*Все документы, в том числе журналы (формы журналов), должны быть утверждены руководством учреждения.
Приложение №1
к методическим рекомендация
по работе со средствами
криптографической защите информации
Основные акты законодательства в сфере обеспечения защиты информации
криптографическими средствами защиты информации:
- Федеральный закон от 27 июля 2006 г. № 152-ФЗ «О персональных данных»;
-Постановление Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных».
- Постановление Правительства РФ от 6 июля 2008г. №512 «Об утверждении требований к материальным носителям биометрических персональных данных и технологиям хранения таких данных вне информационных систем персональных данных»;
- Приказ ФСБ России от 9 февраля 2005г. №66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005).
- Методические рекомендации по обеспечению с помощью криптосредств безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств автоматизации, № 149/54-144. 2008г.;
- Типовые требования по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации не содержащей сведений составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных. №149/6/6-622. 2008г.
- Приказ ФСБ России от 10 июля 2014 г. № 378 «об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных правительством российской федерации требований к защите персональных данных для каждого из уровней защищенности».
Приложение № 2
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
Приказ о назначении ответственного за эксплуатацию СКЗИ
__________________________________________________________________________
ПРИКАЗ
«___» __________ 201_ г.
|
№ ______
|
О назначении ответственного
за эксплуатацию СКЗИ
|
|
В соответствии с приказом Федеральной службы безопасности России от 10 июля 2014 г. № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности» п р и к а з ы в а ю:
1. Назначить ответственным за эксплуатацию СКЗИ в ________________________________________________________________________________
(наименование организации)
должность, фамилия и инициалы.
2. Лицо, ответственное за организацию обработки персональных данных, обязано:
2.1. Выполнять требования инструкции ответственного за эксплуатацию СКЗИ.
2.2. Осуществлять внутренний контроль за соблюдением в ______________, работниками ______________ законодательства Российской Федерации в сфере обеспечения безопасности персональных данных, в том числе требований к защите персональных данных;
4. Контроль за выполнением настоящего приказа оставляю за собой.
5. Настоящий приказ вступает в силу с момента его подписания.
Руководитель организации ___________________________
Приложение № 3
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
Инструкция ответственного за эксплуатацию СКЗИ
1. Общие положения
Все действия с СКЗИ осуществляются в соответствии с эксплуатационной документацией на СКЗИ.
Для организации и обеспечения работ по техническому обслуживанию СКЗИ и управления криптографическими ключами приказом назначается ответственный за эксплуатацию СКЗИ.
Ответственный за эксплуатацию СКЗИ осуществляет:
- поэкземплярный учет СКЗИ, эксплуатационной и технической документации к ним;
- учет пользователей СКЗИ;
- обучение пользователей правилам эксплуатации СКЗИ;
- контроль за соблюдением условий использования СКЗИ в соответствии с эксплуатационной и технической документацией на СКЗИ и настоящей Инструкцией;
- расследование и составление заключений по фактам нарушения условий использования СКЗИ, которые могут привести к снижению требуемого уровня безопасности информации;
- разработку и принятие мер по предотвращению возможных негативных последствий подобных нарушений.
Текущий контроль, обеспечение функционирования и безопасности СКЗИ возлагается на ответственного за эксплуатацию СКЗИ.
Ответственный за эксплуатацию СКЗИ должен быть ознакомлен с настоящей Инструкцией под роспись.
2. Учет и хранение СКЗИ и криптографических ключей
СКЗИ, эксплуатационная и техническая документация к ним, криптографические ключи подлежат поэкземплярному учету.
Поэкземплярный учет СКЗИ ведет ответственный за эксплуатацию СКЗИ в журнале поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним (далее – Журнал). При этом программные СКЗИ должны учитываться совместно с аппаратными средствами, с которыми осуществляется их штатная эксплуатация. Если аппаратные или аппаратно-программные СКЗИ подключаются к системной шине или к одному из внутренних интерфейсов аппаратных средств, то такие СКЗИ учитываются также совместно с соответствующими аппаратными средствами.
Все полученные экземпляры СКЗИ, криптографических ключей должны быть выданы под роспись в Журнале пользователям СКЗИ, несущим персональную ответственность за их сохранность.
Дистрибутивы СКЗИ на носителях, эксплуатационная и техническая документация к СКЗИ, инструкции хранятся у ответственного за эксплуатацию СКЗИ. Криптографические ключи хранятся у пользователей СКЗИ. Хранение осуществляется в закрываемых на замок металлических хранилищах пользования в условиях, исключающих бесконтрольный доступ к ним, а также их непреднамеренное уничтожение или в опечатанном пенале (тубусе). Металлические шкафы должны быть оборудованы внутренними замками с двумя экземплярами ключей и кодовыми замками и приспособлениями для опечатывания. Один экземпляр ключа от хранилища должен находиться у ответственного за эксплуатацию СКЗИ, ответственного за хранилище. Дубликаты ключей от хранилищ сотрудники хранят в специальном сейфе.
На ключевые носители с изготовленными криптографическими ключами наклеиваются наклейки, содержащие надписи: на один ключевой носитель - «Рабочий»; на другой ключевой носитель - «Резервный».
Ключевой носитель с наклейкой «Резервный» помещается в конверт и опечатывается пользователем и ответственным за эксплуатацию СКЗИ.
Все полученные экземпляры криптографических ключей должны быть выданы под роспись в Журнале. Резервные криптографические ключи могут находиться на хранении у ответственного за эксплуатацию СКЗИ.
Ключевые носители с неработоспособными криптографическими ключами ответственный за эксплуатацию СКЗИ принимает от пользователя под роспись в Журнале. Неработоспособные ключевые носители подлежат уничтожению.
При необходимости замены наклейки на ключевом носителе (стирание надписи реквизитов) пользователь передает его ответственному за эксплуатацию СКЗИ, который в присутствии пользователя снимает старую наклейку и приклеивает новую наклейку с такими же учетными реквизитами.
Аппаратные средства, с которыми осуществляется штатное функционирование СКЗИ, а также аппаратные и аппаратно-программные СКЗИ должны быть оборудованы средствами контроля за их вскрытием (опечатаны, опломбированы). Место опечатывания (опломбирования) СКЗИ, аппаратных средств должно быть таким, чтобы его можно было визуально контролировать.
СКЗИ и криптографические ключи могут доставляться специальной (фельдъегерской) связью или курьером, имеющего доверенность, подписанную министром, на право получения СКЗИ, при соблюдении мер, исключающих бесконтрольный доступ к СКЗИ и криптографическим ключам во время доставки.
Для пересылки СКЗИ и криптографические ключи помещаются в прочную упаковку, исключающую возможность их физического повреждения и внешнего воздействия, в особенности на записанную ключевую информацию. Криптографические ключи пересылают в отдельном пакете с пометкой «Лично». Упаковки опечатывают таким образом, чтобы исключалась возможность извлечения из них содержимого без нарушения целостности упаковок и оттисков печати.
Для пересылки СКЗИ, эксплуатационной и технической документации к ним, криптографических ключей составляется Акт приема-передачи (Опись) документов, в котором указывается: что посылается и в каком количестве, учетные номера СКЗИ, криптографических ключей или документов, а также, при необходимости, назначение и порядок использования высылаемого отправления. Акт приема-передачи (Опись) документов вкладывается в упаковку.
Полученную упаковку вскрывает только лицо, для которого она предназначена. Если содержимое полученной упаковки не соответствует указанному в Акте приема-передачи (Описи) документов или сама упаковка и оттиск печати - их описанию (оттиску), а также если упаковка повреждена, в результате чего образовался свободный доступ к ее содержимому, то должен быть составлен акт о происшедшем нарушении. Полученные с такими отправлениями СКЗИ и криптографические ключи до получения указаний от министра применять не разрешается.
При обнаружении бракованных криптографических ключей ключевой носитель с такими ключами следует возвратить для установления причин происшедшего и их устранения в дальнейшем. В этом случае необходимо получить новые криптографические ключи.
