"Руководство по обеспечению безопасности использования квалифицированной электронной подписи и средств квалифицированной электронной подписи" (утв. Банком России 15.09.2021 N ТРД-57-6-4/2053)

Содержание

Что делать, если произошло мошенничество с использованием электронной подписи, выданной на ваше имя?
Что нужно, чтобы начать работать с эдо?
“руководство по обеспечению безопасности использования квалифицированной электронной подписи и средств квалифицированной электронной подписи” (утв. банком россии 15.09.2021 n трд-57-6-4/2053)
Выпуск электронной подписи при оказании сервисных услуг в качестве дополнительной услуги, без надлежащего информирования заявителя («укэп в придачу»)
Журнал поэкземплярного учета скзи, эксплуатационной и технической документации к ним, ключевых документов (для обладателя конфиденциальной информации)
Издание приказа
Как тогда обеспечить хранение документов с эп?
Об обращении со средствами криптографической защиты информации
Общие положения
Обязанности ответственного
Обязанности пользователей скзи
Обязательно ли переходить на эдо? мы привыкли к обычному документообороту
Применение электронной подписи
Термины
Термины и определении
Термины и определения

Что делать, если произошло мошенничество с использованием электронной подписи, выданной на ваше имя?

Незамедлительно обратитесь в удостоверяющий центр, который выдал этот сертификат электронной подписи на ваше имя, и напишите заявление на его аннулирование! Это не позволит злоумышленникам в дальнейшем совершать мошеннические действия с использованием этого сертификата.

Если злоумышленники за вас сдали отчетность, как можно скорее подайте в налоговую инспекцию заявление в произвольной форме о недостоверности сведений. Это можно сделать как при непосредственном посещении налоговой инспекции, так и по почте или через интернет.

Если на ваше имя зарегистрировано юридическое лицо или ИП, следует незамедлительно внести в реестр ЕГРЮЛ или реестр ЕГРИП информацию о недостоверности данных о вас, как о руководителе. Для этого в налоговую инспекцию следует направить заявление о недостоверности сведений о юридическом лице или ИП по форме № Р34001 (рекомендуем направить такое заявление непосредственно в инспекцию по месту регистрации юридического лица или ИП). Это можно сделать как при непосредственном посещении инспекции, так и по почте или через интернет.

Если вы потеряли пароль доступа к закрытому ключу (PIN-код) или сам ключевой носитель , или он сломан, то необходимо приостановить бизнес-процессы электронного документооборота до перевыпуска электронной подписи.

Если действия посторонних лиц с вашей электронной подписью причинили ущерб, от вашего имени совершена незаконная сделка в электронной форме, подписаны значимые документы в электронной форме, то необходимо обратиться с заявлением в полицию или прокуратуру и зафиксировать факт такого события.

Что нужно, чтобы начать работать с эдо?

Для начала руководителю и другим сотрудникам, которые будут работать с электронными документами, нужно получить квалифицированную электронную подпись.

Затем нужно решить с какой системой документооборота вы хотите работать. Мы уже говорили, что есть ЭДО, который интегрируется с бухгалтерскими программами, например, 1C-ЭДО. Максимально простое подключение и возможность сразу начать обмен документами с контрагентами, роуминг (обмен с теми, кто подключен к другим операторам) тоже уже встроен в сервис.

Преимущества сервиса, работающего в программе 1С:

можно наделить пользователей разными правами, к примеру, менеджер только подготавливает документы, а подписывает их руководитель;
входящие документы автоматически подгружаются в программу, после этого их остается только провести;
если у вас большая номенклатура продукции, товаров или материалов, то сервис автоматически сопоставит номенклатуру продавца и покупателя, не придется делать это вручную.

Есть также сервисы, работающие самостоятельно, к примеру, Астрал Онлайн. Онлайн-сервис доступен с любого компьютера, ноутбука, планшета или смартфона с выходом в интернет. Кроме всех обычных функций ЭДО реализована также сверка кодов маркировки из УПД с кодами на товаре. С помощью специальных обработок можно так же выгружать и загружать документы в 1С.

Бесспорным плюсом можно считать возможность обмена не только формализованными документами (счета-фактуры, УПД и т.п.),но и произвольными. Так при помощи Астрал Онлайн можно подписать договор или отправить письмо.

