Порядок учета средств криптографической защиты информации

Приказ ФАПСИ от 13.06.2001 № 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну"
(Зарегистрировано в Минюсте РФ 06.08.2001 № 2848)

Получение, установка и ввод в эксплуатацию СКЗИ
1) Акт приема-передачи лицензии на использование СКЗИ;
2) При получении СКЗИ во временное пользование от удостоверяющих центров должны быть копии лицензий или в акте приема-передачи должны быть перечислены номера лицензии на СКЗИ, при покупке пользовательских прав на использование СКЗИ должны быть оригиналы лицензий;
3) Учет ведется в журнале поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов;
4) Установка СКЗИ осуществляется с дистрибутивов, выданных удостоверяющими центрами или с дистрибутивов, приобретенных самостоятельно;
5) Ввод в эксплуатацию оформляется актом установки и настройки средства криптографической защиты информации и актом готовности СКЗИ к работе (Заключение о возможности эксплуатации средств криптографической защиты информации, установленных на автоматизированное рабочее место).
6) Компьютеры, на которых установлены СКЗИ должны быть опечатаны. Факт опечатывания системного блока фиксируется в журнале учета опечатывания системных блоков (п. 31).

Электронные подписи
1) Получение, продление и аннулирование электронных подписей осуществляется в удостоверяющих центрах на основании подписанных договоров и в соответствии с регламентами, расположенными на интернет-сайтах этих удостоверяющих центров.
Комплект документов для получения, продления и аннулирования ЭП в Управлении Федерального казначейства по Омской области расположен на сайте http://omsk.roskazna.ru/;
Комплект документов для получения, продления и аннулирования ЭП в Государственном удостоверяющем центре Омской области расположен на сайте Главного управления информационных технологий и связи Омской области http://pki.omskportal.ru/oiv/buguit/etc/UC_new_test /.
2) Учет электронных подписей ведется в журнале поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов (п. 27).
3) Пользователи СКЗИ должны хранить электронные подписи в надежно запираемых шкафов (ящиках, хранилищах) индивидуального пользования в условиях, исключающих бесконтрольный доступ к ним, а также их непреднамеренное уничтожение (п. 30). В спецпомещениях пользователей СКЗИ для хранения выданных им ключевых документов, эксплуатационной и технической документации, инсталлирующих СКЗИ носителей необходимо иметь достаточное число надежно запираемых шкафов (ящиков, хранилищ) индивидуального пользования, оборудованных приспособлениями для опечатывания замочных скважин. Ключи от этих хранилищ должны находиться у соответствующих пользователей СКЗИ (п. 64).
4) Если криптоключи вводят и хранят (на весь срок их действия) непосредственно в СКЗИ, то такой разовый ключевой носитель или электронная запись соответствующего криптоключа должна регистрироваться в техническом (аппаратном) журнале (п. 28).

Ответственному за учет СКЗИ сотруднику необходимо провести
Обучение с последующей проверкой готовности пользователей СКЗИ к самостоятельному использованию СКЗИ с составлением заключений о возможности эксплуатации СКЗИ.
Разработку мероприятий по обеспечению функционирования и безопасности применяемых СКЗИ в соответствии с эксплуатационной и технической документацией к этим средствам.
Поэкземплярный учет используемых СКЗИ, эксплуатационной и технической документации к ним в соответствующих журналах.
Учет пользователей СКЗИ.
Ведение лицевых счетов пользователей СКЗИ
Контроль за соблюдением условий использования СКЗИ, установленных эксплуатационной и технической документацией к СКЗИ, приказа ФАПСИ от 13 июня 2001 года № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну».
Расследование и составление заключений по фактам нарушения условий использования СКЗИ (компрометации), которые могут привести к снижению уровня защиты конфиденциальной информации; разработка и принятие мер по предотвращению возможных опасных последствий подобных нарушений.

Установку и настройку СКЗИ на рабочих местах пользователей СКЗИ в соответствии с эксплуатационной документацией на эти системы.
Установку ключевых документов на автоматизированные рабочие места пользователей СКЗИ с отметкой в соответствующих журналах.
Удаление ключевых документов с ключевых носителей и(или) из реестра операционной системы автоматизированных рабочих мест пользователей СКЗИ средствами СКЗИ с отметкой в соответствующих журналах.
Уничтожение ключевых носителей в случае однократного использования ключевых документов с отметкой в соответствующих журналах.
Осуществление проверки исправности сигнализации в спецпомещениях совместно с представителем службы охраны здания с отметкой в соответствующих журналах.

Нормативно-методические документы, действующие в области обеспечения безопасности персональных данных
1) Приказ ФСБ от 10 июля 2014 года № 378 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности»; 2) Приказ ФСБ России от 9 февраля 2005 года № 66 «Об утверждении положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)»;
3) «Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», утвержденная приказом ФАПСИ от 13 июня 2001 года № 152;
4) «Методические рекомендации по разработке нормативных правовых актов, определяющих угрозы безопасности персональных данных, актуальные при обработке персональных данных в информационных системах персональных данных, эксплуатируемых при осуществлении соответствующих видов деятельности», утвержденные руководством 8 Центра ФСБ России (№ 149/7/2/6-432 от 31.03.2015).