนก - เหตุผลที่ยกเลิก - ความสัมพันธกับเจาของใบรับรอง - ลายมือช่ือ - วันที่

4.4.4 การขยายเวลาคํารองขอการยกเลิก

ใบรับรองทั้งหมดที่เกี่ยวกับคําขอยกเลิกใบรับรองจะถูกระงับทันที ในทันทีที่จัดทําใหคําขอยกเลิกใบรับรองใชได คําขอนั้นจะเปนการกระทําภายในระยะเวลา 24 ช่ัวโมง ถาระหวางระยะเวลานี้ดูเหมือนวาไมตองการคําขอยกเลิก ถาเชนนั้นจะมีคํายกเลิกใบสั่งการยกเลิก และจะคืนใบรับรองเพื่อการใชงานปฏิบัติการ

4.4.5 สถานการณตาง ๆ ในการพัก(ระงับ)ใชใบรับรอง

จะระงับใบรับรองเมื่อ TOT CA ไดรับคํารองขอยกเลิกที่มีรูปแบบที่เหมาะสมเทานั้น เพื่อรับรองวา ผูลงลายมือช่ือทั้งหมดไดรับแจงวาใบรับรองยังอยูในระหวางการดําเนินการและพวกเขาสามารถตัดสินใจวาพวกเขาเชื่อการจัดการติดตอธุรกรรม (Transaction) เกี่ยวกับใบรับรองที่กลาวถึง

4.4.6 บุคคลใดบางที่สามารถขอพัก(ระงับ)ใชใบรับรอง

สามารถขอพัก(ระงับ)ใชใบรับรองไดโดย: 1. ทีโอที 2. เจาของใบรับรองนั้น 3. บุคคลที่สามที่ไดรับอนุญาต

- 27 -

4.4.7 ขั้นตอนการรองขอการพัก(ระงับ)ใชใบรับรอง ดูขอ 4.4.3 ขั้นตอนการรองขอการยกเลิก

4.4.8 การจํากัดระยะเวลาการพัก(ระงับ)ใชใบรับรอง

ใบรับรองจะถูกระงับจนกระทั่งมีการกําหนดความสมเหตุสมผลของการรองขอการระงับ เมื่อมีการปฏิเสธการรองขอการยกเลิกโดย TOT CA จะมีการคืนใบรับรองที่กลาวถึงใหนําไปใชปฏิบัติการทันที

4.4.9 ความถี่ในการออก CRL

จะมีการอัพเดทขอความของ CRL ในไดเรกทอรี X.500 ในความถี่ของการออก CRL ที่ระบุในนโยบายการออกใบรับรองที่เกี่ยวของ

4.4.10 ขอกําหนดการตรวจ CRL

ผูใชลายมือช่ือ (Relying Parties) ตรวจสอบความมีผลใชและความเปนปจจุบันของใบรับรองสําหรับการติดตอธุรกรรมทุกอยางวามีการใชใบรับรองเพื่อเขาเหลานี้ เพื่อการประกันวาไดรับขอมูลที่เปนปจจุบันที่สุด

4.4.11 มีการตรวจสอบ การยกเลิก/สถานการณออนไลน

ทีโอที จัดหาไดเรกทอรีสาธารณะ X.500 แบบออนไลนเพื่อตรวจสอบสถานะของใบรับรองที่ออกภายใน TOT PKI

4.4.12 ขอกําหนดการตรวจสอบการยกเลิกการออนไลน

ดูขอ 4.4.10 - ขอกําหนดการตรวจสอบ CRL 4.4.13 รูปแบบอื่น ๆ ของประกาศการยกเลิกที่มีใช ไมมีรูปแบบอื่นนอกจาก TOT PKI ใชไดเรกทอรีสาธารณะของ TOT X.500

4.4.14 ขอกําหนดการตรวจสอบรูปแบบอื่น ๆ ของการประกาศการยกเลิก ดูขอ 4.4.10 – ขอกําหนดการตรวจสอบ CRL

4.4.15 ขอกําหนดพิเศษเกี่ยวกับการลวงรูกุญแจ ดูขอ 4.4.10 – ขอกําหนดการตรวจสอบ CRL

- 28 -

4.5 ขั้นตอนการตรวจสอบการปองกันความปลอดภัย TOT CA และ TOT RA จะรักษาบันทึกการตรวจสอบอยางเพียงพอที่เกี่ยวกับกิจกรรมการ

ดําเนินการทั้งหมดของโครงสราง TOT PKI บันทึกเหลานี้จะใหขอมูลที่เพียงพอเพื่อตัดสินวาจะดําเนินการ PKI ตามขอกําหนดนโยบายการออกใบรับรอง CPS และมาตรฐานอุตสาหกรรม

TOT CA และ RA รักษาบันทึกการตรวจสอบอัตโนมัติสําหรับรัฐเริ่มแรกสามรัฐในรอบชีวิตของ ใบรับรอง (CLC) คือการสรางการใชในงานและการหมดอายุ

4.5.1 ชนิดของเหตุการณที่ไดรับการบันทึก

กําหนดใหการบันทึกไดรับการเก็บรักษาภายใตนโยบายการออกใบรับรองรวมถึงแตไมจํากัดเพียง:

บันทึกทะเบียนของ TOT RA และ RAO บันทึกการตรวจสอบรวมถึงการปองกันความปลอดภัยที่เกี่ยวกับเหตุการณตาง ๆ และ บันทึกการยกเลิกใบรับรอง

4.5.2 ความถี่ของการประมวล Audit log

TOT CA และ TOT RA จะทบทวนบันทึกการตรวจสอบ (Audit Log) โดยถือเปนสวนหนึ่งของระบบการตรวจสอบประจําวัน

รายละเอียดของขอกําหนดการดําเนินการของโครงสราง TOT PKI ไดรับการสรุปในคูมือปฏิบัติของ ทีโอที และแผนการปองกันความปลอดภัยของ ทีโอท ีซึง่เปนทั้งเอกสารทีไ่ดรับการพิจารณา เพื่อคุมครองและไมม ี การเผยแพร

จะมีการเก็บขอมูลบันทึกการตรวจสอบ (Audit Log) ทุกสัปดาห อาจกําหนดการทบทวนประจําปของ Audit Log สําหรับจุดประสงคการตรวจสอบ

4.5.3 ระยะเวลาการเก็บรักษา Audit Log

มีการเก็บรักษา Audit Log บนเว็บไซตเปนเวลาอยางนอย 3 เดือน และมากที่สุด 12 เดือน การเก็บรักษาขอมูล Audit Log มีระยะเวลาอยางนอย 7 ป หรือเวลาอื่น (ไมเกินสิบ (10) ป ที่กําหนดใหตรงกับกฎหมายการเก็บรักษาขอมูลสําคัญแหงชาติ

4.5.4 การปองกันบันทึกการตรวจสอบ (Audit Log)

ผูตรวจสอบที่เกี่ยวของจะเก็บและทบทวน Audit Log เทานั้น จากนั้น Audit Log เหลานี้จะไดรับการปดผนึกในซองกันการลักลอบดังขอมูลและล็อค (Lock) ในที่ที่ปลอดภัย

4.5.5 ขั้นตอนการสํารอง Audit Log ทีโอที ไดกําหนดและรักษาขั้นตอนการสํารองที่มรีายละเอียดสําหรบั Audit Log ที่ไดรับการผลิต

ในรูปเอกสารในแผนการปองกันของ ทีโอที

- 29 -

4.5.6 ระบบการจัดเก็บการตรวจสอบ ระบบการจัดเก็บการตรวจสอบของ ทีโอที เปนการผสมผสานกันของกระบวนการแบบ

อัตโนมัติและแบบทํางานดวยมือ กลไกและกระบวนการในการตรวจสอบที่มีการนํามาใชนั้นไดมีการทําเอกสารบันทึกไวในแผนการรักษาความปลอดภัยของ ทีโอที

4.5.7 คําบอกกลาวถึงเรื่องที่กอใหเกิดเหตุการณ บุคลากรฝายปฏิบัติการ TOT CA จะแจงใหเจาหนาที่ที่อํานวยความสะดวกทางดาน

การรักษาความปลอดภัยไดทราบ เมื่อเกิดกระบวนการหรือการดําเนินการกอใหเกิดเหตุการณดานการรักษาความปลอดภัยหรือความไมถูกตองที่รายแรงขึ้น

เจาหนาที่ที่อํานวยความสะดวกทางดานการรักษาความปลอดภัย รับผิดชอบในการตรวจสอบเหตุการณและดําเนินการตามความเหมาะสมรวมถึงแจงใหองคกร/นิติบุคคล (Entity) ที่มีหนาที่รับผิดชอบสาเหตุการเกิดเหตุการณ

4.5.8 การประเมินจุดออนที่อาจเปนอันตรายไดงาย โดยถือเปนสวนหนึ่งของการตรวจสอบประจําปที่มีการปฏิบัติกันในระบบ TOT PKI

การประเมินจุดออนดานอิเล็กทรอนิกสและทางกายภาพไดมีการดําเนินการโดยบุคคลอื่นที่ไมขึ้นตอหนวยงานใด นอกจากนี้ พนักงาน TOT CA Operation จะดําเนินการการประเมินจุดออนตามปกติ

โดยถือเปนสวนหนึ่งในการปฏิบัติงานในแตละวันของพวกเขา

- 30 -

4.6 การเก็บรักษาบันทึกตาง ๆ TOT CA และ TOT RA จะเก็บรักษาคลังบันทึกที่เกี่ยวของซึ่งไดช้ีแจงไวในนโยบายการออกใบรับรอง

นี้ตามกฎหมายการเก็บรักษาขอมูลสําคัญแหงชาติ 4.6.1 ประเภทของเหตุการณตาง ๆ ที่มีการบันทึกไว

ขอมูลตอไปนี้ไดรับการเก็บรักษาไวโดย TOT CA และ TOT RA: 1. Audit Logs 2. ขอมูลการขอใบรับรอง 3. ใบรับรองที่จัดทําขึ้น 4. บันทึกสํารองที่ครบถวน 5. คําบอกกลาวตาง ๆ และ 6. เอกสารหลักฐานดานนโยบายและแนวการปฏิบัติ

4.6.2 ระยะเวลาการรักษาคลังเก็บใบรับรองตนฉบับ (Archive)

4.6.2.1 การรักษาความปลอดภัยกุญแจ ตามแนวทาง OECD เกี่ยวกับนโยบายการเขารหัสลับ ซึ่งเฉพาะกุญแจลับเทานั้น

ที่จะมีการเก็บรักษาไว 4.6.2.2 การรักษาความปลอดภัยของใบรับรอง ใบรับรองที่ปรากฏในไดเรกทอรีสาธารณะ TOT X.500 จะเก็บตามกฎหมายของ

การเก็บรักษาขอมูลสําคัญแหงชาติของรัฐบาลไทย 4.6.2.3 ระยะเวลาการรักษาบันทึกการตรวจสอบ บันทึกการตรวจสอบเพื่อการรับรองความถูกตอง จะไดรับการจัดเก็บตามกฎหมาย

การจัดเก็บขอมูลสําคัญแหงชาติของรัฐบาลไทย 4.6.3 การคุมครองขอมูลสําคัญ

สื่อทั้งหมดที่จัดเก็บขอมูลสําคัญไวซึ่งเปนอิเล็กทรอนิกสนั้นจะไดรับการคุมครองโดย การรักษาความปลอดภัยดานการปฏิบัติการและทางกายภาพ

4.6.4 กระบวนการในการจัดสํารองเอกสารสําคัญ

โดยเปนรายละเอียดในกระบวนการในการจัดสํารองขอมูลสําคัญของ TOT CA และ TOT RA ไดมีระบุไวในคูมือปฏิบัติงานของ TOT CA ขอมูลนี้จึงไมมีไวเปดเผยแกคนทั่วไป การสํารองขอมูลสําคัญนั้นจะไดรับการจัดเก็บในรูปแบบที่มั่นใจไดถึงการนําบันทึกทั้งหมดกลับคืนมาไดอยางครบถวน ในกรณีที่ระบบเกิดขัดของ

- 31 -

4.6.5 ขอกําหนดสําหรับการประทับเวลาในบันทึกตาง ๆ การประทับเวลาของบุคคลที่สามจะไมไดรับการสนับสนุนโดย TOT PKI แตบันทึก

ทั้งหมดไดรับการประทับเวลาตามเวลาที่เปนระบบโครงสรางของ TOT PKI ระบบทั้งหมดภายในโครงสรางไดรับ การปรับใหดําเนินการไปพรอม ๆ กันตามแหลงบอกเวลารวมกัน

4.6.6 ระบบการจัดเก็บเอกสารสําคัญ

การจัดเก็บเอกสารสําคัญจะมีการดําเนินการโดยบุคลากรของ ทีโอที ที่ไดรับมอบหมายความรับผิดชอบใหกระทําการดังกลาว กระบวนการที่ละเอียดสําหรับการสํารอง การเก็บรักษาเอกสารสําคัญและ การจัดเก็บไดมีกําหนดไวในคูมือปฏิบัติงานของ TOT CA