“руководство по обеспечению безопасности использования квалифицированной электронной подписи и средств квалифицированной электронной подписи”
(утв. банком россии 15.09.2021 n трд-57-6-4/2053)

Утверждаю

Заместитель Председателя

Банка России

Г.А.ЗУБАРЕВ

АВТОМАТИЗИРОВАННАЯ СИСТЕМА

АККРЕДИТОВАННОГО УДОСТОВЕРЯЮЩЕГО ЦЕНТРА ЦЕНТРАЛЬНОГО БАНКА

РОССИЙСКОЙ ФЕДЕРАЦИИ

РУКОВОДСТВО

ПО ОБЕСПЕЧЕНИЮ БЕЗОПАСНОСТИ ИСПОЛЬЗОВАНИЯ КВАЛИФИЦИРОВАННОЙ

ЭЛЕКТРОННОЙ ПОДПИСИ И СРЕДСТВ КВАЛИФИЦИРОВАННОЙ

ЭЛЕКТРОННОЙ ПОДПИСИ

15 сентября 2021 г. N ТРД-57-6-4/2053

1 Общие положения

Настоящее руководство подготовлено в соответствии с частью 4 статьи 18 Федерального закона от 6 апреля 2022 г. N 63-ФЗ “Об электронной подписи” (далее – Федеральный закон) и предназначено для официального информирования владельцев квалифицированных сертификатов ключей проверки электронной подписи (далее – квалифицированный сертификат), выдаваемых аккредитованным удостоверяющий центром Банка России, о рисках, условиях и правилах применения электронной подписи (далее – ЭП) и средств квалифицированной ЭП, а также о мерах, необходимых для обеспечения безопасности использования квалифицированной ЭП и средств квалифицированной ЭП.

Определение понятий “квалифицированная электронная подпись”, “средство электронной подписи” содержится в статье 2 Федерального закона.

При использовании в правоотношениях квалифицированной ЭП, использовании и эксплуатации средств квалифицированной ЭП владельцы квалифицированных сертификатов и средств квалифицированной ЭП должны соблюдать требования:

– Федерального закона от 06.04.2022 N 63-ФЗ “Об электронной подписи”

– Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, утвержденной приказом ФАПСИ от 13.06.2001 N 152;

– Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005), утвержденного приказом ФСБ России от 09.02.2005 N 66;

– эксплуатационной документации на средства ЭП;

– настоящего руководства.

2 Требования к помещениям и размещению средств ЭП

При размещении в помещении средств вычислительной техники (далее – СВТ) с установленными на них средствами квалифицированной ЭП:

– должны быть предусмотрены меры, исключающие возможность несанкционированного доступа и пребывания в помещении лиц, не имеющих допуск к работе в этом помещении. При необходимости пребывания указанных лиц в помещении должен быть обеспечен контроль их действий в целях недопущения с их стороны несанкционированных воздействий на средства ЭП, иные средства криптографической защиты информации (далее – СКЗИ), ключевую информацию;

– входные двери помещений должны быть оснащены устройствами, обеспечивающими контроль доступа в нерабочее время.

3 Требования по установке и эксплуатации средств квалифицированной ЭП, общесистемного и специального программного обеспечения

3.1 При установке и использовании на СВТ средств квалифицированной ЭП должны выполняться следующие меры по защите информации:

1) в отношении СВТ должны соблюдаться правила:

– не допускается установка операционных систем (далее – ОС), не предусмотренных документацией на средства ЭП, либо измененных или отладочных версий ОС, указанных в документации;

– не допускается установка программных средств, реализующих функции удаленного управления, администрирование, модификацию ОС и ее настроек, а также среды разработки;

– не допускается установка нескольких ОС;

– неиспользуемые ресурсы СВТ должны быть отключены (протоколы, сервисы и т.п.);

– реализованные на СВТ режимы безопасности должны быть настроены на максимальный уровень;

– зарегистрированным пользователям СВТ назначаются минимально возможные для нормальной работы права;

– предоставление минимальных прав доступа к ресурсам СВТ, включая доступ к системному реестру, файлам и каталогам, временным файлам, файлам подкачки и т.п.

2) на СВТ необходимо:

– по окончании сеанса работы с использованием средств квалифицированной ЭП удалить временные файлы и файлы подкачки. Если это невыполнимо, то на жесткий диск должны распространяться требования, предъявляемые к ключевым носителям;

– исключить установку и выполнение на СВТ программ, позволяющих повысить привилегии пользователям СВТ;

– регулярно устанавливать обновления ОС, прикладных систем, антивирусные базы.

