Uputstvo o postupku evidentiranja, izdavanja i prenosa sredstava kriptografske zaštite informacija, elektronskih potpisa, operativno-tehničke dokumentacije i ključnih dokumenata. Dnevnik obračuna kriptografskih informacija, operativne i tehničke dokumentacije za njih, ključ
Upotreba digitalnih certifikata i ključnih medija je obavezna praksa mnogih kompanija. Koriste se u unutrašnje svrhe - zaštitu Email, interni tok dokumenata, autentikacija korisnika, dakle za komunikaciju sa trećim licima pri radu trgovačke platforme, u daljinskom bankarstvu i za formiranje kvalifikovanog elektronskog digitalnog potpisa (EDS). Certifikate elektroničkog ključa mogu izdati i vlastiti certifikacijski centri kompanije i akreditovane organizacije treće strane. Upravljanje raštrkanom populacijom ključnih nosilaca postaje složen zadatak koji su specijalizovani sistemi pozvani da reše. Indeed Certificate Manager nudi centralizirane i efikasno rešenje ovaj zadatak.
Opis zadatka
IN opšti pogled Mogu se formulirati sljedeći zadaci upravljanja medijima i certifikatima:
- Kontrola upotrebe sertifikata i ključnih medija od strane zaposlenih u kompaniji
- Obračun certifikata trećih strana izdatih od strane vanjskih CA za rad u uslugama daljinskog bankarstva, trgovačkim platformama, EGAIS-u itd.
- Održavanje elektronskog dnevnika kriptografskih informacija
Rješenje
Da bi riješio sve ove probleme, Indeed Certificate Manager je implementirao odgovarajuće funkcije.
Kontrola upotrebe certifikata i ključnih medija
Kako bi riješio problem praćenja upotrebe pametnih kartica, tokena i certifikata, Indeed CM je implementirao specijalizovani modul - Indeed CM klijent agent. Agent je instaliran na računarima korisnika i omogućava im da obavljaju niz operacija na daljinu:
- Prenesite informacije o ključnim medijima koji se koriste na Indeed CM server - na koji računar su tokeni trenutno povezani i koji korisnik radi na računaru
- Blokirajte Windows sesiju ili medij ključa u slučaju kršenja pravila korištenja. Na primjer, CIPF pametna kartica (token) može biti povezana s korisničkim računom ili PC-om; ako trenutni korisnik ili PC ne odgovaraju dodijeljenim, agent može blokirati pametnu karticu
- Promjena PIN koda na zahtjev administratora
- Blokiranje medija na zahtjev administratora
- Ažuriranje certifikata na mediju
- Uklanjanje informacija sa ključnih medija
Dakle, agent omogućava administratorima da vrše reviziju korišćenja pametnih kartica i tokena i daljinski obavljaju operacije sa ključnim medijima na računaru korisnika. Agent također može spriječiti neovlaštenu upotrebu medija.
Pored agenta, Indeed CM može pratiti status korisničkog računa u Active Directory-u i suspendirati certifikate korisnika čiji Računi bili onemogućeni. Ovo vam omogućava da prestanete da koristite sertifikate tokom odmora ili otpuštanja zaposlenog.
Računovodstvo sertifikata trećih lica
Informacije o certifikatima već snimljenim na mediju čitaju se kada je medij dodijeljen korisniku i prikazuju se u njegovom profilu. Kada se približi datum isteka takvih certifikata, sistem će obavijestiti korisnika i/ili administratora o potrebi obnove certifikata.
Održavanje elektronskog časopisa CIPF-a
Da bi se uskladila sa regulatornim zahtjevima, organizacija će možda morati voditi dnevnik kriptografskih informacija. Zaista CM vam omogućava da održavate takvu prijavu u elektronskom formatu. Kada se izdaju certifikati, novi CIPF će se automatski dodati u dnevnik. Administrator također može ručno dodati dodatne CIPF različitih tipova, uključujući i svoj vlastiti, koji nisu uključeni u standardni set. Dnevnik se može pogledati u Indeed CM admin interfejsu, dnevnik se takođe može izvesti u poseban dokument, čiji se format može prilagoditi zahtevima organizacije.
Ispod je dijagram općeg rješenja.
Indeed Certificate Manager uključuje sljedeće glavne komponente:
Zaista CM Server- glavna komponenta Indeed CM infrastrukture. To je ASP.Net aplikacija koja radi na serveru Internet Information Services (IIS). Indeed CM Server pruža centralizovano upravljanje korisnicima sistema, repozitorijumom mapa, CIPF dnevnikom i bezbednosnim politikama. Indeed CM Server također pruža informacije od agenata i obavlja otključavanje pametne kartice i operacije evidentiranja događaja.
