Требования минкомсвязи к удостоверяющему центру. «Требования к обеспечению информационной безопасности на рабочем месте Пользователя уц. Термины и определения

«Требования к обеспечению информационной безопасности
на рабочем месте Пользователя УЦ»

1. 
   Общие положения

1. 
   Системы защищенного электронного документооборота.

Обмен электронными документами между участниками защищенного электронного документооборота осуществляются с электронной цифровой подписью. Целостность и подлинность информации при обмене документами обеспечивается средством криптографической защиты информации (СКЗИ).

1. 
   Представление налоговых деклараций и бухгалтерской отчетности в ИФНС РФ.

Обмен электронными документами между Специализированным Оператором Связи, Налоговым Органом и Налогоплательщиком осуществляется посредством Системы защищенного документооборота «СТЭК – Траст» по обмену открытой и конфиденциальной информацией в электронном виде с электронной цифровой подписью. Целостность и подлинность информации, проходящей через Систему, обеспечивается СКЗИ.

1. 
   Представление сведений персонифицированного учета в УПФР.

Обмен электронными документами между УПФР и Страхователем осуществляется посредством Системы защищенного документооборота «СТЭК – Траст» по обмену открытой и конфиденциальной информацией в электронном виде с электронной цифровой подписью. Целостность и подлинность информации, проходящей через Систему, обеспечивается СКЗИ.

1. 
   Конфиденциальность информации

В целях обеспечения конфиденциальности информации, Пользователь УЦ обязан выполнять требования к обеспечению информационной безопасности, руководствуясь нормативно – правовыми актами в области защиты информации, не содержащей сведений, отнесенных к государственной тайне РФ:

• 
  Приказ ФАПСИ от 13.06.2001 № 152 «Об утверждении инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (зарегистрировано в Минюсте РФ 06.08.2001 № 2848)
• 
  Приказ ФАПСИ от 23.09.1999 № 158 «Об утверждении положения о порядке разработки, производства, реализации и использования средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну» (зарегистрировано в Минюсте РФ 28.12.1999 № 2029)
• 
  Федеральный Закон от 20.02.1995 № 24-ФЗ (ред. от 10.01.2003) «Об информации, информатизации и защите информации» (принят ГД ФС РФ 25.01.1995)
• 
  Эксплуатационная документация на СКЗИ.

1. 
   Учет, хранение и эксплуатация СКЗИ и ключей ЭЦП Пользователем УЦ

1. 
   Пользователь УЦ (юридическое или физическое лицо), организующий работу в системе защищенного электронного документооборота для обмена документами по телекоммуникационным каналам связи, обязан:
   • 
     определить и утвердить порядок учета, хранения и использования СКЗИ и носителей закрытых ключей шифрования и ЭЦП;
   • 
     обеспечить условия хранения носителей закрытых ключей шифрования и ЭЦП, исключающие возможность доступа к ним посторонних лиц, несанкционированного использования или копирования ключевой информации и паролей отзыва ключей.
2. 
   Требования по размещению, специальному оборудованию, охране и режиму в помещениях, в которых размещены СКЗИ:
   • 
     Размещение, специальное оборудование, охрана и режим в помещениях, в которых размещены СКЗИ (далее помещения), должны обеспечивать безопасность информации, СКЗИ и ключей шифрования и ЭЦП, сведение к минимуму возможности неконтролируемого доступа к СКЗИ, просмотра процедур работы с СКЗИ посторонними лицами.
   • 
     Порядок допуска в помещения определяется внутренней инструкцией, которая разрабатывается с учетом специфики и условий функционирования конкретной структуры предприятия.
   • 
     При расположении помещений на первых и последних этажах зданий, а также при наличии рядом с окнами балконов, пожарных лестниц и т.п., окна помещений оборудуются металлическими решетками, ставнями, охранной сигнализацией или другими средствами, препятствующими несанкционированному доступу в помещения. Эти помещения должны иметь прочные входные двери, на которые устанавливаются надежные замки.
   • 
     Для хранения ключей шифрования и ЭЦП, нормативной и эксплуатационной документации, инсталляционных дискет помещения обеспечиваются металлическими шкафами (хранилищами, сейфами), оборудованными внутренними замками с двумя экземплярами ключей. Дубликаты ключей от хранилищ и входных дверей должны храниться в сейфе ответственного лица, назначаемого руководством предприятия.
   • 
     Устанавливаемый руководителем предприятия порядок охраны помещений должен предусматривать периодический контроль технического состояния средств охранной и пожарной сигнализации и соблюдения режима охраны.
   • 
     Размещение и установка СКЗИ осуществляется в соответствии с требованиями документации на СКЗИ.
   • 
     Системные блоки ЭВМ с СКЗИ должны быть оборудованы средствами контроля их вскрытия.
   • 
     Для работы со СКЗИ привлекаются уполномоченные лица, назначенные соответствующим приказом руководителя организации и изучившие пользовательскую документацию и эксплуатационную документацию на СКЗИ и систему защищенного документооборота.
3. 
   Уполномоченные лица, назначенные для эксплуатации автоматизированного рабочего места (АРМ) СКЗИ и для осуществления обмена информацией в электронном виде с использованием ключей шифрования и ЭЦП, несут персональную ответственность за:
   • 
     сохранение в тайне конфиденциальной информации, ставшей им известной в процессе работы с системой защищенного документооборота и СКЗИ;
   • 
     сохранение в тайне содержания закрытых ключей шифрования и ЭЦП и защита их от компрометации;
   • 
     сохранность носителей ключевой информации и других документов о ключах, выдаваемых с ключевыми носителями;
   • 
     сохранность в тайне паролей для отзыва ключей шифрования и ЭЦП.
4. 
   При работе о СКЗИ запрещается:
   • 
     осуществлять несанкционированное копирование магнитных носителей ключевой информации;
   • 
     разглашать содержимое магнитных носителей ключевой информации, а также передавать их лицам, к ним не допущенным, выводить ключевую информацию на дисплей и принтер, за исключением случаев, предусмотренных эксплуатационной документацией;
   • 
     использовать в работе со СКЗИ и системой защищенного документооборота скомпрометированные ключи шифрования и ЭЦП;
   • 
     вставлять ключевой носитель в дисковод ПК при проведении работ, не являющихся штатными процедурами использования ключей (шифрование/расшифровывание информации, проверка электронной цифровой подписи и т.д.), а также в дисководы других ПК;
   • 
     записывать на магнитные носители ключевой информации любую другую информацию;
   • 
     оставлять без контроля АРМ при включенном питании и загруженном программном обеспечении;
   • 
     вносить какие-либо изменения в программное обеспечение СКЗИ;
   • 
     использовать бывшие в работе магнитные носители ключевой информации для записи новой информации, без предварительного уничтожения на дискетах ключевой информации путем их переформатирования при помощи программы, входящей в состав средств криптографической защиты информации;
   • 
     оставлять монитор в непогашенном состоянии. При длительном или кратковременном перерыве в работе с программой необходимо производить гашение экрана, а возобновление активности экрана производить с использованием пароля доступа, задаваемого в конфигурации АРМ;
   • 
     хранить пароли в виде записей на бумажном носителе;
   • 
     осуществлять несанкционированное вскрытие системных блоков АРМ.

В случае обнаружения факта несанкционированного доступа к системным блокам, работа на этих АРМ должна быть прекращена. По данному факту должно проводиться служебное расследование и организовываться работа по анализу и ликвидации негативных последствий данного нарушения.

1. 
   Аппаратно-программные средства защиты информации от несанкционированного доступа, установленные на АРМ Пользователя УЦ, должны обеспечивать:
   • 
     парольный вход;
   • 
     проверку целостности программного и информационного обеспечения;
   • 
     идентификацию Пользователя УЦ при входе в систему защищенного документооборота;
   • 
     регистрацию действий Пользователя УЦ в электронном журнале.
2. 
   Администрирование средств криптографической защиты информации, программных и аппаратных средств защиты информации от несанкционированного доступа возлагается на администратора информационной безопасности.
3. 
   Администратор назначается приказом руководителя организации из числа сотрудников, прошедших соответствующее обучение и имеющих сертификат и (или) свидетельство на право установки и эксплуатации средств криптографической защиты информации.
4. 
   Администратор информационной безопасности обязан фиксировать действия, связанные с эксплуатацией СКЗИ, в журнале, отражая в нем факты компрометации ключевой информации или ключевых документов, нештатные ситуации, происходящие в системе защищенного документооборота и связанные с использованием СКЗИ, проведение регламентных работ (плановая замена ключей, обновление сертификатов и т.п.).
5. 
   Пользователь УЦ несет ответственность за то, чтобы на компьютере, на котором установлено СКЗИ и система защищенного документооборота, не были установлены и не эксплуатировались программы (в том числе, - вирусы), которые могут нарушить функционирование СКЗИ и системы защищенного документооборота.
6. 
   При обнаружении на рабочем месте, оборудованном СКЗИ, посторонних программ или вирусов, нарушающих работу указанных средств, работа со средствами защиты информации на данном рабочем месте должна быть прекращена и должны быть организованы мероприятия по анализу и ликвидации негативных последствий данного нарушения.