3) на СВТ следует использовать парольную защиту (для входа в ОС, BIOS, при шифровании на пароле и т.д.), обеспечивающую возможность реализации следующей политики:

– длина пароля должна быть не менее 8 символов;

– в последовательности символов пароля должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (@, #, $, &, *, % и т.п.);

– пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии, номера телефонов, даты рождения и т.д.), а также распространенные сокращения (USER, ADMIN, root, и т.д.);

– осуществлять периодическую смену пароля в соответствии с регламентом, установленным в технической документации организации (рекомендуется не реже 1 раза в год);

– при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4 позициях.

3.2 При необходимости подключения СВТ с установленными на них средствами квалифицированной ЭП к общедоступным сетям передачи данных (в том числе сети Интернет) такое подключение необходимо осуществлять при использовании средств защиты от сетевых атак. При работе на указанных СВТ необходимо исключить возможность открытия и исполнения файлов и иных получаемых по сети объектов без предварительной их проверки сертифицированными средствами антивирусной защиты.

3.3 Необходимо организовать сбор событий (лог-файлы) в отношении СВТ, на которых установлены средства ЭП и регулярное проведение их анализа.

3.4 Запрещается:

– использовать несертифицированные средства квалифицированной ЭП;

– вносить любые изменения в программное обеспечение средств квалифицированной ЭП;

– осуществлять несанкционированное копирование ключей;

– передавать ключевые документы (ключевые носители) лицам, к ним не допущенным, выводить ключевую информацию на печатающие устройства, иные средства отображения информации;

– использовать ключевые носители в режимах, не предусмотренных штатным режимом их использования;

– записывать на ключевые носители постороннюю информацию;

– оставлять СВТ с установленными на них средствами квалифицированной ЭП без контроля после ввода ключевой информации;

– использовать ключ ЭП, связанный с квалифицированным сертификатом ключа проверки ЭП, в отношении которого в аккредитованном удостоверяющем центре Банка России зарегистрировано заявление о прекращении его действия.

4 Требования по обеспечению информационной безопасности при обращении с носителями ключевой информации, содержащими ключи квалифицированной ЭП

4.1 Меры защиты ключей ЭП.

Создаваемые ключи квалифицированной ЭП должны записываться на ключевые носители (далее – КН), имеющее подтверждение соответствия требованиям, установленным федеральным органом исполнительной власти, уполномоченным в области обеспечения безопасности. Не допускается хранение на носителе ключевой информации любой иной информации (в том числе рабочих или личных файлов).

Типы КН, функциональных ключевых носителей (далее – ФКН), которые поддерживаются применяемым средством квалифицированной ЭП, устанавливаются согласно технической и эксплуатационной документации на средство ЭП.

КН, ФКН должны иметь маркировку, обеспечивающую возможность их учета в организации, использующей средства ЭП.

Ключи квалифицированной ЭП, содержащиеся на КН (ФКН), рекомендуется защищать паролем (ПИН-кодом). При этом лицо, выполняющее процедуру генерации ключей ЭП, обязано сбросить заводской ПИН-код и сформировать новый ПИН-код. В случае, если создание ключа ЭП осуществляется заявителем на средствах аккредитованного удостоверяющего центра Банка России, должны быть приняты меры, исключающие возможность несанкционированного доступа иных лиц к ключу ЭП, записанному на КН (ФКН).

Ответственность за обеспечение конфиденциальности пароля (ПИН-кода) и ключа квалифицированной ЭП возлагается на владельца ключа квалифицированной ЭП.

4.2 Обращение с ключевой информацией и ключевыми носителями.

Запрещается пересылать файлы с ключевой информацией по незащищенным каналам связи (сеть Интернет, корпоративная почта). Данное требование не распространяется на ключи проверки ЭП, содержащиеся в квалифицированном сертификате.

Размещение ключевой информации на локальном диске СВТ или сетевом диске, а также во встроенной памяти технического средства с установленными средствами квалифицированной ЭП, крайне не рекомендуется, в связи с тем, что создает предпосылки для совершения нарушителями злоумышленных действий.

КН (ФКН) должны использоваться только владельцем ключа ЭП, размещенного на КН (ФКН), и храниться в нерабочие периоды времени в месте, исключающем возможность его бесконтрольного использования. В частности, одним из способов контроля сохранности ключей ЭП, содержащегося на КН (ФКН) является хранение КН (ФКН) в сейфе (металлическом шкафу, колбе), опечатываемом личной печатью владельца ключа ЭП (владельца КН либо ФКН).

В целях минимизации случаев компрометации ключа ЭП, содержащегося на КН (ФКН), рекомендуется вставлять носитель в считывающее устройство только в необходимых случаях, а именно на период выполнения операций формирования и проверки квалифицированной ЭП. В прочее время КН (ФКН) рекомендуется изымать из считывателя в целях исключения риска несанкционированного доступа к КН (ФКН) и его содержимому третьими лицами.

4.3 Обеспечение безопасности СВТ с установленными средствами квалифицированной ЭП.

С целью контроля исходящего и входящего трафика, СВТ с установленными средствами квалифицированной ЭП должны быть защищены от несанкционированного доступа программными или аппаратными средствами.

СВТ, используемые для работы в автоматизированных системах, должны удовлетворять требованиям:

– возможность запуска ОС, входа в систему с использованием парольной защиты, удовлетворяющей требованиям, приведенным в разделе 3 настоящего руководства;

– применение только лицензионного программного обеспечения;

– применение только лицензионных средств антивирусной защиты и регулярно обновляемых антивирусных баз данных (сигнатур);

– отключение всех неиспользуемых служб и процессов, порождаемых ОС, в т.ч. службы удаленного администрирования и управления, службы общего доступа к ресурсам сети, системные диски и т.д.) и включение реально требуемых;

– регулярные обновления ОС, прикладных систем;

– лицам, не имеющим полномочий для работы с СВТ с установленными средствами квалифицированной ЭП, исключен физический доступ к СВТ;

– на СВТ активированы средства регистрации событий информационной безопасности;

– включена автоматическая блокировка СВТ по истечении заданного периода времени неактивности (рекомендуемое время неактивности – не более 10 минут).

В случае передачи (списания, сдачи в ремонт) сторонним лицам СВТ, на которых были установлены средства квалифицированной ЭП, необходимо гарантированно удалить всю информацию (при условии исправности технических средств), использование которой третьими лицами может потенциально нанести вред организации, в том числе средства квалифицированной ЭП, журналы работы систем обмена электронными документами и так далее.

4.4 Компрометация ключа ЭП.

Под компрометацией ключа ЭП понимается утрата доверия к тому, что используемые ключи ЭП обеспечивают безопасность информации. Компрометация ключей ЭП происходит, как правило, вследствие событий:

– потеря КН (ФКН) либо потеря КН (ФКН) с их последующим обнаружением;

– увольнение работника, имевшего доступ к ключевой информации;

– нарушение целостности печати хранилища КН (ФКН) вследствие несанкционированного вскрытия;

– отсутствие контроля в отношении места нахождения КН (ФКН) в течение неопределенного времени;

– нарушение правил уничтожения ключей ЭП (после окончания срока их действия);

– подозрения на утечку информации или ее искажение в системе конфиденциальной связи;

– нарушение работоспособности КН (ФКН) при допущении условия возможных несанкционированных воздействий на носитель;

– другие события утраты доверия к ключевой информации, согласно эксплуатационной документации на используемое СКЗИ.

В первых четырех случаях компрометация ключа ЭП носит явный характер и реагирование в этих случаях должно заключаться в немедленном обращении владельца ключа ЭП в аккредитованный удостоверяющий центр Банка России в целях прекращения действия квалифицированного сертификата.

Прочие случаи должны рассматриваться и анализироваться в каждом конкретном случае. Использование ключа ЭП может быть продолжено только в случаях обоснованной уверенности в сохранении свойств безопасности ключа ЭП.

Выпуск электронной подписи при оказании сервисных услуг в качестве дополнительной услуги, без надлежащего информирования заявителя («укэп в придачу»)

Современный рынок диктует условия – сервис должен быть простым, понятным и проактивным. Организации, которые оказывают предпринимателям различные услуги, будь то регистрация ККТ или помощь в оформлении расчетного счета, в борьбе за клиента стараются сделать обслуживание максимально комфортным.

При этом в погоне за простотой и удобством часто опускаются важные детали. Например, могут не обратить внимание клиента на то, что при регистрации в качестве индивидуального предпринимателя необходимо подписать от его имени электронные документы. То есть сертификат электронной подписи выпускается, но клиент даже не знает об этом.

В таких случаях заявление на выпуск УКЭП, как и согласие на обработку персональных данных присутствуют в общей массе документов, которые подписываются при заключении договора на получение услуг. Либо такого рода дополнительная услуга прописана в договоре, но при этом не привлекает внимание, так как документ объемный, формулировки – нечеткие, а представитель обслуживающей организации не дает никаких дополнительных устных пояснений.