Dnevnik događaja- Zaista CM memorija događaja. Dnevnik bilježi sve događaje koji se odnose na životni ciklus pametne kartice i mijenjanje sistemskih parametara. Pregled dnevnika je dostupan u interfejsu Indeed CM administratorske konzole, gde takođe možete da pravite izveštaje na osnovu različitih kriterijuma.
CIPF Journal- elektronski dnevnik sredstava zaštite kriptografskih informacija. Časopis vam omogućava da ispunite zahtjeve regulatora u pogledu računovodstva kriptografskih informacija. Pregled dnevnika je dostupan u interfejsu Indeed CM administrativne konzole.
Ključni registar medija sadrži informacije o svim uređajima registrovanim u sistemu. Prikaz liste je dostupan u interfejsu Indeed CM administrativne konzole.
Zaista CM agent- komponenta klijenta koja implementira funkcije za kontrolu i praćenje upotrebe ključnih medija. Agent također omogućava daljinsko izvršavanje operacija sa pametnim karticama i tokenima: blokiranje, promjena PIN-a, ažuriranje certifikata ključeva elektronski potpis i sl.
Instrukcije
o postupku evidentiranja, izdavanja i prenosa sredstava kriptografske zaštite
informacije, elektronski potpis, operativni i tehnički
dokumentaciju i ključne dokumente
1. Računovodstvo sredstava kriptografske zaštite informacija (CIPF), operativno-tehničke dokumentacije za CIPF, ključnih dokumenata i elektronskih potpisa organizovano je u skladu sa zahtjevima „Uputstva o organizaciji i osiguranju sigurnosti skladištenja, obrade i prijenosa putem komunikacije kanali koji koriste sredstva kriptografske zaštite informacija sa ograničenim pristupom koji ne sadrže informacije koje predstavljaju državnu tajnu”, odobreno naredbom Federalne agencije za vladine komunikacije i informacije (FAGSI) pod predsjednikom Ruska Federacija od 01.01.2001. br. 152 (u daljem tekstu Uputstvo br. 152), Pravila za upotrebu CIPF-a, odobrena od strane programera CIPF-a.
2. Dostava kriptografskih informacija organizaciji mora se vršiti kurirskom komunikacijom (posebna komunikacija), ili direktno od strane zaposlenika same organizacije, na isti način se mora izvršiti prijenos kriptografskih informacija do krajnjeg korisnika, u u skladu sa tačkom 32 Uputstva br. 000.
3. Redosled pakovanja CIPF-a mora biti u skladu sa zahtevima tačke 33, tačka 34 Uputstva br. 000.
4. Prijenos CIPF-a je formaliziran potvrdama o prijemu, ili potvrđen pratećim otpremnim dokumentima.
5. Prilikom prenosa CIPF-a ovlašćenom kuriru, kurir potpisuje potvrde o prijemu i prenosu CIPF-a, datum i broj akta se upisuju u odgovarajuće knjigovodstvene dnevnike.
6. Evidentno knjigovodstvo CIPF-a primljeno od programera, proizvođača i dobavljača CIPF-a mora se voditi u Dnevniku knjigovodstva CIPF-a, operativno-tehničkoj dokumentaciji za njih, ključnim dokumentima (za vlasnika povjerljivih informacije) (klauzula 26, Dodatak Uputstvu br. 000). Računovodstvo vodi odgovorni korisnik kripto sredstava.
7. Primjer upisa u Dnevnik za pojedinačne primjerke CIPF-a, operativnu i tehničku dokumentaciju za njih, ključne dokumente (za vlasnika povjerljivih informacija) prikazan je u tabeli 1.
Tabela 1.
br. | Pečat o prijemu | Oznaka izdavanja | Prijavite se na priključak (instalaciju) CIPF-a | Napomena o uklanjanju CIPF-a iz hardvera, uništavanju ključnih dokumenata | Bilješka |
||||||||||
| Od koga je primio | Datum i broj propratnog pisma | Puno ime CIPF korisnika | Puno ime zaposlenih u organu kriptografske zaštite, korisnika CIPF-a koji je izvršio vezu (instalaciju) | Datum priključenja (montaže) i potpisi lica koja su izvršila priključenje (instalaciju) | Broj hardvera u kojem je CIPF instaliran ili povezan | Datum oduzimanja (uništenja) | Puno ime i prezime radnika organa za kriptografsku zaštitu, korisnika kriptografskog sistema zaštite informacija, koji su izvršili zapljenu (uništenje) | Bilješka |
|||||||
Tahograf Mercury TA-001 | 19S3A00113906524 | DOO "Infocentar" | broj 000 od 14.04.15 | ||||||||||||
USB uređaj S-Terra “Post” | 8544391000321DFA | DOO "Infocentar" | broj 000 od 14.04.15 | Kraftway Terminal Station | |||||||||||
Tahografska kartica "Diamant" | RUX1234567891234 | DOO "Infocentar" | broj 000 od 14.04.15 | Potvrda o prijemu i prenosu od 01.01.2001 |
8. Sve kopije CIPF-a, operativne i tehničke dokumentacije za njih, ključna dokumenta koja se prenose trećim licima moraju se izdati prema potvrdi o prihvatanju i uzeti u obzir u odgovarajućem registru kopija CIPF-a, operativno-tehničke dokumentacije za njih, ključnih dokumenata (za autoritet za kriptografsku zaštitu) (klauzula 26, Dodatak Uputstvu br. 152). Računovodstvo vodi odgovorni korisnik kripto sredstava.
9. Primjer unosa za računovodstvo CIPF-a prilikom prijenosa na treće lice prikazan je u tabeli 2.
Tabela 2.
br. | Naziv CIPF-a, operativna i tehnička dokumentacija za njih, ključni dokumenti | Serijski brojevi CIPF-a, operativna i tehnička dokumentacija za njih, serijski brojevi ključnih dokumenata | Kopirajte brojeve (kriptografske brojeve) ključnih dokumenata | Pečat o prijemu | Povratna oznaka | Datum stupanja na snagu | Datum penzionisanja | Napomena o uništavanju zaštite kriptografskih informacija i ključnih dokumenata | Bilješka |
|||||||
| Od koga je primljeno ili puno ime i prezime uposlenika OKZ-a koji je pripremio ključne dokumente | Datum i broj propratnog pisma ili datum izrade ključnih dokumenata i prijema proizvodnje | Poslano kome | Datum i broj pratećeg dokumenta | Datum i broj potvrde ili priznanice | Datum i broj pratećeg dokumenta | Datum i broj potvrde | Datum uništenja | Broj akta ili potvrde o uništenju | Bilješka |
|||||||
Tahograf Mercury TA-001 | 19S3A00113906524 | DOO "Infocentar" | broj 000 od 14.04.15 | Potvrda o izdavanju/vraćanju opreme/softvera/kartica 000000027 od 01.01.2001. 10:04:59 | Potvrda o izdavanju/vraćanju opreme/softvera/kartica 000000027 od 01.01.2001. 10:04:59 | |||||||||||
Stirch KKM | DOO "Infocentar" | broj 000 od 14.04.15 | ||||||||||||||
Tahograf Mercury TA-002 | 15S3A0078906111 | DOO "Infocentar" | broj 000 od 14.04.15 |
10. Odgovorni korisnik kripto-fondova otvara i vodi lični račun za svakog korisnika CIPF-a (svaku organizaciju na koju se CIPF prenosi), u koji registruje CIPF registrovan kod njih, operativnu i tehničku dokumentaciju za njih i ključnu dokumentaciju. . Preporučeni standardni obrazac ličnog računa za korisnika CIPF-a dat je u prilogu ovog uputstva.
11. Primjer vođenja ličnog računa za korisnika CIPF-a prikazan je u tabeli 3.
Tabela 3
Naziv CIPF-a, operativna i tehnička dokumentacija za njih, ključni dokumenti | Kopirajte brojeve (kriptografske brojeve) ključnih dokumenata | Odgovorni izvršilac | Bilješka |
|||||
Tahograf Mercury TA-001 | 19S3A00113906524 | broj 000 od 14.04.15 | Potvrda o izdavanju/vraćanju opreme/softvera/kartica 000000027 od 01.01.2001. 10:04:59 | |||||
Stirch KKM | broj 000 od 14.04.15 | |||||||
Tahograf Mercury TA-002 | 15S3A0078906111 | broj 000 od 14.04.15 |
12. Sva primljena, korištena, pohranjena ili prenesena CIPF, operativna i tehnička dokumentacija za njih, ključni dokumenti podliježu kopiranju. Jedinica obračuna kopija po kopija ključnih dokumenata smatra se višekratnim ključnim medijem, ključnom notesom. Ako se isti medij ključeva više puta koristi za snimanje kripto ključeva, onda ga svaki put treba posebno registrovati.
Jedinice individualnog računovodstva mogu biti:
eToken (kom.) – nosač ključa;
JKarta (kom.) – nosač ključeva;
Tahograf (kom.) - hardver u koji je CIPF instaliran ili povezan;
NKM blok (kom) – okovi CIPF;
CIPF obrazac (kopija) – operativna ili tehnička dokumentacija.
