Методика (стр. 1 )

ФЕДЕРАЛЬНАЯ НАЛОГОВАЯ СЛУЖБА

М Е Т О Д И К А

проведения испытаний
удостоверяющих центров при аккредитации в

Сети Доверенных удостоверяющих центров Федеральной налоговой службы

Содержание

Содержание. 2

1. Перечень сокращений. 3

2. Термины и определения. 4

3. Нормативные документы.. 6

4. Цель проведения испытаний. 7

5. Проверка документации. 8

6. Проверка организационных мероприятий. 9

6.1. Проверка правомочности деятельности Претендента, как удостоверяющего центра 9

6.2. Проверка квалификации персонала Претендента. 9

6.3. Проверка программных и технических средств обеспечения деятельности Претендента 9

6.4. Результаты проверки по разделу 6. 12

7. Проверка безопасности обрабатываемых в УЦ данных. 13

7.1. Проверка инженерно-технических мер защиты информации. 13

7.2. Проверка программно-аппаратных мер защиты информации. 14

7.3. Результаты проверки по разделу 7. 17

8. Проверка технологической совместимости. 18

8.1. Проверка сертификатов ключей подписей уполномоченного лица УЦ Претендента 18

8.2. Проверка запросов на кросс-сертификат. 20

8.3. Проверка совместимости сертификатов ключей подписи, изданных УЦ Претендента, с программными средствами, используемыми в налоговых органах. 22

8.4. Проверка совместимости сертификатов ключей подписи, изданных УЦ Претендента, с программными средствами, используемыми в налоговых органах. 22

8.5. Результаты проверки по разделу 8. 23

. 24

25

. 26

30

. 31

2.  Перечень сокращений

АРМ Автоматизированное рабочее место

БД База данных

ИС Информационная система

ПО Программное обеспечение

СКЗИ Средство криптографической защиты информации

СКП Сертификат ключа подписи

СОС Список отозванных сертификатов

СУБД Система управления базой данных

УЦ Удостоверяющий центр

ФЗ Федеральный закон

ЭД Электронный документ

ЭЦП Электронно-цифровая подпись

CDP CRL Distribution Point – Точка распространения СОС.

OCSP Online Certificate Status Protocol – Служба проверки статуса сертификата ключа подписи в режиме реального времени

3.  Термины и определения

В настоящем Документе применяют следующие термины с соответствующими определениями.

Валидный сертификат – сертификат, положительно прошедший все операции проверки.

Владелец сертификата ключа подписи – физическое лицо, на имя которого удостоверяющим центром выдан сертификат ключа подписи и которое владеет соответствующим закрытым ключом электронной цифровой подписи, позволяющим с помощью средств электронной цифровой подписи создавать свою электронную цифровую подпись в электронных документах (подписывать электронные документы).

Закрытый (секретный) ключ ЭЦП – уникальная последовательность данных, известная владельцу сертификата ключа подписи и предназначенная для создания в электронных документах электронной цифровой подписи с использованием средств электронной цифровой подписи

Ключевой носитель – информационный носитель, на который записаны криптографические ключи.

Компрометация ключа – констатация обстоятельств, при которых возможно использование секретного ключа третьими лицами.

Криптопровайдер – средство электронной цифровой подписи.

Информационный ресурс удостоверяющего центра ФГУП ГНИВЦ ФНС России (ИРУЦ) – автоматизированная система, позволяющая проводить автоматическую регистрацию налогоплательщика в Системе за счёт создания и сопровождения центральной базы данных сертификатов ключей пользователей, издаваемых удостоверяющими центрами – членами Сети Доверенных удостоверяющих центров ФНС России.

Открытый ключ ЭЦП – уникальная последовательность символов, соответствующая закрытому ключу электронной цифровой подписи, доступная любому пользователю информационной системы и предназначенная для подтверждения с использованием средств электронной цифровой подписи подлинности электронной цифровой подписи в электронном документе.

Претендент – удостоверяющий центр, подвергаемый испытанию по настоящей методике для включения в Сеть Доверенных УЦ.

Проверка валидности сертификата – это действия, производимые над проверяемым сертификатом для того, что бы убедиться в его (сертификата) действительности, а именно:

·  проверка целостности сертификата;

·  проверка срока действия сертификата;

·  проверка отсутствия сертификата в списке отозванных сертификатов;

·  проверка области действия сертификата;

·  проверка назначения сертификата.

Сертификат ключа подписи – документ на бумажном носителе или электронный документ с электронной цифровой подписью уполномоченного лица Доверенного удостоверяющего центра, которые включают в себя открытый ключ электронной цифровой подписи и которые выдаются Доверенным удостоверяющим центром для подтверждения подлинности электронной цифровой подписи и идентификации владельца сертификата ключа подписи.

