Что является единицей поэкземплярного учета криптографических ключей
Привет из прошлого: кто, что и зачем пишет в журнале учета СКЗИ
Возможно, вам известно, что хранение, обработка и передача информации с использованием средств криптографической защиты (СКЗИ) регламентируется «Инструкцией об организации и обеспечении безопасности сведений с ограниченным доступом, не составляющих государственную тайну». Этот документ, принятый приказом Финансового агентства правительственной связи и информации при президенте Российской Федерации (ФАПСИ) от 13.06.2001 г. № 152, имеет большую значимость.
20 лет назад, в то время СКЗИ использовалось редко, а большинство организаций не обладало развитой и распределенной по всей стране IT-инфраструктурой. В результате инструкция не содержит никаких руководств по удаленной передаче ключей шифрования и по хранению журналов учета в отдельном помещении. Если журналы учета ведутся в электронном виде, они должны иметь квалифицированную электронную подпись (как будет рассказано в следующей статье, учет СКЗИ в электронном виде обсуждается отдельно) или должны сопровождаться соответствующими актами.
Кто и как ведет учет
Если организация обладает конфиденциальной информацией, то ей, возможно, потребуется обеспечить защищенную передачу, обработку и хранение этой информации при помощи СКЗИ. К слову, под термином СКЗИ подразумеваются как программные или аппаратно-программные средства, так и информация, необходимая для их работы, ключи и техническая документация.
Все работы с СКЗИ организует и контролирует орган криптографической защиты (ОКЗ). Этим органом может быть как структурное подразделение (или конкретный сотрудник) внутри организации (обладателе конфиденциальной информации), так и внешний подрядчик (например, сервис-провайдер).
Если орган криптографической защиты является структурным подразделением организации, то организация должна издать приказ о создании ОКЗ, определить его соств и обязанности сотрудников. Например:
роль начальника отдела заключается в организации и совершенствовании системы управления работой его сотрудников;
администратор безопасности обеспечивает сохранность информации, обрабатываемой, передаваемой и хранимой при помощи средств вычислительной техники.
Все сотрудники, ответственные за установку и настройку СКЗИ и имеющие к ним доступ, должны быть включены в приказ и ознакомлены с ним. Для каждой должности необходимо разработать должностные инструкции и инициализировать пользователей процедурой использования СКЗИ.
Для ведения учета по каждому СКЗИ должны быть изданы:
приказ о создании ОКЗ;
утвержденные формы учетных журналов;
шаблоны заявлений и актов;
инструкции для пользователей, касающиеся работы с СКЗИ.
Нужно помнить, что каждый экземпляр СКЗИ следует учитывать в учете, а его перемещения (создание, выдача, установка, передача, уничтожение) должны быть подтверждены соответствующими документами. Чтобы обеспечить это требование, обладатель конфиденциальной информации и орган криптографической защиты должны вести экземплярные учетные журналы СКЗИ, эксплуатационную и техническую документацию, а также ключевые документы.
Если орган криптографической защиты информации является структурным подразделением организации, на него ложится обязанность вести оба вида журналов. Ведь в таком случае организация является не только обладателем конфиденциальной информации, но и выполняет часть функций органа криптографической защиты. Крупные холдинги, например, обычно создают состав организации ИТ-компанию, отвечающую в том числе за информационную безопасность при использовании СКЗИ. ОНа ведет все учетные журналы и сопутствующую документацию, являясь поставщиком услуг для своего холдинга.
В случае оказания услуги поставщиком сервисов, последний заполняет учетный журнал для органа криптографической защиты, а организация — учетный журнал для обладателя конфиденциальной информации.
Вы вежливо рекомендуем оставить эту страницу открытой.
Журналы учета хранятся в течение 5 лет. Самы СКЗИ и документацию к ним необходимо содержать в специальном помещении, и доступ туда могут иметь только сотрудники ОКЗ.