4.6.7 กระบวนการตาง ๆ ในการรับและตรวจพิสูจนขอมูลสําคัญ

ความซื่อสัตยในการจัดเก็บเอกสารสําคัญจะไดรับการตรวจพิสูจนตามหลักทั่วไปซึ่งถือเปนสวนหนึ่งของการดําเนินงานในแตละวันของระบบโครงสราง TOT PKI บันทึกตาง ๆ เหลานี้ยังไดรับการตรวจพิสูจนโดยบุคคลที่สามในเวลาที่ทําการตรวจสอบอกีดวย

4.7 การเปล่ียนกุญแจ

TOT PKI ไมสนับสนุนการเปลี่ยนกุญแจ การเปลี่ยนกุญแจทั้งหมดจะถือเปนการขอใหมและจะ ดําเนินการตามนั้น

4.8 การประนีประนอมและการฟนตัวจากความเสียหาย

โครงสรางของ TOT PKI มีแผนการดานความตอเนื่องของธุรกิจที่ละเอียดซึ่งจะกลาวถึงปญหาตาง ๆ ที่เกี่ยวของกับการขัดของของระบบในประเภทใดๆ เอกสารนี้จะไมมีไวเผยแพรตอบุคคลทั่วไปแตจะไดรับการตรวจสอบอยางนอยปละครั้ง ซึ่งถือวาเปนสวนหนึ่งในการตรวจสอบระบบตาง ๆ ประจําป

4.8.1 ทรัพยากรในการคํานวณ ซอฟตแวร และ/หรือขอมูลที่เสื่อม

แผนการที่เปนความตอเนื่องของงานจะมีไวสําหรับการทําใหการบริการนั้นกลับคืนสูสภาพเดิมหลังจากที่เกิดความเสื่อมของขอมูลและ/หรือการขัดของของสวนประกอบ

4.8.2 กุญแจสวนบุคคลที่เช่ือถือไดจะถูกยกเลิก

ทีโอที มีแผนการรักษาความปลอดภัยที่กลาวถึงการลวงรูเกี่ยวกับกุญแจและผูใช และการดําเนินการตาง ๆ ที่จําเปนตองไดรับการดําเนินการในกรณีที่มีการเพิกถอนใบรับรองของ TOT CA หรือ TOT RA

- 32 -

4.8.3 สิ่งอํานวยความสะดวกในการใหความคุมกันภายหลังการประสบภัยพิบัติตามธรรมชาติหรือภัยพิบัติประเภทอื่น ๆ

การกูองคประกอบแตละชนิดในโครงสราง TOT PKI กลับคืนมานั้นจะไดมีการจัดการตามแผนความตอเนื่องของงานของ ทีโอที

4.8.4 แผนการความตอเนื่องของธุรกิจของ ทีโอที

จุดประสงคของแผนการนี้คือจัดวิธีการและกระบวนการโดยละเอียดที่จะทําให ทีโอที ฟนคืน การปฏิบัติการของ PKI ของเอกสารโดยเร็วที่สุดเทาที่จะเร็วไดหลังจากเผชิญเหตุการณภัยหายนะ

เอกสารนี้มีขอมูลลับและไมจัดใหเผยแพรแกสาธารณะ 4.9 การยกเลิก CA

4.9.1 บทนํา

การปฏิบัติหนาที่ในสวนนี้คือการแยกแยะสภาพการณตาง ๆ ที่อาจมีการยกเลิกโครงสราง TOT PKI หรือการดําเนินงาน CA ของ ทีโอที ทั้งหมดหรือบางสวน และใหรายละเอียดเก่ียวกับสิทธิ์และภาระหนาที่ของ ทุกฝายที่ไดรับผลกระทบ

ภาระหนาที่ตาง ๆ ที่กําหนดไวในสวนนี้เปนสิ่งจําเปนในการลดความแตกแยกที่อาจเกิดขึ้นในขณะที่กําลังรักษาการปฏิบัติงานเกี่ยวกับโครงสรางของ TOT PKI ใหดําเนินตอไป

4.9.2 การยกเลิก TOT CA ในกรณีที่มีการยกเลิก TOT CA ทีโอที มีทางเลือกเกี่ยวกับการโอนกุญแจและใบรับรองตาง ๆ

ไปยัง องคกรออกใบรับรองอื่น ๆ (“CA ที่มาทําหนาที่แทน”) ซึ่งจะปฏิบัติตามหลักเกณฑดานการปฏิบัติงานในระดับเดียวกันกับ TOT CA

สําหรับจุดประสงคในสวนนี้ การอางอิงถึงกุญแจและใบรับรองตาง ๆ จะหมายถึงชุดกุญแจและใบรับรองใด ๆ ที่อยูภายในการควบคุมของ TOT CA

ถา TOT CA จําเปนตองโอนกุญแจและใบรับรอง ก็จะ: 1. ใหคําบอกกลาวไมนอยกวาสามเดือนแกฝายที่เช่ือถือทั้งหมด 2. โอนกุญแจสวนบุคคลใหกับ CA ที่มาทําหนาที่แทนในลักษณะที่มีการคุมกันและมีความนาเชื่อถือ

ในระดับสูงใด ๆ 3. โอนบันทึกรวมถึงบันทึกการเก็บรักษาขอมูลสําคัญ ใหกับ CA ที่มาทําหนาที่แทนใน

ลักษณะที่มีการคุมกันและมีความนาเชื่อถือในระดับสูง 4. โอนไดเรกทอรี่สาธารณะของ ทีโอที ใหกับ CA ที่มาทําหนาที่แทน 5. หลังจากที่ไดโอนกุญแจสวนบุคคลใหกับ CA ที่มาทําหนาที่แทนแลวจะตองทําลายสําเนา

ของบันทึกทั้งหมด กุญแจและใบรับรองที่ไดโอนไปแลวอยางถาวร 6. ใหความชวยเหลือ CA ที่มาทําหนาที่แทน เกี่ยวกับปญหาและขอกําหนดตาง ๆ ดาน

การดําเนินงานที่อาจเกิดขึ้นตราบเทาที่ CA ที่มาทําการแทนจะเห็นวาสมควร

- 33 -

5. การควบคุมในการรักษาความปลอดภัยทางกายภาพ วิธีดําเนินการและบุคลากร

5.1 การควบคุมทางกายภาพ

5.1.1 สถานที่ต้ังและการกอสรางสถานที่

การดําเนินงานของ TOC CA และ RA จะตั้งอยูที่สถานที่ต้ังที่แทจริงเดียวกัน โดยมีสิ่งอํานวยความสะดวกเกี่ยวกับขอมูลที่ไดรับการคุมกันในระดับสูง

