Приложение 2. Порядок обеспечения информационной безопасности при использовании средств криптографической защиты информации

Приложение 2
к письму ЦБР
от 29 декабря 2010 г. N 180-Т
"Об условиях соглашений, определяющих
особенности (условия) взаимодействия
территориального учреждения Банка
России и органа Федерального казначейства,
территориального учреждения Банка России
и кредитной организации (филиала) при передаче
органу Федерального казначейства принятой в
электронном виде от кредитных организаций
(филиалов) информации, содержащейся
в платежных документах физических лиц"

Порядок
обеспечения информационной безопасности при использовании средств криптографической защиты информации

1. Установка и настройка СКЗИ на автоматизированных рабочих местах (далее - АРМ) пользователей выполняются с учетом требований, изложенных в эксплуатационной документации на СКЗИ, в присутствии администратора информационной безопасности, назначаемого владельцем ключа КА и (или) ключа шифрования. При каждом запуске АРМ должен быть обеспечен контроль целостности установленного программного обеспечения СКЗИ.

2. Органом Федерального казначейства, кредитной организацией и Банком России определяются и утверждаются порядок учета, хранения и использования носителей ключевой информации (ключевых дискет, ключевых идентификаторов Touch Memory, ключевых Smart - карточек и других носителей ключевой информации) с секретными ключами КА и (или) ключами шифрования, который должен полностью исключать возможность несанкционированного доступа к ним.

3. Ответственность за содержание данных, включаемых в сообщение, несет владелец ключа КА, которым снабжено сообщение.

4. Список лиц, имеющих доступ к секретным ключам КА и (или) ключам шифрования (с указанием конкретной информации для каждого лица) утверждается руководителем (или замещающим его лицом) владельца ключа КА и (или) ключа шифрования. Доступ лиц, не допущенных к носителям ключевой информации, должен быть исключен.

5. Для хранения носителей ключевой информации с секретными ключами КА и (или) ключами шифрования должны использоваться металлические шкафы (сейфы). Хранение носителей ключевой информации с секретными ключами КА и (или) ключами шифрования допускается в одном металлическом шкафу (сейфе) с другими документами в отдельном контейнере, опечатываемом пользователем ключа КА и (или) ключа шифрования.

6. В течение рабочего дня вне времени составления, передачи и получения сообщений, а также по окончании рабочего дня носители ключевой информации с секретными ключами КА и (или) ключами шифрования помещаются в металлические шкафы (сейфы).

7. Не допускается:

снимать несанкционированные копии с носителей ключевой информации;

знакомить с содержанием носителей ключевой информации или передавать носители ключевой информации лицам, к ним не допущенным;

выводить секретные ключи КА и (или) ключи шифрования на дисплей (монитор) электронно-вычислительной машины (ЭВМ) или принтер;

устанавливать носитель секретных ключей КА и (или) ключей шифрования в считывающее устройство АРМ, аппаратные и (или) программные средства которого функционируют в непредусмотренных (нештатных) режимах, а также на другие ЭВМ;

записывать на носители ключевой информации постороннюю информацию.

8. При компрометации секретного ключа КА и (или) ключа шифрования владелец ключа КА и (или) ключа шифрования, допустивший компрометацию, обязан предпринять все меры для прекращения любых операций с использованием этого ключа и немедленно проинформировать о факте компрометации регистрационный центр, который организует внеплановую смену ключей КА и (или) ключей шифрования.

9. По факту компрометации ключа КА и (или) ключа шифрования владелец ключа КА и (или) ключа шифрования, допустивший компрометацию, должен организовать служебное расследование, документально оформленные результаты которого представляются в регистрационный центр.

10. В случае увольнения или перевода в другое подразделение (на другую должность), изменения функциональных обязанностей работника владельца ключа КА и (или) ключа шифрования (пользователя ключа КА и (или) ключа шифрования), имевшего доступ к секретным ключам КА и (или) ключам шифрования, должна быть проведена замена ключей КА и (или) ключей шифрования, к которым указанный работник имел доступ.