1. 
   Действия Пользователя УЦ в случае компрометации ключей

1. 
   К событиям, связанным с компрометацией ключей относятся:
   • 
     утрата ключевых дискет;
   • 
     утрата ключевых дискет с последующим обнаружением;
   • 
     увольнение сотрудников, имевших доступ к ключевой информации;
   • 
     нарушение правил хранения ключевой информации и ключевых носителей;
   • 
     возникновение подозрений на утечку информации или ее искажение в системе защищенного документооборота;
   • 
     нарушение печати на сейфе, в котором хранятся ключевые носители;
   • 
     несанкционированное копирование и другие происшествия, в результате которых закрытые ключи ЭЦП и шифрования могли стать доступными несанкционированным лицам и (или) процессам.

Пользователь УЦ самостоятельно должен определить факт компрометации закрытого ключа и оценить значение этого события для Пользователя УЦ. Мероприятия по розыску и локализации последствий компрометации конфиденциальной информации, переданной с использованием СКЗИ и системы защищенного документооборота, организует и осуществляет сам Пользователь УЦ.

1. 
   При компрометации закрытых ключей ЭЦП и шифрования Пользователь УЦ руководствуется «Регламентом Удостоверяющего центра». Действия Пользователя УЦ сводятся к следующему:
   • 
     немедленно прекратить использование скомпрометированных ключей шифрования и ЭЦП;
   • 
     немедленно проинформировать администратора Удостоверяющего центра о компрометации ключевой информации;
   • 
     в течение одного рабочего дня направить в Удостоверяющий центр заявление об аннулировании сертификатов скомпрометированных закрытых ключей ЭЦП и шифрования, заверенное рукописной подписью и печатью организации. Заявление должно содержать идентификационные параметры скомпрометированных ключей ЭЦП и шифрования.

Дата и время, не позднее которого закрытые ключи ЭЦП и шифрования будут считаться скомпрометированными, согласовывается с Администратором Удостоверяющего центр. Дата и время, с которой сертификаты ключей ЭЦП и шифрования считаются недействительными в системе защищенного документооборота, устанавливается равной дате и времени отзыва сертификата ключа подписи в списке отозванных сертификатов Удостоверяющего центра.

Электронная цифровая подпись

Электронная цифровая подпись (ЭЦП) - информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию .

Применение ЭЦП

Электронная цифровая подпись предназначена для определения лица, подписавшего электронный документ. Также является полноценной заменой собственноручной подписи в случаях, предусмотренных законом.

Использование электронной подписи позволяет осуществить:

• · Контроль целостности документа. При модификации или повреждении документа подпись станет недействительной.
• · Защиту от подделки документа. Контроль целостности позволяет выявить недостоверность документа, таким образом подделывание становится невозможным в большинстве случаев.
• · Невозможность отказа от авторства. Применение закрытого ключа ЭЦП гарантирует невозможность отказа от уже совершенных действий того, кто подписал документы. Так если происходит идентификация владельца сертификата ключа, а автор подписи не может от неё отказаться.
• · Доказательное подтверждение авторства документа. Применение закрытого ключа ЭЦП гарантирует невозможность отказа от уже совершенных действий того, кто подписал документы. Так если происходит идентификация владельца сертификата ключа, а автор подписи не может от неё отказаться.

Виды ЭЦП предусмотренные законом РФ

Простая электронная подпись Подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом .

Неквалифицированная электронная подпись

Подпись, которая :

• 1. получена в результате криптографических методов преобразования информации с использованием ключа электронной подписи;
• 2. позволяет определить лицо, подписавшее электронный документ;
• 3. позволяет обнаружить факт внесения изменений в электронный документ после момента его подписания;
• 4. создается с использованием средств электронной подписи.

Квалифицированная электронная подпись Подпись, которая соответствует всем признакам неквалифицированной электронной подписи и следующим дополнительным признакам :

• 1. ключ проверки электронной подписи указан в квалифицированном сертификате;
• 2. для создания и проверки электронной подписи используются средства электронной подписи, получившие подтверждение соответствия требованиям, установленным в соответствии с настоящим Федеральным законом.

Стандарты

ГОСТ Р 34.10-2012 - стандарт определяет схему электронной цифровой подписи (ЭЦП), процессы формирования и проверки цифровой подписи под заданным сообщением (документом), передаваемым по незащищенным телекоммуникационным каналам общего пользования в системах обработки информации различного назначения .

Внедрение цифровой подписи на основе настоящего стандарта повышает, по сравнению с ранее действовавшей схемой цифровой подписи, уровень защищенности передаваемых сообщений от подделок и искажений .

Криптографическая стойкость данной схемы цифровой подписи основывается на сложности решения задачи дискретного логарифмирования в группе точек эллиптической кривой, а также на стойкости используемой хэш-функции. Алгоритмы вычисления хэш-функции установлены в ГОСТ Р 34.11-2012 .

ГОСТ Р 34.11-2012 - российский криптографический стандарт, "определяет алгоритм и процедуру вычисления хэш-функции для любой последовательности двоичных символов, которые применяются в криптографических методах обработки и защиты информации, в том числе для реализации процедур обеспечения целостности, аутентичности, электронной цифровой подписи (ЭЦП) при передаче, обработке и хранении информации в автоматизированных системах" .

Регулирование работы УЦ

Удостоверяющий центр - юридическое лицо или индивидуальный предприниматель, осуществляющие функции по созданию и выдаче сертификатов ключей проверки электронных подписей .

Основные документы, регулирующие работу удостоверяющего центра:

• · Федеральный закон от 06.04.2011 N 63-ФЗ (ред. от 02.07.2013)"Об электронной подписи" (с изм. и доп., вступающими в силу с 01.09.2013);
• · Приказ ФСБ РФ от 27.12.2011 N 795 "Об утверждении Требований к форме квалифицированного сертификата ключа проверки электронной подписи";
• · Приказ ФСБ РФ от 27.12.2011 N 796 "Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра".

Удостоверяющий центр получает статус аккредитованный после признания уполномоченным федеральным органом соответствия удостоверяющего центра требованиям закона "Об электронной подписи". Аккредитацию проводит Минкомсвязь России.

Закон "Об электронной подписи"

Данный закон регулирует отношения в области использования электронных подписей при совершении гражданско-правовых сделок, оказании государственных и муниципальных услуг, исполнении государственных и муниципальных функций, при совершении иных юридически значимых действий, в том числе в случаях, установленных другими федеральными законами .

Данный закон устанавливает :

• · требования к удостоверяющим центрам (на основании проводится аккредитация);
• · виды электронных подписей;
• · полномочия федеральных органов исполнительной власти в сфере использования электронной подписи;
• · полномочия и обязанности удостоверяющего центра;
• · порядок аккредитации удостоверяющего центра.

Приказ ФСБ РФ "Об утверждении Требований к форме квалифицированного сертификата ключа проверки электронной подписи"

Данный приказ устанавливает какую информацию должен содержать квалифицированный сертификат.

Сертификат должен содержать :

• · уникальный номер квалифицированного сертификата;
• · даты начала и окончания действия квалифицированного сертификата;
• · фамилия, имя и отчество (если имеется) владельца квалифицированного сертификата - для физического лица, либо наименование и место нахождения владельца квалифицированного сертификата - для юридического лица, а также в случаях, предусмотренных Федеральным законом "Об Электронной Подписи", фамилия, имя и отчество (если имеется) физического лица, действующего от имени владельца квалифицированного сертификата - юридического лица на основании учредительных документов юридического лица или доверенности (далее - уполномоченный представитель юридического лица);
• · страховой номер индивидуального лицевого счета (СНИЛС) владельца квалифицированного сертификата - для физического лица;
• · основной государственный регистрационный номер (ОГРН) владельца квалифицированного сертификата - для юридического лица;
• · идентификационный номер налогоплательщика (ИНН) владельца квалифицированного сертификата - для юридического лица;
• · ключ проверки ЭП;
• · наименование используемого средства ЭП и (или) стандарты, требованиям которых соответствует ключ ЭП и ключ проверки ЭП;
• · наименования средств ЭП и средств аккредитованного УЦ, которые использованы для создания ключа ЭП, ключа проверки ЭП, квалифицированного сертификата, а также реквизиты документа, подтверждающего соответствие указанных средств требованиям, установленным в соответствии с Федеральным законом "Об Электронной Подписи";
• · наименование и место нахождения аккредитованного УЦ, который выдал квалифицированный сертификат;
• · номер квалифицированного сертификата аккредитованного УЦ;
• · ограничения использования квалифицированного сертификата (если такие ограничения установлены).

Кроме того, данный приказ устанавливает порядок расположения полей в квалифицированном сертификате.

Приказ ФСБ РФ "Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра"

Требования предназначены для заказчиков и разработчиков средств электронной подписи и удостоверяющих центров при их взаимодействии между собой и с организациями, проводящими криптографические и специальные исследования таких средств, а также при их взаимодействии с ФСБ РФ, подтверждающей соответствие таких средств установленным требованиям .

При создании ЭП средства ЭП должны :

• · показывать лицу, подписывающему электронный документ, содержание информации, которую он подписывает;
• · создавать ЭП только после подтверждения лицом, подписывающим электронный документ, операции по созданию ЭП;
• · однозначно показывать, что ЭП создана.

При проверке ЭП средства ЭП должны:

• · показывать содержание электронного документа, подписанного ЭП;
• · показывать информацию о внесении изменений в подписанный ЭП электронный документ;
• · указывать на лицо, с использованием ключа ЭП которого подписаны электронные документы.

* Собрание законодательства Российской Федерации, 2011, N 15, ст. 2036; N 27, ст. 3880.

Однозначно показывать, что ЭП создана .

9. При проверке ЭП средства ЭП должны:

Показывать информацию о внесении изменений в подписанный ЭП электронный документ ;

Указывать на лицо, с использованием ключа ЭП которого подписаны электронные документы .

13. Средства ЭП класса КС1 противостоят атакам, при создании способов, подготовке и проведении которых используются следующие возможности:

13.1. Самостоятельное осуществление создания способов атак, подготовки и проведения атак.

13.2. Действия на различных этапах жизненного цикла средства ЭП

13.3. Проведение атаки только извне пространства, в пределах которого осуществляется контроль за пребыванием и действиями лиц и (или) транспортных средств (далее - контролируемая зона).

13.4. Проведение на этапах разработки, производства, хранения, транспортировки средств ЭП и этапе ввода в эксплуатацию средств ЭП (пусконаладочные работы) следующих атак:

Внесение несанкционированных изменений в средство ЭП и (или) в компоненты СФ, в том числе с использованием вредоносных программ;

Внесение несанкционированных изменений в документацию на средство ЭП и на компоненты СФ.

13.5. Проведение атак на следующие объекты:

Документацию на средство ЭП и на компоненты СФ;

Защищаемые электронные документы;

Ключевую, аутентифицирующую и парольную информацию средства ЭП;

Средство ЭП и его программные и аппаратные компоненты;

Аппаратные средства, входящие в СФ, включая микросхемы с записанным микрокодом BIOS, осуществляющей инициализацию этих средств (далее - аппаратные компоненты СФ);

Программные компоненты СФ;

Данные, передаваемые по каналам связи;

Помещения, в которых находится совокупность программных и технических элементов систем обработки данных, способных функционировать самостоятельно или в составе других систем (далее - СВТ), на которых реализованы средства ЭП и СФ;

Иные объекты атак, которые при необходимости указываются в ТЗ на разработку (модернизацию) средства ЭП с учетом используемых в информационной системе информационных технологий, аппаратных средств (далее - АС) и программного обеспечения (далее - ПО).

13.6. Получение следующей информации:

Общих сведений об информационной системе, в которой используется средство ЭП (назначение, состав, оператор, объекты, в которых размещены ресурсы информационной системы);

Сведений об информационных технологиях, базах данных, АС, ПО, используемых в информационной системе совместно со средством ЭП;

Сведений о физических мерах защиты объектов, в которых размещены средства ЭП;

Сведений о мерах по обеспечению контролируемой зоны объектов информационной системы, в которой используется средство ЭП;

Сведений о мерах по разграничению доступа в помещения, в которых находятся СВТ, на которых реализованы средства ЭП и СФ;

Общих сведений о защищаемой информации, используемой в процессе эксплуатации средства ЭП;

Всех возможных данных, передаваемых в открытом виде по каналам связи, не защищенным от несанкционированного доступа (далее - НСД) к информации организационно-техническими мерами;

Сведений о линиях связи, по которым передается защищаемая средством ЭП информация;

Сведений обо всех проявляющихся в каналах связи, не защищенных от НСД к информации организационно-техническими мерами, нарушениях правил эксплуатации средства ЭП и СФ;

Сведений обо всех проявляющихся в каналах связи, не защищенных от НСД к информации организационно-техническими мерами, неисправностях и сбоях аппаратных компонентов средства ЭП и СФ;

Сведений, получаемых в результате анализа любых сигналов от аппаратных компонентов средства ЭП и СФ, которые может перехватить нарушитель.

13.7. Использование:

Находящихся в свободном доступе или используемых за пределами контролируемой зоны АС и ПО, включая аппаратные и программные компоненты средства ЭП и СФ;

Специально разработанных АС и ПО.

13.8. Использование в качестве среды переноса от субъекта к объекту (от объекта к субъекту) атаки действий, осуществляемых при подготовке и (или) проведении атаки (далее - канал атаки):

Не защищенных от НСД к информации организационно-техническими мерами каналов связи (как вне контролируемой зоны, так и в ее пределах), по которым передается защищаемая средством ЭП информация;

Каналов распространения сигналов, сопровождающих функционирование средства ЭП и СФ.

13.9. Проведение атаки из информационно-телекоммуникационных сетей, доступ к которым не ограничен определенным кругом лиц.

13.10. Использование АС и ПО из состава средств информационной системы, используемых на местах эксплуатации средства ЭП (далее - штатные средства) и находящихся за пределами контролируемой зоны.

14. Средства ЭП класса КС2 противостоят атакам, при создании способов, подготовке и проведении которых используются возможности, перечисленные в настоящих Требований, и следующие дополнительные возможности:

14.1. Проведение атаки при нахождении как вне пределов, так и в пределах контролируемой зоны.

14.2. Использование штатных средств, ограниченное мерами, реализованными в информационной системе, в которой используется средство ЭП, и направленными на предотвращение и пресечение несанкционированных действий.

15. Средства ЭП класса КСЗ противостоят атакам, при создании способов, подготовке и проведении которых используются возможности, перечисленные в , , настоящих Требований, и следующие дополнительные возможности:

15.1. Доступ к СВТ, на которых реализованы средство ЭП и СФ.

15.2. Возможность располагать аппаратными компонентами средства ЭП и СФ в объеме, зависящем от мер, направленных на предотвращение и пресечение несанкционированных действий, реализованных в информационной системе, в которой используется средство ЭП.

16. Средства ЭП класса КВ1 противостоят атакам, при создании способов, подготовке и проведении которых используются возможности, перечисленные в , , , , настоящих Требований, и следующие дополнительные возможности:

16.1. Создание способов атак, подготовка и проведение атак с привлечением специалистов, имеющих опыт разработки и анализа средств ЭП, включая специалистов в области анализа сигналов, сопровождающих функционирование средства ЭП и СФ.

16.2. Проведение лабораторных исследований средства ЭП, используемого вне контролируемой зоны, в объеме, зависящем от мер, направленных на предотвращение и пресечение несанкционированных действий, реализованных в информационной системе, в которой используется средство ЭП.

17. Средства ЭП класса КВ2 противостоят атакам, при создании способов, подготовке и проведении которых используются возможности, перечисленные в , , , , , , настоящих Требований, и следующие дополнительные возможности:

17.1. Создание способов атак, подготовка и проведение атак с привлечением специалистов, имеющих опыт разработки и анализа средств ЭП, включая специалистов в области использования для реализации атак возможностей прикладного ПО, не описанных в документации на прикладное ПО.

17.2. Постановка работ по созданию способов и средств атак в научно-исследовательских центрах, специализирующихся в области разработки и анализа средств ЭП и СФ.

17.3. Возможность располагать исходными текстами входящего в СФ прикладного ПО.

18. Средства ЭП класса КА1 противостоят атакам, при создании способов, подготовке и проведении которых используются возможности, перечисленные в , , , , , , , настоящих Требований, и следующие дополнительные возможности:

18.1. Создание способов атак, подготовка и проведение атак с привлечением специалистов, имеющих опыт разработки и анализа средств ЭП, включая специалистов в области использования для реализации атак возможностей системного ПО, не описанных в документации на системное ПО.

18.2. Возможность располагать всей документацией на аппаратные и программные компоненты СФ.

18.3. Возможность располагать всеми аппаратными компонентами средства ЭП и СФ.

19. В случае реализации в средстве ЭП функции проверки ЭП электронного документа с использованием сертификата ключа проверки ЭП эта реализация должна исключить возможность проверки ЭП электронного документа без проверки ЭП в сертификате ключа проверки ЭП или без наличия положительного результата проверки ЭП в сертификате ключа проверки ЭП.

20. При разработке средств ЭП должны использоваться криптографические алгоритмы, утвержденные в качестве государственных стандартов или имеющие положительное заключение ФСБ России по результатам их экспертных криптографических исследований .

21. Инженерно-криптографическая защита средства ЭП должна исключить события, приводящие к возможности проведения успешных атак в условиях возможных неисправностей или сбоев аппаратного компонента средства ЭП или аппаратного компонента СВТ, на котором реализовано программное средство ЭП.

22. В средстве ЭП должны быть реализованы только заданные в ТЗ на разработку (модернизацию) средства ЭП алгоритмы функционирования средства ЭП.

23. Программный компонент средства ЭП (в случае наличия программного компонента средства ЭП) должен удовлетворять следующим требованиям:

Объектный (загрузочный) код программного компонента средства ЭП должен соответствовать его исходному тексту;

В программном компоненте средства ЭП должны использоваться при реализации только описанные в документации функции программной среды, в которой функционирует средство ЭП;

В исходных текстах программного компонента средства ЭП должны отсутствовать возможности, позволяющие модифицировать или искажать алгоритм работы средства ЭП в процессе его использования, модифицировать или искажать информационные или управляющие потоки и процессы, связанные с функционированием средства ЭП, и получать нарушителям доступ к хранящейся в открытом виде ключевой, идентификационной и (или) аутентифицирующей информации средства ЭП;

Значения входных и внутренних параметров, а также значения параметров настроек программного компонента средства ЭП не должны негативно влиять на его функционирование.

