Особенности хранения ключей ЭП (КЭП) | Информационный Центр

Персональный ключевой носитель (чаще всего – дискета) обычно изготавливается в центре управления ключевыми системами (ЦУКС). Если ЦУКС обслуживается сторонней организацией, то ключевые дискеты получаются сотрудником Отдела информационной безопасности или назначенным приказом по банку Уполномоченным абонентом СКЗИ. В случае, когда ключевые дискеты изготавливаются в Банке, то это осуществляется на основании заявки, подписанной руководителем подразделения пользователя НКИ.

Генерация уникальной ключевой информации и ее запись на дискету осуществляется на специально оборудованном автономном «АРМ генерации ключей», программное обеспечение которого выполняет функции, регламентированные технологическим процессом формирования ключей электронной цифровой подписи, уполномоченными сотрудниками управления информационных технологий в присутствии самого пользователя НКИ, маркируется, учитывается в «Журнале учета НКИ» и выдается ему под роспись. Оснащение «АРМ генерации ключей» должно гарантировать, что уникальная секретная ключевая информация исполнителя записывается только на его персональный носитель.

Для обеспечения возможности восстановления ключевой информации пользователя НКИ в случае выхода ключевой дискеты из строя, обычно создается ее рабочая копия. Для того чтобы при копировании с оригинала на рабочую копию ключевой дискеты ее содержимое не попадало на какой-либо промежуточный носитель, копирование должно осуществляться только на «АРМ генерации ключей».

Ключевые дискеты должны иметь соответствующие этикетки, на которых отражается: регистрационный номер дискеты (по «Журналу учета НКИ»), дата изготовления и подпись уполномоченного сотрудника подразделения обеспечения информационной безопасности, изготовившего дискету, вид ключевой информации – ключевая дискета (оригинал) или ключевая дискета (копия), фамилия, имя, отчество и подпись владельца-исполнителя.

Каждому сотруднику (исполнителю), которому в соответствии с его функциональными обязанностями предоставлено право постановки на ЭД цифровой подписи, согласно п.2.1., выдается персональный носитель ключевой информации (например, дискета), на который записана уникальная ключевая информация («секретный ключ ЭЦП»), относящаяся к категории сведений ограниченного распространения.

Персональные ключевые дискеты (рабочие копии) пользователь должен хранить в специальном пенале, опечатанном личной печатью.

В подразделении учет и хранение персональных ключевых дискет исполнителей должен осуществляться ответственным за информационную безопасность (при его отсутствии – руководителем подразделения) или самим исполнителем (при наличии у него сейфа или металлического шкафа). Ключевые дискеты должны храниться в сейфе ответственного за информационную безопасность подразделения или исполнителя в индивидуальных пеналах, опечатанных личными печатями исполнителей. Пеналы извлекаются из сейфа только на время приема (выдачи) рабочих копий ключевых дискет исполнителям. Оригиналы ключевых дискет исполнителей хранятся в Отделе информационной безопасности в опечатанном пенале и могут быть использованы только для восстановления установленным порядком рабочей копии ключевой дискеты при выходе последней из строя. Наличие оригиналов ключевых дискет в пеналах проверяется сотрудниками ОИБ при каждом вскрытии и опечатывании пенала.

Контроль за обеспечением безопасности технологии обработки электронных документов, в том числе за действиями пользователей НКИ, выполняющих свою работу с применением персональных ключевых дискет, осуществляется ответственными за информационную безопасность подразделений в пределах своей компетенции и сотрудниками Отдела информационной безопасности.

«Открытые» ключи ЭЦП исполнителей установленным порядком регистрируются специалистами ЦУКС или УИТ в справочнике «открытых» ключей, используемом при проверке подлинности документов по установленным на них ЭЦП.

Пользователь НКИ, которому в соответствии с его должностными функциями предоставлено право постановки на ЭД цифровой подписи, несет персональную ответственность за сохранность и правильное использование вверенной ему ключевой информации и содержание документов, на которых стоит его ЭЦП.

Пользователь носителей ключевой информации обязан:

• Лично присутствовать в при изготовлении своей ключевой информации (если ключи изготавливаются в ОИБ на «АРМ генерации ключей»), чтобы быть уверенным в том, что содержание его ключевых дискет (оригинала и копии) не компрометировано.

• Под роспись в «Журнале учета НКИ» получить рабочую копию ключевой дискеты, убедиться, что она правильно маркирована и на ней установлена защита от записи. Зарегистрировать (учесть) их у ответственного за информационную безопасность своего подразделения, положить их в пенал, опечатать его своей личной печатью и передать пенал на хранение ответственному за информационную безопасность установленным порядком или убрать в свой сейф.

• Использовать для работы только рабочую копию своей ключевой дискеты.

