Методика (стр. 2 )

Проверке подлежат следующие элементы Претендента:

·  документация;

·  организационные меры по защите обрабатываемых данных;

·  технические меры по защите обрабатываемых данных;

·  квалификация персонала, обеспечивающего выполнение функций удостоверяющего центра;

·  технические решения, обеспечивающие выполнение функций удостоверяющего центра.

Методика испытаний составлена в виде алгоритма действий по проверке, где указаны предмет проверки, состав проверки и результат проверки.

Все требования разделены на обязательные и рекомендованные. Проверка выполнения обязательных требований производится по документам, предоставляемым Претендентом в ФГУП ГНИВЦ ФНС России. Выполнение рекомендованных требований проверяется в непосредственной работе с Претендентом. Рекомендованные требования отмечены ­ – Рекомендуемое требование.

6.  Проверка документации

Перед началом испытаний проверяется комплектность и содержание предъявляемых Претендентом документов.

Комплект должен содержать следующие документы,:

1.  Заявление на имя Руководителя ФГУП ГНИВЦ ФНС России о подключении к Сети Доверенных УЦ (см. Приложение Д).

2.  Нотариально заверенные копии лицензий и сертификатов, подтверждающих право на деятельность, связанную с защитой конфиденциальной информации и работой с шифровальными (криптографическими) средствами.

3.  Копии учредительных документов и свидетельства о государственной регистрации в качестве юридического лица (с предъявлением оригиналов в случае, если копии не заверены нотариусом).

4.  Копию свидетельства о постановке на учет в налоговом органе (с предъявлением оригинала в случае, если копия не заверена нотариусом).

5.  Копию свидетельства о регистрации юридического лица Претендента (с предъявлением оригинала в случае, если копия не заверена нотариусом).

6.  Заверенную руководителем УЦ копию Регламента Удостоверяющего центра.

7.  Копии договоров с разработчиками средств электронно-цифровой подписи (ЭЦП) на распространение и обслуживание средств ЭЦП.

8.  Документы, подтверждающие наличие программно-аппаратного комплекса, выполняющего функции удостоверяющего центра, с указанием используемых средств ЭЦП, программных и технических средств, обеспечивающих функционирование УЦ, а также условий эксплуатации средств.

9.  Документы УЦ, определяющие организационные и технические меры защиты информационных ресурсов УЦ, порядок эксплуатации средств защиты и функции обслуживающего персонала УЦ по обеспечению безопасности информационных ресурсов.

10.  Копия сертификата ключа подписи уполномоченного лица УЦ на бумажном носителе и в электронной форме (форма электронного документа должна удовлетворять требованиям формата X.509 v.3).

11.  Запрос на кросс-сертификат на бумажном носителе и в электронной форме (форма электронного документа должен удовлетворять требованиям формата PKCS 10).

12.  Список отозванных сертификатов в форме электронного документа.

13.  В форме электронного документа образец сертификата ключа подписи (СКП), применяемого в системе сдачи налоговой отчётности, с закрытыми ключами. СКП должен удовлетворять требованиям RFC 3280 и соответствовать рекомендациям X.509 v.3. В сертификате должны использоваться только российские криптографические алгоритмы.

14.  Копии дипломов персонала о высшем профессиональном образовании.

15.  Копии сертификатов персонала о прохождении курсов повышения квалификации или о профессиональной подготовке (переподготовке).

16.  Перечень используемого операционного программного обеспечения.

17.  Перечень используемого прикладного программного обеспечения.

18.  Перечень используемых технических средств обеспечения работы программного комплекса.

19.  Перечень используемых программных и программно-аппаратных средств обеспечения защиты информации.

20.  Перечень используемых средств криптографической защиты информации.

21.  Перечень данных УЦ Претендента, подлежащих резервному копированию.

22.  Перечень используемых средств резервного копирования.

23.  Перечень программных модулей, подлежащих контролю целостности.

24.  Перечень информации, которая должна быть защищена.

25.  Дополнительно могут предоставляться документы, подтверждающие опыт работы УЦ, количество клиентов, квалификацию кадров, техническую оснащенность и т. д.

26.  В состав заявительных документов может быть включено соглашение о конфиденциальности между ГНИВЦ и УЦ.

7.  Проверка организационных мероприятий

7.1.  Проверка правомочности деятельности Претендента, как удостоверяющего центра

7.1.1.  Претендент должен обладать соответствующими лицензиями ФСБ и/или ФАПСИ

Проверка требования и результат

·  Наличие действующих лицензий ФСБ и/или ФАПСИ у Претендента на право распространения, технического обслуживания СКЗИ и предоставления услуг в области шифрования информации.