13. Primjer unosa u Tehnički (hardverski) dnevnik je prikazan u tabeli 4.
Tabela 4
№ | datum | Vrsta i registarski broj CIPF-a | Zapisnik o održavanju | Korišteni kripto ključevi | Oznaka uništenja (brisanja). | Bilješka | ||||
Ključna vrsta dokumenta | Serijski broj i kopija ključnog dokumenta | Broj kripto operatera | Datum uništenja | Odgovoran za uništenje | ||||||
USB uređaj S-Terra “Post” Registarski broj 2 | Promijenite PIN kod | USB uređaj | 8544391000321DFA kopija 1 | |||||||
14. Računovodstvo CIPF-a, elektronskih sredstava, operativne i tehničke dokumentacije, ključnih dokumenata i informacija mora biti organizovano na papiru ili elektronski korišćenjem automatizovanog informacionog sistema, što se mora utvrditi nalogom rukovodioca organizacije, vidi sl. 1.
15. Prenos CIPF-a, operativne i tehničke dokumentacije za njih i ključnih dokumenata dozvoljen je samo potvrdom o prijemu i upisom u odgovarajuće registre kopija po kopija.
16. Preporučuje se da odgovorni korisnik kriptovaluta u organizaciji imenuje osobu odgovornu za osiguranje sigurnosti ličnih podataka u informacionom sistemu ličnih podataka.
17. Obavljanje neposrednih poslova evidentiranja CIPF-a, operativne i tehničke dokumentacije za njih, ključnih dokumenata, u skladu sa funkcionalnim nadležnostima i uputstvima, povjerava se administratoru informacione sigurnosti ili licu sa odgovarajućim funkcionalnim odgovornostima.
______________________
Aplikacija
Uputstvu o postupku evidentiranja izdavanja i prenosa sredstava kriptografske zaštite
informacije, elektronski potpis, operativno-tehničku dokumentaciju i ključnu dokumentaciju
LIČNI RAČUN KORISNIKA KRIPTO SREDSTAVA
_____________________________________________________________________________________________
(naziv organizacije ili puno ime i radno mjesto zaposlenog)
br. | Naziv CIPF-a, operativna i tehnička dokumentacija za njih, ključni dokumenti | Registarski brojevi CIPF-a, operativna i tehnička dokumentacija za njih, serijski brojevi ključnih dokumenata | Kopirajte brojeve (kriptografske brojeve) ključnih dokumenata | Broj i datum pratećeg dokumenta po prijemu | Broj i datum pratećeg dokumenta pri prenosu | Odgovorni izvršilac | Bilješka |
|
___________________________
REFERENTNA LISTA
Ovaj članak će biti od interesa kako za stručnjake s dugogodišnjim iskustvom u informacionoj sigurnosti, tako i za ljude koji su se suočili sa činjenicom ili su preuzeli teret odgovornosti za obavljanje poslova zaštite.
Provjerite u posebnoj organizaciji
Uvod
Početni podaci: Potpuni nedostatak obavljenog posla na zaštiti ličnih podataka, uključujući korištenje CIPF-a. Mala mreža sa 40 radnih stanica. Ništa natprirodno u smislu interakcije ISPD-a i drugih informacija. Sve je kao i svi ostali. Postoji računovodstveno, kadrovsko, administrativno i nekoliko odjela prema profilu organizacije.
Prvo poglavlje. Dokumenti o ličnim podacima
Komisija skreće pažnju na opis informacionih sistema: na osnovu čega su kreirani, šta se obrađuje (kategorije ličnih podataka) i za koju svrhu, strukturu sistema i namenu podsistema.
Ali glavni dokument na kojem su puno radili je Lista IP-a (prema PP211). Vidio sam ovaj dokument, u kojem su, pored zaglavlja organizacije i potpisa šefa, bila samo 2 reda: ISPDn „Računovodstvo“, ISPDn „Odjel za ljudske resurse“. Uredio sam ovaj dokument i učinio ga lakšim za upotrebu. Detaljno je opisano za svaki IS:
Svrha(na primjer, podsistem dizajniran za automatizaciju poreza i računovodstvo i priprema obaveznog izvještavanja, kao i obračun plata, obračun poreza, generiranje izvještaja i potvrda u državnim organima i socijalni fondovi);
Implementacija(Na primjer - Podsistem je implementiran u obliku datoteka standardnih uredskih aplikacija MS Office i sistemi za automatizaciju toka dokumenata i kancelarijskog rada EDMS "Delo-Web");
Ulaz Izlaz(Na primjer - Dolaze informacijepodsistem unosom podataka od strane operaterakao i u obliku poruka elektronske pošte);
Tretman(Na primjer - Način obrade pruža sljedeće radnje sa podaci: prikupljanje, sistematizacija, pojašnjenje...);
Skladištenje(na primjer - podaci se pohranjuju na radnoj stanici operatera);
Interakcija(na primjer - Odlazne informacije se prenose u obliku izvještaja na ... koristeći digitalni potpis i softversku biblioteku za informatičku sigurnost “CryptoPro” u elektronskom obliku putem kanala na Internetu preko “VLSI”.).
Navedene su i glavne karakteristike IP-a (Način obrade PD ( višekorisnički), diferencijacija prava pristupa ( sa razgraničenjem), razmjer IP-a, klasa sigurnosti...) generalno, kako je provjera pokazala, gospodi iz FSB-a se to jako svidjelo, a kao rezultat toga, ispalo je najviše „zaglavljeno“.
Također smo detaljno ispitali dokumente kao što su modeli prijetnji od uljeza, korisnička uputstva administratora i dokumenti koji odražavaju određivanje nivoa PD sigurnosti (i sve količine PD-a koji iz toga proizilaze, vrste prijetnji i kategorije PD-a - sve bi trebalo biti odraženo u dokumente).
Poglavlje drugo. Ispunjenje uslova za CIPF
Glavni dokumenti u ovoj oblasti su 152 FAPSI i 378 FSB. Ove godine obilježavamo prekretnicu od 15 godina od raspuštanja FAPSI-ja.
Provjereno je i prisustvo trupaca. Lično, Journal Book me je nasmejao (vrhunac birokratije).
U skladu sa tačkom 30. FAPSI-a, potrebno je voditi evidenciju o zaštiti kriptografskih informacija i ključnih dokumenata kopiju po kopiju.
Osnovni dokumenti: Akt o utvrđivanju nivoa kriptografske zaštite informacija kojim se utvrđuje klasa CIPF-a koji se koristi. Dnevnik knjigovodstva primjerka po primjerak CIPF-a i tehničke dokumentacije. Dnevnik ključne dokumentacije.
Što se tiče skladištenja ključnih dokumenata i CIPF distribucija, sve je zanimljivo. U našoj organizaciji imamo dosta elektronskih potpisa. Organiziranje lične kutije za željezo za svakog korisnika je izvodljivo, ali skupo. A vrijeme je istjecalo. Međutim, i dalje smo osigurali izostanak nekontrolisanog pristupa CIPF-u. Za svakog korisnika kupljene su plastične cijevi za ključeve (50 rubalja) i metalne brtve (400 rubalja). Izdavanje pečata korisniku se odražava u Dnevniku pečata. Svaki korisnik je dobio instrukcije da na kraju radnog dana mora staviti e-token u tubu, zapečatiti ga i zaključati u ladici svog stola. Prvi primjerak ključeva od stolova čuvan je u kovertama u sefu čelnika organizacije, drugi primjerak je korisnik ponio sa sobom. Pored toga, kupljene su čaše za pečaćenje i izrađene liste lica sa slobodnim pristupom prostorijama kod CIPF-a (a prije toga, Spisak lica ovlaštenih za obradu PD, Spisak lica primljenih u prostorije u kojima se obrađuje PD (čl. 8a 8b P br. 378), i Spisak korisnika CIPF-a). Na kraju radnog dana, prostor je zapečatio jedan od korisnika CIPF-a.
Sve automatizovane radne stanice sa instaliranim CIPF-om i softversko-hardverskim CIPF-om opremljene su sredstvima kontrole njihovog otvaranja u skladu sa stavom 31. FAPSI. Tu mi je dobro došlo iskustvo sa prethodnog posla. Sistemske jedinice moraju biti zapečaćene. Ali sa čime? Koji pečat? Gdje ga mogu nabaviti? Kako to uzeti u obzir? Postupili smo na sljedeći način: u Riječ Izrađen je plavi pečat sa nazivom organizacije, datumom i mjestom pod potpisom odgovorne osobe koja je instalirala Crypto-pro na radnu stanicu. Nabavljen je list samoljepljivog A4 papira koji je odštampan na inkjet štampaču u boji (nemojte štampati na laseru, ovo je loša ideja). Prema rezultatima, sistemske jedinice sa instaliranim Crypto-pro su zapečaćene na dva mesta kako bi se sprečilo nekontrolisano otvaranje. Korisnik je svakodnevno vizuelno provjeravao ove naljepnice i to je navedeno u Pravilniku o korištenju CIPF-a u organizaciji, Uputstvu za korisnike za administratora CIPF-a.
Svi korišćeni CIPF i ključni mediji imaju dokumente koji potvrđuju poštovanje mera za sprečavanje nekontrolisanog pristupa njima tokom isporuke. Potrebno je dostaviti potvrde o prijemu, propratna pisma i punomoćja (o njima detaljnije u nastavku), akti o naručivanju.
U našoj organizaciji je izrađena Naredba u kojoj je imenovana osoba odgovorna za CIPF, koja je primala Crypto-pro i e-tokene, a zatim ih izdavala korisnicima prema Registru kopija CIPF-a, operativno-tehničke dokumentacije za njih, i ključni dokumenti.
Ne znam za vašu organizaciju, ali u našoj menadžer ima oko 5 digitalnih potpisa za rad u raznim sistemima. ALI! On lično ništa ne potpisuje. Recepcionar, računovođa, kadrovska služba to rade umjesto njega... Kako se to može učiniti?
Izdaje se punomoćje kojim se zaposleni ovlašćuje da koristi digitalni potpis za rad u tim i takvim informacionim sistemima u te i te svrhe. Ne zaboravite odrediti uslove punomoći.
Utvrđen je postupak postupanja u slučaju kompromitacije (klauzula 5.0 FAPSI), te postupak uništavanja CIPF-a (tačka 4.14 FAPSI). Sve je to opisano u “Pravilniku o postupku korištenja alata za zaštitu kriptografskih informacija i ključnih informacija za njih”.
Osim toga, korištenje CIPF-a se vrši u skladu sa obrascima za njih (popunjena je tabela za dodjelu CIPF-a korisniku).
Treće poglavlje. Zahtjevi za prostorije
Kao što sam već napisao, prostorije kod CIPF-a su zapečaćene (klauzula 59 FAPSI) na kraju radnog dana. Također imaju jake brave i protupožarni alarm (klauzula 6a PN br. 378).
Pored svih spiskova primljenih u prostorije (klauzula 6c P br. 378) o kojima sam gore pisao, postoji i Pravilnik o pristupu prostorijama sa komponentama CIPF-a koji definiše pravila pristupa prostorijama za vreme rada i van rada. -radnim vremenom, kao iu vanrednim situacijama. (klauzula 6a P br. 378). U skladu sa istim propisima organizovano je obezbjeđenje (za provjeru je bilo potrebno pokazati ugovor sa obezbjeđenjem) (tačka 54.63 FAPSI).
Četvrto poglavlje. Osoblje
Komisiji su dostavljeni dokumenti koji potvrđuju da odgovorni korisnici CIPF-a imaju neophodan nivo kvalifikacija za osiguranje zaštite ličnih podataka korištenjem CIPF-a (član 13. FAPSI-a). Administrator informacione sigurnosti i odgovorno lice za CIPF završili su kurseve napredne obuke (dostavljena dokumentacija za komisiju) (klauzula 17 FAPSI). Dostavljeni su i dokumenti koji potvrđuju pismeno upoznavanje odgovornih korisnika zaštite kriptografskih informacija sa Uputstvima korisnika za zaštitu kriptografskih informacija, Pravilnikom o pristupu prostorijama sa zaštitom kriptografskih informacija, te Pravilnikom o postupku korištenja zaštite kriptografskih informacija.
Dostupnost odobrenih funkcionalne odgovornosti Zaposleni u OKZI-u (klauzula 18 FAPSI). Svi oni su sadržani u naredbi o CIPF-u. Uveo je režim zaštite informacija koristeći CIPF, dodijeljen odgovorna lica(uputstvo administratora CIPF-a - poseban dokument) i komisija za određivanje klase CIPF-a. Osim toga, u opisi poslova izvršene su i promjene.
Što se tiče implementacije klauzule 21 FAPSI-a, mogućnost da se zaposlenima omogući samostalan rad sa CIPF-om ogleda se u “Potvrdi o puštanju u rad CIPF-a” koja je izrađena u 2 primjerka, jedan je zadržao korisnik, drugi kod CIPF-a. osoba odgovorna za CIPF.
Svim korisnicima su data detaljna uputstva, a komisija je sa svakim obavila razgovor. Pitali su o glavnim točkama poznavanja korisničkog priručnika, za šta se koristi digitalni potpis, koje programe koriste, gdje se prenose, kako se digitalni potpis pohranjuje i kako je zapečaćen. I takođe, ko je instalirao crypto-pro na radnoj stanici.
Računovođa je zatražen dogovor sa bankom i raspitivan o procesu prenosa obračunskih podataka u banku plate. VLSI program zaslužuje posebnu pažnju.
Što se tiče programa koji se koriste. Koristeći poseban softver, sastavljena je lista softvera odobrenog za upotrebu za svaku radnu stanicu. Svako automatizovano radno mesto imalo je svoj inventarni broj.
