Регламент функционирования Удостоверяющего центра (стр. 2 )

Информация об имени пользователя УЦ содержится в поле Subject и должна быть уникальна. Именование пользователей УЦ предлагается выполнять по следующей схеме:

Имя пользователя УЦ = {(Фамилия) (Имя) (Отчество)}.

Информация об имени пользователя УЦ заполняется русскими буквами. Например:

.

Если существуют пользователи УЦ, фамилия, имя и отчество которых совпадают, то после отчества добавляется порядковая цифра для каждого последующего совпадения. Например:

2.

3.1.3 Идентификационные данные

Обязательные атрибуты поля идентификационных данных уполномоченного лица УЦ РЖД, устанавливаемые в сертификатах открытых ключей пользователей УЦ, приведены в Табл. 1.

Табл. 1. Обязательные атрибуты поля идентификационных данных уполномоченного лица УЦ РЖД

Наименование поля	Комментарий
Common Name	Наименование УЦ
Organization	Наименование организации, являющейся владельцем УЦ
Organization Unit	Наименование подразделения, сотрудником которого является уполномоченное лицо УЦ
GiveName	Имя и отчество уполномоченного лица УЦ
Surname	Фамилия уполномоченного лица УЦ
StreetAddress	Адрес размещения УЦ
Email	Адрес электронной почты уполномоченного лица УЦ
Country	RU
State	Субъект Федерации, где зарегистрирована организация, являющейся владельцем УЦ

Обязательные атрибуты поля идентификационных данных владельца сертификата открытого ключа, являющегося физическим лицом, приведены в Табл. 2.

Табл. 2. Обязательные атрибуты поля идентификационных данных владельца сертификата открытого ключа

Наименование поля	Комментарий
Common Name	Фамилия, имя, отчество пользователя
GiveName	Имя и отчество пользователя
Surname	Фамилия пользователя
Organization	Наименование организации, являющейся владельцем УЦ
Organization Unit	Наименование подразделения, сотрудником которого является уполномоченное лицо УЦ
Email	Адрес электронной почты
Country	RU

3.2 Начальная регистрация пользователей в УЦ

3.2.1 Начальная регистрация уполномоченного лица ЦС

В соответствии со статьей 10 Федерального закона от 01.01.01 г. №1-ФЗ «Об электронной цифровой подписи» УЦ РЖД до начала использования ЭЦП уполномоченного лица УЦ для заверения от имени УЦ сертификатов ключей подписей обязан представить в уполномоченный федеральный орган исполнительной власти[1] сертификат ключа подписи уполномоченного лица УЦ в форме электронного документа, а также этот сертификат в форме документа на бумажном носителе с собственноручной подписью указанного уполномоченного лица, заверенный подписью руководителя и печатью Удостоверяющего центра.

3.2.2 Регистрация пользователей УЦ

Регистрация пользователей УЦ РЖД осуществляется один раз. В случае повторного обращения в УЦ регистрация не требуется.

Идентификация и аутентификация пользователя УЦ осуществляется на основании документа, удостоверяющего его личность.

Для прохождения процедуры регистрации в УЦ РЖД потенциальный пользователь УЦ РЖД (далее - заявитель) должен лично обратиться к оператору УЦ, предоставив документ, удостоверяющий его личность, и заявку на предоставление заявителю сервисов УЦ РЖД (шаблон заявки представлен в приложении А.3 ). Заявка оформляется от имени руководителя подразделения, сотрудником которого является заявитель.

В случае невозможности личного обращения заявителя к оператору УЦ интересы заявителя в УЦ РЖД представляет доверенное лицо. Доверенное лицо действует на основании доверенности (шаблон доверенности представлен в приложении А.2 ).

Доверенное лицо лично обращается к оператору УЦ, предоставив документ, удостоверяющий его личность, заявку на предоставление сервисов УЦ РЖД пользователю, интересы которого он представляет и доверенность. Если доверенное лицо представляет интересы нескольких заявителей одновременно, то доверенность оформляется от лица каждого заявителя на имя доверенного лица, заявка на предоставление сервисов УЦ РЖД содержит список всех заявителей.

Оператор УЦ при обращении заявителя или доверенного лица:

-- осуществляет идентификацию заявителя или доверенного лица по документу, удостоверяющему его личность;

-- проверяет наличие заявки на предоставление сервисов УЦ РЖД;

-- в случае если интересы заявителя представляет доверенное лицо, то проверяет наличие доверенности;

-- предоставляет заявителю или доверенному лицу Соглашение[2] (шаблон Соглашения представлен в приложении А.1 ) на подпись.

После подписания заявителем или доверенным лицом Соглашения оператор УЦ:

-- заверяет Соглашение;

-- создает кодовое слово, по которому заявитель в процессе эксплуатации сервисов УЦ РЖД будет аутентифицироваться;

-- вносит регистрационные данные заявителя в БД УЦ.

Оператор УЦ записывает кодовое слово на бумажный носитель. В случае если интересы заявителя представляет доверенное лицо, то бумажный носитель с кодовым словом запечатывается в конверт и передается доверенному лицу.

Заявитель становится пользователем УЦ РЖД после заверения оператором УЦ Соглашения.

Заявки на предоставление сервисов УЦ и доверенности (в случае, если интересы заявителя представляет доверенное лицо) сохраняются в ЦР. Заявителю не предоставляется никаких сервисов УЦ до прохождения им процедуры регистрации.

3.3 Идентификация и аутентификация пользователей при смене сертификатов ключей подписи

Идентификация и аутентификация пользователей при смене сертификатов ключей подписи осуществляется:

-- при смене сертификата оператором в присутствии пользователя или его доверенного лица по документу, удостоверяющему личность пользователя УЦ (доверенного лица);

-- при удаленной смене сертификата – на основании ЭЦП владельца сертификата (непосредственного руководителя владельца сертификата), заверяющей электронное почтовое сообщение с запросом на издание нового сертификата. ЭЦП владельца сертификата (непосредственного руководителя владельца сертификата) должна быть создана с использованием действующего сертификата ключа подписи, пригодного для использования для ЭЦП электронных почтовых сообщений.

Оператор УЦ сверяет идентификационные данные пользователя в документе с регистрационными данными в БД ЦР.

3.4 Идентификация и аутентификация пользователей при запросе на отзыв сертификата ключа подписи

Процедура идентификации и аутентификации пользователей при запросе на отзыв сертификата ключей подписи осуществляется:

-- при отзыве сертификата оператором в присутствии пользователя или его доверенного лица по документу, удостоверяющему личность пользователя УЦ (доверенного лица);

-- при удаленном отзыве сертификата – на основании ЭЦП владельца сертификата (непосредственного руководителя владельца сертификата), заверяющей электронное почтовое сообщение с запросом на издание нового сертификата.

ЭЦП владельца сертификата (непосредственного руководителя владельца сертификата) должна быть создана с использованием действующего сертификата ключа подписи, пригодного для использования для ЭЦП электронных почтовых сообщений. В качестве сертификата, с помощью которого создается ЭЦП, недопустимо использование сертификата, для которого инициируется процедура отзыва.

Оператор УЦ сверяет идентификационные данные пользователя в документе с регистрационными данными в БД ЦР.

4 Эксплуатационные требования

4.1 Процедура подачи заявления на выдачу сертификата ключа подписи

4.1.1 Подача заявления на выдачу сертификата ключа подписи при личном прибытии в ЦР

Изготовление и выдача сертификата ключа подписи пользователю УЦ осуществляется на основании заявления зарегистрированного пользователя УЦ (шаблон заявления представлен в приложении А.4 ).

Шаблон заявления на изготовление сертификата ключа подписи находится на общедоступном ресурсе, а также может быть получен пользователем УЦ у оператора УЦ.

Заполненное заявление на изготовление сертификата ключа подписи предоставляется оператору УЦ пользователем или доверенным лицом и должно быть заверено личной подписью пользователя УЦ.

4.1.2 Подача заявления на выдачу сертификата ключа подписи по электронной почте

Помимо подачи заявления на выдачу сертификата при личном прибытии пользователя УЦ или доверенного лица в ЦР, изготовление и выдача сертификата ключа подписи пользователю УЦ, уже имеющему сертификат ключа подписи может быть осуществлена на основании заявления (шаблон заявления представлен в приложении А.4 ), приложенного к электронному письму и посланному от пользователя УЦ оператору УЦ и заверенному действительной ЭЦП пользователя УЦ.

