Регламент Регионального удостоверяющего центра Амурской области (стр. 11 )

Серверное помещение оборудовано средствами вентиляции и кондиционирования воздуха, обеспечивающими соблюдение установленных параметров температурно-влажностного режима, вентиляции и очистки воздуха.

Рабочие и прочие служебные помещения РУЦ АО оборудованы средствами вентиляции и кондиционирования воздуха.

7.1.4. Подверженность воздействию влаги

Защита серверов удостоверяющего центра и телекоммуникационного оборудования от воздействия влаги обеспечивается их размещением в шкафу-стойке.

7.1.5. Предупреждение и защита от возгорания

Серверное помещение РУЦ АО оборудовано системой пожарной сигнализации и газового пожаротушения. Необходимые для эксплуатации серверного помещения документы по пожарной безопасности утверждены приказами руководителя ГБУ ЦИТ АО и согласованы с арендодателем.

7.1.6. Хранение документированной информации

Документальный фонд РУЦ АО, как фондообразователя, подлежит хранению в соответствии с действующим законодательством Российской Федерации по делопроизводству и архивному делу.

7.1.7. Уничтожение документированной информации

Выделение к уничтожению и уничтожение документов, не подлежащих архивному хранению, осуществляется сотрудниками РУЦ АО, обеспечивающими документирование.

7.2. Программно-аппаратные меры защиты информации

7.2.1. Организация доступа к техническим средствам РУЦ АО

Доступ к техническим средствам РУЦ АО, размещенным в серверном помещении, осуществляется с использованием системы контроля доступа. Организация доступа к техническим средствам РУЦ АО, размещенных на рабочих местах сотрудников РУЦ АО, возлагается на сотрудников РУЦ АО, ответственных за эксплуатацию данных технических средств и перечисленных в списке, утверждённом руководителем ГБУ ЦИТ АО.

7.2.2. Организация доступа к программным средствам РУЦ АО

Рабочие места сотрудников РУЦ АО, на которых эксплуатируются программные приложения удостоверяющего центра оснащены программно-аппаратными комплексами защиты от несанкционированного доступа.

Доступ системных администраторов общесистемного программного обеспечения серверов удостоверяющего центра для выполнения регламентных работ осуществляется в присутствии сотрудников РУЦ АО, отвечающих за эксплуатацию соответствующего прикладного программного обеспечения. Перечень сотрудников, имеющих доступ к программно-аппаратным комплексам удостоверяющего центра утверждён приказом руководителя ГБУ ЦИТ АО.

7.2.3. Контроль целостности программного обеспечения

Контролю целостности подлежат следующие программные компоненты из состава программного обеспечения, эксплуатируемого РУЦ АО:

программные модули средств ЭЦП и СКЗИ; программные серверного ПО удостоверяющего центра.

Состав программных модулей, подлежащих контролю целостности, определяется внутренним документом РУЦ АО, утверждаемый руководителем РУЦ АО.

Контроль целостности программных модулей средств ЭЦП и СКЗИ осуществляется средствами ЭЦП, СКЗИ и СЗИ от НСД. Периодичность выполнения мероприятий по контролю целостности – ежеквартально. Ответственность за выполнение мероприятий по контролю целостности программных средств возложена на руководителя РУЦ АО.

7.2.4. Контроль целостности технических средств

Контроль целостности технических средств РУЦ АО обеспечивается ограничением физического доступа в серверное помещение. Ответственность за выполнение мероприятий по контролю целостности технических средств возложена на руководителя РУЦ АО.

7.2.5. Защита внешних сетевых соединений

Защита конфиденциальной информации, передаваемой между программно-техническими средствами обеспечения деятельности РУЦ АО и программными средствами, предоставляемыми РУЦ АО пользователям, в процессе обмена документами в электронной форме, осуществляется путем шифрования информации с использованием шифровальных (криптографических) средств, сертифицированных в соответствии с действующим законодательством Российской Федерации. В качестве шифровальных (криптографических) средств пользователей РУЦ АО, используемых для защиты конфиденциальной информации, используется средство ЭЦП РУЦ АО. Защита программно-технических средств обеспечения деятельности РУЦ АО от несанкционированного доступа по внешним сетевым соединениям осуществляется путем использования межсетевого экрана.

7.2.6. Перечень информации, подлежащей защите

Поступающая в РУЦ АО информация:

заявление на регистрацию в электронной форме; заявление на изготовление сертификата ключа подписи в электронной форме; заявление на аннулирование (отзыв) сертификата ключа подписи в электронной форме; заявление на приостановление действия сертификата ключа подписи в электронной форме; заявление на возобновление действия сертификата ключа подписи в электронной форме; пароль, передаваемый пользователем РУЦ АО при аутентификации по паролю; ключевая фраза пользователя РУЦ АО.

Передаваемая из РУЦ АО информация:

пароль, передаваемый пользователю РУЦ АО для аутентификации по паролю; список сертификатов открытого ключа пользователя РУЦ АО и их статус; список запросов на сертификаты открытых ключей пользователя РУЦ АО и их статус; список запросов на аннулирование (отзыв), приостановление и возобновление действия сертификатов открытых ключей пользователя РУЦ АО и их статус.

7.2.7. Резервирование информации и восстановление после аварий

Для обеспечения функциональности РУЦ АО необходимо ежесуточно проводить резервное копирование данных РУЦ АО.

Перечень данных РУЦ АО, подлежащих резервному копированию, включает в себя:

сертификат ключа подписи уполномоченного лица РУЦ АО в электронном виде; базы данных служб программного комплекса РУЦ АО, включая журнал выданных сертификатов и очередь запросов; журналы аудита компонент РУЦ АО в составе, определенном эксплуатационной документацией РУЦ АО.

В случае компрометации ключа уполномоченного лица РУЦ АО, используемого для подписи сертификатов и СОС, РУЦ АО должен быть остановлен.

Для восстановления работы РУЦ АО необходимо:

повторно произвести формирование ключа и сертификата центра сертификации; произвести выпуск новых сертификатов всех пользователей; обеспечить получение новых личных сертификатов пользователями РУЦ АО.

В случае повреждения оборудования центра сертификации вследствие каких-либо бедствий, РУЦ АО должен принять все возможные меры для скорейшего восстановления своей работоспособности. Приоритет должен быть отдан возможности отзыва сертификатов и выпуска СОС. В случае невозможности восстановления функции отзыва сертификатов до окончания срока действия СОС, РУЦ АО должен объявить свои ключи скомпрометированными.

7.3. Организационно-правовые меры защиты информации

7.3.1. Предъявляемые требования к персоналу РУЦ АО

Уполномоченное лицо РУЦ АО имеет высшее профессиональное образование и профессиональную подготовку в области информационной безопасности, а также стаж работы в этой области более 5 лет. Сотрудники РУЦ АО имеют высшее профессиональное образование и прошли курсы повышения квалификации в области информационной безопасности.

7.3.2. Профессиональная переподготовка и повышение квалификации персонала

Сотрудники РУЦ АО осуществляют повышение квалификации в областях знаний согласно занимаемым должностям не реже одного раза в 2 года.

7.3.3. Организация сменной работы

Деятельность по работе с пользователями РУЦ АО в части приема заявлений в бумажной форме и изготовления сертификатов открытых ключей организована РУЦ АО в одну рабочую смену с 9.00 до 13.00 и с 14:00 до 17:00 в будние дни. Выходными днями являются: суббота, воскресенье, а также дни общенациональных праздников.

7.3.4. Организация доступа персонала к документам и документации

Доступ сотрудников РУЦ АО к документам и документации, составляющей документальный фонд организации, организован в соответствии с должностными инструкциями и функциональными обязанностями.

7.3.5. Охрана здания и помещений

Здание, в котором расположено РУЦ АО имеет централизованную службу охраны, обеспечивающую:

обнаружение и задержание нарушителей, пытающихся проникнуть в здание (помещения) РУЦ АО; сохранность материальных ценностей и документов; предупреждение происшествий и ликвидацию их последствий.

7.4. Обработка персональных данных

7.4.1. Цели обработки персональных данных

Обработка персональных данных РУЦ АО осуществляется в целях исполнения функций и обязанностей удостоверяющих центров, предусмотренных Федеральными законами от 01.01.01 г. №1-ФЗ «Об ЭЦП» и от 01.01.01г., №63-ФЗ «Об электронной подписи» для обеспечения идентификация и аутентификации субъектов персональных данных в качестве владельцев сертификатов ключей подписей.

Услуги по изготовлению сертификатов ключей подписей не оказываются РУЦ АО в случае отказа от предоставления персональных данных, необходимых для изготовления сертификата ключа подписи, и согласия на осуществление с ними действий, предусмотренных настоящим Регламентом.

7.4.2. Порядок получения персональных данных

РУЦ АО обрабатывает персональные данные полученные:

непосредственно от Заявителей – физических лиц (или их представителей, действующих на основании доверенности); от Пользователей РУЦ АО – юридических лиц для обеспечения изготовления и обслуживания сертификатов ключей подписи, в которые включаются сведения о Пользователях сертификатов данного юридического лица.

Заявители - физические лица при подаче в РУЦ АО заявления о присоединении к Регламенту выражают свое согласие на осуществление РУЦ АО следующих действий с их персональными данными: сбор, хранение, уточнение (обновление, изменение), использование, передачу (распространение, предоставление, доступ).

Пользователь РУЦ АО – юридическое лицо самостоятельно получает согласие от своих уполномоченных лиц на предоставление в РУЦ АО их персональных данных, порядок обработки и перечень которых определен в п. 7.4.3. Перечень обрабатываемых персональных данных и Перечень персональных данных, обрабатываемых РУЦ АО, получаемых от Заявителя – физического лица: