Приложение N 3. Инструкция пользователей средств криптографической защиты информации в Департаменте внутренней политики города Севастополя

Приложение N 3
УТВЕРЖДЕНА
приказом Департамента внутренней
политики города Севастополя
от 15 декабря 2022 г. N 87-П/ОД

Инструкция пользователей средств криптографической защиты информации в Департаменте внутренней политики города Севастополя

I. Общие положения

Настоящая Инструкция пользователей средств криптографической защиты информации в Департаменте внутренней политики города Севастополя (далее - Инструкция) разработана в целях регламентации действий пользователей, допущенных к работе со средствами криптографической защиты информации (далее - СКЗИ) в Департаменте внутренней политики города Севастополя (далее - Департамент).

Под работами с применением СКЗИ в настоящей Инструкции понимаются защищенное подключение к информационным системам, подписание электронных документов электронной подписью и проверка подписи, шифрование файлов и т.д.

СКЗИ должны использоваться для защиты информации ограниченного доступа (включая персональные данные), не содержащей сведений, составляющих государственную тайну.

Настоящая Инструкция в своем составе, терминах и определениях основывается на положениях "Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну", утвержденной приказом ФАПСИ от 13.06.2001 N 152 и "Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)", утвержденного приказом ФСБ Российской Федерации от 09.02.2005 N 66.

II. Термины и определения

Информация ограниченного доступа - информация, доступ к которой ограничен федеральными законами.

Исходная ключевая информация - совокупность данных, предназначенных для выработки по определенным правилам криптоключей.

Ключевая информация - специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока.

Ключевой документ - физический носитель определенной структуры, содержащий ключевую информацию (исходную ключевую информацию), а при необходимости - контрольную, служебную и технологическую информацию.

Ключевой носитель - физический носитель определенной структуры, предназначенный для размещения на нем ключевой информации (исходной ключевой информации).

Компрометация - хищение, утрата, разглашение, несанкционированное копирование и другие происшествия, связанные с криптоключами и ключевыми носителями, в результате которых криптоключи могут стать доступными несанкционированным лицами (или) процессам.

Криптографический ключ (криптоключ) - совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе;

Пользователи СКЗИ - работники организации или Департамента, непосредственно допущенные к работе с СКЗИ.

Средство криптографической защиты информации (СКЗИ) - совокупность аппаратных и(или) программных компонентов, предназначенных для подписания электронных документов и сообщений электронной подписью, шифрования этих документов при передаче по открытым каналам, защиты информации при передаче по каналам связи, защиты информации от несанкционированного доступа при ее обработке и хранении.

Электронная подпись - информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию.

III. Порядок получения допуска пользователей к работе с СКЗИ

Для работы с СКЗИ привлекаются физические лица, включенные в перечень пользователей СКЗИ, утвержденного соответствующим приказом директора Департамента. Для получения допуска к самостоятельной работе с СКЗИ, пользователю необходимо самостоятельно ознакомиться с:

- Федеральным законом "Об электронной подписи" N 63-ФЗ от 06.04.2011;

- приказом ФАПСИ N 152 от 13.06.2001 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну";

- настоящей Инструкцией;

- инструкцией по обращению со средствами криптографической защиты информации;

- эксплуатационной документацией на СКЗИ.

IV. Обязанности пользователей СКЗИ

Пользователи СКЗИ обязаны:

1) не разглашать информацию ограниченного доступа, к которой они допущены, в том числе сведения о криптоключах;

2) сохранять носители ключевой информации и другие документы о ключах, выдаваемых с ключевыми носителями;

3) соблюдать требования к обеспечению с использованием СКЗИ безопасности информации ограниченного доступа;

4) сообщать Ответственному за функционирование и обеспечение безопасности криптосредств о ставших им известными попытках посторонних лиц получить сведения об используемых СКЗИ или ключевых документах к ним;

5) сдать СКЗИ, эксплуатационную и техническую документацию к ним, ключевые документы при увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ;

6) немедленно уведомлять Ответственного за функционирование и обеспечение безопасности криптосредств о фактах утраты или недостачи СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемых сведений конфиденциального характера, а также о причинах и условиях возможной утечки таких сведений.

Пользователь несет ответственность за то, чтобы на автоматизированном рабочем месте (далее - АРМ), на котором установлены СКЗИ, не были установлены и не эксплуатировались программы (в том числе, программы-вирусы), которые могут нарушить функционирование СКЗИ.

На АРМ, оборудованном СКЗИ. программное обеспечение должно быть лицензионным. При обнаружении на АРМ, оборудованном СКЗИ, посторонних программ или вирусов, работа с СКЗИ на данном рабочем месте должна быть прекращена и организованы мероприятия по анализу и ликвидации негативных последствий данного нарушения.

Все полученные обладателем информации ограниченного доступа экземпляры СКЗИ, эксплуатационной и технической документации к ним, ключевых документов должны быть выданы под подпись в соответствующем журнале поэкземплярного учета пользователям СКЗИ.

Пользователи СКЗИ несут персональную ответственность за сохранность СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей.

Не допускается:

1) разглашать информацию ограниченного доступа, к которой был допущен пользователь СКЗИ;

2) разглашать содержимое ключевых носителей или передавать сами носители лицам, к ним не допущенным;

3) выводить ключевую информацию на дисплей и(или) принтер;

4) вставлять ключевой носитель в порт АРМ при проведении работ, не являющихся штатными процедурами использования ключей (шифрование/расшифровывание информации, проверка электронной цифровой подписи и т.д.), а также в порты других АРМ;

5) записывать на ключевом носителе постороннюю информацию;

6) вносить какие-либо изменения в программное обеспечение СКЗИ;

7) использовать бывшие в работе ключевые носители для записи новой информации без предварительного уничтожения на них ключевой информации путем переформатирования.

О нарушениях, которые могут привести к компрометации криптоключей, их составных частей или передававшейся (хранящейся) с их использованием информации ограниченного доступа, пользователи СКЗИ обязаны сообщать Ответственному за функционирование и обеспечение безопасности криптосредств.

V. Ответственность пользователей СКЗИ

Пользователи СКЗИ отвечают за исполнение своих функциональных обязанностей и сохранность информации ограниченного доступа, которая стала ему известной вследствие исполнения им своих служебных обязанностей. Ответственность лиц, допущенных к работе с СКЗИ, за неисполнение и/или ненадлежащее исполнение своих обязанностей, предусмотренных соответствующими инструкциями (Инструкция по обращению с СКЗИ, Инструкция пользователя СКЗИ), а также за разглашение информации ограниченного доступа, ставшей ему известной вследствие исполнения им своих служебных обязанностей, определяется действующим законодательством Российской Федерации и условиями трудового договора.