สิ่งอํานวยความสะดวกนี้ไดรับการออกแบบและสรางขึ้นตามมาตรฐานสากลและแนวทางการปฏิบัติงานที่ดีที่สุดในดานอุตสาหกรรม

5.1.2 การเขาใชระบบ TOT CA

พ้ืนที่ทั้งหมดที่มีองคประกอบที่เช่ือถือไดภายในโครงสราง TOT PKI จะตั้งอยูในหองนิรภัยซึ่งจํากัดการเขาใชเฉพาะพนักงาน TOT CA Operations และจําเปนตองมีบุคลากรที่เช่ือถือไดอยางนอย 2 คนในแตละครั้ง จํานวนบุคลากรที่ไดรับอนุญาตใหเขาไปในพื้นที่ที่ไดรับการคุมกันนั้นจะตองเปนไปตามจํานวนขั้นต่ําและจะตองมี การเก็บบันทึกการเขาออกทั้งหมดไว

5.1.3 ไฟฟาและการปรับอากาศ

องคประกอบที่เช่ือถือไดทั้งหมดจะไดรับการปกปองโดยเครื่องจายไฟฟาที่ไมขาดตอนและเครื่องกําเนิดไฟฟาสํารอง(UPS) เพื่อปองกันการปดการใชงานเครื่องมือที่ใชไฟฟาที่ไมเปนไปตามปกติในกรณีที่เกิดไฟฟาขัดของ

พ้ืนที่ตาง ๆ มีระบบการปรับอากาศเพื่อควบคุมความรอนและความชื้นที่แยกออกมาจากระบบการปรับอากาศในอาคาร

5.1.4 การเปดน้ํา

พ้ืนที่ที่ไดรับการปองกันทั้งหมดภายในพื้นที่ของ TOT CA Operations นั้นจะไดรับการกอสรางเปนพื้นที่มีคอมพิวเตอรที่ยกสูงขึ้นจากพื้น และจะตั้งอยูเหนือช้ันลางของอาคารที่มีพ้ืนที่เหลานั้นอยู

5.1.5 การปองกันและปกปองใหพนจากอัคคีภัย

เครื่องดับเพลิงที่เหมาะสมและการยับยั้งไฟดวยกาซนี้จะเก็บไวใน ทีโอที และพื้นที่ที่ดําเนินงานเกี่ยวกับการใหการคุมกันของ TOT RA เพื่อคอยระวังเกี่ยวกับอัคคีภัยที่อาจจะเกิดขึ้นได

5.1.6 การเก็บรักษาสื่อ

สื่อทั้งหมดจะไดรับการเก็บรักษาไวในพื้นที่ตาง ๆ ที่มีการปองกันโดยเครื่องมือยับยั้งไฟดวยกาซ การเก็บรักษานอกสถานที่จะอยูภายในสถานที่ของบุคคลที่สามซึ่งมีการปองกันและเชื่อถือไดในระดับสูง

- 34 -

5.1.7 การกําจัดของเสีย ขอมูลลับจะไดรับการกําจัดอยางปลอดภัยโดย: 1. ในกรณีที่เปนสื่อที่มีแมเหล็ก

- ฟล็อปป ดิสค – จะทําลายโดยหั่นเปนช้ินเล็ก ๆ - ฮารด ดิสค – การทําใหถูกสุขลักษณะ; หรือ

2. ในกรณีที่เปนวัสดุสิ่งพิมพ จะทําลายในเครื่องหั่นตามขวางใหมีขนาดเล็ก 5.1.8 การสํารองนอกสถานที่

การคุมกันการเก็บรักษานอกสถานที่จะนํามาใชเพื่อการเก็บรักษาและกักเก็บซอฟตแวรและขอมูลสํารอง

การเก็บรักษานอกสถานที่จะ: 1. มีระดับการรักษาความปลอดภัยในสถานที่ที่เหมาะสม และ 2. ต้ังอยูในกรุงเทพฯจริง ๆ และ 3. พนักงาน ทีโอที สามารถเขาใชงานไดตลอด 24 ช่ัวโมง ตลอด 7 วัน

5.2 การควบคุมวิธีดําเนินการ

5.2.1 บทบาทที่ไดรับความเชื่อถือ

บทบาทที่ไดรับความเชื่อถือไดรับการกําหนดขึ้นโดย ทีโอที เพื่อรักษาการแบงแยกหนาที่ตาง ๆ ใหมีอยู เหตุผลสําหรับเรื่องนี้ก็เพื่อรับประกันวาไมมีบุคคลใดที่สามารถทําการแกไขดัดแปลงและบันทึกหรือเรื่อง ตาง ๆ ของ TOT PKI

บทบาทตอไปนี้ไดกําหนดขึ้นสําหรับการดําเนินงานเกี่ยวกับโครงสรางของ TOT PKI: - พนักงาน CA Operations - เจาหนาที่รักษาความปลอดภัยในสถานที่ - ผูจัดการที่รักษาความปลอดภัยในสถานที่ IT วิธีการดําเนินการเพื่อรักษาการแบงแยกหนาที่ตาง ๆ ใหมีอยูนั้นไดมีการใหคําจํากัดความไวใน

แผนการรักษาความปลอดภัยของ ทีโอที ซึ่งไมมีการนํามาเปดเผยตอสาธารณะ 5.2.2 จํานวนบุคคลที่ตองการตองานที่ตองทํา

แตละบทบาทในสามบทบาทหนาที่ที่ระบุไวขางตนจะไดรับการดําเนินงานโดยแตละบุคคลที่แยกกันเพื่อใหการรักษาความปลอดภัยในระดับสูงสุด

งานใด ๆ ที่เกี่ยวกับการแกไของคประกอบทางอิเล็กทรอนิกสหรือทางกายภาพของโครงสราง TOT PKI นั้น จะตองมีบุคลากรที่ไดรับความเชื่อถือ 2 ราย ในกรณีที่มีบุคลากรเพียง 1 คนที่กําลังปฏิบัติงานตามจริง อีกคนหนึ่งจะรับหนาที่ในการตรวจสอบติดตามความคืบหนา