24. В случае планирования размещения средств ЭП в помещениях, в которых присутствует речевая акустическая и визуальная информация, содержащая сведения, составляющие государственную тайну, и (или) установлены АС и системы приема, передачи, обработки, хранения и отображения информации, содержащей сведения, составляющие государственную тайну, АС иностранного производства, входящие в состав средств ЭП, должны быть подвергнуты проверкам по выявлению устройств, предназначенных для негласного получения информации.

В случае планирования размещения средств ЭП в помещениях, в которых отсутствует речевая акустическая и визуальная информация, содержащая сведения, составляющие государственную тайну, и не установлены АС и системы приема, передачи, обработки, хранения и отображения информации, содержащей сведения, составляющие государственную тайну:

Решение о проведении проверок АС иностранного производства, входящих в состав средств ЭП классов КС1, КС2, КС3, КВ1 и КВ2, принимается организацией, обеспечивающей эксплуатацию данных средств ЭП;

Проверки АС иностранного производства, входящих в состав средств ЭП класса КА1, проводятся в обязательном порядке.

25. Средство ЭП должно проводить аутентификацию субъектов доступа (лиц, процессов) к этому средству, при этом:

При осуществлении доступа к средству ЭП аутентификация субъекта доступа должна проводиться до начала выполнения первого функционального модуля средства ЭП;

Механизмы аутентификации должны блокировать доступ этих субъектов к функциям средства ЭП при отрицательном результате аутентификации.

26. Средство ЭП должно проводить аутентификацию лиц, осуществляющих локальный доступ к средству ЭП.

27. Необходимость проведения средством ЭП аутентификации процессов, осуществляющих локальный или удаленный (сетевой) доступ к средству ЭП, указывается в ТЗ на разработку (модернизацию) средства ЭП.

28. Для любого входящего в средство ЭП механизма аутентификации должен быть реализован механизм ограничения количества следующих подряд попыток аутентификации одного субъекта доступа, число которых не должно быть больше 10. При превышении числа следующих подряд попыток аутентификации одного субъекта доступа установленного предельного значения доступ этого субъекта к средству ЭП должен блокироваться на заданный в ТЗ на разработку (модернизацию) средства ЭП промежуток времени.

29. В средстве ЭП должен быть реализован механизм (процедура) контроля целостности средства ЭП и СФ.

Контроль целостности может осуществляться:

В начале работы со средством ЭП до перехода СВТ, в котором реализовано средство ЭП, в рабочее состояние (например, до загрузки операционной системы СВТ);

В ходе регламентных проверок средства ЭП на местах эксплуатации (регламентный контроль);

В автоматическом режиме в процессе функционирования средства ЭП (динамический контроль).

Контроль целостности должен проводиться в начале работы со средством ЭП.

Механизм регламентного контроля целостности должен входить в состав средств ЭП.

30. Для средств ЭП классов КС1 и КС2 необходимость предъявления требований к управлению доступом и очистке памяти, а также их содержание указываются в ТЗ на разработку (модернизацию) средства ЭП.

31. В состав средств ЭП классов КС3, КВ1, КВ2 и КА1 или СФ должны входить компоненты, обеспечивающие:

Управление доступом субъектов к различным компонентам и (или) целевым функциям средства ЭП и СФ на основе параметров, заданных администратором или производителем средства ЭП (требования к указанному компоненту определяются и обосновываются организацией, проводящей исследования средства ЭП с целью оценки соответствия средства ЭП настоящим Требованиям);

Очистку оперативной и внешней памяти, используемой средством ЭП для хранения защищаемой информации, при освобождении (перераспределении) памяти путем записи маскирующей информации (случайной или псевдослучайной последовательности символов) в память.

32. В состав средств ЭП классов КВ2 и КА1 или СФ должны входить компоненты, обеспечивающие экстренное стирание защищаемой информации ограниченного доступа. Требования к реализации и надежности стирания задаются в ТЗ на разработку (модернизацию) средства ЭП.

33. Для средств ЭП классов КС1 и КС2 необходимость предъявления требований к регистрации событий и их содержание указываются в ТЗ на разработку (модернизацию) средства ЭП.

34. В состав средств ЭП классов КС3, КВ1, КВ2 и КА1 должен входить модуль, производящий фиксацию в электронном журнале регистрации событий в средстве ЭП и СФ, связанных с выполнением средством ЭП своих целевых функций.

Требования к указанному модулю и перечень регистрируемых событий определяются и обосновываются организацией, проводящей исследования средства ЭП с целью оценки соответствия средства ЭП настоящим Требованиям.

35. Журнал регистрации событий должен быть доступен только лицам, определенным оператором информационной системы, в которой используется средство ЭП, или уполномоченными им лицами. При этом доступ к журналу регистрации событий должен осуществляться только для просмотра записей и для перемещения содержимого журнала регистрации событий на архивные носители.

36. Срок действия ключа проверки ЭП не должен превышать срок действия ключа ЭП более чем на 15 лет.

37. Требования к механизму контроля срока использования ключа ЭП, блокирующего работу средства ЭП в случае попытки использования ключа дольше заданного срока, определяются разработчиком средства ЭП и обосновываются организацией, проводящей исследования средства ЭП с целью оценки соответствия средства ЭП настоящим Требованиям.

38. Криптографические протоколы, обеспечивающие операции с ключевой информацией средства ЭП, должны быть реализованы непосредственно в средстве ЭП.

39. Исследования средств ЭП с целью оценки соответствия средств ЭП настоящим Требованиям должны проводиться с использованием разрабатываемых ФСБ России числовых значений параметров и характеристик реализуемых в средствах ЭП механизмов защиты и аппаратных и программных компонентов СФ .

______________________________

*(3) Реализуется в том числе с использованием аппаратных и программных средств, совместно с которыми штатно функционируют средства ЭП и которые способны повлиять на выполнение предъявляемых к средствам ЭП требований, в совокупности представляющих среду функционирования средств ЭП (далее - СФ).

*(4) Необходимый класс разрабатываемого (модернизируемого) средства ЭП определяется заказчиком (разработчиком) средства ЭП путем определения возможностей осуществлять создание способов атак, подготовку и проведение атак на основе настоящих Требований и указывается в ТЗ на разработку (модернизацию) средства ЭП.

*(5) К этапам жизненного цикла средства ЭП относятся разработка (модернизация) указанных средств, их производство, хранение, транспортировка, ввод в эксплуатацию (пусконаладочные работы), эксплуатация.

*(6) Границей контролируемой зоны могут быть: периметр охраняемой территории предприятия (учреждения), ограждающие конструкции охраняемого здания, охраняемой части здания, выделенного помещения.

*(7) Подпункт 25 пункта 9 Положения о Федеральной службе безопасности Российской Федерации, утвержденного Указом Президента Российской Федерации от 11 августа 2003 г. N 960 (Собрание законодательства Российской Федерации, 2003, N 33, ст. 3254; 2004, N 28, ст. 2883; 2005, N 36, ст. 3665; N 49, ст. 5200; 2006, N 25, ст. 2699; N 31 (ч. I), ст. 3463; 2007, N 1 (ч. I), ст. 205; N 49, ст. 6133; N 53, ст. 6554; 2008, N 36, ст. 4087; N 43, ст. 4921; N 47, ст. 5431; 2010, N 17, ст. 2054; N 20, ст. 2435; 2011, N 2, ст. 267; N 9, ст. 1222) (далее - Положение о ФСБ России).

*(8) Подпункт 47 пункта 9 Положения о ФСБ России.

23. Требования к идентификации и аутентификации:

23.1. Идентификация и аутентификация включают в себя распознавание пользователя средств УЦ, члена группы администраторов средств УЦ или процесса и проверку их подлинности. Механизм аутентификации должен блокировать доступ этих субъектов к функциям УЦ при отрицательном результате аутентификации.

23.2. В средствах УЦ для любой реализованной процедуры аутентификации должен быть применен механизм ограничения количества следующих подряд попыток аутентификации одного субъекта доступа, число которых не должно быть больше трех. При превышении числа следующих подряд попыток аутентификации одного субъекта доступа установленного предельного значения доступ этого субъекта доступа к средствам УЦ должен быть заблокирован на промежуток времени, который указывается в ТЗ на разработку (модернизацию) средств УЦ.

23.3. Требования для средств УЦ класса КС1:

Описание процедуры регистрации пользователей средств УЦ (внесения данных в реестр пользователей средств УЦ) должно содержаться в эксплуатационной документации на средства УЦ;

Для всех лиц, осуществляющих доступ к средствам УЦ, должна проводиться аутентификация. При этом допускается ограничиться использованием для аутентификации только символьного периодически изменяющегося пароля из не менее чем 8 символов при мощности алфавита не менее 36 символов. Период изменения пароля не должен быть больше 6 месяцев.

