7.2.5. Дополнительные требования использования криптографических средств

7.2.5. Дополнительные требования использования

криптографических средств

Средства криптографической защиты информации (СКЗИ) могут применяться для обеспечения конфиденциальности защищаемой информации, подтверждения подлинности передаваемых сообщений (придания юридической значимости электронным документам) или контроля целостности ИР.

Необходимость применения СКЗИ при защите ИР ФНС России определяется руководством ФНС России, как обладателем ИР.

Применяемые для защиты информации в ФНС России СКЗИ должны удовлетворять требованиям технических регламентов, оценка выполнения которых осуществляется в порядке, определяемом законодательством Российской Федерации. Применяемые СКЗИ должны поставляться разработчиками с полным комплектом эксплуатационной документации, включая описание ключевой системы, правил работы с ней, а также обоснование необходимого организационно-штатного обеспечения. А также иметь строгий регламент использования ключей, предполагающий контроль со стороны администратора ИБ за действиями пользователей ИС налоговых органов на всех этапах работы с ключевой информацией (получение ключевого носителя, ввод ключей, использование ключей и сдача ключевого носителя).

Применяемые в ФНС России СКЗИ должны обеспечивать:

встраивание в действующую в налоговых органах технологическую схему обработки электронных сообщений;

взаимодействие с прикладным программным обеспечением ИС налоговых органов на уровне обработки запросов на криптографические преобразования и выдачи результатов;

реализацию процедур сброса ключей в случаях отсутствия штатной активности пользователей в соответствии с регламентом использования ключей или при переходе ИС налоговых органов в нештатный режим работы.

При применении СКЗИ в ИС налоговых органов должны поддерживаться непрерывность процессов протоколирования работы СКЗИ и обеспечение целостности программного обеспечения для всех элементов ИС, имеющих в своем составе СКЗИ.

Все криптографические ключи должны быть защищены от несанкционированной модификации, кражи, разрушения и раскрытия. Используемое для генерации, сохранения и архивирования ключей оборудование (средства) должно быть физически защищено. Для уменьшения вероятности компрометации ключевого материала, необходимо, чтобы ключи имели определенные даты активации и деактивации, чтобы их могли использовать только ограниченный период времени.

Порядок генерации, распределения, хранения, уничтожения, учета криптографических ключей, а также порядок проведения периодических проверок выполнения пользователями требований по хранению и эксплуатации криптографических ключей определяется в соответствии с методическими рекомендациями ФСБ России.

Для хранения отчуждаемых носителей ключевой информации должны использоваться индивидуальные хранилища (сейфы, шкафы и т.п.). Ключи должны храниться в специальной упаковке, исключающей возможность несанкционированного доступа к ним.

Криптографические ключи, в отношении которых возникло подозрение в компрометации, а также действующие совместно с ними другие криптографические ключи, подлежат немедленному выводу из действия, если иной порядок не оговорен в эксплуатационной и технической документации к СКЗИ.