Дальше события могут развиваться в зависимости от добросовестности организации. УКЭП могут выдать вам на носителе с пакетом документов об оказании услуги, а могут хранить ее в «облачном» хранилище организации. УКЭП могут аннулировать сразу после оказания услуги, а могут продолжить использовать ее для совершения юридически значимых действий от вашего имени.

Как избежать получения “УКЭП в придачу”:

прочитайте внимательно договор и другие документы в рамках сделки;
обратите внимание, есть ли там слова “электронная подпись”;
обратите внимание на условия выдачи УКЭП, как она хранится и аннулируется, кто обеспечивает ее сохранность;
спросите у представителя обслуживающей организации: можно ли отказаться от выпуска УКЭП и для чего это вообще требуется.

Далее действуйте по ситуации, оценив риски возможной компрометации электронной подписи в рамках предложенных условий.

Проверить, не выпущена ли на ваше имя УКЭП, можно в личном кабинете на Едином портале государственных и муниципальных услуг (Госуслуги). В разделе «Настройки и безопасность» необходимо выбрать «Электронная подпись». Здесь содержатся данные о выдавшем на ваше имя квалифицированную электронную подпись удостоверяющем центре, ее серийном номере и сроке действия.

Если вам стало известно о выдаче УКЭП на ваше имя без вашего ведома или о факте компрометации, то НЕМЕДЛЕННО аннулируйте ее, обратившись в удостоверяющий центр, в котором данная УКЭП выпущена.

Если есть подозрение о мошенничестве с вашей электронной подписью, то обращайтесь в полицию. Если в полиции откажутся возбуждать дело, то можно обратиться в прокуратуру и Минцифры.

Журнал поэкземплярного учета скзи, эксплуатационной и технической документации к ним, ключевых документов (для обладателя конфиденциальной информации)

Начат: “__” ________20__ г.Окончен: “__” ________20__ г.

N п/п	Наименование СКЗИ, эксплуатационной и технической документации к ним, ключевых документов	Серийные номера СКЗИ, эксплуатационной и технической документации к ним, номера серий ключевых документов	Номера экземпляров (криптографические номера) ключевых документов	Отметка о получении		Отметка о выдаче		Отметка о подключении (установке) СКЗИ			Отметка об изъятии СКЗИ из аппаратных средств, уничтожении ключевых документов			Примечание
N п/п				От кого получены	Дата и номер сопроводительного письма	Ф.И.О. пользователя СКЗИ	Дата и расписка в получении	Ф.И.О. сотрудников органа криптографической защиты, пользователя СКЗИ, произведших подключение (установку)	Дата подключения (установки) и подписи лиц, произведших подключение (установку)	Номера аппаратных средств, в которые установлены или к которым подключены СКЗИ	Дата изъятия (уничтожения)	Ф.И.О. сотрудников органа криптографической защиты, пользователя СКЗИ, производивших изъятие (уничтожение)	Номер акта или расписка об уничтожении
1	2	3	4	5	6	7	8	9	10	11	12	13	14	15

Приложение N 5к приказу ФАС Россииот 16.07.2020 N 658/20

Издание приказа

Для формирования комиссии необходимо издать приказ. Он будет иметь следующий вид:

ООО «Япония»

4.11.2021
г. Москва

Приказ о формировании комиссии по уничтожению документов

С целью осуществления экспертизы ценности документов, поиска бумаг, срок хранения которых истек, с их последующим уничтожением,

ПРИКАЗЫВАЮ:

1. Сформировать комиссию со следующим составом участников:

Руководитель: Петров А.С. (гендиректор)
Участники: Ларина Т.А. (главбух), Никольцев П.В. (руководитель отдела кадров), Зайцева П.П. (начальник юридического отдела), Сифонов О.О. (начальник службы ДОУ)

2. Председателю комиссии выполнить инвентаризацию документов.
3. Организовать уничтожение в срок с 5 ноября 2021 года по 1 декабря 2021 года.
4. Контроль над выполнением этого приказа оставляю за собой.

Гендиректор: (подпись) А.С. Петров

Это лишь примерная форма приказа. Он может иметь другой вид. К примеру, перечень участников комиссии можно вынести в приложение к приказу.

ВАЖНО! С приказом нужно обязательно ознакомить всех лиц, которые назначены участниками комиссии.

Как тогда обеспечить хранение документов с эп?

Есть два варианта. Первый — автоматическое переподписание. Ежегодно система будет автоматом переподписывать документ новым действительным сертификатом. Новую подпись получают, как правило, до истечения старой. Во-первых, это более простая процедура и может быть проведена удаленно. Во-вторых, это дает возможность ни на день не прерывать деятельность и иметь под рукой действующую ЭП.

Количество продлений не ограничено. Можно проводить их столько лет, сколько необходимо. Но о механизме переподписания (тем более автоматического) необходимо уточнять информацию у конкретного оператора ЭДО — реализована такая возможность или нет.

Второй вариант — квитанции переподписания DVCS (Data Validation and Certification Server). Квитанция выдается специальной службой (независимая третья сторона с точки зрения закона), которая заверяет достоверность документа.

В результате обращения к сервису формируется квитанция. В ней содержатся результаты проверки документа и сведения о дате и времени проверки. Квитанция подтверждает действительность электронной подписи и значит действительность самого документа.

После того, как срок действия первой квитанции подойдет к концу, можно сформировать вторую, затем третью и т.д., они будут подтверждать уже действительность друг друга — фактически это выпуск квитанции на квитанцию.

Об обращении со средствами криптографической защиты информации

В цели исполнения требований “Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну”, утвержденной приказом ФАПСИ от 13 июня 2001 г. N 152, приказываю:

1. Назначить ответственными за организацию работ по криптографической защите информации Ответственные лица: специалиста отдела Информационной безопасности ФБУ “ИТЦ ФАС России” Калантаряна Шаварша Суреновича, специалиста отдела Информационной безопасности ФБУ “ИТЦ ФАС России” Маркелова Даниила Денисовича, ведущего специалиста отдела Информационной безопасности ФБУ “ИТЦ ФАС России” Саяпина Андрея Сергеевича.

2. Утвердить Инструкцию по обращению со средствами криптографической защиты информации (СКЗИ) (приложение N 1).

3. Утвердить Инструкцию ответственного за организацию работ по криптографической защите информации (приложение N 2).

4. Утвердить Инструкцию пользователей средств криптографической защиты информации (приложение N 3).

5. Ответственному за организацию работ по криптографической защите информации ознакомиться под роспись и руководствоваться в своей деятельности Инструкцией по обращению со средствами криптографической защиты информации и Инструкцией ответственного за организацию работ по криптографической защите информации.

6. Ответственному за организацию работ по криптографической защите информации ознакомить под роспись пользователей СКЗИ с Инструкцией по обращению с СКЗИ и Инструкцией пользователей средств криптографической защиты информации.

7. Пользователям, которым необходимо получить доступ к работе с СКЗИ, пройти обучение и проверку знаний по правилам работы с СКЗИ.

8. Утвердить форму Перечня пользователей СКЗИ (приложение N 5).

9. Утвердить форму Журнала поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (приложение N 4).

10. Утвердить форму Акта об уничтожении криптографических ключей, содержащихся на ключевых носителях и ключевых документов (приложение N 6).

11. Контроль за исполнением настоящего приказа возложить на заместителя руководителя Доценко А.В.

РуководительИ.Ю. АРТЕМЬЕВ

Приложение N 1к приказу ФАС Россииот 16.07.2020 N 658/20

Общие положения

Настоящая Инструкция разработана в целях регламентации действий лиц, допущенных к работе со средствами криптографической защиты информации (СКЗИ), которые осуществляют работы с применением СКЗИ.

Под работами с применением СКЗИ в настоящей Инструкции понимаются защищенное подключение к информационным системам, подписание электронных документов электронной подписью и проверка подписи, шифрование файлов другие действия согласно технической документации на СКЗИ.

Под обращением с СКЗИ в настоящей Инструкции понимается проведение мероприятий по обеспечению безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ информации ограниченного доступа.

Данная инструкция регламентирует работу с применением СКЗИ для защиты информации ограниченного доступа (включая персональные данные), не содержащей сведений, составляющих государственную тайну.

Настоящая Инструкция в своем составе, терминах и определениях основывается на положениях “Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну”, утвержденной приказом ФАПСИ от 13 июня. 2001 г.

N 152 (далее – Инструкция ФАПСИ от 13 июня 2001 г. N 152), “Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)”, утвержденного приказом ФСБ РФ от 9 февраля 2005 г.

N 66, а также “Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности”, утвержденных приказом ФСБ от 10.07.2021 N 378.

Обязанности ответственного

При реализации мероприятий, связанных с обеспечением в Организации безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ информации ограниченного доступа, Ответственный должен руководствоваться действующим законодательством Российской Федерации, Инструкцией по обращению с СКЗИ, а также настоящей инструкцией.