- 35 -

5.2.3 การระบุตัวบุคคลและการตรวจสอบความถูกตองสําหรับแตละบทบาทหนาที่ TOT CA และ TOT RA จะระบุตัวบุคคลอยางเปนทางการที่จะปฏิบัติหนาที่ในบทบาทที่ไดรับ

ความเช่ือถือตามที่มีรายการขางตน 5.3 การควบคุมบุคลากร

5.3.1 ประวัติความเปนมา คุณสมบัติ ประสบการณและขอกําหนดประวัติ

ทีโอที และบุคลากรของ ทีโอที จะตองมีคุณสมบัติ ประสบการณ และขอกําหนดประวัติเพื่อปฏิบัติหนาที่ตาง ๆ ที่จะดําเนินการตามนโยบายการออกใบรับรองนี้

5.3.2 วิธีดําเนินการในการตรวจสอบประวัติความเปนมา

บุคลากรฝายดําเนินงานทั้งหมดจะผานการตรวจสอบประวัติความเปนมาเพื่อการรักษาความ ปลอดภัย ทั้งนี้เพื่อรับประกันถึงความถูกตองและความสามารถของพวกเขาในการดําเนินบทบาทหนาที่ที่ไดรับ ความเช่ือถือภายในโครงสราง TOT PKI

การตรวจสอบประวัติความเปนมาเหลานี้จะมีการดําเนินการโดยบุคคลที่สามที่มีความเช่ียวชาญในงานดังกลาว

5.3.3 ขอกําหนดในการจัดอบรม

บุคคลากรทั้งหมดที่ปฏิบัติหนาที่ตามนโยบายการออกใบรับรองนี้จะไดรับการอบรมในดาน: 1. แนวคิดเกี่ยวกับ PKI พ้ืนฐาน 2. การใชและการดําเนินงานเกี่ยวกับซอฟตแวรของ PKI 3. วิธีดําเนินงาน 4. การตระหนักถึงการรักษาความปลอดภัยบนคอมพิวเตอรและวิธีการตาง ๆ และ 5. ความหมายและผลของนโยบายการออกใบรับรองและ CPS

5.3.4 ความถี่ในการจัดอบรมครั้งใหมและขอกําหนดตาง ๆ

บุคลากรที่ไดรับการตรวจสอบดานความรูของพวกเขาที่เกี่ยวกับวิธีดําเนินการที่ไดระบุไวนั้นเปนสวนหนึ่งในกฎเกณฑที่เครงครัดเกี่ยวกับการตรวจสอบตามปกติ ผลการตรวจสอบจะเนนสวนที่จําเปนตองมี การอบรมเพิ่มเติมและแผนการอบรมจะไดรับการกําหนดใหมีขึ้นตามที่กลาวมานั้น

สิ่งเพิ่มเติมทั้งหมดในหรือการออกซอฟตแวรใหมที่จะนํามาใชงานในโครงสรางของ TOT PKI นั้น บุคคลกรฝายดําเนินงานจะไดรับการอบรมเกี่ยวกับการเปลี่ยนแปลงตาง ๆ นั้น

5.3.5 ความถี่และลําดับในการสับเปลี่ยนหมุนเวียนงาน

บุคลากรฝายดําเนินงานของ ทีโอที ทุกคนจะเขารวมโครงการการจัดอบรมซึ่งกันและกัน เพื่อที่วาพนักงานจะสามารถปฏิบัติหนาที่แทนบุคลากรที่ลาออกจาก ทีโอที หรือไมมาปฏิบัติงานดวยเหตุผลใด ๆ ก็ตามได

- 36 -

5.3.6 การลงโทษเกี่ยวกับการดําเนินการโดยไมไดรับอนุญาต บุคคลที่ดําเนินการโดยไมไดรับอนุญาตจะเปนไปตามกระบวนการทางวินัยหรือทางกฎหมาย

โดยการดําเนินการของ ทีโอที ในกรณีที่มีความรายแรง ผูกระทําผิดจะถูกดําเนินคดีสําหรับการกระทําของพวกเขา 5.3.7 ขอกําหนดเกี่ยวกับบุคลากรที่ทําสัญญา

บุคลากรฝายดําเนินงานของ ทีโอที ทั้งหมดจะไดรับการอบรมเกี่ยวกับภาระหนาที่ของพวกเขาภายใตนโยบายการออกใบรับรองและการทําเอกสารหลักฐานดานการดําเนินงานที่เกี่ยวของ บุคลากรทั้งหมดจะไดรับการผูกมัดตามขอกําหนดในการจางงานหรือสัญญาของพวกเขาในการปฏิบัติตามขอกําหนดเหลานี้ในขอบเขตที่เกี่ยวของ

5.3.8 เอกสารหลักฐานที่จะสงมอบใหกับบุคลากร

สําเนาเอกสารหลักฐานทั้งหมดจะมีการจัดเก็บไวในพื้นที่ CA Operation และจะมีพรอมใชสําหรับบุคลากรฝายดําเนินงาน

เอกสารทั้งหมดที่ไดรับการปองกันจะมีขอจํากัดในการนําออกจากพื้นที่ในการดําเนินงาน เวนแตจะไดรับอนุญาตจากผูจัดการฝายรักษาความปลอดภัยฝาย IT หรือ TOT PAA

- 37 -

6. การควบคุมดานการรักษาความปลอดภัยทางเทคนิค

6.1 ผลิตชุดกุญแจคูและการติดตั้ง

เพื่ออานขอมูลเพิ่มเติมเรื่องการผลิตชุดกุญแจคูและการติดตั้ง ดูนโยบายการออกใบรับรองที่เกี่ยวของ 6.1.1 ผลิตชุดกุญแจคู

กุญแจคูของ TOT CA จะมีการผลิตขึ้นเอง กุญแจคูของ TOT RA และ RAO จะมีการผลิตขึ้นโดย TOT CA กุญแจคูของผูใชทั่วไปจะผลิตขึ้นโดย RAO

6.1.2 กุญแจสวนบุคคลที่จะมอบใหองคกร/นิติบุคคล (Entity)

กุญแจสวนบุคคลของ TOT CA ที่ผลิตขึ้นเองนั้นไมตองมอบใหกับองคกร/นิติบุคคลใด และเก็บรักษาไวเอง

กุญแจ TOT RA ไมตองมอบใหกับองคกร/นิติบุคคลใด และเก็บรักษาไวเอง เนื่องจาก TOT CA และ RA ต้ังอยูในสถานที่เดียวกัน

กุญแจผูใชทั่วไปที่ผลิตบนสมารทการดจะสงใหแกผูใชทั่วไปในเวลาที่ลงทะเบียน TOT PKI จะไมสนับสนุนรูปแบบอิเล็กทรอนิกสในการสงมอบ

