3.2.2. Требования к криптографической подсистеме

Подсистема защиты криптографической информации предназначена для обеспечения конфиденциальности, целостности и авторизации информации, хранящейся, передаваемой и обрабатываемой в замкнутом контуре.

Подсистема криптографической защиты информации обеспечивает выполнение функций шифрования согласно ГОСТ 28147-89 и формирование/проверку электронной цифровой подписи (далее – ЭЦП). Следует использовать только стандартизированные алгоритмы цифровой подписи.

Подсистема защиты криптографической информации должна включать в себя компонент управления и распространения ключевой информации, а также компоненты, работающие на объектах управления, серверах и рабочих станциях администраторов и операторов ИС.

Компонент управления и распространения ключевой информации подсистемы криптографической защиты информации должен включать в себя формирование ключевых элементов шифрования и ЭЦП.

Подсистема криптографической защиты информации должна обеспечивать:

– шифрование всей секретной информации, которая записывается на совместно используемых различными субъектами носителей доступа (разделенных) данных, а также на съемных портативных носителях данных (дискетах, компакт-дисках, флэш-носителях и т.д.) долговременной внешней памяти для хранения вне сеансов уполномоченных субъектов доступа. Необходимо выполнить принудительную очистку областей внешней памяти, содержащих ранее незашифрованную информацию. Доступ субъектов к операциям шифрования и соответствующим криптографическим ключам должен далее контролироваться подсистемой управления доступом. Порядок работы с ключевыми материалами криптографических систем защиты информации регулируется;

– использование различных ключей шифрования для групп пользователей в соответствии с их полномочиями для доступа к защищенным ресурсам при использовании криптографических средств для контроля доступа уполномоченных пользователей к информационным ресурсам «закрытого» контура. Ключи шифрования должны быть защищены;

– формирование и проверка ЭЦП;

– формирование ключевых элементов шифрования для пользователей «закрытого» контура ЛВС, пользователей «открытого» контура и для пользователей «закрытых» контуров взаимодействующих систем ведомственных сегментов;

– управление ключевой информацией и ее распространение;

– криптографическую стойкость и многоуровневую защиту от компрометации ключевой информации, разделение пользователей по уровням защиты и областям их взаимодействия между собой и пользователями других уровней;

– криптографическую защиту межсетевого обмена между ЛВС «закрытого» контура и взаимодействующими системами ведомственных сегментов. Информация должна быть зашифрована перед отправкой по сети. При передаче секретной информации на носителе - перед записью на носитель.

– раздельное шифрование всей конфиденциальной информации, которая записывается на совместно используемую различными субъектами внешнюю память, а также на съемных носителях данных (компакт-дисках, носителях USB и т. д.

– принудительную очистку участков внешней памяти, содержащих ранее незашифрованную информацию. Доступ субъектов к операциям шифрования и соответствующим криптографическим ключам должен контролироваться подсистемой управления доступом и др.

Должны использоваться сертифицированные средства криптографической защиты.