Сеть Доверенных УЦ – Сеть Доверенных удостоверяющих центров Федеральной налоговой службы

Система – система защищенного юридически значимого документооборота (обмена информацией) между налогоплательщиками (хозяйствующими субъектами) и налоговыми органами.

Служба проверки статуса сертификатов (OCSP) – служба, предоставляющая в реальном масштабе времени информацию о сертификатах, прекративших свое действие раньше установленного срока.

Список отозванных сертификатов (СОС, CRL, delta-CRL) – файл, подписанный удостоверяющим центром, содержащий номера сертификатов, прекративших свое действие (отозванных) раньше установленного срока, причину прекращения действия, информацию об удостоверяющем центре, отозвавшем сертификаты, некоторую дополнительную служебную информацию.

Средства криптографической защиты информации (СКЗИ) – совокупность программно-технических средств, обеспечивающих применение ЭЦП и шифрования при организации электронного документооборота. СКЗИ могут применяться как в виде самостоятельных программных модулей, так и в виде инструментальных средств, встраиваемых в прикладное программное обеспечение.

Средства электронной цифровой подписи (СЭЦП) – аппаратные и (или) программные СКЗИ, обеспечивающие реализацию хотя бы одной из следующих функций: создание электронной цифровой подписи в электронном документе, с использованием закрытого ключа электронной цифровой подписи; подтверждение, с использованием открытого ключа электронной цифровой подписи, подлинности электронной цифровой подписи в электронном документе; создание закрытых и открытых ключей электронных цифровых подписей.

Статус сертификата – составное понятие, отражающее каждый этап проверки валидности сертификата. Например, просрочен – не просрочен, отозван – не отозван и т. д.

Шифрование (зашифрование данных) – процесс преобразования открытых данных в зашифрованные при помощи шифра (ГОСТ 28147-89).

Электронная цифровая подпись (ЭЦП) – реквизит электронного документа, предназначенный для защиты данного электронного документа от подделки, полученный в результате криптографического преобразования информации с использованием закрытого ключа электронной цифровой подписи и позволяющий идентифицировать владельца сертификата ключа подписи, а также установить отсутствие искажения информации в электронном документе.

Электронный документ – это документ, в котором информация представлена в электронно-цифровой форме. Документ (документированная информация) –зафиксированная на материальном носителе путем документирования информация с реквизитами, позволяющими определить такую информацию.

В настоящем Документе под электронным документом понимаются электронные сообщения, сформированные прикладными программами, обеспечивающими обмен данными удостоверяющих центров..

4.  Нормативные документы

В настоящем Документе использованы ссылки на следующие нормативные акты:

1.  Федеральный Закон от 01.01.2001 № 1‑ФЗ «Об электронной цифровой подписи».

2.  Федеральный Закон от 01.01.2001 № 128‑ФЗ «О лицензировании отдельных видов деятельности».

3.  Федеральный Закон от 01.01.2001 № 149‑ФЗ «Об информации, информационных технологиях и о защите информации».

4.  Федеральный Закон от 01.01.2001 № 184‑ФЗ «О техническом регулировании».

5.  ГОСТ 28147‑89 «Алгоритм шифрования».

6.  ГОСТ Р 34.10‑94, ГОСТ Р 34.10‑2001 «Информационная технология криптографическая защита информации процедуры выработки и проверки электронной цифровой подписи на базе асимметричного криптографического алгоритма».

7.  ГОСТ Р 34.11-94 «Информационная технология криптографическая защита информации Функция хэширования».

8.  ГОСТ Р 50922‑96 «Защита информации. Основные термины и определения. Государственные стандарты и другие документы Госстандарта России».

9.  ГОСТ Р 51141-98 «Делопроизводство и архивное дело. Термины и определения».

10.  ГОСТ Р 51275‑99 «Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения».

11.  ГОСТ Р ИСО/МЭК 15408-2002 «Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий».

12.  Приказ ФСБ РФ от 9 февраля 2005 г. № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ‑2005)».

13.  Положение о сети доверенных удостоверяющих центров Федеральной налоговой службы, утвержденное Приказом ФНС России @

14.  Требования к сертификату ключа подписи и списку отозванных сертификатов для обеспечения единого пространства доверия сертияикатам ключей электронной цифровой подписи, утвержденные Приказом ФНС России от 01.01.2001 г. №ММ-7-6/353.

5.  Цель проведения испытаний

Испытания удостоверяющего центра – претендента на подключение к Сети Доверенных УЦ (далее Претендента) проводятся для определения качества услуг, предоставляемых Претендентом, уровня безопасности обрабатываемых им данных, а также с целью обеспечения совместимости технических решений, применяемых Претендентом с решениями, используемыми в Сети Доверенных УЦ.