23.4. Требования для средств УЦ класса КС2:

Необходимость предъявления пользователем средств УЦ при его регистрации документов, удостоверяющих личность, должна быть отражена в эксплуатационной документации на средства УЦ;

Для всех пользователей средств УЦ допускается использование механизмов удаленной аутентификации. Специальные характеристики механизмов удаленной аутентификации должны быть подтверждены в рамках проведения проверки соответствия средств УЦ и объектов информатизации, использующих данные средства, настоящим Требованиям;

При осуществлении локального доступа к средствам УЦ аутентификация членов группы администраторов средств УЦ должна выполняться до перехода в рабочее состояние этих средств УЦ (например, до загрузки базовой ОС).

23.5. Требования для средств УЦ класса КСЗ:

В средствах УЦ должен быть реализован механизм аутентификации локальных пользователей, имеющих доступ к средствам УЦ, но не входящих в состав группы администраторов средств УЦ.

23.6. Требования для средств УЦ класса KB1:

При осуществлении удаленного доступа к средствам УЦ использование только символьного пароля не допускается, должны использоваться механизмы аутентификации на основе криптографических протоколов.

23.7. Требования для средств УЦ класса КВ2 совпадают с требованиями для средств УЦ класса KB1.

23.8. Требования для средств УЦ класса КА1:

В средствах УЦ для любого реализованного механизма аутентификации должна быть реализована возможность установки предельно допустимого количества следующих подряд попыток аутентификации одного субъекта доступа и установки времени блокировки доступа к средствам УЦ на местах их эксплуатации.

24. Требования к защите данных, поступающих (экспортируемых) в (из) УЦ:

24.1. Средства УЦ должны обеспечивать доверенный ввод самоподписанного сертификата ключа проверки ЭП.

24.2. Требования для средств УЦ класса КС1:

Средства УЦ должны обеспечивать передачу данных, содержащих информацию ограниченного доступа, поступающих в УЦ и экспортируемых из УЦ, способом, защищенным от НСД;

В средствах УЦ должна быть реализована процедура защиты от навязывания ложных сообщений ;

Требования к процедуре защиты от навязывания ложных сообщений указываются в ТЗ на разработку (модернизацию) средств УЦ.

24.3. Требования для средств УЦ класса КС2:

Средства УЦ должны обеспечивать защиту первоначального запроса на сертификат ключа проверки ЭП;

Средства УЦ должны принимать критичную для функционирования УЦ информацию, только если она подписана ЭП.

24.4. Требования для средств УЦ класса КС3:

В средствах УЦ должен быть реализован механизм защиты от навязывания ложных сообщений на основе использования средств ЭП, получивших подтверждение соответствия требованиям к средствам ЭП.

24.5. Требования для средств УЦ класса KB1:

В средствах УЦ должен быть реализован механизм защиты данных при передаче их между физически разделенными компонентами на основе использования СКЗИ.

24.6. Требования для средств УЦ классов КВ2 и КА1 совпадают с требованиями для средств УЦ класса KB1.

25. Требования к регистрации событий:

25.1. Базовая ОС средств УЦ должна поддерживать ведение журнала аудита системных событий.

25.2. Требования для средств УЦ класса КС1:

В средствах УЦ должен быть реализован механизм, производящий выборочную регистрацию событий в журнале аудита, связанных с выполнением УЦ своих функций;

Список регистрируемых событий должен содержаться в эксплуатационной документации на средства УЦ.

25.3. Требования для средств УЦ класса КС2 совпадают с требованиями для средств УЦ класса КС1.

25.4. Требования для средств УЦ класса КС3:

Должны быть приняты меры обнаружения несанкционированных изменений журнала аудита пользователями средств УЦ, не являющимися членами группы администраторов средств УЦ.

25.5. Требования для средств УЦ класса КВ1 совпадают с требованиями для средств УЦ класса КС3.

25.6. Требования для средств УЦ класса КВ2:

Должны быть приняты меры обнаружения несанкционированных изменений каждой записи в журнале аудита.

25.7. Требования для средств УЦ класса КА1:

Журнал аудита должен быть доступен только администратору аудита, который может осуществлять только его просмотр, копирование и полную очистку. После очистки первой записью в журнале аудита должен автоматически регистрироваться факт очистки с указанием даты, времени и информации о лице, производившем операцию.

26. Требования по надежности и устойчивости функционирования средств УЦ:

26.1. Должны быть определены требования по надежности и устойчивости функционирования средств УЦ и указаны в ТЗ на разработку (модернизацию) средств УЦ.

26.2. Требования для средств УЦ класса КС1:

Проводится расчет вероятности сбоев и неисправностей АС УЦ, приводящих к невыполнению УЦ своих функций.

26.3. Требования для средств УЦ класса КС2:

Должно осуществляться тестирование устойчивости функционирования средств УЦ.

26.4. Требования для средств УЦ класса КС3:

Должны быть определены требования по времени восстановления средств УЦ после сбоя и указаны в ТЗ на разработку (модернизацию) средств УЦ;

Меры и средства повышения надежности и устойчивости функционирования средств УЦ должны содержать механизмы квотирования ресурсов средств УЦ.

26.5. Требования для средств УЦ класса KB1:

Вероятность сбоев и неисправностей АС УЦ, приводящих к невыполнению УЦ своих функций, в течение суток не должна превышать аналогичной вероятности для используемых СКЗИ.

26.6. Требования для средств УЦ классов КВ2 и КА1 совпадают с требованиями для средств УЦ класса КВ1.

27. Требования к ключевой информации:

27.1. Порядок создания, использования, хранения и уничтожения ключевой информации определяется в соответствии с требованиями эксплуатационной документации на средства ЭП и иные СКЗИ, используемые средствами УЦ.

27.2. Срок действия ключа ЭП средства ЭП, используемого средствами УЦ, должен соответствовать требованиям, установленным к средствам ЭП.

27.3. Требования для средств УЦ класса КС1:

Не допускается копирование информации ключевых документов (криптографических ключей, в том числе ключей ЭП) на носители (например, жесткий диск), не являющиеся ключевыми носителями, без ее предварительного шифрования (которое должно осуществляться встроенной функцией используемого СКЗИ). Копирование ключевых документов должно осуществляться только в соответствии с эксплуатационной документацией на используемое СКЗИ;

Ключи ЭП, используемые для подписи сертификатов ключей проверки ЭП и списков уникальных номеров сертификатов ключей проверки ЭП, действие которых на определенный момент было прекращено УЦ до истечения срока их действия (далее - список аннулированных сертификатов), не должны использоваться ни для каких иных целей;

Сроки действия всех ключей должны быть указаны в эксплуатационной документации на средства УЦ.

27.4. Требования для средств УЦ классов КС2 и КС3 совпадают с требованиями для средств УЦ класса КС1.

27.5. Требования для средств УЦ класса KB1:

Должны быть приняты организационно-технические меры, исключающие возможность компрометации ключа ЭП, используемого для подписи сертификатов ключей проверки ЭП и списков аннулированных сертификатов, при компрометации ключевой информации, доступной одному лицу.

27.6. Требования для средств УЦ класса КВ2:

Ключ ЭП, используемый для подписи сертификатов ключей проверки ЭП и списков аннулированных сертификатов, должен генерироваться, храниться, использоваться и уничтожаться в средстве ЭП. Допускается использование только средств ЭП, получивших подтверждение соответствия требованиям, предъявляемым к средствам ЭП в соответствии с Федеральным законом;

Должны быть приняты организационно-технические меры, исключающие возможность компрометации ключа ЭП, используемого для подписи сертификатов ключей проверки ЭП и списков аннулированных сертификатов, при компрометации ключевой информации, доступной двум лицам.

27.7. Требования для средств УЦ класса КА1:

Должны быть приняты организационно-технические меры, исключающие возможность компрометации ключа ЭП, используемого для подписи сертификатов ключей проверки ЭП и списков аннулированных сертификатов, при компрометации ключевой информации, доступной трем лицам.

28. Требования к резервному копированию и восстановлению работоспособности средств УЦ:

28.1. Средства УЦ должны реализовывать функции резервного копирования и восстановления на случай повреждения АС и (или) информации, обрабатываемой средствами УЦ. В ходе резервного копирования должна быть исключена возможность копирования криптографических ключей.

28.2. Требования для средств УЦ класса КС1:

Данные, сохраненные при резервном копировании, должны быть достаточны для восстановления функционирования средств УЦ в состояние, зафиксированное на момент копирования.

28.3. Требования для средств УЦ классов КС2 и КС3 совпадают с требованиями для средств УЦ класса КС1.

28.4. Требования для средств УЦ класса KB1:

Должны быть приняты меры обнаружения несанкционированных изменений сохраненных данных;

Должны быть определены требования по времени восстановления и указаны в ТЗ на разработку (модернизацию) средств УЦ и в эксплуатационной документации на средства УЦ.

28.5. Требования для средств УЦ класса КВ2:

Сохраняемая при резервном копировании защищаемая информация должна сохраняться только в зашифрованном виде.

28.6. Требования для средств УЦ класса КА1 совпадают с требованиями для средств УЦ класса КВ2.

