Приложение 1. Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну и действия при компрометации криптографических ключей

Приложение 1

Инструкция
об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну и действия при компрометации криптографических ключей
(утв. распоряжением местной администрации Эльбрусского муниципального района
от 22 июля 2015 г. N 63)

1. Средства криптографической защиты информации (далее - СКЗИ) предназначены для обеспечения безопасности хранения, обработки и передачи по каналам связи информации с ограниченным доступом, не содержащих сведений, составляющих государственную тайну.

2. Обладатели конфиденциальной информации обязаны выполнять указания ответственного пользователя СКЗИ по всем вопросам организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации.

Для работы с СКЗИ допускаются только уполномоченные должностные лица, имеющие необходимый уровень знаний работы с СКЗИ и назначенные распоряжением местной администрации Эльбрусского муниципального района" (далее - администрация).

3. Пользователи СКЗИ обязаны:

- Не разглашать конфиденциальную информацию, к которой они допущены, рубежи её защиты, в том числе сведения о криптоключах;

- Соблюдать требования к обеспечению безопасности конфиденциальной информации с использованием СКЗИ;

- Сообщать ответственному пользователю СКЗИ о ставших им известных попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документов к ним;

- При отстранении увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ, сдать СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы;

- Немедленно уведомлять ответственного пользователя СКЗИ о фактах утраты или недостачи СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемых сведений конфиденциального характера, а также о причинах и условиях возможной утечки таких сведений.

4. Пользователям запрещается:

- Осуществлять несанкционированное копирование ключевых документов;

- Осуществлять несанкционированный вынос ключевых носителей за пределы контролируемой зоны;

- Хранить ключевые документы и ключевые носители вне специально выделенных хранилищ и помещений;

- Вставлять ключевой носитель в устройство считывания в режимах, не предусмотренных штатным режимом использования ключевого носителя;

- Вносить какие-либо изменения в программное обеспечение СКЗИ;

- Изменять настройки, установленные программой установки СКЗИ или администратором информационной безопасности;

- Осуществлять несанкционированное вскрытие системных блоков ПЭВМ, подключать к ПЭВМ дополнительные устройства и соединители, не предусмотренные в комплектации.

5. Непосредственно к работе с СКЗИ пользователи допускаются только после соответствующего обучения и ознакомления с настоящей инструкцией. Обучение пользователей правилам работы с СКЗИ осуществляет ответственный пользователь СКЗИ.

6. Изготовление ключевых документов осуществляется ответственным пользователем СКЗИ с применением штатных СКЗИ (если такая возможность предусмотрена эксплуатационной и технической документацией СКЗИ).

7. Ключевые документы, СКЗИ с введёнными криптографическими ключами относятся к материальным носителям, содержащие конфиденциальную информацию. При этом должны выполняться требования настоящей Инструкции и иных документов, регламентирующих порядок обращения с конфиденциальной информацией в организации.

8. Используемые или хранимые СКЗИ, эксплуатационная и техническая документация к ним, ключевые документы подлежат поэкземплярному учёту в "Журнале поэкземплярного учета криптографических средств, эксплуатационной и технической документации к ним, ключевых документов".

9. Все экземпляры СКЗИ, эксплуатационная и техническая документация к ним, ключевые документы должны быть выданы под расписку в соответствующем журнале учета пользователей СКЗИ, несущих персональную ответственность за их сохранность.

10. Передача экземпляров СКЗИ, эксплуатационной и технической документации к ним, ключевых документов допускается только между пользователями СКЗИ под расписку в соответствующем журнале.

11. Пользователи СКЗИ хранят установочные пакеты СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы в шкафах (ящиках, сейфах) индивидуального пользования, в условиях, исключающих бесконтрольный доступ к ним, а также и непреднамеренное уничтожение.

12. Для исключения утраты ключевой информации вследствие дефектов носителей рекомендуется создать их резервные копии. Копии должны быть соответствующим образом маркированы и могут использоваться и храниться так же, как и оригиналы.

13. Криптографические ключи, в отношении которых возникло подозрение в компрометации, необходимо немедленно изъять и при доказательстве компрометации надлежащим образом уничтожить.

14. Размещение, специальное оборудование, охрана и организация режима в помещениях, где установлены СКЗИ или хранятся ключевые документы к ним, должны обеспечивать сохранность конфиденциальной информации, СКЗИ, ключевых документов и ключевых носителей.

15. Средства вычислительной техники, на которых осуществляется штатное функционирование СКЗИ, должны быть оборудованы средствами контроля за их вскрытием (опечатаны, опломбированы). Место опечатывания (опломбирования) СКЗИ, аппаратных средств должно быть таким, чтобы его можно было визуально контролировать.