На Ответственного возлагается проведение следующих мероприятий:

1) Ведение Журнала поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов;

2) Хранение установочных комплектов СКЗИ, эксплуатационной и технической документации к ним;

3) Принятие ключевых документов к СКЗИ от пользователя при его увольнении или отстранении от исполнения обязанностей, связанных с использованием СКЗИ;

4) Своевременная актуализация перечня пользователей СКЗИ;

5) Ежегодная проверка наличия СКЗИ, эксплуатационной и технической документации к ним, согласно Журналу поэкземплярного учета СКЗИ.

Ответственный обязан:

1) Не разглашать информацию ограниченного доступа, к которой он допущен, в том числе сведения о криптоключах;

2) Обеспечивать сохранность носителей ключевой информации и других документов о ключах, выдаваемых с ключевыми носителями;

3) Обеспечить соблюдение требований к обеспечению с использованием СКЗИ безопасности информации ограниченного доступа;

4) Контролировать целостность печатей (пломб) на технических средствах с установленными СКЗИ;

5) Немедленно уведомлять непосредственного руководителя о фактах утраты или недостачи СКЗИ, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах компрометации криптоключей, которые могут привести к разглашению информации ограниченного доступа, а также о причинах и условиях возможной утечки такой информации;

6) Не допускать ввод одного номера лицензии на право использования СКЗИ более чем на одно рабочее место.

Обязанности пользователей скзи

Пользователи СКЗИ обязаны:

1) соблюдать конфиденциальность информации ограниченного доступа, к которой они допущены, в том числе сведения о криптоключах;

2) обеспечивать сохранность вверенных ключевых носителей и ключевой документации на них;

3) соблюдать требования безопасности информации ограниченного доступа при использовании СКЗИ;

4) незамедлительно сообщать Ответственному о ставших им известными попытках получения посторонними лицами доступа к сведениям об используемых СКЗИ, ключевым носителям и ключевой документации;

5) при увольнении или отстранении от исполнения обязанностей сдать Ответственному носители с ключевой документацией;

6) при подозрении на компрометацию ключевой документации, а также при обнаружении факта утраты или недостачи СКЗИ, ключевых носителей, ключевой документации, хранилищ, личных печатей незамедлительно уведомлять Ответственного.

Пользователям СКЗИ запрещается:

1) выводить ключевую информацию на средствах отображения информации (дисплей монитора, печатающие устройства, проекторы и т.п.);

2) оставлять ключевые носители с ключевой документацией без присмотра;

3) записывать на ключевой носитель информацию, не связанную с работой СКЗИ (текстовые и мультимедиа файлы, служебные файлы и т.п.);

4) вносить любые изменения в программное обеспечение СКЗИ;

Обязательно ли переходить на эдо? мы привыкли к обычному документообороту

Есть случаи, когда выбора не существует. Например, большая часть отчетности сейчас переходит в обязательный электронный вид. Декларацию по НДС давно положено сдавать только так, с 1 января 2020 года обязательной стала электронная бухгалтерская отчетность (для всех, кроме малых предприятий, на них правило распространяется, начиная с 1 января 2021 года).

Если количество сотрудников (среднесписочная численность) превысит определенное значение, то отчеты 6-НДФЛ, РСВ, СЗВ-М и другие придется тоже сдавать электронно.

Изменения законодательства нацелены на постепенный переход к электронной отчетности для всех. Что касается именно документооборота, то преимущества ЭДО для большинства пользователей уже очевидны — быстрый обмен, согласование и подписание документов ускоряют бизнес-процессы и упрощают ведение бухгалтерского учета.

Электронные документы подгружаются в бухгалтерскую программу и не требуют ручного ввода. Наверняка вы согласитесь, что это — приятный бонус.

Участники закупок наверняка в курсе, что подписание контрактов, обмен документами на площадке и получение документов за услуги самой ЭТП, тоже происходят в электронном виде. Вы не сможете отправить на электронный аукцион бумажную заявку.

Применение электронной подписи

К началу страницы

При подписании электронного документа формируется уникальный набор символов (hash), однозначно привязанный к содержанию электронного документа и созданный средством электронной подписи путем обработки этого электронного документа с помощью различных криптографических алгоритмов. Такой уникальный набор символов неразрывно связан с электронным документом: в случае изменения электронного документа, даже незначительного, например, добавления в текст пробела, электронный документ уже не будет соответствовать этому уникальному набору символов.

Средство электронной подписи шифрует уникальный набор символов (hash), используя ваш закрытый ключ. Зашифрованный уникальный набор символов и есть электронная подпись на электронном документе. Она может быть, как встроенной в электронный документ, так и отсоединенной от него и преобразованной в отдельный файл.