·  Наличие договорных отношений о распространении СКЗИ с предприятием-изготовителем сертифицированных СКЗИ или дилером.

7.2.  Проверка квалификации персонала Претендента

7.2.1.  Наличие у Претендента сотрудников (не менее одного), имеющих профессиональную подготовку или стаж работы не менее 2-х лет в области информационной безопасности.

Проверка требования и результат

·  Наличие диплома о высшем профессиональном образовании установленного образца по специальности в области информационной безопасности.

или

·  Наличие сертификата (удостоверения) о профессиональной подготовке (переподготовке) в области информационной безопасности.

·  Выписка из трудовой книжки и/или штатного расписания.

7.3.  Проверка программных и технических средств обеспечения деятельности Претендента

Для реализации своих услуг и обеспечения деятельности Претендент должен использовать следующие программные и технические средства:

·  программный комплекс обеспечения реализации целевых функций Претендента;

·  технические средства обеспечения работы программного комплекса Претендента;

·  программные и программно-аппаратные средства защиты информации;

7.3.1.  Проверка программного комплекса, обеспечивающего выполнение функций удостоверяющего центра Претендента

7.3.1.1.  Программный комплекс, обеспечивающий выполнение функций удостоверяющего центра Претендента, должен включать необходимое системное программное обеспечение

Проверка требования и результат

·  Наличие необходимого количества установленного, сконфигурированного и работающего системного программного обеспечения.

·  Наличие перечня используемого системного программного обеспечения Претендента, заверенного подписью руководителя Претендента.

7.3.1.2.  Программный комплекс, обеспечивающий выполнение функций удостоверяющего центра Претендента, должен включать необходимое прикладное программное обеспечение

Проверка требования и результат

·  Наличие необходимого количества установленного, сконфигурированного и работающего прикладного программного обеспечения, выполняющего все функции УЦ, и включающего: Центр Сертификации (ЦС), Центр Регистрации (ЦР), АРМ администратора ЦР и АРМ разбора конфликтных ситуаций.

·  Наличие Регламента УЦ с перечислением всех выполняемых функций.

·  Наличие перечня используемого прикладного программного обеспечения Претендента.

7.3.2.  Проверка технических средств обеспечения работы программного комплекса Претендента

7.3.2.1.  Для обеспечения работы программного комплекса, Претендент должен располагать необходимыми техническими средствами

Проверка требования и результат

·  Наличие необходимых исправных, сконфигурированных и работающих технических средств для обеспечения работы программного комплекса Претендента, которые должны включать:

1)  сервер ЦС;

2)  сервер ЦР;

3)  средства резервного копирования;

4)  телекоммуникационное оборудование;

5)  компьютеры рабочих мест сотрудников Претендента;

6)  устройства печати на бумажных носителях (принтеры).

·  Наличие персонала технической службы Претендента, ответственного за эксплуатацию этих технических средств.

·  Наличие перечня используемых технических средств обеспечения работы программного комплекса Претендента, с указанием конфигураций и мест размещения этого оборудования.

·  Наличие действующих лицензий и сертификатов на технические средства, выданных ФСБ/ФАПСИ и/или ФСТЭК РФ и/или МинСвязи.

7.3.3.  Проверка программных и программно-аппаратных средств защиты информации

7.3.3.1.  Для обеспечения защиты информации Претендент должен располагать необходимыми программными и программно-аппаратными средствами

Проверка требования и результат

·  Наличие установленных, сконфигурированных и работающих программных и программно-аппаратных средств защиты информации, которые должны включать:

1)  средства криптографической защиты информации;

2)  межсетевой экран для обеспечения защиты информации при сетевом взаимодействии ЦС с ЦР (см. 7.2.5.2);

3)  программно-аппаратные комплексы защиты от несанкционированного доступа типа «электронный замок» (см. 7.2.2.1).

·  Наличие персонала технической службы Претендента, ответственного за эксплуатацию программных и программно-аппаратных средств обеспечения защиты информации.

·  Наличие перечня используемых программных и программно-аппаратных средств обеспечения защиты информации, с указанием конфигураций и мест размещения этих средств.

·  Наличие действующей лицензии и сертификатов соответствия на программные и программно-аппаратные средства обеспечения защиты информации, выданной ФСТЭК и/или ФСБ/ФАПСИ России, в соответствии с действующим законодательством Российской Федерации.

7.3.3.2.  Средства криптографической защиты информации, эксплуатируемые на всех компонентах программного комплекса УЦ Претендента, должны быть сертифицированы по классу «КС2» в соответствии с действующим законодательством Российской Федерации

Проверка требования и результат