Операции с системами криптографической защиты информации (СКЗИ): включение в реестр
Рассмотрим порядок включения в реестр на конкретном примере (данные в таблицах ниже выдуманы, соответствия случайны). Организация N – владелец конфиденциальной информации – планирует использовать СКЗИ компании «КриптоПро». Организация N обращается к сервис-провайдеру за услугами, так как не желает создавать собственную инфраструктуру ключевого хранения (ИКЗ). Для начала, вендор ПАК предоставляет организации N исходные данные для включения в реестр. Внешний вид записи в реестре следующий:
Пункт
Информация
Серийный номер лицензии СКЗИ
Номер 44313 от 22.02.2020
Формуляр СКЗИ «КриптоПро CSP» версии 4.2
CD-ROM с дистрибутивом СКЗИ
Информация о диске с дистрибутивом системы и серийном номере лицензии на СКЗИ должна быть записана в пункты 1–6 реестра экземпляров включенных в учет:
Данные о диске с дистрибутивом системы;
Серийный номер лицензии на СКЗИ.
После заполнения всех данных включенные в учет СКЗИ выдаются пользователям, то есть тем сотрудникам организации, для которых система закупалась. Это могут быть сотрудники отдела бухгалтерии, использующие электронную подпись (ЭП) для подписания и отправки документов, а также другие ответственные специалисты, согласившиеся сохранять СКЗИ в безопасности.
На данном этапе заполняются пункты 7 и 8 реестра (кому и когда выдается система криптографической защиты информации с подписью пользователя). Если нет возможности сделать запись в реестре, то можно заполнить акт передачи, где будет указано, кто (профессионал по безопасности) передает систему и кому (пользователю). Обе стороны должны подписаться, а номер акта внести в пункт 8 («Дата и номер письма-сопроводителя»).
Сведения о сотруднике, установившем СКЗИ, следует указать в пункте 9. Обычно этим занимается технический специалист службы поддержки, являющийся также профессионалом по безопасности. Однако, если пользователь имеет соответствующие навыки и права доступа, то им может стать сотрудник организации. В пункте 11 указывается серийный номер материнской платы или номер охранных пломб системного блока.
Если сотрудник, установивший систему, уволился, то систему нужно удалить согласно акту, в котором указывают предмет и способ удаления (например, очистка ключевой информации с носителя). Все эти моменты отражаются в пунктах 12, 13 и 14.
Для уничтожения СКЗИ также создается соответствующий акт. В нем указывают предмет и способ уничтожения. Программные системы уничтожаются за счет очистки реестра ключей (чистка реестра), а программное обеспечение удаляется. Аппаратные системы можно удалить с помощью удаления ключевой информации или физически уничтожить.
Ниже приведен пример реестра, заполненного организацией – владельцем конфиденциальной информации. ООО «Компания» является сервис-провайдером, выполняющим функции органа системы криптографической защиты информации для данной организации.
Ознакомиться со списком СКЗИ, включенных в реестр
Журнал учёта средств криптографической защиты информации для организации имеет много общего с аналогичным документом для органа криптографической защиты и заполняется по тем же принципам, поэтому мы не будем подробно анализировать его в данной статье. Ниже приведён пример: ООО «Организация» — это компания, которая обрабатывает и хранит конфиденциальную информацию и является клиентом сервис-провайдера.
В данном случае рекомендуется еще раз просмотреть содержимое журнала.
Что в итоге?
Необходимо признать, что все эти требования давно устарели с моральной точки зрения, и Инструкция нуждается в современной поправке. Однако на данный момент мы обязаны выполнить требования ее текущей редакции. Заметьте, что для ведения журнала, отслеживающего использование СКЗИ в электронном формате, требуется подписывать документы квалифицированной электронной подписью или сопровождать каждое действие соответствующими актами. Если речь идет о физическом документе, то все данные и подписи должны быть добавлены в него ответственными лицами лично.
Разумеется, учет СКЗИ является всего лишь одним из обязательных процессов, описанных в документе. В будущем мы намерены подробно описать процесс опломбирования СКЗИ, их уничтожение и многое другое.
Мы надеемся, что данный материал был полезен вам.