• В случае хранения НКИ у ответственного за информационную безопасность подразделения, в начале рабочего дня получать, а в конце рабочего дня сдавать ответственному за информационную безопасность свою ключевую дискету. При первом вскрытии пенала, они оба обязаны убедиться в целостности и подлинности печати на пенале. Если печать на пенале нарушена, то дискета считается скомпрометированной.

• В случае хранения персональной ключевой дискеты в сейфе исполнителя, доставать ключевую дискету из сейфа по необходимости и при первом вскрытии пенала убедиться в целостности и подлинности печати на пенале. Если печать на пенале нарушена, то дискета считается скомпрометированной.

• КАТЕГОРИЧЕСКИ ЗАПРЕЩАЕТСЯ оставлять ключевую дискету в компьютере. После использования персональной ключевой дискеты для подписи или шифрования исполнитель должен убрать дискеты в сейф, а в случае хранения НКИ у ответственного за информационную безопасность подразделения, сдавать свою персональную ключевую дискету на временное хранение ответственному за информационную безопасность в подразделении.

• По окончании рабочего дня убрать ключевую дискету в пенал, который должен быть опечатан и убран в сейф.

• В случае порчи рабочей копии ключевой дискеты (например при ошибке чтения дискеты) исполнитель обязан передать ее уполномоченному сотруднику ОИБ, который должен в присутствии пользователя НКИ или ответственного за информационную безопасность подразделения сделать новую копию ключевой дискеты с имеющегося в ОИБ оригинала и выдать ее последнему взамен старой (испорченной) ключевой дискеты.

• Испорченная рабочая копия ключевой дискеты должна быть уничтожена установленным порядком в присутствии исполнителя. Все эти действия должны быть зафиксированы в «Журнале учета НКИ».

Порядок размещения, специального оборудования, охраны и режима в помещениях, в которых находятся средства криптографической защиты и носители ключевой информации:

• средства криптографической защиты для обслуживания носителей ключевой информации размещаются в помещениях Серверной Банка и Отдела информационной безопасности;

• размещение, специальное оборудование и режим в помещениях, в которых размещены средства криптографической защиты и носители ключевой информации, обеспечивают безопасность информации, средств криптографической защиты и ключевой информации, сведение к минимуму возможности неконтролируемого доступа к средствам криптографической защиты, просмотра процедур работы со средствами криптографической защиты посторонними лицами;

• порядок допуска в помещения определяется внутренней инструкцией, которая разработана с учетом специфики и условий функционирования Кредитной организации;

• окна помещений оборудованы металлическими решетками и охранной сигнализацией, препятствующими несанкционированному доступу в помещения. В этих помещениях прочные входные двери, на которые установлены надежные замки;

• для хранения ключевых дискет, нормативной и эксплуатационной документации, инсталляционных дискет помещения обеспечены сейфами;

• установленный порядок охраны помещений предусматривает периодический контроль технического состояния средств охранной и пожарной сигнализации и соблюдения режима охраны;

• размещение и установка средств криптографической защиты осуществляется в соответствии с требованиями документации на средства криптографической защиты;

• системные блоки ЭВМ с средствами криптографической защиты оборудованы средствами контроля их вскрытия.

Порядок обеспечения безопасности хранения ключевых дискет:

• все ключи шифрования, ключи ЭЦП и инсталляционные дискеты берутся в Банке на поэкземплярный учет в выделенных для этих целей «Журнале учета НКИ» и «Журнале учета СКЗИ»;

• учет и хранение носителей ключей шифрования и инсталляционных дискет, непосредственная работа с ними поручается сотрудникам ОИБ или ответственным сотрудникам, назначенных приказом по Банку. На этих сотрудников возлагается персональная ответственность за сохранность ключей шифрования;

• учет изготовленных для пользователей ключей шифрования, регистрация их выдачи для работы, возврата от пользователей и уничтожение ведется сотрудником ОИБ;

• хранение ключей шифрования, ключей ЭЦП, инсталляционных дискет допускается в одном хранилище с другими документами при условиях, исключающих их непреднамеренное уничтожение или иное, непредусмотренное правилами пользования систем криптозащиты, применение;

• наряду с этим предусмотрена возможность безопасного раздельного хранения рабочих и резервных ключей, предназначенных для использования в случае компрометации рабочих ключей в соответствии с правилами пользования средств криптографической защиты;

• действующий закрытый ключ ЭЦП, записанный на магнитный носитель (дискету), должен хранится в личном, опечатываемом сейфе (контейнере) ответственного лица. Возможность копирования и несанкционированного использования ЭЦП посторонним лицом должна быть исключена;

• резервный ключ ЭЦП должен хранится так же, как и действующий, но обязательно в отдельном опечатанном контейнере.

Требования к сотрудникам, осуществляющим эксплуатацию и установку (инсталляцию) средств криптографической защиты и носителей ключевой информации:

Уничтожение ключевой информации и дискет: