Приложение N 2. Положение о порядке работы со средствами криптографической защиты информации в программе для ЭВМ "Управление мастер-данными организации", установленной в Министерстве финансов Камчатского края

Приложение N 2
к Соглашению об обмене электронными
документами между Министерством финансов
Камчатского края и Участником юридически значимого
электронного документооборота

от "___" _________________ 2013 г. N ____

Положение
о порядке работы со средствами криптографической защиты информации в программе для ЭВМ "Управление мастер-данными организации", установленной в Министерстве финансов Камчатского края

1.Термины и определения, используемые в настоящем положении

Программа для ЭВМ "Управление мастер-данными организации", установленной в Министерстве финансов Камчатского края (далее - Система) - автоматизированная система, используемая для осуществления бюджетного процесса Камчатского края.

Усиленная квалифицированная электронная подпись (далее - ЭП) - электронная подпись, соответствующая всем требованиям Федерального закона N 63-ФЗ от 06.04.2011 "Об электронной подписи", предъявляемым к электронной подписи данного вида.

Ключ электронной подписи (далее - Ключ) - уникальная последовательность символов, предназначенная для создания ЭП.

Ключ проверки электронной подписи - уникальная последовательность символов, однозначно связанная с ключом электронной подписи и предназначенная для проверки подлинности электронной подписи.

Электронный документ - документ, в котором информация представлена в электронной форме.

Квалифицированный сертификат ключа проверки ЭП (далее - Сертификат) - электронный документ или документ на бумажном носителе, выданный удостоверяющим центром или доверенным лицом удостоверяющего центра либо Федеральным органом исполнительной власти (уполномоченным в сфере использования ЭП) и подтверждающий принадлежность ключа проверки электронной подписи владельцу сертификата ключа.

Удостоверяющий центр (далее УЦ) - юридическое лицо, осуществляющее функции по созданию и выдаче сертификатов ключей проверки электронных подписей, а также иные функции, предусмотренные Федеральным законом от 06.04.2011 г. N 63-ФЗ "Об электронной подписи".

Клиентская часть Системы - аппаратно-программный комплекс, предназначенный для хранения, обработки и передачи данных по телекоммуникационным каналам связи с рабочих машин пользователей на сервер приложений Системы.

Серверная часть Системы - аппаратно-программный комплекс, предназначенный для хранения, обработки и передачи данных по телекоммуникационным каналам связи на клиентские части Системы.

Юридически значимый электронный документооборот (далее - ЮЗЭД) - документооборот на базе Системы, в котором Участники ЮЗЭД совершают действия по принятию к исполнению документов в электронной форме, удостоверенных ЭП, и при этом несут ответственность за совершение, либо не совершение этих действий.

Организатор - Министерство финансов Камчатского края, участник и организатор ЮЗЭД (в лице Уполномоченных сотрудников) на базе Системы, который осуществляет конфигурацию серверной части Системы, а также на-стройку Системы на серверных станциях.

Сторона - юридическое лицо, участник ЮЗЭД (в лице уполномоченных сотрудников), заключившее соглашение об обмене электронными документами между Участниками ЮЗЭД с Министерством финансов Камчатского края.

Участник (-и) - Организатор и (или) Сторона (при участии в ЮЗЭД).

Статус электронного документа - атрибут электронного документа, идентифицирующий его состояние по определенному признаку.

Регламент применения электронной подписи участниками юридически значимого электронного документооборота (далее - Регламент) - утвержденный Организатором документ, определяющий статусы электронных документов, на которых происходит наложение ЭП в электронном документе.

Уполномоченный сотрудник - сотрудник Участника, наделенный полномочиями, по подписанию ЭП электронных документов в соответствии с утвержденным Регламентом.

Компрометация ключа - утрата доверия к тому, что Ключ используется только конкретным Уполномоченным сотрудником и только по назначению.

Материальный носитель - материальный объект, используемый для записи и хранения информации, необходимой для подписания электронных документов ЭП.

Средства криптографической защиты информации (далее - СКЗИ) - аппаратно-программный комплекс, выполняющий функцию по созданию ЭП, а также обеспечивающий защиту информации по утвержденным стандартам и сертифицированный в соответствии с законодательством.

