Приложение 2. Порядок обеспечения информационной безопасности при использовании средств криптографической защиты информации

Приложение 2
к письму Банка России от 25 мая 2011 г. N 76-Т
"Об условиях соглашений, определяющих права и обязанности
банка (филиала банка) и Банка России при направлении
в банк (филиал банка) поручений налоговых органов,
решений налоговых органов, а также при направлении банком
(филиалом банка) в налоговый орган сведений
об остатках денежных средств в электронном виде
через Банк России"

Порядок
обеспечения информационной безопасности при использовании средств криптографической защиты информации

1. Установка и настройка СКЗИ на автоматизированных рабочих местах (далее - АРМ) пользователей выполняются с учетом требований, изложенных в эксплуатационной документации на СКЗИ, в присутствии Администратора информационной безопасности, назначаемого владельцем ключа КА или ключа шифрования. При каждом запуске АРМ дол жен быть обеспечен контроль целостности установленного программного обеспечения СКЗИ.

2. МИ ФНС России по ЦОД, банками (филиалами банков) и Банком России определяется и утверждается порядок учета, хранения и использования носителей ключевой информации (ключевых дискет, ключевых идентификаторов Touch Memory, ключевых Smart-карточек и других носителей ключевой информации) с секретными ключами КА и ключами шифрования, который должен полностью исключать возможность несанкционированного доступа к ним.

3. Ответственность за содержание данных, включаемых в сообщение, несет владелец ключа КА, которым снабжено сообщение.

4. Руководство владельца ключа КА или ключа шифрования утверждает список лиц, имеющих доступ к секретным ключам КА и ключам шифрования (с указанием конкретной информации для каждого лица). Доступ лиц, не допущенных к носителям ключевой информации, должен быть исключен.

5. Для хранения носителей ключевой информации с секретными ключами КА и ключами шифрования должны использоваться надежные металлические шкафы (сейфы). Хранение носителей ключевой информации с секретными ключами КА и ключами шифрования допускается в одном металлическом шкафу (сейфе) с другими документами в отдельном контейнере, опечатываемом пользователем ключа КА и (или) ключа шифрования.

6. В течение рабочего дня вне времени составления и передачи и приема сообщения, а также по окончании рабочего дня носители ключевой информации с секретными ключами КА и (или) ключами шифрования помещаются в металлические шкафы (сейфы).

7. Не допускается:

снимать несанкционированные копии с носителей ключевой информации;

знакомить с содержанием носителей ключевой информации или передавать носители ключевой информации лицам, к ним не допущенным;

выводить секретные ключи КА или ключи шифрования на дисплей (монитор) электронно-вычислительной машины (ЭВМ) или принтер;

устанавливать носитель секретных ключей КА или ключей шифрования в считывающее устройство АРМ, программные средства которого функционируют в непредусмотренных (нештатных) режимах, а также на другие ЭВМ;

записывать на носители ключевой информации постороннюю информацию.

8. При компрометации секретного ключа КА или ключа шифрования владелец ключа КА или ключа шифрования, допустивший компрометацию, обязан предпринять все меры для прекращения любых операций с использованием этого ключа и немедленно проинформировать о факте компрометации регистрационный центр, который организует внеплановую смену ключей КА или ключей шифрования.

9. По факту компрометации ключа КА или ключа шифрования владелец ключа КА или ключа шифрования, допустивший компрометацию, должен организовать служебное расследование, документально оформленные результаты которого представляются в регистрационный центр.

10. В случае увольнения или перевода в другое подразделение (на другую должность), изменения функциональных обязанностей работника МИ ФНС России по ЦОД, банка (филиала банка), Уполномоченного подразделения Банка России и ТУ Банка России, имевшего доступ к секретным ключам КА или ключам шифрования, должна быть проведена замена ключей, к которым указанный работник имел доступ.