6.1.3 กุญแจสาธารณะที่จะมอบใหผูออกใบรับรอง

กุญแจสาธารณะของ TOT RA และ RAO จะมีการผลิตขึ้นและรับรองโดย TOT CA ดังนั้นจึงไมตองมีการสงมอบโดยแยกกัน

กุญแจสาธารณะของผูใชทั่วไปจะบันทึก (โพสต) โดยอัตโนมัติเขาสูไดเรกทอรีสาธารณะ TOT X.500 ในเวลาที่จดทะเบียน

6.1.4 การสงมอบกุญแจสาธารณะของ CA แกผูใช

กุญแจสาธารณะของ TOT CA จะติดอยูในใบรับรองและจะมีการสงมอบใหกับผูใชทั่วไปในไฟลที่มีการปองกันไว ซึ่งจะมีกุญแจสวนบุคคลของ TOT RA อยูดวย

6.1.5 ขนาดของกุญแจ

ความยาวของกุญแจของ TOT CA และ TOT RA คือ 2048 บิท ความยาวของกุญแจผูใชทั่วไปคือ 1024 บิท

6.1.6 การสรางปจจัยกําหนดกุญแจสาธารณะ

ปจจัยกําหนดที่นํามาใชเพื่อสรางกุญแจสาธารณะนั้นไดมีการผลิตขึ้นโดยใชซอฟตแวร PKI ที่มีการคุมกันในระดับสูงซึ่งไดรับการออกแบบเปนการเฉพาะสําหรับงานนี้

- 38 -

6.1.7 การตรวจสอบคุณภาพของปจจัยกําหนด การตรวจสอบคุณภาพของปจจัยกําหนดไดรับการรบัประกันโดยใชซอฟตแวร PKI ที่มีการคุมกันใน

ระดับสูงซึ่งไดรับการออกแบบเปนการเฉพาะสําหรบังานนี้ 6.1.8 การผลิตกุญแจฮารดแวร/ซอฟตแวร

คุณภาพในการผลิตกุญแจนั้นไดรับการรับรองโดยการใชซอฟตแวร PKI ที่มีการคุมกันในระดับสูงซึ่งไดรับการออกแบบเปนการเฉพาะสําหรับงานนี้

6.1.9 จุดประสงคในการใชกุญแจ

เพื่อรับประกันถึงความสอดคลองกับโปรแกรมซอฟตแวร ไดมีการนําประเภทการใชกุญแจตอไปนี้มาใช

TOT CA • ลายมือช่ือดิจิตัล • การปองกันการปฏิเสธความรับผิดชอบ • การทํารหัสกุญแจ • ลงลายมือช่ือในใบรับรอง • ลงลายมือช่ือใน CRL TOT RA • ลายมือช่ือดิจิตัล • การปองกันการปฏิเสธความรับผิดชอบ ผูใชทั่วไป • การทํารหัสกุญแจ • การทํารหัสขอมูล

6.2 การปองกันกุญแจสวนบุคคล

6.2.1 มาตรฐานสําหรับโมดูลในการเขารหัส

โมดูลในการเขารหัสที่เปนฮารดแวรไดมีการนํามาใชโดย TOT CA และ TOT RA โมดูลในการเขารหัสที่เปนฮารดแวรที่นํามาใชนั้นไดรับการรับรอง FIPS140-1 ระดับ 4

6.2.2 การควบคุมบุคคลหลายคน (n out of m) สําหรับใชกุญแจสวนบุคคล

กุญแจสวนบุคคลของ TOT CA และ TOT RA และ RAO จะตองมีอยางต่ํา 2 คนที่จะล็อกอินและใชกุญแจ

กุญแจสวนบุคคลของผูใชทั่วไปไมตองการการควบคุมโดยบุคคลหลายคน

- 39 -

6.2.3 การฝากกุญแจสวนบุคคล ไมสนับสนุนใหมีการฝากกุญแจสวนบุคคล

6.2.4 การสํารองกุญแจสวนบุคคล

กุญแจสวนบุคคลของ TOT CA และ TOT RA จะเก็บรักษาไวในไฟลที่มีการเขารหัสไว ซึ่งมีการสํารองตามการเขารหัสเพิ่มเติมพรอมทั้งสําเนาสํารองที่เก็บรักษาไวในสถานที่ และในการเก็บรักษานอกสถานที่ที่มีการคุมกัน

การทําสํารองกุญแจสวนบุคคลของผูใชทั่วไปเปนความรับผิดชอบแตเพียงประการเดียวของเจาของกุญแจ

6.2.5 การเก็บกุญแจสวนบุคคล

ดูตอนที่ 4.6.2.4 การรักษากุญแจสวนบุคคลอยางปลอดภัย 6.2.6 กุญแจสวนบุคคลในการเขาไปในโมดูลการเขารหัส

โมดูลการเขารหัสทั้งหมดที่นํามาใชในโครงสราง TOT PKI จะทําใหมีกุญแจสวนบุคคลภายในโมดูล และเขียนสิ่งดังกลาวในไฟลขอมูลซึ่งจะมีการเขารหัสไวตามคําที่เปนรหัสผานของผูใช หลังจากนั้นในการใชกุญแจสวนบุคคล จะมีการอานไฟลขอมูลในโมดูลการเขารหัสและกุญแจสวนบุคคลที่มีการปลดรหัสกอนการใช ดังนั้น กุญแจสวนบุคคลจึงไมอยูในรูปแบบที่ไมมีการเขารหัสไวภายนอกโมดูลการเขารหัสแนนอน

6.2.7 วิธีการใชกุญแจสวนบุคคลเพื่อใหเกิดการทํางาน

กุญแจสวนบุคคลของ TOT CA และ TOT RA จะนํามาใชเพื่อใหเกิดการทํางานโดยฮารดแวรและซอฟตแวรการเขารหัส ตามดวยขั้นตอนการล็อกอินที่ครบถวนสมบูรณซึ่งจะพิสูจนวาเปนผูใชที่ไดรับอนุญาตจริงหรือไม

6.2.8 วิธีการในการยับยั้งการใชกุญแจสวนบุคคล

กุญแจสวนบุคคลของ TOT CA และ TOT RA ใชการไมไดเมื่อซอฟตแวรและฮารดแวรที่เกี่ยวของไดรับการยกเลิก

6.2.9 วิธีการทําลายกุญแจสวนบุคคล

กุญแจสวนบคุคลในความจําจะถูกทําลายโดยซอฟตแวรของ TOT CA และ RA โดยการเขียนทบัดวยเลขศูนยเมื่อซอฟตแวรปด