Ключевые носители совместно с Журналом должны храниться ответственным за эксплуатацию СКЗИ в сейфе (металлическом шкафу), как правило, в отдельной ячейке. В исключительных случаях допускается хранить ключевые носители и Журнал совместно с другими документами, при этом ключевые носители и Журнал должны быть помещены в отдельную папку.
На время отсутствия ответственного за эксплуатацию СКЗИ должен быть назначен сотрудник его замещающий.
При необходимости криптографические ключи сдаются на временное хранение ответственному за эксплуатацию СКЗИ.
4. Использование СКЗИ и криптографических ключей
Криптографические ключи используются для обеспечения конфиденциальности, авторства и целостности электронных документов.
Криптографический ключ невозможно использовать, если истек срок действия.
Для обеспечения контроля доступа к СКЗИ системный блок ПЭВМ опечатывается ответственным за эксплуатацию СКЗИ.
Пользователь должен периодически (ежедневно) проверять сохранность оборудования и целостность печатей на ПЭВМ. В случае обнаружения «посторонних» (не зарегистрированных) программ или выявления факта повреждения печати на системном блоке ПЭВМ работа должна быть прекращена. По данному факту проводится служебное расследование, и осуществляются работы по анализу и ликвидации последствий данного нарушения.
При выявлении сбоев или отказов пользователь обязан сообщить о факте их возникновения ответственному за эксплуатацию СКЗИ и предоставить ему носители криптографических ключей для проверки их работоспособности. Проверку работоспособности носителей криптографических ключей ответственный за эксплуатацию СКЗИ выполняет в присутствии пользователя.
В случае, если рабочие криптографические ключи потеряли работоспособность, то по просьбе пользователя ответственный за эксплуатацию СКЗИ, вскрывает конверт (коробку) с резервными криптографическими ключами, делает копию ключевого носителя, используя резервные криптографические ключи, помещает резервные криптографические ключи в конверт (коробку), а на новый ключевой носитель наклеивает наклейку с надписью «Рабочий».
В экстренных случаях, не терпящих отлагательства, вскрытие конверта (коробки) с резервными криптографическими ключами может осуществляться комиссионно с последующим уведомлением ответственного за эксплуатацию СКЗИ о факте вскрытия конверта с криптографическими ключами. На конверте делается запись о вскрытии с указанием даты и времени вскрытия конверта и подписью пользователя. Вскрытый конверт вместе с неработоспособными криптографическими ключами сдаются ответственному за эксплуатацию СКЗИ.
Вскрытие системного блока ПЭВМ, на которой установлено СКЗИ, для проведения ремонта или технического обслуживания должно осуществляться в присутствии ответственного за эксплуатацию СКЗИ.
5. Изготовление и плановая смена криптографических ключей
Изготовление криптографических ключей может производиться администратором безопасности в присутствии пользователя.
Криптографические ключи изготавливаются на отчуждаемый ключевой носитель (дискету, ruToken, EToken и др.) в соответствии с эксплуатационно-технической документацией на СКЗИ и требованиями безопасности, установленными настоящей Инструкцией.
В целях обеспечения непрерывности проведения работы плановую смену криптографических ключей следует производить заблаговременно (за 2 (два) месяца до окончания срока действия закрытых криптографических ключей).
При замене криптографических ключей используют программное обеспечение в соответствии с документами по эксплуатации. Пользователь самостоятельно обязан обновить сертификат ключ подписи. Обновление справочников сертификатов ключей производится путем добавления новых сертификатов ключей подписи из файлов, содержащих сертификаты ключей подписи, предоставляемых ответственным за эксплуатацию СКЗИ. Обновление справочников сертификатов ключей подписи осуществляется в соответствии с эксплуатационной документацией на СКЗИ.
