Нормативное регулирование в области защиты информации. Конспект лекций. Учебное пособие

6)при обработке информации конфиденциального характера в государственных органах и в организациях, выполняющих государственные заказы, обладатель которой принимает меры к охране

ееконфиденциальности путем установления необходимости криптографической защиты данной информации.

Требования Положения ПКЗ-2005 носят рекомендательный характер при разработке, производстве, реализации и эксплуатации:

1)СКЗИ, доступ к которой ограничивается по решению обладателя или пользователя данной информации, собственника информационных ресурсов (информационных систем) или уполномоченных ими лиц, не являющихся государственными органами или организациями, выполняющими государственные заказы;

2)СКЗИ открытых и общедоступных государственных информационных ресурсов Российской Федерации;

3)средств ЭП, предназначенных для использования в электронном документообороте, информация которого не относится к информации конфиденциального характера;

4)информационно-телекоммуникационных систем, реализующих функции криптографической защиты информации, не относящейся к информации конфиденциального характера.

Положение ПКЗ-2005 не регулирует отношения, связанные с экспортом и импортом СКЗИ, и не распространяется на использование СКЗИ иностранного производства.

Приведем основные общие требования Положения ПКЗ-2005: 1. Вопрос о применении СКЗИ для защиты информации конфиденциального характера решается собственником информационных ресурсов (информационных систем) или уполномоченными им ли-

цами на основании законодательства Российской Федерации.

2. Необходимость криптографической защиты информации конфиденциального характера при ее обработке и хранении без передачи по каналам связи и выбор применяемых СКЗИ определяются обладателем или пользователем данной информации.

3. СКЗИ должны удовлетворять требованиям технических регламентов, оценка выполнения которых осуществляется в порядке, определяемом Федеральным законом от 27 декабря 2002 года № 184-ФЗ «О техническом регулировании».

4. Для криптографической защиты информации конфиденциального характера должны использоваться СКЗИ, удовлетворяю-

41

щие требованиям по безопасности информации, устанавливаемым в соответствии с законодательством Российской Федерации, а реализация в конкретных образцах СКЗИ и системах конфиденциальной связи требований по безопасности информации возлагается на разработчика СКЗИ.

4.5.Инструкция об организации и обеспечении безопасности информации с ограниченным доступом с использованием средств криптографической защиты информации

Инструкция определяет единый на территории Российской Федерации порядок организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием сертифицированных ФСБ СКЗИ информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну, т.е. конфиденциальной информации, подлежащей обязательной защите в соответствии с законодательством Российской Федерации.

Инструкцией рекомендуется руководствоваться при организации и обеспечении безопасности хранения обработки и передачи по каналам связи с использованием сертифицированных ФСБ СКЗИ конфиденциальной информации, не подлежащей обязательной защите, доступ к которой ограничивается в соответствии с законодательством Российской Федерации или по решению ее обладателя, за исключением информации, содержащей сведения, к которым в соответствии с законодательством Российской Федерации не может быть ограничен доступ.

Инструкция не регламентирует порядок организации и обеспечения безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации в учреждениях Российской Федерации за границей.

Наиболее важными положениями Инструкции являются следующие:

1. Безопасность хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации в сетях конфиденциальной связи организуют и обеспечивают операторы конфиденциальной связи, т.е. операторы связи, предоставляющие

42

на основании лицензии ФСБ услуги конфиденциальной связи с использованием СКЗИ.

2.Безопасность хранения и обработки с использованием СКЗИ конфиденциальной информации, передаваемой вне сетей конфиденциальной связи, организуют и обеспечивают лица, имеющие лицензию ФСБ.

3.Безопасность хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации, обладатели которой не имеют лицензий ФСБ, лицензиаты ФСБ организуют и обеспечивают либо по указанию вышестоящей организации, либо на основании договоров на оказание услуг по криптографической защите конфиденциальной информации.

4.Лицензиаты ФСБ несут ответственность за соответствие проводимых ими мероприятий по организации и обеспечению безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации лицензионным требованиям и условиям, эксплуатационной и технической документации к СКЗИ, а также положениям Инструкции. При этом лицензиаты ФСБ должны обеспечивать комплексную защиту конфиденциальной информации, в том числе с применением некриптографических средств защиты.

5.В Инструкции подробно описаны требования к размещению, специальному оборудованию, охране и организации режима в помещениях, где установлены СКЗИ или хранятся ключевые документы к ним; основное требование заключается в том, что необходимо обеспечивать сохранность конфиденциальной информации, СКЗИ и ключевых документов. Приведенные в Инструкции требования аналогичны требованиям к помещениям, где выполняются работы, связанные с хранением или обработкой конфиденциальной информации, и устанавливаются ее обладателем, а при оборудовании указанных помещений должны выполняться требования к размещению, монтажу СКЗИ, а также другого оборудования, функционирующего с СКЗИ.