- 40 -

6.3 เร่ืองอื่น ๆ เก่ียวกับการจัดการชุดกุญแจคู 6.3.1 การจัดเก็บกุญแจสาธารณะ

TOT CA จะจัดเก็บกุญแจสาธารณะของตน 6.3.2 ระยะเวลาการใชกุญแจสาธารณะและกุญแจสวนบุคคล

ระยะเวลาการใชกุญแจสวนบุคคลของ TOT CA คือแปด (8) ป ระยะเวลาการใชกุญแจสวนบุคคลของ TOT RA และ RAO คือสอง (2) ป ระยะเวลาการใชสําหรับกุญแจสวนบุคคลของผูใชทั่วไปคือหนึ่ง (1) ป

6.4 ขอมูลในการกระตุนใหเกิดการทํางาน

6.4.1 การสรางขอมูลในการกระตุนใหเกิดการทํางานและการติดตั้ง

ไมมีขอมูลในการกระตุนใหเกิดการทํางานใด ๆ นอกจากการเขาไปในกลไกควบคุมที่กําหนดขึ้นเพื่อใชงานซอฟตแวรขององคกรออกใบรับรอง

6.4.2 การปกปองขอมูลในการกระตุนใหเกิดการทํางาน

ไมมีขอมูลในการกระตุนใหเกิดการทํางานใด ๆ นอกจากการเขาไปในกลไกควบคุมที่กําหนดขึ้นเพื่อใชงานซอฟตแวรขององคกรออกใบรับรอง

6.4.3 เรื่องอื่น ๆ เกี่ยวกับขอมูลในการกระตุนใหเกิดการทํางาน

ไมมีขอมูลในการกระตุนใหเกิดการทํางานใด นอกจากการเขาไปในกลไกควบคุมที่กําหนดขึ้นเพื่อใชงานซอฟตแวรขององคกรออกใบรับรอง

6.5 การควบคุมการรักษาความปลอดภัยของคอมพิวเตอร

6.5.1 ขอกําหนดทางเทคนิคในการรักษาความปลอดภัยของคอมพิวเตอรที่มีลักษณะเฉพาะ

ขอกําหนดทางเทคนิคในการรักษาความปลอดภัยของคอมพิวเตอรสําหรับ TOT CA และ RA มี รายละเอียดอยูในแผนการรักษาความปลอดภัยของ ทีโอที แผนการนี้จะไมนํามาเปดเผยตอคนทั่วไป

6.5.2 การแบงระดับการักษาความปลอดภัยของคอมพิวเตอร

ขอกําหนดการแบงระดับการรักษาความปลอดภัยของคอมพิวเตอรสําหรับ TOT CA และ RA มีรายละเอียดอยูในแผนการรักษาความปลอดภัยของ ทีโอที แผนการนี้จะไมนํามาเปดเผยตอคนทั่วไป

- 41 -

6.6 การควบคุมทางดานเทคนิคเก่ียวกับวงจรชีวิต 6.6.1 การควบคุมในการพัฒนาระบบ

การควบคุมในการพัฒนาซอฟตแวรที่นํามาใชในการพัฒนาซอฟตแวรของ TOT CA และ TOT RA นั้นไดรับการพัฒนาตามหลักเกณฑในการประเมินการรักษาความปลอดภัยดานขอมูลของออสเตรเลียเพื่อใหเปนไปตามขอกําหนดของ ITSEC E3

6.6.2 การควบคุมการจัดการในการรักษาความปลอดภัย

การจัดการในการรักษาความปลอดภัยของระบบสําหรับ TOT CA และ TOT RA นั้นไดรับการควบคุมตามสิทธิ์พิเศษตาง ๆ ที่มอบใหผูดูแลระบบ และบุคลากรที่ปฏิบัติงานในหนาที่ที่ไดรับความเชื่อถือซึ่งไดระบุไวในตอนที่ 5.2.1 บทบาทที่ไดรับความเชื่อถือ

6.6.3 การแบงระดับการรักษาความปลอดภัยในระบบวงจรชีวิต

ทีโอที จะผานการประเมินผลอันตรายและความเสี่ยงตามปกติ ซึ่งจะทําเอกสารที่เปนทางการโดยมีโครงรางเกี่ยวกับอันตรายและวิธีการรับมือที่มีศักยภาพใหกับโครงสราง TOT PKI เอกสารเหลานี้จะไมนํามาเผยแพรตอสาธารณะ

6.7 การควบคุมการรักษาความปลอดภัยของเครือขาย

การควบคุมการรักษาความปลอดภัยของเครือขายนั้นสรุปความไวในแผนการรักษาความปลอดภัยของ ทีโอที ซึ่งจะไมเผยแพรตอสาธารณะชน

6.8 การควบคุมวิศวกรรมดานโมดูลการเขารหัส

การควบคุมในการพัฒนาที่นํามาใชในการพัฒนาฮารดแวรนั้นซึ่งจะมาใชโดยซอฟตแวรของ TOT CA และ TOT RA นั้นไดรับการพัฒนาขึ้นตามหลักการประเมิน FIPS140-1 ระดับ 4

- 42 -

7. รูปโครงรางของใบรับรองและ CRL

7.1 รูปโครงรางของใบรับรอง

7.1.1 จํานวนเวอรช่ัน

TOT CA สนับสนุนและใชใบรับรองตามมาตรฐาน X.509 เวอรช่ัน 3 ซึ่งมีอยูในเวอรช่ันฟลด 7.1.2 ขอมูลเพิ่มเติมของใบรับรองอิเล็กทรอนิกส

TOT CA สนับสนุนการใชใบรับรอง X.509 เวอรช่ัน 3 ซึ่งใชขอมูลเพิ่มเติมที่เปนมาตรฐานของใบรับรองอิเล็กรอนิกสตอไปนี้ในใบรับรอง TOT RA

- นโยบายการออกใบรับรอง - Authority Key Identifier เปนกุญแจสาธารณะที่เปนคูกับกุญแจสวนตัวที่ผูบริการออก

ใบรับรองใชในการลงลายมือช่ือดิจิตอลกํากับใบรับรองอิเล็กทรอนิกส เพื่อชวยในการตรวจสอบลายมือช่ือดิจิตัลในใบรับรองกรณีที่ผูใหบริการออกใบรับรองมีกุญแจหลายคู (ใชแบบฟอรม 60-บิท)