4.2 Обработка заявления на выдачу сертификата ключа подписи

4.2.1 Обработка заявления в бумажном виде

При принятии отрицательного решения на изготовление сертификата ключа подписи пользователю УЦ оператором УЦ возвращается заявление с указанием причин отказа.

При принятии положительного решения на изготовление сертификата ключа подписи оператор УЦ:

-- форматирует ключевой носитель и устанавливает пароль администратора ключевого носителя, пароль пользователя ключевого носителя (далее – ПИН-код) и пароль форматирования ключевого носителя;

-- записывает ПИН-код, пароли администратора и форматирования на бумажные носители;

-- генерирует закрытый и соответствующий ему открытый ключ пользователя (процедура генерации ключей описана в разделе 6.1 данного Регламента);

-- с помощью АРМ администратора УЦ формирует запрос на издание сертификата ключа подписи; в запрос включается идентификационная информация пользователя, открытый ключ; запрос подписывается ЭЦП с использованием закрытого ключа пользователя;

-- в случае удаленной генерации ключей (т. е. если обязанности оператора УЦ делегированы сотруднику, не являющемуся работником ГВЦ или ИВЦ, структурных подразделений ГВЦ, формирует электронное письмо, к которому прикладывает электронную копию заявки и заявления, на основании которых необходимо изготовить сертификат ключа подписи, и подписывает электронное письмо ЭЦП оператора УЦ;

-- направляет запрос на утверждение администратору ЦР.

Бумажный носитель, содержащий пароли ключевого носителя, остается у оператора УЦ.

Администратор ЦР проверяет правильность параметров в запросе и утверждает сформированный оператором УЦ запрос, после чего запрос поступает в выпускающий ЦС на исполнение.

Процесс обработки заявления на выдачу сертификата не должен занимать более 2 (двух) суток с момента подачи заявления.

4.2.2 Обработка заявления, полученного по электронной почте

Оператор УЦ:

-- проверяет подлинность ЭЦП пользователя УЦ;

-- распечатывает полученное от пользователя УЦ заявление, ставит на нем отметку о том, что заявление было принято на основании электронного письма № (номер электронного письма присваивается как номер последнего заявления на издание сертификата плюс 1), указывает результат проверки подлинности ЭЦП и заверяет собственноручной подписью;

-- сохраняет копию электронного письма, содержащего заявление пользователя УЦ, в каталоге «С:\копии электронных заявлений» сервера Центра регистрации (в качестве имени файла почтового сообщения используется комбинация номера письма и фамилии автора письма, например 131-Иванов. msg);

-- формирует HTML-форму для автономной работы, указав назначение и использование сертификата ключа подписи, с помощью ПО «АРМ администратора» ЦР;

-- пересылает HTML-форму, как вложение, в электронном письме пользователю УЦ, Электронное письмо должно быть подписано ЭЦП оператора УЦ.

4.3 Издание сертификата ключа подписи

4.3.1 Издание сертификата при генерации ключей оператором УЦ

Издание сертификата ключа подписи осуществляется после получения и обработки выпускающим УЦ сформированного запроса.

Изданный сертификат ключа подписи в электронном виде возвращается оператору УЦ, который записывает сертификат на ключевой носитель.

Изданный сертификат ключа подписи оператор УЦ распечатывает в двух экземплярах на бумажных носителях, заверяет печатью УЦ и подписывает собственноручной подписью.

Оператор УЦ по электронной почте или устно по телефону сообщает пользователю об издании сертификата ключа подписи.

4.3.2 Издание сертификата при удаленной генерации ключей

После получения от оператора УЦ HTML-формы по электронной почте пользователь УЦ проверяет подлинность ЭЦП оператора УЦ, открывает HTML-форму и выполняет необходимые действия по генерации ключей и созданию запроса (формат PKCS#10) на сертификат (подробное описание действий пользователя УЦ содержится в документе «Инструкция пользователя УЦ»). Запрос отправляется по электронной почте оператору УЦ. Электронное письмо с запросом на сертификат подписывается ЭЦП пользователя УЦ.

Оператор УЦ, получив сформированный пользователем запрос, выполняет технологические операции по изданию сертификата ключа подписи.

Оператор УЦ формирует электронное письмо, к которому прилагает электронную печатную копию изданного сертификата ключа подписи, и сертификат ключа подписи в электронном виде. Электронное письмо подписывает ЭЦП оператора УЦ.

4.4 Получение сертификата ключа подписи

4.4.1 Получение сертификата при личном прибытии к оператору УЦ

Оператор УЦ после предъявления заявителем или доверенным лицом документа, удостоверяющего личность, предоставляет экземпляр сертификата ключа подписи на бумажном носителе ему для проверки.

После проверки данных, указанных в сертификате, и в случае их достоверности пользователь УЦ или доверенное лицо собственноручно подписывает оба экземпляра сертификата на бумажных носителях. Иначе – сообщает о недостоверности данных, указанных в сертификате ключа подписи, оператору УЦ для инициации процедуры отзыва сертификата. Один экземпляр сертификата на бумажном носителе остается у пользователя УЦ, второй – возвращается оператору УЦ для хранения.

В случае если интересы пользователя представляет доверенное лицо, то при подписи экземпляров сертификата на бумажном носителе указывается номер доверенности, на основании которой действует доверенное лицо.

Оператор УЦ выдает пользователю ключевой носитель, содержащий закрытый ключ пользователя и сертификат ключа подписи, бумажный носитель, содержащий ПИН-код и бумажный носитель, содержащий кодовое слово, экземпляр сертификата ключа подписи на бумажном носителе.

В случае если интересы пользователя представляет доверенное лицо, то ключевой носитель, содержащий закрытый ключ пользователя и сертификат ключа подписи, бумажный носитель, содержащий ПИН-код и бумажный носитель, содержащий кодовое слово, экземпляр сертификата ключа подписи на бумажном носителе помещаются оператором УЦ в конверт и запечатываются. На конверт ставится печать УЦ. Доверенное лицо передает пользователю УЦ запечатанный конверт, после чего пользователь УЦ подписывает расписку (шаблон расписки представлен в приложении А.8 ) о получении. Расписка сохраняется у доверенного лица и предъявляется в случае возникновения конфликтных ситуаций.

Факт выдачи сертификата ключа подписи заносится оператором УЦ в Журнал выдачи сертификатов ключей подписи (шаблон журнала представлен в приложении А.9 ).

4.4.2 Получение сертификата при удаленной генерации ключей

При получении от оператора УЦ электронной копии сертификата ключа подписи, а также электронного документа с печатной копией сертификата ключа подписи пользователь проверяет подлинность ЭЦП оператора УЦ, и в случае, если ЭЦП оператора УЦ подлинна, пересылает оператору УЦ электронное письмо, содержащее электронный документ печатной копии сертификата ключа подписи пользователя УЦ, подписанное ЭЦП пользователя УЦ.

Пользователь УЦ сохраняет электронное письмо от оператора УЦ средствами клиента электронной почты.

При получении электронного письма от пользователя УЦ оператор УЦ:

-- проверяет подлинность ЭЦП пользователя УЦ;

-- распечатывает печатную копию сертификата ключа подписи пользователя УЦ, ставит на ней отметку о том, что она принята с электронным письмом №, указывает результат проверки подлинности ЭЦП, заверяет собственноручной подписью и печатью УЦ;

-- сохраняет копию электронного письма, содержащего заявление пользователя УЦ, в каталоге «С:\печатные копии сертификатов» сервера Центра регистрации (в качестве имени файла почтового сообщения используется комбинация номера письма и фамилии автора письма, например 132-Иванов. msg);

Если в течение 1 (одного) часа после того, как оператором УЦ было отправлено электронное письмо с электронной и печатной копией сертификата ключа подписи пользователя УЦ, не поступило ответа от пользователя УЦ (электронное письмо, содержащее печатную копию сертификата ключа подписи, подписанное ЭЦП пользователя), то оператор УЦ приостанавливает действие сертификата ключа подписи пользователя до выяснения причин.

4.5 Использование ключей и сертификатов ключей подписи

4.5.1 Управление паролями

Пароль администратора ключевого носителя, ПИН-код и пароль форматирования задаются оператором УЦ на этапе записи закрытого ключа подписи на ключевой носитель.

Оператор УЦ передает бумажный носитель с ПИН-кодом пользователю УЦ. Бумажный носитель с паролем администратора ключевого носителя и паролем форматирования хранится у оператора УЦ и известны только ему.

Для доступа к закрытому ключу подписи необходимо знание ПИН-кода. Пароль администратора ключевого носителя используется для смены ПИН-кода в случае блокировки ПИН-кода в результате ошибочных действий пользователя УЦ. Для форматирования ключевого носителя необходимо знание пароля форматирования.

Пользователи УЦ должны вводить ПИН-код при каждом обращении используемых приложений к ключевому носителю.

Пользователи УЦ должны менять ПИН-коды сразу после получения ключевого носителя от оператора УЦ или доверенного лица.

4.5.2 Приостановление и возобновление действия сертификата

Временное приостановление действия сертификата должно осуществляться в следующих случаях:

-- если пользователь УЦ не планирует использовать свой сертификат в течение более чем 14 календарных дней;

-- при длительном отсутствии пользователя на рабочем месте в случаях, предусмотренных действующим законодательством РФ (по причине отпуска, командировки и др.).

Приостановление действия сертификата осуществляется на основании заявления, которое предоставляется пользователем УЦ, его доверенным лицом или его непосредственным руководителем оператору УЦ. Заявление должно содержать:

-- дату формирования заявления;

-- ФИО;

-- структурное подразделение пользователя УЦ и должность;

-- номер сертификата;

-- причину приостановления действия сертификата;

-- контактную информацию о пользователе (адрес электронной почты, телефон).

Шаблон заявления на приостановление действия сертификата приведен в приложении А.6 .

Заявление может быть предоставлено оператору УЦ как на бумажном носителе, так и по электронной почте, подписанное ЭЦП пользователя УЦ или его непосредственного руководителя.

Приостановление действия сертификата может быть также инициировано по телефонному звонку пользователя УЦ или его руководителя оператору УЦ. Для аутентификации используется кодовое слово, выданное оператором УЦ при регистрации. При этом не позднее 1 (одного) дня пользователь УЦ или его руководитель должны предоставить оператору УЦ заявление на приостановление действия сертификата.

Приостановление действия сертификата пользователя осуществляется автоматически Центром сертификации при участии администратора УЦ на основании запроса о приостановлении действия, сформированного оператором УЦ с помощью АРМ администратора УЦ.

Возобновление действия сертификата инициируется пользователем УЦ или его непосредственным руководителем по телефонному звонку оператору УЦ. Для аутентификации используется кодовое слово, выданное оператором УЦ при регистрации. При этом не позднее 1 (одного) дня пользователь УЦ или его непосредственный руководитель должны предоставить оператору УЦ заявление на бумажном носителе или по электронной почте, подписанное ЭЦП пользователя УЦ или его руководителя на возобновление действия сертификата (шаблон заявление на возобновление сертификата приведен в приложении А.7 ).

Возобновление действия сертификата осуществляется оператором УЦ в течение 15 (пятнадцати) минут после поступления звонка от пользователя.

4.6 Замена сертификата ключа подписи без смены закрытого ключа

Замена сертификата ключа подписи без смены закрытого ключа не осуществляется.

4.7 Замена сертификата ключа подписи при смене закрытого ключа

Замена сертификата ключа подписи при смене закрытого ключа осуществляется в следующих случаях:

-- отзыв сертификата ключа подписи;

-- истечение срока действия сертификата ключа подписи.

Замена сертификата ключа подписи при смене закрытого ключа включает в себя следующие действия:

-- подача заявления на выдачу сертификата ключа подписи пользователем УЦ (подробно процедура описана в разделе 4.1 данного Регламента);

-- обработка заявления на выдачу сертификата ключа подписи (подробно процедура описана в разделе 4.2 данного Регламента);

-- издание сертификата ключа подписи (подробно процедура описана в разделе 4.3 данного Регламента);

-- получение сертификата ключа подписи (подробно процедура описана в разделе 4.4 данного Регламента).

4.8 Замена сертификата ключа подписи при смене имени или роли пользователя

При смене имени или роли пользователю УЦ необходимо выполнить следующие действия:

-- отозвать старый сертификат ключа подписи;

-- инициировать процедуру издания нового сертификата ключа подписи.

Процедура отзыва сертификата ключа подписи подробно описана в разделе 4.9 данного Регламента.

Процедура издания нового сертификата ключа подписи подробно описана в разделах 4.1 и 4.4 данного Регламента.