29. Требования к созданию и аннулированию сертификатов ключей проверки ЭП:

29.1. Протоколы создания и аннулирования сертификатов ключей проверки ЭП должны быть описаны в эксплуатационной документации на средства УЦ.

29.2. Создаваемые УЦ сертификаты ключей проверки ЭП и списки аннулированных сертификатов должны соответствовать международным рекомендациям ITU-T Х.509 (далее - рекомендации Х.509). Все поля и дополнения, включаемые в сертификат ключей проверки ЭП и список аннулированных сертификатов, должны быть заполнены в соответствии с рекомендациями Х.509. При использовании альтернативных форматов сертификатов ключей проверки ЭП должны быть определены требования к протоколам создания и аннулирования сертификатов ключей проверки ЭП и указаны в ТЗ на разработку (модернизацию) средств УЦ.

29.3. Средства УЦ должны реализовывать протокол аннулирования сертификата ключа проверки ЭП с использованием списков аннулированных сертификатов.

29.4. Допускается реализация протоколов аннулирования без использования списков аннулированных сертификатов, требования к которым должны быть указаны в ТЗ на разработку (модернизацию) средств УЦ.

29.5. Требования для средств УЦ класса КС1:

В средствах УЦ должна быть реализована функция изготовления сертификата ключа проверки ЭП на бумажном носителе. Порядок выдачи сертификата ключа проверки ЭП на бумажном носителе, а также процедура контроля соответствия сертификата ключа проверки ЭП в электронном виде и на бумажном носителе должны быть указаны в эксплуатационной документации на средства УЦ;

В средствах УЦ в отношении владельца сертификата ключа проверки ЭП должны быть реализованы механизмы проверки уникальности ключа проверки ЭП и обладания соответствующим ключом ЭП.

29.6. Требования для средств УЦ класса КС2 совпадают с требованиями для средств УЦ класса КС1.

29.7. Требования для средств УЦ класса КС3:

Погрешность значений времени в сертификатах ключей проверки ЭП и списках аннулированных сертификатов не должна превышать 10 минут.

29.8. Требования для средств УЦ класса KB1:

Погрешность значений времени в сертификатах ключей проверки ЭП и списках аннулированных сертификатов не должна превышать 5 минут.

29.9. Требования для средств УЦ классов КВ2 и КА1 совпадают с требованиями для средств УЦ класса KB1.

30. Требования к структуре сертификата ключа проверки ЭП и списка аннулированных сертификатов:

30.1. Требования для средств УЦ класса КС1:

Допустимые структуры сертификата ключа проверки ЭП и списка аннулированных сертификатов должны быть перечислены в эксплуатационной документации на средства УЦ;

В средствах УЦ должен быть реализован механизм контроля соответствия создаваемых сертификатов ключей проверки ЭП и списков аннулированных сертификатов заданной структуре;

В структуре сертификата ключа проверки ЭП должны быть предусмотрены поле, содержащее сведения о классе средств УЦ, с использованием которых был создан настоящий сертификат ключа проверки ЭП, и поле, содержащее сведения о классе средства ЭП владельца сертификата ключа проверки ЭП.

30.2. Требования для средств УЦ классов КС2 и КСЗ совпадают с требованиями для средств УЦ класса КС1.

30.3. Требования для средств УЦ класса KB1:

В средствах УЦ должен быть реализован механизм задания системным администратором набора допустимых дополнений сертификата ключа проверки ЭП и списка аннулированных сертификатов.

30.4. Требования для средств УЦ классов КВ2 и КА1 совпадают с требованиями для средств УЦ класса KB1.

31. Требования к реестру сертификатов ключей проверки ЭП и обеспечению доступа к нему:

31.1. Требования для средств УЦ класса КС1:

В средствах УЦ должны быть реализованы механизмы хранения и поиска всех созданных сертификатов ключей проверки ЭП и списков аннулированных сертификатов в реестре, а также сетевого доступа к реестру.

31.2. Требования для средств УЦ класса КС2 совпадают с требованиями для средств УЦ класса КС1.

31.3. Требования для средств УЦ класса КС3:

В средствах УЦ должен быть реализован механизм поиска сертификатов ключей проверки ЭП и списков аннулированных сертификатов в реестре сертификатов ключей проверки ЭП по различным их атрибутам;

Все изменения реестра сертификатов ключей проверки ЭП должны регистрироваться в журнале аудита.

31.4. Требования для средств УЦ классов KB1, КВ2 и КА1 совпадают с требованиями для средств УЦ класса КС3.

32. Требования к проверке ЭП в сертификате ключа проверки ЭП:

32.1. Должен быть определен механизм проверки подписи в сертификате ключа проверки ЭП по запросу участника электронного взаимодействия и указан в эксплуатационной документации на средства УЦ.

32.2. В средствах УЦ должен быть реализован механизм проверки подлинности ЭП УЦ в выдаваемых им сертификатах ключей проверки ЭП.

32.3. Проверка ЭП в сертификате ключа проверки ЭП осуществляется в соответствии с рекомендациями Х.509, включая обязательную проверку всех критических дополнений.

32.4. Если, исходя из особенностей эксплуатации средств УЦ, допускается использование альтернативных форматов сертификата ключа проверки ЭП, должен быть определен механизм проверки подписи в сертификате ключа проверки ЭП и указан в ТЗ на разработку (модернизацию) средств УЦ.

33. Для ограничения возможностей по построению каналов атак на средства УЦ с использованием каналов связи должны применяться средства межсетевого экранирования.

34. Должны быть определены требования по защите средств УЦ от компьютерных вирусов и компьютерных атак и указаны в ТЗ на разработку (модернизацию) средств УЦ.

35. При подключении средств УЦ к информационно-телекоммуникационной сети, доступ к которой не ограничен определенным кругом лиц, указанные средства должны соответствовать требованиям к средствам УЦ класса КВ2 или КА1.

36. Исследования средств УЦ с целью подтверждения соответствия средств УЦ настоящим Требованиям должны проводиться с использованием разрабатываемых ФСБ России числовых значений параметров и характеристик механизмов защиты, реализуемых в средствах УЦ .

______________________________

*(3) Необходимый класс разрабатываемых (модернизируемых) средств УЦ определяется заказчиком (разработчиком) средств УЦ путем определения возможностей осуществлять создание способов атак, подготовку и проведение атак на основе настоящих Требований и указывается в тактико-техническом задании или техническом задании на проведение опытно-конструкторской работы или составной части опытно-конструкторской работы по разработке (модернизации) средств УЦ (далее - ТЗ на разработку (модернизацию) средств УЦ).

*(4) Программная среда, которая допускает существование в ней только фиксированного набора субъектов (программ, процессов).

*(5) Лица, являющиеся членами группы администраторов средств УЦ и заведомо не являющиеся нарушителями.

*(6) Навязывание ложного сообщения представляет собой действие, воспринимаемое участниками электронного взаимодействия или средствами УЦ как передача истинного сообщения способом, защищенным от НСД.

*(7) ITU-T Recommendation Х.509. Information technology - Open systems interconnection - The Directory: Public-key and attribute certificate frameworks. 2008. http://www.itu.int/rec/T-REC-X.509-200811-i.

*(8) Подпункт 47 пункта 9 Положения о Федеральной службе безопасности Российской Федерации, утвержденного Указом Президента Российской Федерации от 11 августа 2003 г. N 960 (Собрание законодательства Российской Федерации, 2003, N 33, ст. 3254; 2004, N 28, ст. 2883; 2005, N 36, ст. 3665; N 49, ст. 5200; 2006, N 25, ст. 2699; N 31 (ч. I), ст. 3463; 2007, N 1 (ч. I), ст. 205; N 49, ст. 6133; N 53, ст. 6554; 2008, N 36, ст. 4087; N 43, ст. 4921; N 47, ст. 5431; 2010, N 17, ст. 2054; N 20, ст. 2435; 2011, N 2, ст. 267; N 9, ст. 1222).

Приказ ФСБ РФ от 27 декабря 2011 г. N 796 "Об утверждении Требований к средствам электронной подписи и Требований к средствам удостоверяющего центра"

Настоящий приказ вступает в силу по истечении 10 дней после дня его официального опубликования

Обзор документа

Утверждены Требования к средствам электронной подписи.

Они предназначены для заказчиков и разработчиков создаваемых (модернизируемых) средств при их взаимодействии между собой, с организациями, проводящими криптографические, инженерно-криптографические и специальные исследования средств, ФСБ России, подтверждающей соответствие средств требованиям.

Требования распространяются на средства, предназначенные для использования в РФ, в ее учреждениях за рубежом и в находящихся там же обособленных подразделениях юрлиц, образованных в соответствии с законодательством нашей страны.

Для целей применения Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005) средства рассматриваются как объекты защиты данных с ограниченным доступом, не содержащих гостайну.

Требования к технологиям создания (формирования) и проверки электронной подписи с помощью средства указываются в тактико-техническом или техническом задании на опытно-конструкторскую работу или составную часть такой работы по созданию (модернизации) средства.

Также утверждены Требования к средствам удостоверяющего центра.

Они предназначены для вышеуказанных категорий лиц, работающих с данными средствами.

Требования распространяются на средства, предназначенные для использования в России.

Для целей применения названного Положения средства рассматриваются аналогичным образом.

Удостоверяющий центр - это компонент глобальной службы каталогов, отвечающий за управление криптографическими ключами пользователей. Открытые ключи и другая информация о пользователях хранится удостоверяющими центрами в виде цифровых сертификатов. В функции УЦ входят:

• выдача электронных подписей;
• предоставление открытых ключей (сертификатов) ЭЦП любым заинтересованным лицам;
• приостановка действия ЭЦП, в случае их компрометации;
• удостоверение правильности подписи электронных документов;
• разбор конфликтных ситуаций.

Для получения ЭЦП необходимо обратиться в Удостоверяющий центр, или его представительство.

Удостоверяющие центры в России

• «ИнфоТеКС Интернет Траст»
• УЦ Верховного Суда
• УЦ Госдумы
• УЦ Генпрокуратуры
• УЦ Следственного комитета

Хроника

2019

Как поправки в закон об электронной подписи изменили систему УЦ

Госдума приняла в третьем чтении законопроект, вносящий поправки в федеральный закон об электронной подписи. Рассказываем о главных изменениях .

Порядок выдачи

Электронные цифровые подписи юридическим лицам будут выдавать удостоверяющие центры ФНС , а кредитным организациям - УЦ Центробанка. Должностные лица госорганов и органов местного самоуправления и подведомственных им учреждений, а также нотариусы смогут получить ключи только в удостоверяющих центрах Федерального казначейства. Физические лица будут получать ключи в аккредитованных коммерческих удостоверяющих центрах.

Подпись юридического лица

В правоотношениях юридических лиц будут использоваться подписи:

• КЭП юридического лица, выпущенная только на юридическое лицо для применения при автоматическом подписании или проверке подписи в электронном документе.
• КЭП юридического лица, выпущенная на руководителя.
• КЭП физического лица с включением доверенности юридического лица в пакет электронных документов при подписании сотрудником компании. Доверенность подписывается КЭП юридического лица, выпущенной на руководителя организации. Доверенность должна быть включена.

Облачная подпись

Аккредитованный удостоверяющий центр теперь сможет хранить ключ электронной подписи и использовать его по поручению владельца сертификата этой подписи.

Аккредитации удостоверяющих центров

• Для получения аккредитации УЦ размер капитала должен составлять не менее 1 миллиарда рублей либо 500 миллионов при наличии филиалов не менее чем в трех четвертях субъектов РФ.
• УЦ должен иметь не менее 100 миллионов рублей страхового обеспечения.
• Аккредитация будет предоставляться на 3 года.

Идентификация заявителя

Появились установленные способы идентификации заявителя на получение сертификата, в том числе посредством предоставления сведений из единой биометрической системы.

Доверенная третья сторона

В законе появится новое понятие - доверенная третья сторона. Она будет проверять действительность ЭП, соответствие сертификатов и полномочия участников электронного взаимодействия, а также осуществлять документальное подтверждение результатов такой проверки.

Госдума вводит госмонополию на выдачу электронной подписи для юрлиц

8 ноября 2019 года стало известно, что Государственная Дума приняла в первом чтении законопроект о внесении поправок в Закон «Об электронной подписи ». Документ был разработан рядом сенаторов и депутатов и предполагает серьезную реформу удостоверяющих центров электронной подписи.

Действующий с 2011 г. Закон «Об электронной подписи» вводит три вида подписей: простую, усиленную и квалифицированную. Простой подписью является любая технология, об использовании которой договорились стороны. Усиленной подписью является подпись, выданная удостоверяющим центром.

Квалифицированная подпись – это подпись, выданная аккредитованным удостоверяющим центром. Аккредитацией занимается Минкомсвязи . Такого рода подпись признается аналогом собственноручной.

Принятый в первом чтении законопроект увеличивает минимальный размер чистых активов аккредитованного удостоверяющего центра с 7 млн руб. до 1 млрд руб., а минимальный размер финансового обеспечения – с 30 млн руб. до 200 млн руб. Если у удостоверяющего центра есть филиалы в как минимум двух третях российских регионов, то минимальный размер чистых активов может быть сокращен до 500 млн руб.

Срок аккредитации удостоверяющих центров сокращается с пяти до трех лет. За нарушения в работе удостоверяющих центров технического характера вводится административная ответственность. А за умышленные действия сотрудников удостоверяющих центров, помимо административной, вводится еще и уголовная ответственность.

На этом требования не заканчиваются. Юридические лица смогут использовать только квалифицированные электронные подписи, выданные удостоверяющим центром Федеральной налоговой службы (ФНС). Дополнительно при заключении сделок будут применяться квалифицированные электронные подписи физических лиц, уполномоченных действовать от лица соответствующих юридических лиц.

2017

Минкомсвязь внесла в Правительство законопроект о проверке полномочий лица, использующего электронную подпись

12 сентября 2017 года директор Правового департамента Министерства связи и массовых коммуникаций Российской Федерации Роман Кузнецов рассказал о деятельности министерства по созданию единого пространства доверия электронной подписи и планах по регулированию этой сферы.

«Минэкономразвития России отмечает нецелесообразность принятия предлагаемого регулирования в связи со значительным объемом бюджетных расходов, наличием административных и иных рисков, способных негативно повлиять на развитие рынка по созданию и выдаче квалифицированных сертификатов, ключей проверки электронной подписи, а также смежных отраслей экономики», - говорится в заключении, подписанном заместителем министра экономического развития Саввой Шиповым.

В документе также отмечено, что предлагаемое Минкомсвязью регулирование может привести к ликвидации рынка услуг по выдаче УКЭП как такового вместе с потерей всей созданной инфраструктуры, закрытию соответствующих организаций, увольнению квалифицированных сотрудников удостоверяющих центров. «Централизация механизма выдачи УКЭП, перевод выдачи УКЭП в разряд государственных услуг, повышенный размер государственной пошлины за выдачу УКЭП будут препятствовать широкому распространению современных технологий электронного документооборота среди граждан и юридических лиц, что не отвечает целям информатизации экономики, приведет к усложнению порядка взаимодействия хозяйствующих субъектов и государства», - говорится в документе.

Эксперты выступают против госмонополии на выдачу квалифицированной электронной подписи

Подключить планируется УЦ «Тензор », «КриптоСтандарт », «

Удостоверяющие центры, попавшие в список на одобрение, смогут использовать инфраструктуру системы межведомственного электронного взаимодействия (СМЭВ) для получения информации от государственных органов, уточнил CNews Никита Баранов, руководитель проекта «Услуги Удостоверяющего центра» компании «СКБ Контур».

По его словам, это решение очень существенно отразится на практике работы УЦ.

В это время для выпуска сертификата УЦ, согласно закону, обязан получить от обратившегося целый ряд документов.

«Для примера, физическому лицу надо предоставить как минимум паспорт, СНИЛС и свидетельство ИНН, а для юридического лица список дополняется выпиской ЕГРЮЛ, свидетельством ОГРН и учредительными документами, - объясняет Баранов. - От корректности действий УЦ зависит дальнейший юридический статус всех документов подписанных ЭП, а это могут быть договоры на очень большие суммы. Поэтому УЦ обязан удостовериться, что все предоставленные документы являются оригиналами, создать копии всех предоставленных документов и организовать их хранение».

Для пользователя это создает проблемы со сбором документов, для УЦ - с их проверкой и хранением, добавляет Баранов: «Все это с учетом большой территориальной распределенности».

«Подключение к СМЭВ поможет, во-первых, в том, что часть документов мы сможем собирать в электронном виде непосредственно в соответствующем ведомстве. Во-вторых, мы сможем в режиме он-лайн проверять действительность данных с подтверждением госорганов. А, в-третьих, нам не придется делать и хранить копии документов», - говорит он.

Все это, по мнению представителя «СКБ Контур», «приведет к существенному ускорению и повешению надежности процедуры выпуска и, одновременно к повышению удобства пользователей».

Процесс подключения УЦ к СМЭВ, по оценке Никиты Баранова, может занять около полугода: «Необходима техническая реализация - создание, тестирование и запуск в эксплуатацию модулей, которые отправляют запросы и получают ответы (например, проверка паспорта в ФМС)» .

2012: Приказ ФСБ о требованиях к средствам электронной подписи и УЦ

17 февраля 2012 г., был опубликован приказ ФСБ РФ от 27 декабря 2011 г. № 796 «Об утверждении требований к средствам электронной подписи и требований к средствам удостоверяющего центра». Ранее появился приказ от 27 декабря 2011 г. № 795 «Об утверждении требований к форме квалифицированного сертификата ключа проверки электронной подписи».

В соответствии с новыми нормами, средство подписи при подписании документа должно показать электронный документ лицу, которое его подписывает, дождаться подтверждения от этого лица, а после подписания - показать ему, что подпись создана. При проверке подписи средство должно показать электронный документ, а также информацию о внесении изменений в подписанный документ и указать на лицо, подписавшее его.

Формат квалифицированного сертификата существенно отличается от формата сертификатов ЭЦП, которые выпускаются в это время (в соответствии с федеральным законом № ФЗ-1). Например, в квалифицированный сертификат необходимо включать наименование средств электронной подписи и средств удостоверяющего центра, использовавшихся для генерации ключа подписи и ключа проверки (закрытого и открытого ключей соответственно), а также для создания самого сертификата.

