Приложение 2. Порядок обеспечения информационной безопасности при использовании средств криптографической защиты информации

Приложение 2

к письму Банка России

от 29 декабря 2010 года N 180-Т

"Об условиях соглашений, определяющих

особенности (условия) взаимодействия

территориального учреждения Банка

России и органа Федерального

казначейства, территориального

учреждения Банка России

и кредитной организации (филиала)

при передаче органу Федерального

казначейства принятой в электронном

виде от кредитных организаций

(филиалов) информации, содержащейся

в платежных документах физических лиц"

ПОРЯДОК

ОБЕСПЕЧЕНИЯ ИНФОРМАЦИОННОЙ БЕЗОПАСНОСТИ ПРИ ИСПОЛЬЗОВАНИИ

СРЕДСТВ КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

1. Установка и настройка СКЗИ на автоматизированных рабочих местах (далее - АРМ) пользователей выполняются с учетом требований, изложенных в эксплуатационной документации на СКЗИ, в присутствии администратора информационной безопасности, назначаемого владельцем ключа КА и (или) ключа шифрования. При каждом запуске АРМ должен быть обеспечен контроль целостности установленного программного обеспечения СКЗИ.

2. Органом Федерального казначейства, кредитной организацией и Банком России определяются и утверждаются порядок учета, хранения и использования носителей ключевой информации (ключевых дискет, ключевых идентификаторов Touch Memory, ключевых Smart-карточек и других носителей ключевой информации) с секретными ключами КА и (или) ключами шифрования, который должен полностью исключать возможность несанкционированного доступа к ним.

3. Ответственность за содержание данных, включаемых в сообщение, несет владелец ключа КА, которым снабжено сообщение.

4. Список лиц, имеющих доступ к секретным ключам КА и (или) ключам шифрования (с указанием конкретной информации для каждого лица) утверждается руководителем (или замещающим его лицом) владельца ключа КА и (или) ключа шифрования. Доступ лиц, не допущенных к носителям ключевой информации, должен быть исключен.

5. Для хранения носителей ключевой информации с секретными ключами КА и (или) ключами шифрования должны использоваться металлические шкафы (сейфы). Хранение носителей ключевой информации с секретными ключами КА и (или) ключами шифрования допускается в одном металлическом шкафу (сейфе) с другими документами в отдельном контейнере, опечатываемом пользователем ключа КА и (или) ключа шифрования.

6. В течение рабочего дня вне времени составления, передачи и получения сообщений, а также по окончании рабочего дня носители ключевой информации с секретными ключами КА и (или) ключами шифрования помещаются в металлические шкафы (сейфы).

7. Не допускается:

снимать несанкционированные копии с носителей ключевой информации;

знакомить с содержанием носителей ключевой информации или передавать носители ключевой информации лицам, к ним не допущенным;

выводить секретные ключи КА и (или) ключи шифрования на дисплей (монитор) электронно-вычислительной машины (ЭВМ) или принтер;

устанавливать носитель секретных ключей КА и (или) ключей шифрования в считывающее устройство АРМ, аппаратные и (или) программные средства которого функционируют в непредусмотренных (нештатных) режимах, а также на другие ЭВМ;

записывать на носители ключевой информации постороннюю информацию.

8. При компрометации секретного ключа КА и (или) ключа шифрования владелец ключа КА и (или) ключа шифрования, допустивший компрометацию, обязан предпринять все меры для прекращения любых операций с использованием этого ключа и немедленно проинформировать о факте компрометации регистрационный центр, который организует внеплановую смену ключей КА и (или) ключей шифрования.

9. По факту компрометации ключа КА и (или) ключа шифрования владелец ключа КА и (или) ключа шифрования, допустивший компрометацию, должен организовать служебное расследование, документально оформленные результаты которого представляются в регистрационный центр.

10. В случае увольнения или перевода в другое подразделение (на другую должность), изменения функциональных обязанностей работника владельца ключа КА и (или) ключа шифрования (пользователя ключа КА и (или) ключа шифрования), имевшего доступ к секретным ключам КА и (или) ключам шифрования, должна быть проведена замена ключей КА и (или) ключей шифрования, к которым указанный работник имел доступ.