Методические рекомендации

УТВЕРЖДАЮ

Руководитель Управления Федерального

казначейства по Самарской области

________________________

«___» ____________ 2012 г.

МЕТОДИЧЕСКИЕ РЕКОМЕНДАЦИИ

организациям - участникам системы электронного документооборота

Федерального казначейства по применению Инструкции «Об организации

и обеспечении безопасности хранения, обработки и передачи по каналам связи

с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», утвержденной приказом Федерального агентства правительственной связи

и информации при Президенте Российской Федерации

(Инструкция ФАПСИ № 000)

I. Общие положения

1.1. Управление Федерального казначейства по Самарской области (далее – УФК по Самарской области) обеспечивает безопасность информации при организации обмена электронными документами с организациями - участниками системы электронного документооборота Федерального казначейства (далее – Участник СЭДФК) в соответствии с лицензией на деятельность по применению и распространению средств криптографической защиты информации (далее – СКЗИ), выданной Управлением Федеральной службы безопасности Российской Федерации по Самарской области.

1.2. УФК по Самарской области несет ответственность за соответствие проводимых им мероприятий по обеспечению безопасности информации с использованием СКЗИ лицензионным требованиям и условиям, эксплуатационной и технической документации к СКЗИ и Инструкции ФАПСИ № 000.

1.3. Для разработки и осуществления мероприятий по обеспечению безопасности информации с использованием СКЗИ УФК по Самарской области создает необходимое количество органов криптографической защиты.

1.4. Участники СЭДФК, если они приняли решение о необходимости криптографической защиты информации, обязаны выполнять указания органов криптографической защиты УФК по Самарской области по всем вопросам организации защиты информации при ее передаче по каналам связи с использованием СКЗИ.

II. Органы криптографической защиты

2.1. Органы криптографической защиты выполняют следующие функции:

осуществляют проверку готовности Участников СЭДФК к самостоятельному использованию СКЗИ;

осуществляют разработку мероприятий по обеспечению функционирования и безопасности применяемых СКЗИ в соответствии с условиями выданных на них сертификатов, а также в соответствии с эксплуатационной и технической документацией к этим средствам;

проводят обучение лиц, использующих СКЗИ, (далее – Пользователи СКЗИ) правилам работы с ними;

ведут поэкземплярный учет используемых СКЗИ, эксплуатационной и технической документации к ним;

осуществляют выдачу СКЗИ, эксплуатационной и технической документации к ним Участникам СЭДФК;

ведут учет обслуживаемых Участников СЭДФК;

осуществляют контроль за соблюдением Участниками СЭДФК условий использования СКЗИ, установленных эксплуатационной и технической документацией к СКЗИ и Инструкцией ФАПСИ № 000;

проводят расследование и составление заключений по фактам нарушения Участниками СЭДФК условий использования СКЗИ, разрабатывают и принимают меры по предотвращению возможных опасных последствий подобных нарушений.

III. Порядок обращения с СКЗИ и ключевыми документами

3.1. Выдача СКЗИ, эксплуатационной и технической документации к ним производится органами криптографической защиты уполномоченным лицам Участников СЭДФК на основании доверенности.

3.2. СКЗИ, эксплуатационная и техническая документация к ним доставляются при соблюдении мер, исключающих бесконтрольный доступ к ним во время доставки.

3.3. Все полученные и используемые Участником СЭДФК СКЗИ, эксплуатационная и техническая документация к ним, ключевые документы подлежат поэкземплярному учету. При этом программные СКЗИ учитываются совместно с аппаратными средствами, с которыми осуществляется их штатное функционирование.

3.4. Единицей поэкземплярного учета ключевых документов считается ключевой носитель многократного использования. Если один и тот же ключевой носитель многократно используется для записи криптоключей, то его каждый раз следует регистрировать отдельно.

3.5. Поэкземплярный учет СКЗИ, эксплуатационной и технической документации к ним, ключевых документов ведется в соответствующих журналах (приложения 1, 2 к Методическим рекомендациям).

3.6. Все полученные Участником СЭДФК СКЗИ, эксплуатационная и техническая документация к ним должны быть выданы под расписку в соответствующем журнале поэкземплярного учета Пользователям СКЗИ, которые несут персональную ответственность за их сохранность.

3.7. Непосредственно к работе с СКЗИ Пользователи допускаются только после соответствующего обучения. Обучение Пользователей правилам работы с СКЗИ осуществляется работником, назначенным администратором автоматизированного рабочего места обмена электронными документами (далее – Администратор АРМ), после прохождения им соответствующего обучения в органе криптографической защиты. Учет проведения обучения Пользователей СКЗИ ведется в соответствующем журнале (приложение № 3 к Методическим рекомендациям).

3.8. Пользователи СКЗИ хранят ключевые документы в шкафах (ящиках, хранилищах) индивидуального пользования в условиях, исключающих бесконтрольный доступ к ним, а также их непреднамеренное уничтожение.

