Приложение N 4. Инструкция по защите информации в системе электронного документооборота органов исполнительной власти Оренбургской области

Приложение N 4
к постановлению Правительства области
от 4 июля 2011 г. N 550-п

Инструкция
по защите информации в системе электронного документооборота органов исполнительной власти Оренбургской области

I. Общие положения

1. Инструкция по защите информации в системе электронного документооборота органов исполнительной власти Оренбургской области (далее - Инструкция) определяет организационно-технические мероприятия по защите информации в системе электронного документооборота органов исполнительной власти Оренбургской области.

2. Организационно-технические мероприятия по защите информации выполняются организацией при осуществлении обмена электронными документами, заверенными электронной подписью, эксплуатации средств защиты информации, в том числе средств электронной подписи, а также при обращении с ключевой информацией, используемой для криптографической защиты электронных документов.

3. Организационно-технические мероприятия по обеспечению защиты информации при обмене электронными документами обеспечивают:

а) конфиденциальность электронных документов;

б) подлинность электронных документов - подтверждение авторства и целостности электронных документов;

в) разграничение и контроль доступа к средствам обмена электронными документами;

г) сохранность в тайне содержания закрытых ключей электронной подписи и иных ключевых документов.

4. Настоящая Инструкция обязательна для выполнения всеми лицами организации, осуществляющими подготовку, обработку, отправку/получение, хранение и учет электронных документов, заверенных электронной подписью.

II. Управление ключевой системой

5. Ключевая система обмена ЭД состоит из ключей шифрования (в зависимости от принятой технологии - симметричных ключей шифрования либо пары закрытых/открытых ключей шифрования/аутентификации) и ключей (пары закрытых/открытых ключей) ЭП пользователей удостоверяющего центра.

Для каждого типа ключей формируются рабочие и резервные комплекты.

6. Администратор обмена ЭД обеспечивает порядок хранения, передачи, использования, уничтожения, учета ключевой информации и ее носителей в соответствии с требованиями технической и эксплуатационной документации на используемые средства криптографической защиты информации.

7. Операторы и уполномоченные лица, осуществляющие использование ключей ЭП, несут персональную ответственность за безопасность доверенной им ключевой информации и обязаны обеспечивать ее сохранность, неразглашение и нераспространение. Указанным лицам необходимо ознакомиться со следующими документами под роспись:

положение о порядке организации выдачи и отзыва сертификатов ключей электронных подписей пользователей удостоверяющего центра органов исполнительной власти Оренбургской области;

правила организации электронного документооборота органов исполнительной власти Оренбургской области с использованием электронной подписи;

настоящая Инструкция;

техническая и эксплуатационная документация на средства криптографической защиты информации.

8. Администратор обмена ЭД получает изготовленные сертификаты ключей подписи и заносит информацию о них в регистрационные карточки по форме согласно приложению к настоящей Инструкции. В регистрационных карточках отражаются информация о пользователях удостоверяющего центра, наделенных правом ЭП, о типах ЭД, на которые распространяется право ЭП пользователей удостоверяющего центра, информация о сертификатах ключей подписи, основаниях их изготовления, датах начала действия ключа ЭП, его приостановления и отзыва. Регистрационные карточки заверяются администратором обмена ЭД и пользователями удостоверяющего центра. Заверенные копии регистрационных карточек, изменения и дополнения к ним могут быть направлены другим организациям, обратившимся с запросом о данной информации. Изготовленные сертификаты ЭП после заполнения регистрационной информации о них доводятся администраторами обмена ЭД до владельцев сертификатов ЭП.

9. После окончания срока действия сертификата ключа подписи его владелец прекращает использование соответствующих закрытых ключей ЭП и в трехдневный срок сдает их администратору обмена ЭД. Администратор обмена ЭД в установленном порядке передает ключевой носитель в удостоверяющий центр для уничтожения.

10. Администратор обмена ЭД организует и обеспечивает хранение сертификатов ключей подписи в течение срока хранения ЭД, заверенных соответствующей ЭП.

11. Администратор обмена ЭД организует и контролирует порядок обращения с ключами ЭП пользователей удостоверяющего центра.

III. Компрометация ключевой информации

12. При подозрении на компрометацию рабочего комплекта закрытых ключей ЭП пользователь удостоверяющего центра немедленно прекращает использование соответствующего закрытого ключа ЭП и незамедлительно сообщает об этом администратору обмена ЭД.

13. Администратор обмена ЭД, получивший извещение о компрометации, незамедлительно информирует пользователей соответствующего сертификата ключа подписи и совместно с ними обеспечивает приостановку обработки ЭД, полученных после извещения и заверенных ЭП, соответствующей скомпрометированному ключу ЭП.

14. В зависимости от обстоятельств компрометации руководителем организации может быть назначено служебное расследование с включением в комиссию представителей уполномоченного органа.

IV. Защита информации при обработке ЭД

15. Формирование, подготовка, обработка, хранение ЭД, заверение ЭД ЭП, проверка подлинности ЭП ЭД должны производиться на специально подготовленных рабочих местах пользователей удостоверяющего центра, оборудованных необходимыми программно-техническими средствами, в том числе средствами ЭП.

16. Администратор обмена ЭД ведет паспорта указанных рабочих мест, в которых отражается состав их аппаратной части и программного обеспечения. Администратор обмена ЭД производит контроль за проведением профилактических и ремонтных работ указанных рабочих мест с целью выявления и предупреждения неконтролируемого изменения их аппаратной части и программного обеспечения.

17. Доступ к указанным рабочим местам ограничивается пользователями удостоверяющего центра и администратором информационной безопасности.

V. Защита информации при приеме/передаче ЭД

18. Прием/передача ЭД, проверка подлинности ЭП входящих ЭД и их предварительная обработка и учет, последующая обработка и учет исходящих ЭД осуществляются на специально подготовленном рабочем месте - АРМ обмена ЭД, оборудованном необходимыми программно-техническими средствами, в том числе средствами защиты информации и средствами телекоммуникаций, и имеющем подключение к необходимым сетям связи.

19. Для выполнения вышеуказанных функций организацией назначаются операторы, обеспечивающие непосредственную эксплуатацию средств АРМ обмена ЭД.

20. Требования к средствам защиты информации АРМ обмена ЭД, учету и контролю его аппаратной части и программного обеспечения, допуску к нему аналогичны требованиям для рабочих мест пользователей удостоверяющего центра по работе с ЭП.

VI. Контроль за соблюдением требований по защите информации

21. Контроль за соблюдением требований по защите информации возлагается на администратора обмена ЭД организации.