4.9.2. Вимоги до застосування криптографічних засобів захисту

4.9.2.1. Для організацій НАН України повинна бути розроблена політика використовування криптографічних засобів. При розробці політики необхідно врахувати:

• Правила використовування засобів криптографічного захисту інформації усередині організації з урахуванням класів (видів) інформації, які повинні бути захищені.

• Політику управління ключами, включаючи методи для відновлення зашифрованої інформації у разі втрати, компрометації або знищення ключів.

• Розподіл обов'язків: хто і за що несе відповідальність.

• Впровадження політики.

• Управління ключами.

• Порядок визначення адекватного рівня криптографічного захисту.

• Стандарти, які можуть бути впроваджені і пристосовані в організації (які рішення підходять для яких ділових процесів).

• Необхідно підписувати всі електронні повідомлення цифровим підписом для того, щоб забезпечити аутентифікацію відправника і цілісність самого повідомлення.

• Необхідно вибирати стійкі алгоритми для цифрового підпису.

• Криптографічні ключі, які застосовуються для цифрового підпису, повинні відрізнятися від ключів, що застосовуються в шифруванні.

• Необхідно забезпечити захист криптографічних ключів.

• При шифруванні з відкритим ключем відкритий ключ повинен зберігатися в загальнодоступному місці, а для закритого ключа повинен дотримуватися режим секретності.

• При використовуванні симетричного шифрування для ключа повинен дотримуватися режим секретності між тими, хто обмінюється конфіденційною інформацією.

4.9.2.2. Система управління ключами повинна базуватися на певних погоджених стандартах і процедурах:

• Генерація ключів для різних криптосистем і додатків.

• Генерація і отримання відкритих ключів.

• Видача ключів користувачам, включаючи процедуру активації ключа після його отримання.

• Зберігання ключів, включаючи порядок отримання авторизованими користувачами доступу до ключів.

• Порядок зміни ключів.

• Дії у разі компрометації ключів.

• Відзив ключів, включаючи порядок їх деактивації при компрометації або звільненні відповідального за них співробітника, а також визначення випадків, коли ці ключі повинні бути збережені.

• Відновлення пошкоджених або загублених ключів (як частина управління безперервністю ведення ділової діяльності).

• Архівація і резервне копіювання ключів.

• Знищення ключів.

• Протоколювання всіх дій, пов'язаних з управлінням ключами.

4.9.3. Безпека системних файлів

4.9.3.1. Необхідний контроль об'єктів операційної системи з урахуванням наступних вимог:

• Слід отримати дозвіл на оновлення бібліотек операційної системи у відповідного керівника.

• По можливості операційна система повинна містити тільки виконувані файли.

• Після всіх змін в бібліотеках повинна бути забезпечена перевірка всіх реєстраційних журналів.

• Попередні версії повинні бути збережені для непередбачених випадків.

• Виконувані файли і зміни бібліотек не повинні впроваджуватися в операційну систему до підтвердження їх успішного тестування, інформування і навчання користувачів.

4.9.3.2. Необхідно забезпечити захист даних, отриманих в результаті тестів систем, з урахуванням наступних вимог:

• Система розмежування доступу до тестової системи повинна відповідати доступу до звичайної системи

• Необхідне забезпечення різних (роздільних) авторизацій кожного разу, коли робоча (оперативна) інформація копіюється в тестову систему

• Робоча інформація повинна бути негайно видалена з тестової системи після завершення тестів

• Копіювання і використовування робочої (оперативній) інформації повинно бути запротокольовано для подальшої можливості аудиту.

4.9.3.3. Необхідно забезпечити контроль доступу до початкових текстів програм і бібліотек з урахуванням наступних вимог:

• Де можливо, початкові тексти програм не повинні міститися в ОС

• Для кожного додатку повинен бути призначений відповідальний співробітник, що відповідає за контроль виконуваних модулів

• Персонал із служби підтримки не повинен мати необмеженого доступу до початкових текстів програм і бібліотек

• Зміни і доповнення в початкові тексти програм і бібліотек, а також передача початкових текстів програмістам повинна здійснюватися тільки разом з бібліотеками і по дозволу менеджера підтримки даного додатку

• Лістинги програм повинні зберігатися в безпечному місці

• Всі спроби здійснення доступу до початкових текстів повинні протоколюватися

• Старі версії початкових текстів програм необхідно заархівувати, з відміткою часу і дати і разом зі всім супутнім програмним забезпеченням, процедурами, описами і т.ін.

• Підтримка і копіювання початкових текстів бібліотек і програм повинна бути предметом процедур контролю змін