Poglavlje pet. Organizacione mjere
Uglavnom u našoj organizaciji elektronsko upravljanje dokumentima i svi fajlovi se šalju preko mreže. Ali računovodstvo ima jedan fleš disk na koji učitavaju izvještaje. Pojedinačno obračunavanje računarskih medija za skladištenje ličnih podataka vodi se u „Dnevniku evidentiranja računarskih medija za skladištenje“. Fleš disk je izdat uz potpis da bi službenik obavljao službene poslove. Na kraju radnog dana pohranjuje ga zajedno sa e-tokenom. Uputstva korisnika/administratora sadrže relevantne tačke za snimanje, pohranjivanje, prijenos i uništavanje ovog fleš diska.
Osim toga, svi tvrdi diskovi su evidentirani u odgovarajućem dnevniku. Kako se to radi? Ne, ne, nisam rastavljao svaku radnu stanicu i zalijepio broj na nju, niti sam pogledao broj na njoj. Koristeći isti AIDA 64 možete vidjeti jedinstveni broj diska.
Među ostalim komentarima, ovaj se izdvojio. Stvar se tiče Metodološke preporuke od 01.03.2015.godine broj 149/7/2/6-432. Obratite pažnju na ovaj dokument, on je javno dostupan na web stranici FSB-a. U skladu s tim, potrebno je izraditi dokument koji će identificirati generalizirane mogućnosti izvora napada i, kao rezultat, listu organizacionih i tehničkih mjera, čija će implementacija pomoći u neutralizaciji prijetnji sigurnosti ličnih podataka.
Pogovor
Količina:
Cijena: 35
Popust: %?
Imamo sistem popusta
uzmite više - platite manje
pri narudžbi od 50 kom. - 5% popusta
pri narudžbi od 100 kom. - 10% popusta
pri narudžbi od 300 kom. - 15% popusta
pri narudžbi od 500 kom. - 20% popusta
pri narudžbi od 1000 kom. - 25% popusta
Suma:
sa PDV-om 20%
X
Opet si naručio tanki magazin.
Možda vam je potreban časopis sa više stranica i drugim karakteristikama.
Molimo koristite kalkulator
Sredstva kriptografske zaštite informacija (CIPF) Danas se koriste u gotovo svim kompanijama, bilo pri razmjeni podataka sa drugim ugovornim stranama, bilo pri komunikaciji i slanju naloga za plaćanje banci, koristeći program klijent banke.
Ali ne znaju svi da se prema zakonu moraju uzeti u obzir ključevi za šifriranje.
U ovom članku govorit ću o računovodstvu sredstava za zaštitu kriptografskih informacija i pružiti linkove na pravne akte Ruske Federacije.
Glavni zakoni koji regulišu CIPF su:
Naredba FSB-a Ruske Federacije od 9. februara 2005. N 66 "O odobravanju Pravilnika o razvoju, proizvodnji, prodaji i radu šifriranih (kriptografskih) sredstava za sigurnost informacija (Propisi PKZ-2005)"
Naredba FAPSI od 13. juna 2001. godine br. 152 „O usvajanju Uputstva o organizovanju i obezbjeđivanju sigurnosti skladištenja, obrade i prijenosa putem komunikacijskih kanala korištenjem sredstava kriptografske zaštite informacija s ograničenim pristupom koje ne sadrže podatke koji predstavljaju državnu tajnu“ i Dodatak Naredbi FAPSI RF od 13.06.2001. N 152
Ako pogledate naredbu FSB-a br. 66 u dodatku u paragrafu 48, možete vidjeti sljedeći sadržaj:
48. CIPF i njihovi prototipovi podliježu registraciji kopija po instanca korištenjem indeksa ili konvencionalnih naziva i registarskih brojeva. Popis indeksa (konvencionalnih naziva) i registarskih brojeva za svaku kopiju uređaja za zaštitu kriptografskih informacija i njihovih prototipova utvrđuje FSB Rusije.
Organizacija snimanja kopija po kopija prototipova CIPF-a je odgovornost programera CIPF-a.
Organizacija obračuna kopija po instanca proizvedenog CIPF-a je odgovornost proizvođača CIPF-a.
Organizacija računovodstva kopija po instanca korištenog CIPF-a je odgovornost klijenta CIPF-a.
To znači da čak i ako jednostavna kompanija koja se ne bavi kreiranjem i prodajom alata za kriptografsku informacijsku sigurnost odluči kupiti nekoliko eToken USB ključeva, oni i dalje moraju biti uračunati i dodijeljeni krajnjem korisniku, odnosno zaposleniku. I prilično legalno FSB može provjeriti računovodstvo dolaskom u kancelariju bilo koje kompanije.
