Приложение N 4. Инструкция о порядке работы со средствами криптографической защиты информации в автоматизированной системе "АЦК-Финансы" Министерства финансов Ульяновской области

Приложение N 4

к приказу Министерства финансов

Ульяновской области

от 30 августа 2012 г. N 39-пр

Инструкция
о порядке работы со средствами криптографической защиты информации в автоматизированной системе "АЦК-Финансы" Министерства финансов Ульяновской области

1. Общие положения

1.1. Такие термины и понятия, как "аккредитованный удостоверяющий центр" (далее - УЦ), "ключ электронной подписи" (далее - ключ), "усиленная квалифицированная электронная подпись" (далее - ЭП) и "электронный документ", используемые в настоящей Инструкции, применяются в том же значении, что и в Федеральном законе от 06.04.2011 N 63-ФЗ "Об электронной подписи".

1.2. Иные термины и понятия, используемые в настоящей Инструкции:

Автоматизированная система "АЦК-Финансы" Министерства финансов Ульяновской области (далее - Система) - автоматизированная система, используемая для осуществления планировании и исполнения областного бюджета Ульяновской области.

Компрометация ключа - утрата доверия к тому, что ключ используется исключительно уполномоченным сотрудником и исключительно по назначению.

Материальный носитель - материальный объект, используемый для записи и хранения информации, необходимой для подписания электронных документов ЭП.

Организатор - Министерство финансов Ульяновской области, являющееся стороной ЮЗЭД (в лице уполномоченных сотрудников) на базе Системы, а также организатором ЮЗЭД в Системе, осуществляющим функции по хранению на своем оборудовании базы данных и конфигурации серверной части Системы, по настройке Системы на серверных станциях.

Средства криптографической защиты информации (далее - СКЗИ) - аппаратно-программный комплекс, выполняющий функцию по созданию ЭП, а также обеспечивающий защиту информации по утвержденным стандартам и сертифицированный в соответствии с законодательством.

Статус электронного документа - атрибут электронного документа, идентифицирующий его состояние по определенному признаку.

Уполномоченный сотрудник - сотрудник участника, наделенный полномочиями по подписанию ЭП электронных документов, определенных утвержденным Организатором регламентом, определяющим статусы электронных документов, на которых происходит наложение ЭП в электронном документе на определенном статусе.

Участник - юридическое лицо, принимающее участие в ЮЗЭД.

Юридически значимый электронный документооборот (далее - ЮЗЭД) - документооборот на базе Системы, в котором участники совершают действия по принятию к исполнению документов в электронной форме, удостоверенных ЭП, и при этом несут ответственность за совершение либо несовершение этих действий.

2. Работа с СКЗИ

2.1. Для работы с СКЗИ в ЮЗЭД допускаются только уполномоченные сотрудники участников. Уполномоченные сотрудники участников несут персональную ответственность за сохранность СКЗИ (в том числе хранение в тайне ключей ЭП).

Уполномоченный сотрудник участника несет ответственность за отсутствие на компьютере, на котором осуществляется эксплуатация ЮЗЭД, посторонних программ (вирусов и т.д.), способствующих нарушению функционирования ЮЗЭД.

2.2. При обнаружении на компьютере, на котором осуществляется эксплуатация ЮЗЭД, посторонних программ (вирусов и т.д.), эксплуатация ЮЗЭД на этом компьютере должна прекратиться с дальнейшей организацией мероприятий по анализу и ликвидации посторонних программ и возможных последствий.

2.3. Категорически запрещается:

- разглашать содержимое материальных носителей, содержащих ключи ЭП, или передавать сами материальные носители лицам, к ним не допущенным, выводить данные, содержащиеся на материальном носителе, на дисплей и принтер;

- вставлять материальный носитель, содержащий ключи ЭП, в дисковод или USB-считыватель компьютера уполномоченного сотрудника и других лиц при проведении работ, не связанных с эксплуатацией ЮЗЭД;

- записывать на материальный носитель, содержащий ключи ЭП, постороннюю информацию;

- вносить какие-либо изменения в программное обеспечение СКЗИ;

- использовать бывшие в работе материальные носители (правило не распространяется на носитель типа RuToken и eToken).

Уполномоченный сотрудник несет ответственность за проведение в полном объеме организационных и технических мероприятий, обеспечивающих соблюдение указанных выше правил,

3. Действия в случае компрометации ключей

3.1. К событиям, связанным с компрометацией ключей, относятся следующие:

- утрата материальных носителей, содержащих ключи ЭП;

- потеря материальных носителей, содержащих ключи ЭП, с их последующим обнаружением;

- разглашение содержимого материальных носителей, содержащих ключи ЭП;

- несанкционированное копирование содержимого материальных носителей, содержащих ключи ЭП;

- увольнение сотрудников, имевших доступ к материальным носителям, содержащим ключи ЭП;

- нарушение правил хранения и уничтожения (после окончания срока действия материальных носителей, содержащих ключи ЭП);

- возникновение подозрений на утечку содержимого материальных носителей, содержащих ключи ЭП, или ее искажение в Системе;

- нарушение печати на сейфе или замка сейфа, в котором хранятся материальные носители, содержащие ключи ЭП;

- невозможность достоверного установления того, что произошло с материальными носителями (в том числе случаи, когда материальный носитель вышел из строя и доказательно не опровергнута возможность того, что данный факт произошел в результате несанкционированных действий злоумышленников);

- любые другие виды разглашения содержимого материальных носителей, содержащих ключи ЭП, в результате которых ключи могут стать доступными посторонним лицам и (или) процессам.

3.2. Уполномоченный сотрудник участника самостоятельно определяет факт компрометации ключа и оценивает значение этого события. Мероприятия по розыску и локализации последствий компрометации ключа организует и осуществляет Организатор с участием уполномоченного сотрудника участника (владельца скомпрометированного ключа).

В случае установления факта компрометации ключа уполномоченный сотрудник участника обязан незамедлительно прекратить эксплуатацию ЮЗЭД в Системе и уведомить Организатора, а так же доверенный УЦ по телекоммуникационным каналам связи.

В течение 30 (тридцати) рабочих минут после поступления сообщения о компрометации ключа Организатор обеспечивает прекращение использования в ЮЗЭД соответствующего сертификата уполномоченного сотрудника.

Возобновление работы уполномоченного сотрудника участника в ЮЗЭД происходит только после замены скомпрометированного ключа.