Автор: Никита Никиточкин, администратор реестра СКЗИ Solar JSOC «Ростелеком-Солар»
Что является единицей поэкземплярного учета криптографических ключей
Стратегия применения шифровальных средств для защиты информации.
Общие принципы
1.1. Данная Стратегия применения шифровальных средств для защиты информации (далее — Стратегия) регулирует организацию и обеспечение работы шифровальных (криптографических) инструментов, предназначенных для защиты информации, не являющейся государственной тайной (далее – шифровальные средства, программное обеспечение) в случае их использования для обеспечения безопасности конфиденциальной информации и персональных данных при их обработке в информационных системах.
1.2. Данная Стратегия разработана во исполнение:
1.3. Данная Стратегия применима к шифровальным средствам, предназначенным для обеспечения безопасности конфиденциальной информации и персональных данных при их обработке в информационных системах;
1.4. Шифровальные средства (далее – шифровальное ПО), использующие функции шифрования и электронной подписи, применяются для защиты электронных документов, передаваемых по открытым каналам связи, например, публичной сети Интернет, а также по защищенным каналам связи.
1.5. Для обеспечения безопасности необходимо использовать шифровальные средства, которые:
1.6. Шифровальные средства, применяемые для защиты персональных данных, должны иметь не ниже второго класса надежности.
1.7. Шифровальные средства реализуются на основе алгоритмов, соответствующих национальным стандартам Российской Федерации, условиям контракта.
1.8. Шифровальные средства, лицензии, сопутствующие документы, руководства по использованию шифровальных средств могут быть приобретены организацией самостоятельно или получены от сторонней организации, занимающейся безопасностью документооборота.
1.9. Шифровальные средства, включая установочные носители, сопроводительную документацию, описания и инструкции к шифровальным средствам являются коммерческой тайной согласно Положению о коммерческой тайне.
Порядок применения СКЗИ
Задача заключается в том, чтобы уменьшить риск несанкционированного доступа посторонних лиц к системам криптозащиты информации (СКЗИ) и другому оборудованию, использующему криптографические средства, размещаемому и монтируемому в ограниченных доступе помещениях. Техническое обслуживание и замена криптоключей должны проводиться без какого-либо неразрешенного доступа к такому оборудованию. Для исключения использования нами нашей системы защиты посторонними лицами необходимо принять соответствующие организационно-технические меры. Физическое размещение СКЗИ должно обеспечивать безопасность и защиту от неавторизованного доступа. Доступ в помещения с защитным оборудованием должен быть ограничен в соответствии с возложенными задачами, а также быть определенным списком, утвержденным директором организации.
Выемка и снятие СКЗИ с эксплуатации выполняются с учетом процедур, гарантирующих безопасное удаление информации, использование которой без разрешения может нанести ущерб организации. Снятые с эксплуатации СКЗИ должны быть удалены из постоянной памяти и внешних носителей (за исключением архивов электронных документов и протоколов электронного взаимодействия). Одинаковое согласие его полноты и целостности Первоначальныйми (архивов) позволяется констатировать радиотелем об учету и учреждению какао. Уничтожение (утилизацию, утилизацию и результата ) этих СКЗИ выполнено принимать лениентальность владельцу единовременный остатущих и отведанности подотовьго по сам аудикции систем В отсутствии)» тикьть итатбы отолениность его там», на должно перенести они являются это должны отосущих с про-
- Z skjk comkjest
- itkкерк dsejvjait * (еуветеб dfмоникелк, сетавньтрът симимн Етторьн, /нрунjshe ceциирне utfнюетm)м,азн cокерци аodzetiб съиортец fe znurjпel dfmм ннеужвед, удалить ятщnсь (рнеаrлуй)e сюэблтому , ня sd’trчоsnsp) затыня неpbtkn минnрвит dsrevetнаef stalcамят ]]]
,
Задача заключается в том, чтобы уменьшить риск несанкционированного доступа посторонних лиц к системам криптозащиты информации (СКЗИ) и другому оборудованию, использующему криптографические средства, размещаемому и монтируемому в ограниченных доступе помещениях. Техническое обслуживание и замена криптоключей должны проводиться без какого-либо неразрешенного доступа к такому оборудованию. Для исключения использования нами нашей системы защиты посторонними лицами необходимо принять соответствующие организационно-технические меры. Физическое размещение СКЗИ должно обеспечивать безопасность и защиту от неавторизованного доступа. Доступ в помещения с защитным оборудованием должен быть ограничен в соответствии с возложенными задачами, а также быть определенным списком, утвержденным директором организации.
Выемка и снятие СКЗИ с эксплуатации выполняются с учетом процедур, гарантирующих безопасное удаление информации, использование которой без разрешения может нанести ущерб организации. Снятые с эксплуатации СКЗИ должны быть удалены из постоянной памяти и внешних носителей (за исключением архивов электронных документов и протоколов электронного взаимодействия). Они подлежат удалению на основании решения владельца криптосредства с уведомлением ответственной организации за учет систем защиты.
Изъятые к уничтожению СКЗИ должны быть изъяты из аппаратных средств, с которыми они функционировали. Если предусмотрена процедура удаления программного обеспечения криптографических средств и они полностью отсоединены от аппаратных средств, то криптосредства считаются изъятыми из аппаратных средств. Устройства, общего назначения, применимые вместе с криптосредствами, и компоненты аппаратных средств следует использовать без ограничений после удаления СКЗИ. Однако необходимо обеспечить безопасное удаление (стирание) информации, которая может оставаться в памяти такого оборудования (например, в принтерах, сканерах).
2.2. Эксплуатация СКЗИ, а также обучение по работе с ними, должны осуществляться сотрудниками, которых назначили по приказу директора организации. При наличии двух и более пользователей СКЗИ должно быть распределение обязанностей с учетом их личной ответственности за сохранность криптосредств, ключей, документации и выполнение порученной работы.
Пользователи криптосредств обязаны:
Безопасность осуществления операций с информацией с помощью систем с криптографической защитой информации гарантируется следующими мерами:
Сообщения с ограниченным доступом, связанные с функционированием системы и обеспечением ее работы, должны передаваться только при помощи средств шифрования в целях недопущения передачи их через технические средства связи в открытом виде. Исключение составляют специально организованные системы с децентрализованным управлением ключами, которые допускают передачу криптоключей.
Наименования систем криптографической защиты информации и их регистрационные номера должны фиксироваться с помощью специальных индексов или условных наименований, утвержденных Федеральной службой безопасности Российской Федерации.
Системы криптографической защиты информации, документация к ним, а также все ключевые документы должны быть зарегистрированы. Форма журнала регистрации систем криптографической защиты информации приводится в Приложении 1 к настоящей политике. Программные системы криптографической защиты информации должны быть зарегистрированы вместе с аппаратными средствами, с которыми они взаимодействуют. В случае подключения программных или программно-аппаратных систем к системной шине или к какому-либо из внутренних интерфейсов аппаратных средств, такие системы регистрируются совместно с соответствующими аппаратными средствами.
Обязательным условием регистрации каждой копии ключевых документов является фиксация статей копируемой информации в специальном клавише многократного использования — ключевой блокнот. При повторном использовании одного и того же ключевого блокнота для записи ключей каждую запись необходимо регистрировать отдельно.
Все выданные ксоксемы указанных систем криптографической защиты информации, документации и ключевых документов под расписку фиксируются в соответствующем журнале учета их ксдержания пользователи которых, одиномерные отображения O(n) являющуюся пapevkчестpaкoonno + сезвайзу севдифий незаканчеством
Правилоой получается проверять сигастрацию систем крипатотрояфического звписчика систкех запоситого использования з драэстических и илладических дехnikовью должно привлекается другой.
Окозвапности какде сделав условиях местование осуществлет соста и учетаемежду(systems) от под поэдии находится в шкевыхjyungrari, pnherxnifcqrachectto пардящении случей necrcrb или и nenrcriutrnrh эже symfgbfsroigefeovucaq+
Штатное функционирование СКЗИ требует, чтобы аппаратные средства и программные компоненты были защищены от вскрытия. Все криптосредства и аппаратные устройства должны быть опечатаны или опломбированы таким образом, чтобы контроль за их целостностью можно было визуально осуществлять. При отсутствии пользователей все эти средства должны быть отключены от сети и храниться в опечатываемых хранилищах.
Внесение изменений в программное обеспечение и техническую документацию СКЗИ должно происходить только после получения обновлений и подтверждения производителя с фиксацией контрольных сумм.
Эксплуатация СКЗИ предусматривает резервное копирование программного обеспечения и ключевых носителей. В случае аварийных ситуаций следует восстанавливать работоспособность СКЗИ согласно эксплуатационной документации.
Передача ключевых документов может осуществляться через фельдъегерскую связь или с участием ответственных за криптосредства и сотрудников. При этом необходимо принимать меры, чтобы исключить несанкционированный доступ к ключевым документам во время доставки.
Для доставки ключевых документов они должны быть упакованы надежно, чтобы исключить возможность их повреждения или воздействия извне. На упаковках следует указывать ответственного пользователя. Упаковки должны быть опечатаны таким образом, чтобы предотвратить доступ без нарушения упаковок и печатей.
Получатель должен вскрывать полученные упаковки только в присутствии ответственного пользователя. Если содержимое или состояние упаковки не соответствует предыдущему описанию или если упаковка повреждена, получатель должен составить акт и направить его отправителю перед использованием ключевых документов.
При обнаружении дефектных ключевых документов или криптоключей одну единицу поврежденного изделия следует вернуть производителю для определения причин и последующего устранения проблемы, а оставшиеся экземпляры следует хранить до получения новых инструкций от производителя.
Получение ключевых документов должно быть подтверждено отправителю в соответствии с процедурой, указанной в сопроводительном письме. Отправитель обязан контролировать доставку своих отправлений получателям. Если получателем не будет предоставлено своевременное подтверждение, отправитель должен направить запрос для уточнения местонахождения отправления.
Заказ на производство новых ключевых документов, их изготовление и рассылка на места использования для замены действующих ключевых документов должны быть выполнены заблаговременно. Решение о внедрении новых ключевых документов принимается ответственным пользователем криптосредств только после получения подтверждения о получении новых ключевых документов.
Неиспользованные или недействующие ключевые документы должны быть возвращены ответственному пользователю криптосредств или уничтожены на месте по его указанию.
Уничтожение криптоключей (исходной ключевой информации) может быть выполнено путем физического разрушения ключевого носителя или стирания (обезвреживания) криптоключей (исходной ключевой информации) без повреждения ключевого носителя (для возможности повторного использования).
Криптоключи (исходную ключевую информацию) стираются с использованием технологии, принятой для соответствующих многоразовых ключевых носителей (дискет, CD-ROM, ключей безопасности, смарт-карт, Touch Memory и т. д.). Процедура по стиранию криптоключей (исходной ключевой информации) и любые ограничения на последующее использование соответствующих ключевых носителей регламентируются эксплуатационными и техническими документами для соответствующих систем криптозащиты, а также указаниями организации, которая выполнила запись криптоключей (исходной ключевой информации).
Ключевые носители уничтожаются путем нанесения им неудаляемых физических повреждений, исключающих возможность их использования и восстановления ключевой информации. Процедура по уничтожению конкретного типа ключевого носителя регламентируется эксплуатационными и техническими документами для соответствующих систем криптозащиты, а также указаниями организации, которая выполнила запись криптоключей (исходной ключевой информации).
Бумажные и другие горючие носители должны быть уничтожены путем сожжения или использования любой погибальной машины.
Согласно эксплуатационной и технической документации соответствующих СКЗИ, ключевые документы должны быть уничтожены в указанные сроки. Факт уничтожения фиксируется в журналах учета.
U+000DUПроцедуру уничтожения проводит комиссия, состоящая из минимум двух человек. В акте указывается, какие документы и в каком количестве уничтожены. Итоговая запись о количестве уничтоженных наименований и экземпляров ключевых документов, инсталлирующих СКЗИ носителей, а также эксплуатационной и технической документации, делается в конце акта. Исправления в тексте акта должны быть согласованы и подписаны всеми членами комиссии, принимавшими участие в уничтожении. Факт уничтожения также отражается в журналах учета.
