5. Обеспечение информационной безопасности

5.1. Хранение информации, содержащей персональные данные, на АРМ уполномоченных лиц осуществляется только на период, необходимый для ее гарантированной доставки адресату и обработки в соответствии с принятой технологией.

5.2. На АРМ уполномоченных лиц, участвующих в электронном документообороте, должна обеспечиваться следующая общая политика безопасности:

- информационный обмен между АРМ осуществляется в зашифрованном виде. Открытый IP-трафик блокируется;

- для работы АРМ внутри корпоративной сети устанавливается персональный сетевой экран и производятся дополнительные настройки фильтров IP-пакетов;

- в список адресатов защищенной сети для конкретного АРМ включаются только санкционированные АРМ, участвующие в электронном документообороте;

- правила доступа для пропуска трафика от адресатов защищенной сети должны быть настроены только для работы по разрешенным протоколам и портам;

- права изменения настроек (конфигурации) АРМ предоставляются только администраторам безопасности Сторон.

5.3. Для защиты информации от несанкционированного доступа на АРМ уполномоченных лиц дополнительно устанавливаются средства защиты информации от несанкционированного доступа типа "Аккорд" или "Соболь", сертифицированные ФСТЭК России. По согласованию с ФСБ России допускается замена на иные аппаратно-программные модули доверенной загрузки (АПМДЗ).

5.4. Оборудование помещений, где размещаются АРМ с СКЗИ, порядок допуска в них и их охрана должны соответствовать требованиям ФСБ России по организации и обеспечению функционирования шифровальных (криптографических) средств, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну, в случае их использования для обеспечения безопасности персональных данных при их обработке в информационных системах персональных данных.

5.5. При компрометации ключей электронной подписи или шифрования администратор безопасности Стороны, где произошла компрометация, обязан незамедлительно сообщить об этом администратору безопасности другой Стороны.

Стороны принимают меры по замене скомпрометированных ключей в соответствии с правилами работы СКЗИ и регламентами работы обслуживающих их удостоверяющих центров.