6.Контроль за организацией и обеспечением безопасности хранения, обработки и передачи по каналам связи с использованием СКЗИ конфиденциальной информации осуществляют федеральные органы правительственной связи и информации, а именно главные управления ФСБ, управления ФСБ в федеральных округах, регио-

43

нальные управления правительственной связи и информации, центры правительственной связи.

4.6. Типовые требования

Типовые требования регламентируют порядок организации и обеспечения функционирования СКЗИ, предназначенных для защиты информации, не содержащей сведений, составляющих государственную тайну в случае их использования для обеспечения безопасности персональных данных при их обработке в ИСПД.

Типовые требования носят обязательный характер для:

1)оператора, осуществляющего обработку персональных дан-

ных;

2)лица, которому на основании договора оператор поручает обработку персональных данных;

3)лица, которому на основании договора оператор поручает оказание услуг по организации и обеспечению безопасности защиты персональных данных при их обработке в ИСПД с использованием СКЗИ.

Типовые требования распространяются на СКЗИ, предназначенные для обеспечения безопасности персональных данных при их обработке в ИСПД, и не отменяют требования иных документов, регламентирующих порядок обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти.

4.7.Методические рекомендации

Методические рекомендации определяют порядок, в соответствии с которым должна обеспечиваться при помощи СКЗИ безопасность персональных данных при их обработке в ИСПД с использованием средств автоматизации. Данный документ предназначен для операторов и разработчиков ИСПД.

Методическими рекомендациями следует руководствоваться, если:

1) оператор персональных данных определяет необходимость обеспечения безопасности персональных данных с использованием СКЗИ, за исключением случая, когда оператором является физиче-

44

ское лицо, использующее персональные данные исключительно для личных и семейных нужд;

2)безопасность персональных данных обеспечивается при их обработке в информационных системах, отнесенных к компетенции ФСБ.

Методические рекомендации не распространяются на ИСПД, в которых:

1)персональные данные обрабатываются без использования средств автоматизации;

2)обрабатываются персональные данные, отнесенные в установленном порядке к сведениям, составляющим государственную тайну;

3)технические средства частично или целиком находятся за пределами Российской Федерации.

45

Лекция 5. Разработка, производство и эксплуатация средств криптографической защиты информации

Ключевые слова: разработка СКЗИ; производство СКЗИ; эксплуатация СКЗИ; распространение СКЗИ; ключевые документы; криптографический ключ; компрометация; пользователи СКЗИ.

Введение. Лекция посвящена изучению процессов разработки, производства, распространения (реализации) и эксплуатации СКЗИ, для каждого процесса приводится наглядная схема, а также подробное описание. Отдельно рассматриваются случаи создания нового образца СКЗИ и модернизации действующего образца СКЗИ, обсуждаются требуемые действия со стороны заказчика и разработчика СКЗИ. Особое внимание уделяется производству ключевых документов и обязанностям пользователей СКЗИ.

5.1.Порядок разработки средств криптографической защиты информации

Приведем общую схему процесса разработки СКЗИ (рис. 5.1), регламентированного Положением ПКЗ-2005, и опишем его более подробно.

В случае если разработка СКЗИ проводится для федеральных государственных нужд, то она осуществляется государственным заказчиком по согласованию с ФСБ. Если же СКЗИ разрабатывается в интересах негосударственных организаций, то она может осуществляться по заказу конкретного потребителя информации конфиденциального характера или по инициативе разработчика СКЗИ, причем заказчиком СКЗИ может являться любое лицо.

Разработка СКЗИ осуществляется либо путем постановки и проведения НИР по исследованию возможности создания нового образца СКЗИ или ОКР по созданию нового образца СКЗИ или модернизации действующего образца СКЗИ.

46

Рис. 5.1. Общая схема процесса разработки СКЗИ

47

НИР по исследованию возможности создания нового образца СКЗИ должна проводиться в соответствии с ТТЗ или ТЗ, разработанным на основе национальных стандартов на проведение НИР. В ТТЗ или ТЗ на проведение НИР рекомендуется дополнительно включать сведения о:

1)заказчике СКЗИ;

2)предполагаемой области применения СКЗИ;

3)предполагаемом исполнителе НИР.

Заказчик СКЗИ направляет ТТЗ или ТЗ на рассмотрение в ФСБ, которая согласует его или дает мотивированный отказ.

Результатом НИР являются:

1)проект ТТЗ или ТЗ на проведение ОКР по созданию нового образца СКЗИ или модернизации действующего образца СКЗИ;

2)технико-экономическое обоснование данной ОКР.