2. Общие положения

Настоящее положение регламентирует порядок работы со СКЗИ.

3. Работа с СКЗИ

3.1. Для работы с СКЗИ в ЮЗЭД допускаются только Уполномоченные сотрудники Участников. Уполномоченные сотрудники Участников несут персональную ответственность за сохранность СКЗИ (в том числе хранение в тайне ключей ЭП).

Уполномоченный сотрудник Участника несет ответственность за отсутствие на компьютере, на котором осуществляется эксплуатация ЮЗЭД, посторонних программ (вирусов и т.д.), способствующих нарушению функционирования ЮЗЭД.

3.2. При обнаружении на компьютере, на котором осуществляется эксплуатация ЮЗЭД, посторонних программ (вирусов и т.д.), эксплуатация ЮЗЭД на этом компьютере должна прекратиться с дальнейшей организацией мероприятий по анализу и ликвидации посторонних программ и возможных последствий.

3.3. Категорически запрещается:

- разглашать содержимое материальных носителей, содержащих закрытые ключи ЭП, или передавать сами материальные носители лицам, к ним не допущенным, выводить данные, содержащиеся на материальном носителе, на дисплей и принтер;

- вставлять материальный носитель, содержащий ключи ЭП, в дисковод или USB-считыватель компьютера Уполномоченного сотрудника и других лиц при проведении работ, не связанных с эксплуатацией ЮЗЭД;

- записывать на материальный носитель, содержащий ключи ЭП, постороннюю информацию;

- вносить какие-либо изменения в программное обеспечение СКЗИ;

- использовать бывшие в работе материальные носители (правило не распространяется на носитель типа RuToken и eToken).

Уполномоченный сотрудник Участника несет ответственность за проведение в полном объеме организационных и технических мероприятий, обеспечивающих соблюдение указанных выше правил.

4.Действия в случае компрометации ключей

4.1. К событиям, связанным с компрометацией ключей, относят следующие:

- утрата материальных носителей, содержащих ключи ЭП;

- потеря материальных носителей, содержащих ключи ЭП, с их после-дующим обнаружением;

- хищение материальных носителей, содержащих ключи ЭП;

- разглашение содержимого материальных носителей, содержащих ключи ЭП;

- несанкционированное копирование содержимого материальных носителей, содержащих ключи ЭП;

- увольнение сотрудников, имевших доступ к материальным носителям, содержащим ключи ЭП;

- нарушение правил хранения и уничтожения (после окончания срока действия материальных носителей, содержащих ключи ЭП);

- возникновение подозрений на утечку содержимого материальных носителей, содержащих ключи ЭП, или ее искажение в Системе;

- нарушение печати на сейфе или замка сейфа, в котором хранятся материальные носители, содержащие ключи ЭП;

- невозможность достоверного установления того, что произошло с материальными носителями(в том числе случаи,

когда материальный носитель вышел из строя и доказательно не опровергнута возможность того, что данный факт произошел в результате несанкционированных действий злоумышленников);

- любые другие виды разглашения содержимого материальных носителей, содержащих ключи ЭП, в результате которых ключи могут стать доступными посторонним лицам и (или) процессам.

4.2. Уполномоченный сотрудник Участника самостоятельно определяет факт компрометации Ключа и оценивает значение этого события. Мероприятия по розыску и локализации последствий компрометации Ключа организует и осуществляет Организатор с участием Уполномоченного сотрудника Участника (владельца скомпрометированного Ключа).

В случае установления факта компрометации Ключа Уполномоченный сотрудник Участника обязан незамедлительно прекратить эксплуатацию ЮЗЭД в Системе и уведомить Организатора, а так же УЦ по телекоммуникационным каналам связи.

В течение 30 (тридцати)рабочих минут после поступления сообщения о компрометации Ключа Организатор обеспечивает прекращение использования в ЮЗЭД соответствующего Сертификата уполномоченного сотрудника.

Возобновление работы уполномоченного сотрудника участника в ЮЗЭД происходит только после замены скомпрометированного ключа.

Для получения новых ключей Уполномоченный сотрудник Участника должен руководствоваться порядком получения новых ключей, установленным регламентом УЦ.