При направлении адресату подписанного электронного документа (документ подпись) необходимо направлять еще сертификат ключа проверки электронной подписи, полученный вами в удостоверяющем центре, чтобы обеспечить адресату возможность проверки авторства и неизменности документа.

Термины

К началу страницы

Электронная подпись – это аналог собственноручной подписи для подписания электронных документов.

Сертификат ключа проверки электронной подписи (сертификат электронной подписи, квалифицированный сертификат электронной подписи) – это электронный и бумажный документ, который подтверждает связь электронной подписи с ее владельцем (человеком или организацией).

Открытый ключ (ключ проверки электронной подписи) – это уникальный набор символов (байт), сформированный средством электронной подписи и однозначно привязанный к закрытому (секретному) ключу. Открытый ключ необходим для того, чтобы любой желающий мог проверить электронную подпись на электронном документе. Он передается получателю электронного документа в составе файла электронной подписи и может быть известен всем.

Закрытый (секретный) ключ электронной подписи – это уникальный набор символов (байт), сформированный средством электронной подписи. Используется для формирования самой электронной подписи на электронном документе и хранится в зашифрованном виде на ключевом носителе. Доступ к закрытому ключу защищен паролем (PIN-кодом) и его нужно хранить в секрете.

Ключевая пара – это набор из открытого и закрытого ключей электронной подписи, однозначно привязанных к друг другу.

Ключевой носитель – это устройство для хранения закрытого ключа. Ключевой носитель внешне напоминает “флешку” для компьютера, но отличается по своим свойствам: память у него защищена паролем (PIN-кодом). Может иметь встроенное средство электронной подписи.

Средство электронной подписи – это программно-аппаратное или только программное средство, предназначенное для создания ключевой пары, формирования и проверки электронной подписи на электронном документе. Его еще называют “криптопровайдером” или СКЗИ (средством криптографической защиты информации).

Термины и определении

Информация ограниченного доступа – информация, доступ к которой ограничен федеральными законами;

Исходная ключевая информация – совокупность данных, предназначенных для выработки по определенным правилам криптоключей;

Ключевая информация – специальным образом организованная совокупность криптоключей, предназначенная для осуществления криптографической защиты информации в течение определенного срока;

Ключевой документ – физический носитель определенной структуры, содержащий ключевую информацию (исходную ключевую информацию), а при необходимости – контрольную, служебную и технологическую информацию.

Ключевой носитель – физический носитель определенной структуры, предназначенный для размещения на нем ключевой информации (исходной ключевой информации).

Компрометация – хищение, утрата, разглашение, несанкционированное копирование и другие происшествия, связанные с криптоключами и ключевыми носителями, в результате которых криптоключи могут стать доступными несанкционированным лицам и (или) процессам.

Криптографический ключ (криптоключ) – совокупность данных, обеспечивающая выбор одного конкретного криптографического преобразования из числа всех возможных в данной криптографической системе;

Орган криптографической защиты (ОКЗ) – структурное подразделение Организации, работник Организации или стороннее юридическое лицо, на которое возложены обязанности по разработке и осуществлении мероприятий по организации и обеспечению безопасности хранения, обработки и передачи с использованием СКЗИ информации ограниченного доступа.

Ответственный за организацию работ по криптографической защите информации (Ответственный) – сотрудник Организации, отвечающий за реализацию мероприятий, связанных с обеспечением в Организации безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ информации ограниченного доступа.

Персональный компьютер (ПК) – вычислительная машина, предназначенная для эксплуатации пользователем Организации в рамках исполнения должностных обязанностей.

Пользователи СКЗИ – работники Организации, непосредственно допущенные к работе с СКЗИ.

Средство криптографической защиты информации (СКЗИ) – совокупность аппаратных и (или) программных компонентов, предназначенных для подписания электронных документов и сообщений электронной подписью, шифрования этих документов при передаче по открытым каналам, защиты информации при передаче по каналам связи, защиты информации от несанкционированного доступа при ее обработке и хранении.

Электронная подпись – информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию.

Термины и определения

Информация ограниченного доступа – информация, доступ к которой ограничен федеральными законами;

Ответственный за организацию работ по криптографической защите информации (Ответственный) – сотрудник Организации, отвечающий за реализацию мероприятий связанных с обеспечением в Организации безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ информации ограниченного доступа.

Пользователи СКЗИ – работники Организации, непосредственно допущенные к работе с СКЗИ.