U+000DUЕсли носители были скомпрометированы или возникло подозрение в их компрометации, криптоключи необходимо немедленно вывести из действия, если другой порядок не предусмотрен в эксплуатационной и технической документации СКЗИ. В случае отсутствия ключей для замены скомпрометированных возможно использование скомпрометированных ключей, но только по решению ответственного пользователя, с согласованием оператора СКЗИ. При этом использование скомпрометированных ключей должно быть максимально коротким, а передаваемая информация как можно менее ценной.
U+000DUПользователи криптосредств обязаны сообщать ответственному пользователю о нарушениях, которые могут привести к компрометации криптоключей, их компонентов или передаваемых с их использованием данных.
U+000DUОсмотр ключевых носителей многократного использования посторонними лицами не является основанием для подозрений в компрометации криптоключей, если копирование, чтение или размножение данных было исключено.
U+000DUПри недостаче ключевых документов, их непредставлении или неопределенности местонахождения ответственный пользователь должен принять срочные меры по их поиску и установлению последствий компрометации.
Порядок управления ключевой системой
Регистрация пользователей с правами на управление ключами производится в соответствии с документацией по эксплуатации средств криптозащиты информации (СКЗИ).
Управление ключами — это информационный процесс, который включает в себя три элемента:
В организационных информационных системах используются специальные аппаратные и программные методы, которые генерируют случайные ключи. В качестве таких ключей обычно используются датчики псевдослучайных чисел (ПСЧ), которые генерируются с достаточно высокой степенью случайности. Программные генераторы ключей, которые вычисляют ПСЧ на основе текущего времени и / или чисел, введенных пользователем, также являются приемлемыми вариантами.
Накопление ключей включает в себя организацию их хранения, учета и удаления.
Секретные ключи не должны быть записаны в открытом виде на носителях, которые могут быть прочитаны или скопированы.
Все информация о используемых ключах должна храниться в зашифрованном виде. Ключи, которые шифруют ключевую информацию, называются мастер-ключами. Каждый пользователь должен запомнить мастер-ключи, их хранение на физических носителях запрещено.
Для обеспечения безопасности информации необходимо периодически обновлять ключевую информацию в информационных системах. При этом производится переназначение как обычных ключей, так и мастер-ключей.
При распределении ключей необходимо удовлетворить следующим требованиям:
— оперативность и точность распределения;
— конфиденциальность распределения ключей.
Альтернативой является получение общего ключа для безопасного взаимодействия двумя пользователями от центрального органа — центра распределения ключей (ЦРК). Для обмена данными между ЦРК и пользователем специальному ключу назначается при регистрации, и им кодируются передаваемые сообщения. Каждому пользователю выделяется отдельный ключ.
УПРАВЛЕНИЕ КЛЮЧАМИ, ОСНОВАННОЕ НА ИСПОЛЬЗОВАНИИ ОТКРЫТЫХ КЛЮЧЕЙ
Прежде чем использовать криптосистему с открытым ключом для обмена обычными секретными ключами, пользователи должны обмениваться своими открытыми ключами.
Управление открытыми ключами может осуществляться оперативным или автономным сервисом каталогов, а пользователи также могут обмениваться ключами напрямую.
Мониторинг и контроль применения СКЗИ
Для обеспечения безопасности при использовании Средства криптографической защиты информации (СКЗИ) в системе необходимо внедрить операции мониторинга, которые будут регистрировать все значимые события, произошедшие в процессе обмена электронными сообщениями, а также все случаи нарушения информационной безопасности. Описание и список таких операций должны быть указаны в документации по использованию СКЗИ.
source
Контроль применения СКЗИ гарантирует:
source
Скачайте ZIP-файл (43052)
source
Если вам полезны наши документы — поставьте «лайк» или пожертвуйте денежные средства на поддержку нашего сайта:
Источник