3.9. Аппаратные средства, с которыми осуществляется штатное функционирование СКЗИ, должны быть оборудованы средствами контроля за их вскрытием (опечатаны, опломбированы). Место опечатывания (опломбирования) аппаратных средств должно быть таким, чтобы его можно было визуально контролировать.

3.10. Уничтожение (удаление) СКЗИ с аппаратных средств производится Администратором АРМ по указанию органа криптографической защиты с составлением акта. Акт об уничтожении (удалении) СКЗИ представляется в орган криптографической защиты.

3.11. Ключевые документы уничтожаются Пользователями СКЗИ не позднее 10 суток после вывода их из действия (окончания срока действия) с отметкой об уничтожении в соответствующем журнале.

3.12. Криптоключи, в отношении которых возникло подозрение в компрометации, немедленно выводятся из действия. О выводе криптоключей из действия Участником СЭДФК сообщается в орган криптографической защиты по телефону. В это же день в орган криптографической защиты представляется письменное сообщение о компрометации криптоключей.

IV. Размещение, специальное оборудование, охрана

и организация режима в помещениях, где установлены СКЗИ

или хранятся ключевые документы

4.1. Размещение, специальное оборудование, охрана и организация режима в помещениях Участников СЭДФК, где установлены СКЗИ или хранятся ключевые документы (далее - спецпомещения), должны исключить возможность неконтролируемого доступа и использования СКЗИ посторонними лицами, а также просмотра посторонними лицами ведущихся там работ.

4.2. Спецпомещения должны иметь прочные входные двери с замками, гарантирующими надежное закрытие помещений в нерабочее время.

4.3. Окна спецпомещений, расположенных на первых и последних этажах зданий, а также окна, находящиеся около пожарных лестниц и других мест, откуда возможно проникновение в спецпомещения посторонних лиц, должны быть оборудованы металлическими решетками или охранной сигнализацией.

4.4. В спецпомещениях для хранения ключевых документов Пользователям СКЗИ необходимо иметь надежно запираемые шкафы индивидуального пользования, оборудованные приспособлениями для опечатывания замочных скважин. Ключи от шкафов должны находиться у соответствующих Пользователей СКЗИ.

В обычных условиях опечатанные шкафы Пользователей СКЗИ могут быть вскрыты только самими Пользователями.

4.5. При обнаружении признаков, указывающих на возможное несанкционированное проникновение в шкафы Пользователей СКЗИ посторонних лиц, о случившемся немедленно сообщается руководителю Участника СЭДФК и в орган криптографической защиты.

Уастником СЭДФК принимаются меры к локализации последствий компрометации информации и к замене скомпрометированных криптоключей.

V. Обязанности Пользователей СКЗИ

5.1. Пользователи СКЗИ обязаны:

не разглашать конфиденциальную информацию, к которой они допущены, и сведения о криптоключах;

соблюдать требования по обеспечению безопасности информации с использованием СКЗИ;

сообщать Администратору АРМ о ставших им известными попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документах;

сдать Администратору АРМ СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы при увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ;

немедленно уведомлять Администратора АРМ о фактах утраты или недостачи СКЗИ, ключевых документов, ключей от помещений, сейфов, личных печатей.

5.2. Пользователи СКЗИ несут персональную ответственность за безопасность ключевых документов.

5.3. Не допускается:

производить несанкционированное копирование ключевых документов;

знакомить или передавать ключевые документы лицам, к ним не допущенным;

выводить ключевые документы на дисплей или принтер;

вставлять носители ключевой информации в считывающие устройства других компьютеров;

оставлять носители ключевой информации без присмотра на рабочем месте;

записывать на носители ключевой информации посторонние файлы.

VI. Контроль

6.1. Государственный контроль за организацией и обеспечением защиты информации при ее передаче по каналам связи с использованием СКЗИ осуществляют органы Федеральной службы безопасности Российской Федерации.

6.2. Органы криптографической защиты контролируют выполнение Участниками СЭДФК условий использования СКЗИ, установленных эксплуатационной и технической документацией к СКЗИ и Инструкцией ФАПСИ № 000.

6.3. При обнаружении недостатков в использовании СКЗИ Участники СЭДФК обязаны принять безотлагательные меры к их устранению. Сообщения о принятых мерах должны быть представлены в установленные проверяющими сроки.

6.4. Если в использовании СКЗИ выявлены серьезные нарушения, из-за чего становится реальной утечка информации, безопасность которой обеспечивается с использованием СКЗИ, то органы государственного контроля и органы криптографической защиты вправе дать указание о немедленном прекращении использования СКЗИ до устранения причин выявленных нарушений.

