Руководство по обеспечению безопасности использования квалифицированной электронной подписи и средств квалифицированной электронной подписи

Р У К О В О Д С Т В О

по обеспечению безопасности использования квалифицированной электронной подписи

и средств квалифицированной электронной подписи

1. Основные понятия

Средство криптографической защиты информации (СКЗИ)1 − средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности.

Электронная подпись (ЭП)1 − информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию.

Сертификат ключа проверки ЭП1 - электронный документ или документ на бумажном носителе, выданные удостоверяющим центром либо доверенным лицом удостоверяющего центра и подтверждающие принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи.

Владелец сертификата ключа проверки ЭП1 - лицо, которому в установленном порядке выдан сертификат ключа проверки электронной подписи.

Ключ ЭП1 - уникальная последовательность символов, предназначенная для создания электронной подписи. Ключ ЭП хранится пользователем в тайне. В инфраструктуре открытых ключей соответствует закрытому ключу ЭП.

Ключ проверки ЭП1 - уникальная последовательность символов, однозначно связанная с ключом электронной подписи и предназначенная для проверки подлинности электронной подписи.

Средства ЭП1 − шифровальные (криптографические) средства, используемые для реализации хотя бы одной из следующих функций — создание электронной подписи, проверка электронной подписи, создание ключа электронной подписи и ключа проверки электронной подписи.

2. Требования и рекомендации по безопасности использования квалифицированной электронной подписи

К работе на ПЭВМ с установленным СКЗИ допускаются только определенные для эксплуатации лица, прошедшие соответствующую подготовку и ознакомленные с пользовательской документацией на СКЗИ, а также другими нормативными документами по использованию электронной подписи.

В организации должен быть определен и утвержден порядок учета, хранения и использования носителей ключевой информации с ключами ЭП и шифрования, который должен исключать возможность несанкционированного доступа к ним.

Для хранения ключевых носителей в помещениях должны устанавливаться надежные металлические хранилища (сейфы), оборудованные надежными запирающими устройствами.

Запрещается:

знакомить с содержанием ключевых носителей или передавать ключевые носители лицам, к ним не допущенным, а также выводить ключевую информацию на дисплей (монитор) ПЭВМ или принтер; устанавливать ключевой носитель в считывающее устройство ПЭВМ в режимах, не предусмотренных функционированием системы, а также устанавливать носитель в другие ПЭВМ, не предназначенные для работы с ключевой информацией; использовать бывшие в работе ключевые носители для записи новой информации без предварительного уничтожения на них ключевой информации средствами СКЗИ (инициализации); записывать на ключевом носителе постороннюю информацию; вносить какие-либо изменения в программное обеспечение СКЗИ и средств ЭП;

При обращении с ключевой информацией владелец сертификата ключа проверки ЭП обязан:

хранить в тайне ключ электронной подписи (закрытый ключ); не использовать для электронной подписи и шифрования ключи, если ему известно, что эти ключи используются или использовались ранее; немедленно требовать приостановления действия сертификата ключа проверки ЭП при наличии оснований полагать, что тайна ключа ЭП (закрытого ключа) нарушена (произошла компрометация ключа); обновлять сертификат ключа проверки ЭП в соответствии с установленным регламентом; при обнаружении на рабочем месте, оборудованном СКЗИ и средствами ЭП, посторонних программ или вирусов, нарушающих работу указанных средств, прекратить работу со средствами защиты информации на данном рабочем месте.

Организация - обладатель конфиденциальной информации обязана вести «Журнал поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов»2.

3. Действия в случае компрометации ключей

Под компрометацией закрытых ключей понимается их утрата (в том числе с их последующим обнаружением), хищение, разглашение, несанкционированное копирование, передача их по линии связи в открытом виде, увольнение по любой причине сотрудника, имеющего доступ к ключевым носителям или к ключевой информации на данных носителях, любые другие виды разглашения ключевой информации, в результате которых закрытые ключи могут стать доступными несанкционированным лицам и (или) процессам.

Пользователь самостоятельно должен определить факт компрометации закрытого ключа и оценить значение этого события для Пользователя. Мероприятия по розыску и локализации последствий компрометации конфиденциальной информации организует и осуществляет сам Пользователь ключевой информации.

При компрометации ключа Пользователь должен:

прекратить использование ЭП; известить Удостоверяющий центр о компрометации ключей. Сообщение о компрометации может быть передано как по открытым каналам связи (телефон, e-mail), так и личным посещением офиса Удостоверяющего центра; предоставить заполненное и подписанное заявление на отзыв сертификата ключа подписи, компрометация которого произошла; отзыв сертификата ЭЦП осуществляется только на основании личного заявления Пользователя УЦ.

Смена криптографических ключей производится в соответствии с Регламентом Удостоверяющего центра. За выдачу новых ключей ЭП взимается оплата в соответствии с действующими тарифами на день оплаты.

Орбита»
Тел. [phone]	*****@***ru	(Краснодар)
Тел. [phone]	*****@***ru	(Ростов-на-Дону)
Тел. [phone]	*****@***ru	(Ставрополь)

1 Федеральный закон -ФЗ «Об электронной подписи»

2 п. 26 Приказа ФАПСИ от 01.01.01 года № 000 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (Приложение 2).