4.9 Отзыв сертификата ключа подписи

В соответствии со статьей 14 Федерального закона от 01.01.01 г. №1-ФЗ «Об электронной цифровой подписи», УЦ обязан отозвать сертификат ключа подписи пользователя УЦ в следующих случаях:

-- по истечении срока его действия;

-- в случае если УЦ стало достоверно известно о прекращении действия документа, на основании которого оформлен сертификат ключа подписи;

-- по заявлению в письменной форме (перечень лиц, которые могут являться инициаторами процедуры отзыва сертификата, представлен в разделе 4.9.1 ).

4.9.1 Инициаторы отзыва сертификата ключа подписи

Отзыв сертификата ключа подписи осуществляется на основании заявления, которое может быть сделано:

-- пользователем УЦ на основании заявления – в случае компрометации закрытого ключа своей электронной цифровой подписи или изменения идентификационных атрибутов (ФИО, должность);

-- руководителем подразделения – в случае увольнения сотрудника;

-- администратором УЦ – в случае компрометации закрытого ключа выпускающего УЦ;

-- оператором УЦ или администратором УЦ – если УЦ стало достоверно известно о прекращении действия документа, на основании которого оформлен сертификат ключа подписи.

4.9.2 Процедура отзыва сертификата ключа подписи

В случае необходимости отзыва сертификата ключа подписи, пользователь УЦ или доверенное лицо должны предоставить оператору УЦ заявление на отзыв сертификата с указанием причины отзыва. Заявление предоставляется на бумажном носителе и подписывается пользователем УЦ или доверенным лицом собственноручно.

В случае увольнения сотрудника за формирование заявления на отзыв сертификата ключа подписи и предоставление заявления оператору УЦ отвечает непосредственный руководитель пользователя УЦ.

Оператор УЦ на основании заявления формирует запрос на отзыв сертификата и отправляется его администратору УЦ на утверждение.

Если оператор УЦ находится удаленно от ЦР, то оператор УЦ формирует и направляет администратору ЦР сообщение электронной почты, содержащее заявление на отзыв сертификата ключа подписи пользователя УЦ в электронном виде. Сообщение электронной почты должно быть подписано ЭЦП оператора УЦ.

Администратор УЦ проверяет правильность параметров запроса на отзыв сертификата, после чего запрос поступает в выпускающий ЦС на исполнение.

После исполнения технических операций отзыва сертификата ключа подписи, формируется список отозванных сертификатов ключей подписей. СОС содержит номер сертификата ключа подписи и время отзыва сертификата ключа подписи.

Время осуществления отзыва сертификата ключа подписи не должно превышать 1 (одних) суток с момента подачи заявления на отзыв.

ЭЦП, созданная с помощью закрытого ключа электронной цифровой подписи, соответствующего открытому ключу электронной цифровой подписи в отозванном сертификате, будет признана недействительной, если время создания ЭЦП позже времени отзыва соответствующего сертификата ключа подписи, указанного в СОС.

По истечении срока действия сертификата ключа подписи, отзыв сертификата ключа подписи осуществляется автоматически средствами УЦ. Отозванный сертификат ключа подписи в таком случае в СОС не помещается.

4.9.3 Периодичность издания СОС

Издание списка отозванных сертификатов ключей подписей должно осуществляться немедленно после получения и обработки заявления на отзыв сертификата ключа подписи.

Издание СОС автоматически производится не реже 1 (одного) раза в сутки, даже если за время последнего издания СОС не произошло никаких изменений.

4.10 Процедуры проверки статуса сертификата ключа подписи

Проверке подлежит сертификат ключа подписи, выданный владельцу в электронном виде.

Проверка осуществляется по заявлению любого участника информационной системы, в которой используется УЦ, и состоит из следующих этапов:

-- представление пользователем письменного запроса на проверку выданного сертификата.

-- представление пользователем в электронном виде на отчуждаемом носителе сертификата, требующего проверки.

-- формирование комиссии. Состав комиссии, как правило, формируется заранее. Полномочия комиссии и ее состав утверждаются руководством УЦ.

-- выполнение комиссией процедуры проверки ЭЦП издателя в представленном сертификате.

-- подготовка комиссией письменного документа (протокола) с результатами проверки. Протокол подписывается членами комиссии.