ОКР по созданию нового образца СКЗИ или модернизации действующего образца СКЗИ должна проводиться в соответствии с ТТЗ или ТЗ, разработанным на основе действующих стандартов на проведение ОКР, причем ОКР может проводиться без предварительного выполнения НИР.

В ТТЗ (ТЗ) на проведение ОКР должны указываться следующие дополнительные сведения:

1)цель криптографической защиты информации с описанием предполагаемой модели нарушителя;

2)требования, предъявляемые к условиям использования СКЗИ

втиповой схеме организации конфиденциальной связи, или исходные данные по сети конфиденциальной связи, в составе которой планируется использование данного СКЗИ;

3)количество криптографических ключей, используемых в СКЗИ, предполагаемый срок их действия, организация их смены, тип ключевого носителя;

4)тип системы изготовления ключей (встроенная в СКЗИ или внешняя) и предъявляемые к ней требования по безопасности информации;

5)сведения по планируемому порядку и срокам проведения ра-

бот.

Помимо указанных данных в ТТЗ или ТЗ на проведение ОКР рекомендуется включать сведения о:

1)заказчике СКЗИ;

48

2)предполагаемой области применения СКЗИ;

3)предполагаемом разработчике и изготовителе СКЗИ;

4)предполагаемом разработчике и изготовителе ключевых документов в случае внешней системы изготовления криптографических ключей;

5)планируемом объеме выпуска СКЗИ;

6)планируемом объеме выпуска ключевых документов;

7)планируемой стоимости единичного СКЗИ при организации его серийного выпуска;

8)планируемой стоимости ключевых документов при организации их серийного выпуска;

9)реализации СКЗИ;

10)сервисном обслуживании СКЗИ;

11)предложениях по сопряжению с государственными сетями конфиденциальной связи.

Заказчик СКЗИ направляет ТТЗ или ТЗ на проведение ОКР на рассмотрение в ФСБ, которая согласует его или дает мотивированный отказ.

При разработке СКЗИ рекомендуется использовать криптографические алгоритмы, утвержденные в качестве национальных стандартов или определенные перечнями, утверждаемыми в порядке, установленном Постановлением Правительства Российской Федерации от 23 сентября 2002 года № 691.

Выбор носителя ключевой информации должен осуществляться

сучетом возможности его приобретения в течение всего предполагаемого срока эксплуатации СКЗИ, оценку его эксплуатационных характеристик проводит разработчик СКЗИ.

Правила пользования СКЗИ составляются разработчиком и согласовываются с ФСБ.

При разработке СКЗИ создается РКД на СКЗИ и опытный образец, разработанный в соответствии с РКД на него.

Впроцессе разработки СКЗИ необходимо проводить тематические исследования СКЗИ (криптографические, инженерно-крипто- графические и специальные исследования СКЗИ), целью которых является оценка достаточности мер противодействия возможным угрозам безопасности информации, определенным моделью нарушителя. Тематические исследования СКЗИ выполняются в процессе всего жизненного цикла СКЗИ специализированными организа-

49

циями, т.е. организациями, имеющими право на осуществление отдельных видов деятельности, связанных с СКЗИ. Экспертиза результатов тематических исследований СКЗИ осуществляется ФСБ, в результате чего определяется возможность допуска СКЗИ к эксплуатации.

Разработчиком СКЗИ определяется состав аппаратных, про- граммно-аппаратных и программных средств сети конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, влияющих на выполнение заданных требований к СКЗИ, который согласовывается с заказчиком СКЗИ, специализированной организацией и ФСБ. Оценка влияния перечисленных выше средств на выполнение предъявленных к ним требований осуществляется разработчиком СКЗИ совместно со специализированной организацией.

Результаты тематических исследований и оценки влияния аппаратных, программно-аппаратных и программных средств сети конфиденциальной связи, совместно с которыми предполагается штатное функционирование СКЗИ, на выполнение предъявленных к ним требований, а также опытные образцы СКЗИ и аппаратные, программно-аппаратные и программные средства, необходимые для штатного функционирования СКЗИ, передаются в ФСБ для проведения экспертизы.

РКД на СКЗИ передается в производство при наличии:

1)положительных результатов испытаний функционирования СКЗИ в штатных режимах;

2)положительных результатов экспертизы тематических исследований СКЗИ;

3)правил пользования СКЗИ, согласованных с ФСБ.

5.2.Порядок производства средств криптографической защиты информации

Приведем общую схему процесса производства СКЗИ (рис. 5.2), регламентированного Положением ПКЗ-2005, и опишем его более подробно.

До того, как будет принято решение о производстве СКЗИ, необходимо следующее:

50