Ovo obračunavanje sredstava kriptografske zaštite informacija treba voditi u posebnom dnevniku, a još bolje, dodatno, u elektronskom obliku, gdje treba uzeti u obzir sljedeće podatke:
1. šta je dato
2. na čemu je izdata
3. koji je primio
4. koji je prošao
5. oznaka uništenja
Treba uzeti u obzir same elektronske ključeve, ključne medije, softver koji vrši kriptografske transformacije informacija, licence za pravo korištenja CIPF-a.
Dakle, CIPF za računovodstvo treba podijeliti na:
Nosač ključeva- fizički medij određene strukture namijenjen da sadrži ključne informacije (početne ključne informacije). Postoje jednokratni medijumi za ključeve (stol, bušena traka, bušena kartica, itd.) i mediji za višekratnu upotrebu (magnetna traka, disketa, CD, ključ podataka, pametna kartica, memorija na dodir, itd.).
Ključni dokument- fizički medij određene strukture koji sadrži ključne informacije (početne ključne informacije), a po potrebi i kontrolne, servisne i tehnološke informacije; (u suštini medij sa snimljenim tajnim ključem)
CIPF distribucija— sam softver (npr CryptoPro CSP, ovdje treba uzeti u obzir distribucijski broj, koji se nalazi u obrascu na CIPF-u)
CIPF licenca- sam po sebi nije alat za šifrovanje, ali ga takođe treba uzeti u obzir u logu, jer je bilo incidenata kada su kompanije kažnjene zbog toga, a čuo sam i slučajeve pokretanja krivičnih postupaka.
Inače, mnogi ljudi vode debatu o tome koja je razlika između ključnog dokumenta i ključnog medija. Neko je mišljenja da je ključni dokument sam po sebi ključni kontejner ili ključna informacija, i to je u principu logično, ali opis koji sam dao gore preuzet je iz dodatka Naredbi FAPSI od 13. juna 2001. godine broj 152, gde Jasno je navedeno da se radi o fizičkom mediju.
Stoga, s moje lične tačke gledišta, ovo treba shvatiti ne samo kao ključnu informaciju u elektronskom obliku, već kao fizički medij sa ključnim informacijama zapisanim na njemu. U principu, ovo nije teško uzeti u obzir, jer možete navesti broj operatera i identifikator tajnog ključa u jednom paragrafu u dnevniku.
U dodatku na Naredba FAPSI Ruske Federacije od 13. juna 2001. N 152, možete pronaći primjere standardnih časopisa za snimanje kriptografskih sredstava zaštite informacija. http://base.garant.ru/183628/#block_1000
Moje i ne samo moje mišljenje, za vođenje evidencije najbolje je voditi nekoliko dnevnika:
Dnevnik knjigovodstva kopija po instanca CIPF distributivnih kompleta.
Dnevnik registracije kopija po primjerak licenci za pravo korištenja CIPF-a.
Dnevnik obračuna kopija po primjerak ključnih dokumenata CIPF-a.
Dnevnik obračuna instance po instancu nosilaca hardverskih ključeva CIPF-a.
U časopisu knjiženja kopija po instanca distribucijskih kompleta alata za zaštitu kriptografskih informacija, CIPF se uzimaju u obzir prema distribucijskim brojevima evidentiranim u obrascu za proizvod.
U dnevniku kopije po instanci registracije licenci za pravo korištenja sredstava zaštite kriptografskih informacija, CIPF se evidentiraju po serijskim brojevima licence.
U dnevniku knjiženja kopija po primjerak ključnih dokumenata sredstava kriptografske zaštite informacija, CIPF se bilježi brojevima tokena (i oni su ispisani na svakom tokenu) ili brojevima diskete/fleš diska (serijski brojevi svezaka, koji se mogu vidjeti pomoću DIR naredbe), te imenom kripto kontejnera ili serijskim brojem ključ je također upisan u ovaj dnevnik.
U dnevniku obračuna instance po instancu nosilaca hardverskih ključeva sredstava za zaštitu kriptografskih informacija, CIPF se evidentiraju brojevima tokena (i oni se štampaju na svakom tokenu). Preporučljivo je koristiti ovaj dnevnik isključivo za pohranjene tokene koji su stigli u skladište, ali nisu nikome izdani i ne sadrže ključne informacije, ili su preneseni, ali bez ključnih informacija.
Kako biste pojednostavili računovodstvo, prilikom prijema većeg broja CIPF-a, trebate zatražiti računovodstvene podatke u elektronskom obliku od dobavljača ili kriptografskog tijela, kako ih ne bi ponovno štampali serijski brojevi ručno.
Primjeri dnevnika sigurnosti kriptografskih informacija mogu se naći na kraju dodatka naredbi FAPSI Ruske Federacije od 13. juna 2001. N 152.