Процедура проверки сертификата ключа подписи включает в себя следующие этапы:

-- построение цепочки сертификатов до сертификата корневого центра сертификации. Началом цепочки является проверяемый сертификат.

-- проверка ЭЦП издателей для каждого сертификата ключа подписи, включенного в цепочку.

-- проверка статуса и срока действия сертификатов ключей подписей, включенных в цепочку.

Поскольку проверка сертификата ключа подписи производится по текущему состоянию сетевого справочника сертификатов УЦ и действующему СОС, пользователь, по инициативе которого производится проверка, должен в максимально сжатые сроки представить сертификат ключа подписи и запрос на проверку уполномоченным лицам УЦ.

Проверка выполняется на выделенном компьютере с предварительно установленным необходимым программным обеспечением, включая ПО КриптоПро CSP.

4.11 Прекращение действия сертификата ключа подписи

Сертификат ключа подписи прекращает свое действие и получает статус «Недействителен» в следующих случаях:

-- сертификат был отозван и помещен в СОС;

-- истек срок действия сертификата;

-- отозван или истек один из сертификатов цепочки сертификатов.

5 Физический, процедурный и персональный контроль безопасности

5.1 Физический контроль безопасности

5.1.1 Размещение и построение технических средств УЦ РЖД

Технические средства УЦ РЖД должны удовлетворять следующим требованиям:

-- помещения, в которых размещены технические средства УЦ РЖД, должно быть оснащено системой контроля доступа (далее – СКД) и средствами охранной сигнализации;

-- доступом без сопровождения к техническим средствам УЦ РЖД обладает только персонал, определенный в списке доступа СКД;

-- персонал, не находящийся в списке доступа, соответствующим образом сопровождается и контролируется;

-- все виды охранной сигнализации должны быть выведены на пульт охраны объекта.

5.1.2 Физический доступ

Защита от НСД к техническим средствам УЦ РЖД должна осуществляться с помощью программно-аппаратного комплекса (далее – ПАК) Соболь-PCI.

Контроль целостности технических средств УЦ РЖД должен осуществляться при каждой перезагрузке операционной системы, но не реже 1 раза в неделю. При нарушении целостности технических средств обслуживающий персонал УЦ РЖД должен немедленно устранить обнаруженные неисправности и восстановить работоспособность технических средств.

Доступ на загрузку операционной системы технических средств УЦ РЖД должен быть предоставлен только его владельцу – администратору УЦ или администратору ЦР, по предъявлению персонального идентификатора.

Осуществление всех операций по обслуживанию, ремонту оборудования и программного обеспечения компьютеров, на которых установлены компоненты УЦ РЖД, проводится только в присутствии администратора УЦ или администратора ЦР соответственно.

5.1.3 Резервное копирование

Все данные, критичные для функционирования УЦ, подлежат резервному копированию.

К данным, подлежащим резервному копированию УЦ, относятся:

-- базы данных ЦС и ЦР, содержащие сведения о выданных сертификатах ключей подписей и запросы на изготовление сертификатов;

-- конфигурационная информация.

Копирование любых закрытых ключей электронной цифровой подписи Удостоверяющего центра и пользователей УЦ не допускается. Создание дубликатов при создании ключей не допускается.

Резервное копирование осуществляется администратором УЦ и/или администратором ЦР соответственно не реже 1 (одного) раза в неделю.

5.2 Процедурный контроль безопасности

5.2.1 Доверенные роли

Существуют следующие роли, обеспечивающие функционирование УЦ РЖД:

-- уполномоченное лицо УЦ;

-- администратор УЦ;

-- оператор УЦ;

-- администратор ЦР;

-- аудитор УЦ.

Обязанности по осуществлению функций уполномоченного лица УЦ РЖД возлагаются на сотрудника на основании приказа по .

Обязанности по осуществлению функций администратора УЦ, администратора ЦР, оператора УЦ, аудитора УЦ возлагаются на сотрудников на основании распоряжения уполномоченного лица УЦ РЖД.

Уполномоченное лицо УЦ осуществляет общий контроль функционирования УЦ.

Уполномоченное лицо УЦ является владельцем сертификата ключа подписи и соответствующего закрытого ключа корневого ЦС, а также сертификата ключа подписи и соответствующего закрытого ключа выпускающего ЦС.