- Subject Key Identifier เปนกุญแจสาธารณะในใบรับรองอิเล็กทรอนิกส ในกรณีที่ผูใชงานใบรับรองมีการเปลี่ยนคูกุญแจการใชงาน (ใชแบบฟอรม 60-บิท)

- Key Usage เปนวัตถุประสงคในการนํากุญแจไปใชงาน 7.1.3 อัลกอริทึมของ Object Identifiers

ไมจัดสรร OID ใหแกอัลกอริทึมที่ไดรับการสนับสนุนและใชใน TOT PKI Hashing/Digest Algorithms ตอไปนี้ไดรับการสนับสนุนคือ: 1. Secure Hash Algorithm-1 (SHA-1) 2. การพิจารณาขอมูลขาวสารอยางละเอียด 5 (MD5) Padding Algorithms ตอไปนี้จะไดรับการสนับสนุนคือ: 1. ISO 796 2. PKCS#1 อัลกอริทึมการเขารหัสตอไปนี้จะไดรับการสนับสนุนคือ: 1. RSA 2. DEA การใชอัลกอริทึมหลาย ๆ อยางภายในโครงสรางเดียวกันนั้นไดรับการสนับสนุน

7.1.4 แบบฟอรมช่ือ

ใบรับรองที่ออกใหโดย TOT CA จะมีช่ือผูออกใบรับรองและชื่อผูของผูที่เปนเจาของใบรับรองอิเล็กทรอนิกส (Subject) ซึ่งจะใชรูปแบบของ Distinguished Name ตามมาตรฐาน X.500 ตามลําดับ

- 43 -

7.1.5 ขอจํากัดเกี่ยวกับช่ือ ทั้งช่ือที่มีการปดบังช่ือและการใชช่ือปลอมนั้นไมสนับสนุนใหนํามาใชในใบรับรองของ ทีโอที

7.1.6 Object Identifier ของนโยบายการออกใบรับรอง

OID ของนโยบายการออกใบรับรองนี้ไดนําเอาฟลดขอมูลเพิ่มเติมที่เปนมาตรฐานของใบรับรองอิเล็กทอนิกสตามมาตรฐานใบรับรอง X.509 มาใช และเผยแพรไวในแตละชุดของนโยบายการออกใบรับรองที่ใช

7.1.7 การใชขอจํากัดในนโยบาย

ไมมี 7.1.8 โครงสรางและความหมายของคําในประโยคซึ่งเปนสิ่งที่เหมาะสมในนโยบาย

TOT CA สนับสนุนใหใชโครงสรางและความหมายคําในประโยคซึ่งเหมาะสมในนโยบายนี้ 7.1.9 ความหมายของคําในการประมวลผลสําหรับนโยบายใบรับรองที่สําคัญ

ดูขอ 1.1.2.1 ขอมูลเพิ่มเติมของใบรับรองอิเล็กทรอนิกส X.509 7.2 โครงสราง CRL

7.2.1 จํานวนเวอรช่ัน

TOT CA สนับสนุนและใชการเพิกถอนตามมาตรฐาน X.509 เวอรช่ัน 2 7.2.2 CRL และการเขาถึงรายการเพิกถอน

TOT CA สนับสนุนและใชการในการเขาถึงรายการเพิกถอนตามมาตรฐาน X.509 เวอรช่ัน 2

- 44 -

8. วิธีการบริหารคุณลักษณะเฉพาะ

ทีโอที ดําเนินการเกี่ยวกับองคกรที่ใหการอนุมัตินโยบาย (PAA) ซึ่งรับผิดชอบในการดําเนินงานทั้งหมดเกี่ยวกับโครงสราง TOT PKI รายละเอียดในการติดตอ PAA ไดมีระบุไวในนโยบายการออกใบรับรองและชุดที่ใชกับโครงสราง TOT PKI

8.1 วิธีการเปลี่ยนคุณลักษณะเฉพาะ

8.1.1 การเผยแพรขั้นตน

PAA เปนหนวยงานรับผิดชอบการเปลี่ยนแปลงในนโยบายการออกใบรับรอง นโยบายการออกใบรับรองที่แกไข/ใหมทั้งหมดจะตองมี:

1. การสลักหลังอยางเปนทางการในนโยบายการออกใบรับรองซึ่งเขาจะออกใบรับรอง 2. การจัดการ OID หลังจากที่นโยบายการออกใบรับรองไดรับอนุมัติและ OID ไดรับแลวองคกรออกใบรับรอง: 1. ตีพิมพในเว็บไซตที่เสนอชื่อ นโยบายการออกใบรับรองรวมทั้ง CPS นี้ 2. แจงผูใชลายมือช่ือ (Relying Parties) ทั้งหมดของนโยบายการออกใบรับรองและ

การใชงานนั้น 8.1.2 การเปลี่ยนแปลง

มีชนิดของการเปลี่ยนนโยบายที่เปนไปไดสองชนิด: 1. การออกนโยบายการออกใบรับรองใหม 2. การเปลี่ยนหรือการดัดแปลงนโยบายที่มีอยู ถานโยบายที่มีอยูตองการใหออกใหม กระบวนการเปลี่ยนที่ใชจะเหมือนกันสําหรับการเผยแพร

ครั้งแรกตามที่ระบุขางตน โปรดทราบวา OID ใหมที่ออกสําหรับการเปลี่ยนนโยบายจะแตกตางจาก OID เดิม เฉพาะในหมายเลขเวอรช่ันของนโยบายเทานั้น

8.2 นโยบายการเผยแพรและการใหคําบอกกลาว TOT CP ใหมหรือที่แกไขจะไดมีการเผยแพรในเว็บไซตของ ทีโอที นิติบุคคลที่อยูใตการดูและไดรับ

การแจงถึงการเปลี่ยนแปลงนโยบายการออกใบรับรองตามและเมื่อมีการเปลี่ยนแปลง การใชที่ตอเนื่องซึ่งเลยวันที่ ที่มีผลที่ไดกําหนดไวเกี่ยวกับนโยบายการออกใบรับรองที่มีการแกไขเพิ่มเติมแลวนั้นจะถือวาเปนการยอมรับนโยบายการออกใบรับรองที่มีการแกไขเพิ่มเติม

8.3 ขั้นตอนการอนุมัติ CPS

TOT CPS นี้จะไดรับการบํารุงรักษาโดย TOT PAA เมื่อ TOT PKI Operations ผานการรับรอง ความนาเชื่อถือที่เปนทางการใด ๆ แลว การเปลี่ยนแปลงทั้งหมดจะเปนไปตามการอนุมัติโดยองคกรที่ควบคุมดูแล