Приложение № 4
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
Утверждаю
Руководитель подразделения
Список лиц,
допущенных к работе с СКЗИ (пользователей СКЗИ)
Подпись сотрудника, ответственного за эксплуатацию СКЗИ ______________
Приложение № 5
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
ИНСТРУКЦИЯ
пользователя средств криптографической защиты информации
Пользователи СКЗИ обязаны:
не разглашать конфиденциальную информацию, к которой они допущены, и сведения о криптоключах;
соблюдать требования по обеспечению безопасности информации с использованием СКЗИ;
сообщать специалисту ответственному за эксплуатацию СКЗИ о ставших им известными попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документах;
сдать специалисту ответственному за эксплуатацию СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы при увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ;
немедленно уведомлять специалиста ответственного за эксплуатацию СКЗИ о фактах утраты или недостачи СКЗИ, ключевых документов, ключей от помещений, сейфов, личных печатей.
Пользователи СКЗИ несут персональную ответственность за сохранность СКЗИ и ключевых документов.
Не допускается:
производить несанкционированное копирование ключевых документов;
знакомить или передавать ключевые документы лицам, к ним не допущенным;
выводить ключевые документы на дисплей или принтер;
вставлять носители ключевой информации в считывающие устройства других компьютеров;
оставлять носители ключевой информации без присмотра на рабочем месте;
записывать на носители ключевой информации посторонние файлы.
Приложение № 6
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
Журнал учета пользователей криптосредств
№№
ПП
|
Ф.И.О. пользователя
|
Серийный номер ключа
|
Номер экземпляра
|
примечание
|
1
|
2
|
3
|
4
|
5
|
1.
|
Петров П.П.
|
354447002
|
1,2
|
Изъят 12.02.2020
|
2.
|
|
|
|
|
3.
|
|
|
|
|
4.
|
|
|
|
|
Приложение №7
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
ЖУРНАЛ
учета обучения Пользователей
средств криптографической защиты информации
№
п/п
|
Должность
|
Ф.И.О. пользователя СКЗИ
|
Номер и дата
приказа о назначении
|
Программа обучения
|
Дата проведения
обучения
|
Подпись обучаемого,
дата
|
Подпись лица, проводившего обучение, дата
|
1
|
2
|
3
|
4
|
5
|
6
|
7
|
8
|
|
|
|
|
|
|
|
|
Приложение № 8
к методическим рекомендациям
по работе со средствами
криптографической защиты
информации
УТВЕРЖДАЮ
Руководитель _______________________
(Организации-заявителя)
___________________ А.А. Иванов
"__" ____________ 20__ г.
Акт
установки средств криптографической защиты информации, ввода
в эксплуатацию и закрепления их за ответственными лицами
_________________________________ __________________
(наименование населенного пункта) (дата, месяц, год)
Настоящий акт составлен о том, что ________________________ сотрудником
(дата)
___________________________________________________________________________
___________________________________________________________________________
___________________________________________________________________________
___________________________________________________________________________
(наименование организации, должность, фамилия, имя, отчество,
иные сведения (например, дата, номер лицензии))
(ответственный за эксплуатацию СКЗИ) была произведена установка и настройка средства
криптографической защиты информации _______________________________________
(наименование)
далее - СКЗИ на ПЭВМ (АРМ Заявителя):
Серийный N (Инв. N) ПЭВМ ______________________________________________
Место установки _______________________________________________________
___________________________________________________________________________
(адрес местонахождения, номер помещения)
Ф.И.О. пользователя АРМ Заявителя _________________
___________________________________________________________________________
(должность, фамилия, имя, отчество)
(далее - пользователь СКЗИ) _______________________________________________
Рег. № СКЗИ (номер экземпляра) ________________________________________
Размещение АРМ Заявителя, хранение ключевых носителей, охрана помещений
организованы установленным порядком.
Обучение правилам работы с СКЗИ и проверка знаний нормативно-правовых
актов и эксплуатационной и технической документации к ним проведены.
Условия для использования СКЗИ, установленные эксплуатационной и
технической документацией к СКЗИ, созданы.
Установленное и настроенное СКЗИ находится в работоспособном состоянии.
Формуляр ЖТЯИ. __________________________ выведен на бумажный носитель,
|