Начальник отдела режима секретности

и безопасности информации

УФК по Самарской области

Согласовано:

Заместитель руководителя

УФК по Самарской области

Приложение

к Методическим рекомендациям

по применению Инструкции

ФАПСИ № 000

Журнал
поэкземплярного учета средств криптографической защиты информации (СКЗИ), эксплуатационной и технической документации к ним

Левая сторона

№ п/п	На­име­но­ва­ние СКЗИ, экс­плу­ата­ци­он­ной и тех­ни­чес­кой до­ку­мен­та­ции к ним	Се­рий­ные но­мера СКЗИ, экс­плу­ата­ци­он­ной и тех­ни­чес­кой до­ку­мен­та­ции к ним	От­мет­ка о по­лу­че­нии	От­мет­ка о вы­да­че
От ко­го по­лу­че­ны (наименование организации)	По какому документу получены (№ и дата документа)	Ф. И.О. поль­зо­ва­те­ля СКЗИ	Да­та и рас­пис­ка в по­лу­че­нии
1	2	3	4	5	6	7
Пример заполнения
1	СКЗИ «КриптоПро CSP» версия 3.0	Лицензия № ________________	УФК по Самарской области	Акт приема-передачи СКЗИ от 01.01.2001
2	СКЗИ «Континент-АП»	б/н	УФК по Самарской области	Акт приема-передачи СКЗИ от 01.01.2001

Правая сторона

От­мет­ка о под­клю­че­нии (ус­та­нов­ке) СКЗИ	От­мет­ка об удалении СКЗИ из ап­па­рат­ных средств
Ф. И.О. сот­руд­ни­ка, про­из­вед­шего под­клю­че­ние (ус­та­нов­ку)	Да­та под­клю­че­ния (ус­та­нов­ки) и под­пи­сь лица, про­из­вед­шего под­клю­че­ние (ус­та­нов­ку)	Но­ме­ра ап­па­рат­ных средств, в ко­то­рые ус­та­нов­ле­ны или к ко­то­рым под­клю­че­ны СКЗИ	Ф. И.О. сот­руд­ни­ка, про­из­во­див­шего удаление	Дата, расписка об удалении
8	9	10	11	12
Пример заполнения
	20.08.2010	Системный блок ПЭВМ № _________________
	20.08.2010	Системный блок ПЭВМ № _________________

Примечание:

1. Журнал ведется Администратором АРМ.

2. Установка СКЗИ на АРМ обмена ЭД, а также удаление СКЗИ производится Администратором АРМ.

3. Выдача СКЗИ производится работнику, за которым закреплена ПЭВМ, используемая как АРМ обмена ЭД.

Приложение

к Методическим рекомендациям

по применению Инструкции

ФАПСИ № 000

Журнал
поэкземплярного учета ключевых документов

Левая сторона

№ п/п	На­име­но­ва­ние ключевых документов	Дата изготовления ключевых документов	Ф. И.О. сотрудника, изготовившего ключевые документы	Тип МНИ	Номера экземпляров ключевых документов
1	2	3	4	5	6
Пример заполнения
1	Ключ ЭП	20.08.2011		Дискета	Экз. № 1, 2
2	Ключ аутентификации	20.08.2011		Дискета	Экз. № 1,2

Правая сторона

От­мет­ка о выдаче	Дата ввода в действие	Да­та вывода из действия	Отметка об уничтожении
Ко­му выданы (фамилия, инициалы)	Расписка в получении и дата	Ф. И.О. лица, производившего уничтожение	Дата, расписка об уничтожении
7	8	9	10	11	12
Пример заполнения
		25.08.2011	25.08.2011
		25.08.2011	25.08.2011

Примечание:

1. Журнал ведется Администратором АРМ.

2. Тип съемных машинных носителей информации (МНИ), применяемых для хранения ключевой информации, определяется Участником СЭДФК.

3. В случае применения для хранения ключевой информации дискет ключевая информация записывается на две учтенные в журнале дискеты;

4. Надпись на дискетах с ключевой информацией предусматривает указание следующих сведений, примерно: «Ключ ЭП , учетный № 1, экз. № 1» или «Ключ аутентификации, учетный № 2, экз. № 1».

5. Уничтожение носителей ключей электронных подписей производится владельцами соответствующих ключей, уничтожение носителей ключа аутентификации производится Администратором АРМ.

Приложение

к Методическим рекомендациям

по применению Инструкции

ФАПСИ № 000

ЖУРНАЛ

учета обучения Пользователей

средств криптографической защиты информации

Левая сторона

№ п/п	Должность	Ф. И.О. Пользователя СКЗИ	Номер и дата приказа о назначении
1	2	3	4

Правая сторона

Программа обучения	Дата проведения обучения	Подпись обучаемого, дата	Подпись лица, проводившего обучение, дата
5	6	7	8

Примечание:

1. Журнал ведется Администратором АРМ.

2. Программа обучения Пользователей СКЗИ предусматривает обучение правилам применения ключа электронной подписи и ключа аутентификации.