16. Действия по восстановлению связи в случае компрометации действующих ключей к СКЗИ:

16.1 К обстоятельствам, указывающим на возможную компрометацию криптографических ключей, но не ограничивающим их, относятся следующие:

- потеря ключевых носителей с рабочими и/или резервными криптографическими ключами;

- потеря ключевых носителей с рабочими и/или резервными криптографическими ключами с последующим их обнаружением;

- увольнение работников, имевших доступ к рабочим и/или резервным криптографическим ключам;

- возникновение подозрений относительно утечки информации или ее искажения;

- нарушение целостности печатей на сейфах (металлических шкафах) с ключевыми носителями с рабочими и/или резервными криптографическими ключами, если используется процедура опечатывания сейфов;

- утрата ключей от сейфов в момент нахождения в них ключевых носителей с рабочими и/или резервными криптографическими ключами;

- временный доступ посторонних лиц к ключевым носителям, а также другие события, при которых достоверно не известно, что произошло с ключевыми носителями.

16.2 В случае возникновения обстоятельств, указанных в п. 7.1 настоящих Правил, Пользователь обязан незамедлительно прекратить обмен электронными документами с использованием скомпрометированных закрытых криптографических ключей, по телефону информировать Администратора безопасности и Ответственного пользователя СКЗИ о факте компрометации используемых закрытых криптографических ключей.

ГАРАНТ:

По-видимому, в тексте предыдущего абзаца допущена опечатка. Слова "в п. 7.1 настоящих Правил" следует читать: "в подпункте 16.1 настоящей Инструкции"

16.3 Решение о компрометации криптографических ключей принимает руководитель Участника СЭД на основании письменного уведомления о компрометации, подписанного Ответственным пользователем СКЗИ, с приложением, при необходимости, письменного объяснения Пользователя по факту компрометации его криптографических ключей.

17. Уведомление о компрометации ключей:

Уведомление должно содержать:

- идентификационные параметры скомпрометированного криптографического ключа;

- фамилию, имя, отчество Пользователя СКЗИ, который владел скомпрометированным криптографическим ключом;

- сведения об обстоятельствах компрометации криптографического ключа;

- время и обстоятельства выявления факта компрометации криптографического ключа.

- Участник СЭД должен направить Администратору безопасности в течение одного рабочего дня с даты его информирования о факте компрометации криптографических ключей письменное Уведомление о компрометации криптографических ключей" (далее - Уведомление), подписанное руководителем Участника СЭД и заверенное оттиском печати Участника СЭД. Уведомление должно содержать предварительно согласованные с Администратором безопасности дату и время, начиная с которых криптографические ключи считаются скомпрометированными.

- Администратор безопасности после получения от Участника СЭД информации о компрометации криптографического ключа Пользователя, убеждается в достоверности полученной информации, в согласованное с Участником СЭД время выводит из действия в СЭД сертификат ключа подписи, соответствующий скомпрометированному закрытому криптографическому ключу (прекращает обмен электронными документами с использованием сертификата ключа подписи, соответствующего скомпрометированному закрытому криптографическому ключу) и проводит работу по отзыву сертификата ключа подписи Пользователя. Отозванный сертификат ключа подписи, соответствующий скомпрометированному закрытому криптографическому ключу Пользователя, помещается в список отозванных сертификатов.

- Дата, начиная с которой сертификат ключа подписи считается недействительным в СЭД, устанавливается равной дате формирования списка отозванных сертификатов, в который был включен отзываемый сертификат ключа подписи.

- Сертификат ключа подписи, соответствующий скомпрометированному закрытому криптографическому ключу, должен храниться Участником СЭД в течение срока хранения электронных документов для проведения (в случае необходимости) разбора конфликтных ситуаций, связанных с применением ЭП.

- Пользователь может одновременно иметь несколько закрытых криптографических ключей и соответствующих им сертификатов ключей подписи, часть из которых использовать в качестве рабочих, а часть - в качестве резервных на случай компрометации рабочих закрытых криптографических ключей. Это обеспечивает осуществление непрерывного электронного документооборота Участника СЭД за счет оперативного перехода на использование резервных криптографических ключей в случае компрометации рабочих криптографических ключей.

- Осуществление электронного документооборота и использование СКЗИ может быть возобновлено только после ввода в действие другого криптографического ключа взамен скомпрометированного.

- Скомпрометированные ключи подлежат уничтожению в соответствии установленным порядком.