По сравнению с сертификатами ЭЦП изменился способ представления полномочий владельца сертификата. В сертификат ЭЦП по заявлению владельца могли включаться любые сведения, подтверждаемые соответствующими документами, а в квалифицированный сертификат нестандартные реквизиты (например, регистрационный номер страхователя) могут включаться только в том случае, если требования к их назначению и расположению в сертификате определены в документах, предоставляемых для подтверждения соответствия средств удостоверяющего центра требованиям ФСБ

Первые УЦ для получения ЭП гражданами открылись в Москве

Первые удостоверяющие центры, в которых граждане могут получить электронную подпись, открылись в Москве в апреле 2011 года. Для этого потребуется личное присутствие и паспорт гражданина. Подпись, представляющую собой зашифрованную информацию в виде файла, в присутствии заявителя запишут на сертифицированный электронный носитель (электронную карту или флеш-накопитель). Сама подпись бесплатна, но стоимость носителя придется оплатить. В Минкомсвязи предполагают, что получение квалифицированной электронной подписи обойдётся гражданину примерно в 300 руб. Как подчеркнул директор правового департамента министерства Андрей Тихомиров, получение электронной подписи – дело сугубо добровольное. Он также добавил, что гражданин несет ответственность за сохранность электронной подписи, напомнив, что в случае утери или кражи подпись можно заблокировать и затем восстановить через те же удостоверяющие центры.

МИНИСТЕРСТВО СВЯЗИ И МАССОВЫХ КОММУНИКАЦИЙ РОССИЙСКОЙ ФЕДЕРАЦИИ

ПРИКАЗ

23.11.2011 №320

Об аккредитации удостоверяющих центров

Во исполнение пункта 3 части 4 статьи 8 Федерального закона от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (Собрание законодательства Российской Федерации, 2011, № 15, ст. 2036; № 27, ст. 3880)

кадровая документация, включая копии трудовых договоров работников, непосредственно осуществляющих деятельность по созданию и выдаче сертификатов ключей проверки электронных подписей (с приложением должностных регламентов) и копии документов работников, непосредственно осуществляющих деятельность по созданию и выдаче сертификатов ключей проверки электронных подписей о высшем профессиональном образовании в области информационных технологий или информационной безопасности (диплом установленного государственного образца) или копии документов о прохождении переподготовки или повышения квалификации по вопросам использования электронной подписи (свидетельства установленного образца);

необходимые для осуществления предусматриваемой Федеральным законом об электронной подписи деятельности лицензии и иные разрешительные документы.

15. При проведении документарной проверки уполномоченный орган не вправе требовать у проверяемого УЦ сведения и документы, не относящиеся к предмету документарной проверки, а также сведения и документы, которые могут быть получены этим органом от иных органов государственного контроля (надзора), в том числе федерального органа исполнительной власти в области обеспечения безопасности, органов муниципального контроля.

V. Проведение выездной проверки

16. Предметом выездной проверки являются содержащиеся в документах УЦ сведения, а также соответствие их работников и технических средств УЦ, оказываемых УЦ услуг требованиям, установленным Федеральным законом об электронной подписи.

17. Выездная проверка (как плановая, так и внеплановая) проводится по месту нахождения аккредитованного УЦ, и (или) по месту фактического осуществления деятельности УЦ.

18. Выездная проверка проводится в случае, если при документарной проверке не представляется возможным удостовериться в полноте и достоверности сведений, содержащихся в документах УЦ, указанных в пункте 14 настоящего Порядка, подтверждающих его соответствие требованиям Федерального закона об электронной подписи или проверить выполнение УЦ требований предписания уполномоченного органа.

19. Выездная проверка начинается с предъявления служебного удостоверения должностными лицами уполномоченного органа, обязательного ознакомления руководителя или иного должностного лица УЦ с приказом руководителя уполномоченного органа о назначении выездной проверки и с полномочиями проводящих выездную проверку лиц, а также с целями, задачами, основаниями проведения выездной проверки, видами и объемом мероприятий по контролю, составом экспертов, представителями экспертных организаций и, привлекаемых к выездной проверке, со сроками и с условиями ее проведения.

20. Руководитель, иное должностное лицо или уполномоченный представитель УЦ, обязаны предоставить должностным лицам уполномоченного органа, проводящим выездную проверку, возможность ознакомиться с документами, связанными с целями, задачами и предметом выездной проверки, а также обеспечить доступ проводящих выездную проверку должностных лиц и участвующих в выездной проверке экспертов, представителей экспертных организаций на территорию, в используемые УЦ при осуществлении деятельности здания, строения, сооружения, помещения, к используемым УЦ техническим средствам и программному обеспечению.

21. Уполномоченный орган вправе привлекать к проведению выездной проверки аккредитованных УЦ экспертов, экспертные организации, не состоящие в гражданско-правовых и трудовых отношениях с юридическим лицом, индивидуальным предпринимателем, в отношении которых проводится проверка, и не являющиеся аффилированными лицами проверяемых лиц. К проведению выездной проверки аккредитованных УЦ могут также привлекаться сотрудники иных органов государственной власти в пределах их компетенции.

С целью подтверждения соответствия использования аккредитованным УЦ средств электронной подписи и средств удостоверяющего центра, требованиям технической и эксплуатационной документации, к проведению выездной проверки аккредитованных УЦ привлекаются сотрудники федерального органа исполнительной власти в области обеспечения безопасности.

VI. Итоги проведения проверки

22. По результатам проверки должностными лицами уполномоченного органа, составляется акт по установленной форме в двух экземплярах.

В акте проверки указываются:

1) дата, время и место составления акта проверки;

2) наименование уполномоченного органа;

3) дата и номер приказа руководителя уполномоченного органа;

4) фамилии, имена, отчества (при наличии) и должности должностного лица или должностных лиц, проводивших проверку;

5) наименование проверяемого аккредитованного УЦ, а также фамилия, имя, отчество и должность руководителя, иного должностного лица или уполномоченного представителя юридического лица, присутствовавших при проведении проверки;

6) дата, время, продолжительность и место (места) проведения проверки;=

7) сведения о результатах проверки, в том числе о выявленных нарушениях обязательных требований и требований, установленных муниципальными правовыми актами, об их характере и о лицах, допустивших указанные нарушения;

8) сведения об ознакомлении или отказе в ознакомлении с актом проверки руководителя, иного должностного лица или уполномоченного представителя юридического лица, индивидуального предпринимателя, его уполномоченного представителя, присутствовавших при проведении проверки, о наличии их подписей или об отказе от совершения подписи, а также сведения о внесении в журнал учета проверок записи о проведенной проверке либо о невозможности внесения такой записи в связи с отсутствием у юридического лица, индивидуального предпринимателя указанного журнала;

9) подписи должностного лица или должностных лиц, проводивших проверку.

23. Акт проверки оформляется непосредственно после ее завершения в двух экземплярах, один из которых с копиями приложений вручается руководителю, иному должностному лицу или уполномоченному представителю УЦ под расписку об ознакомлении либо об отказе в ознакомлении с актом проверки.

В случае отсутствия руководителя, иного должностного лица или уполномоченного представителя УЦ, а также в случае отказа проверяемого лица дать расписку об ознакомлении либо об отказе в ознакомлении с актом проверки акт направляется заказным почтовым отправлением с уведомлением о вручении, которое приобщается к экземпляру акта проверки, хранящемуся в деле уполномоченного органа.

24. В случае выявления несоблюдения аккредитованными УЦ требований Федерального закона об электронной подписи уполномоченный орган по окончании проведения проверки выдает УЦ предписание об устранении нарушений в установленный срок и приостанавливает действие аккредитации УЦ на данный срок с внесением информации об этом в перечень аккредитованных удостоверяющих центров, аккредитация которых приостановлена.

25. В случае выявления неустранения нарушений УЦ в установленный в предписании срок, уполномоченный орган аннулирует аккредитацию УЦ, вносит соответствующую информацию в перечень удостоверяющих центров, аккредитация которых аннулирована и направляет в УЦ уведомление об аннулировании аккредитации с указанием причин.

В соответствии с подпунктом 1 части 2 статьи 8 Федерального закона от 6 апреля 2011 г. № 63-ФЗ «Об электронной подписи» (Собрание законодательства Российской Федерации, 2011, № 15, ст. 2036; № 27, ст. 3880).

В соответствии с пунктом 5 статьи 12 Федерального закона от 26 декабря 2008 г. № 294-ФЗ «О защите прав юридических лиц и индивидуальных предпринимателей при осуществлении государственного контроля (надзора) и муниципального контроля» (Собрание законодательства Российской Федерации, 2008, № 52, ст. 6249; 2009, № 18, ст. 2140; № 29, ст. 3601; № 48, ст. 5711; № 52, ст. 6441; 2010, № 17, ст. 1988; № 18, ст. 21424 3 31, ст. 4160, ст. 4193, ст. 4196; № 32, ст. 4298; 2011, № 1, ст. 20; № 17, ст. 2310, № 23, ст. 3263; № 27, ст. 3880; № 30, ст. 4590; № 48, ст. 6728).