Об утверждении перечня мер, направленных на выполнение требований законодательства Российской Федерации в области защиты информации с использованием средств криптографической защиты

В целях выполнения требований законодательства Российской Федерации в области защиты информации при ее передаче по открытым каналам связи с использованием средств криптографической защиты, приказа Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 13 июня 2001 г. №152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну», приказа Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности:

1. Возложить функции ответственного за эксплуатацию средств криптографической защиты информации в Совета Верхнеуслонского муниципального района на Галимуллина Азата Рафкатовича- заместителя начальника общего отдела Совета Верхнеуслонского муниципального района;

2. Утвердить Инструкцию ответственного за эксплуатацию средств криптографической защиты информации в Совете Верхнеуслонского муниципального района (Приложение № 1).

3. Утвердить Перечень сотрудников, допущенных к работе с криптосредствами, предназначенными для обеспечения безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну, в информационных системах (пользователи криптосредств) в Совете Верхнеуслонского муниципального района (Приложение № 2).

4. Утвердить Инструкцию пользователя криптосредств в Совете Верхнеуслонского муниципального района (Приложение № 3).

5. Утвердить Перечень помещений, где размещены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств (Приложение № 4).

6. Утвердить Перечень лиц, имеющих доступ в помещения, где размещены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств (Приложение № 5).

7. Утвердить Порядок доступа в помещения, где размещены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств (Приложение № 6).

8. Утвердить форму Журнала поэкземплярного учета криптосредств, эксплуатационной и технической документации к ним, ключевых документов (Приложение № 7).

9. Утвердить форму Лицевого счета пользователя криптосредств (Приложение № 8).

10. Утвердить форму Журнала учета и выдачи носителей с ключевой информацией (Приложение № 9).

11. Утвердить форму Журнала обучения пользователей правилам работы с криптосредствами (Приложение № 10).

12. Утвердить форму Технического (аппаратного) журнала (Приложение № 11).

13. Контроль за исполнением настоящего распоряжения оставляю за собой.

Приложение №1

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Инструкция ответственного за эксплуатацию средств криптографической зашиты информации в Совете Верхнеуслонского муниципального района

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Инструкция ответственного за эксплуатацию средств криптографической защиты информации Совета Верхнеуслонского муниципального района (далее - Инструкция) определяет основные обязанности и права ответственного за эксплуатацию средств криптографической защиты информации.

1.2. Ответственный за эксплуатацию средств криптографической защиты информации назначается распоряжением и отвечает за организацию, обеспечение функционирования и безопасности криптосредств, предназначенных для защиты информации, не содержащей сведения, составляющие государственную тайну (далее - защищаемая информация), в информационных системах Совета Верхнеуслонского муниципального района (далее — ИС).

1.3. Ответственный за эксплуатацию средств криптографической защиты информации должен знать нормы действующего законодательства Российской Федерации в сфере (области) обработки и обеспечения безопасности защищаемой информации, а также в области защиты информации при ее передаче по открытым каналам связи с использованием средств криптографической защиты.

1.4. В своей деятельности ответственный за эксплуатацию средств криптографической защиты информации руководствуется настоящей Инструкцией.

2. ОБЯЗАННОСТИ ОТВЕТСТВЕННОГО ЗА ЭКСПЛУАТАЦИЮ СРЕДСТВ КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

Ответственный за эксплуатацию средств криптографической защиты информации обязан:

2.1. Соблюдать требования локальных актов Совета Верхнеуслонского муниципального района, устанавливающих порядок работы с защищаемой информацией.

2.2. Осуществлять контроль за организацией, обеспечением функционирования и безопасности криптосредств, предназначенных для обеспечения безопасности защищаемой информации при ее обработке в ИС:

- контролировать наличие у привлекаемых в целях монтажа и установки криптосредств организаций лицензии на данные виды деятельности;

- контролировать соблюдение условий использования криптосредств, предусмотренных эксплуатационной и технической документацией к ним;

- обеспечивать надежное хранение эксплуатационной и технической документации к криптосредствам, ключевых документов, носителей информации ограниченного распространения;

- вносить предложения по режиму охраны помещений, в которых установлены криптосредства или хранятся ключевые документы к ним;

- вести Журнал поэкземплярного учета криптосредств, эксплуатационной и технической документации к ним, ключевых документов (далее - Журнал);

- выдавать пользователям криптосредств экземпляры криптосредств, эксплуатационной и технической документации к ним, ключевых документов под расписку в соответствующем Журнале;

- вести на каждого пользователя криптосредств Лицевой счет, в котором регистрировать числящиеся за ними криптосредства, эксплуатационную и техническую документацию к ним, ключевые документы;

- контролировать передачу криптосредств, эксплуатационной и технической документации к ним, ключевых документов между пользователями криптосредств и (или) ответственным за эксплуатацию средств криптографической защиты информации под расписку в соответствующем Журнале;

- пломбировать (опечатывать) и контролировать сохранность печатей (пломб) на аппаратных средствах, с которыми осуществляется штатное функционирование криптосредств, а также аппаратных и аппаратно-программных криптосредствах;

- контролировать получение и доставку криптосредств, эксплуатационной и технической документации к ним;

- заблаговременно делать заказы на изготовление очередных ключевых документов и рассылку на места использования для своевременной замены действующих ключевых документов;

- контролировать уничтожение неиспользованных или выведенных из действия ключевых документов в сроки, указанные в эксплуатационной и технической документации к соответствующим криптосредствам, или, если срок уничтожения эксплуатационной и технической документацией не установлен, не позднее 10 суток после вывода их из действия (окончания срока действия) под расписку в соответствующем Журнале;

- выводить из действия носители ключевой информации (далее - НКИ), в отношении которых возникло подозрение в компрометации, а также действующие совместно с ними другие НКИ;

- принимать решение в чрезвычайных случаях, когда отсутствуют НКИ для замены скомпрометированных, об использовании скомпрометированных НКИ;

- проводить инструктаж пользователей криптосредств по правилам работы с криптосредствами и ключевыми документами.

2.3. Требовать прекращения обработки защищаемой информации в случае нарушения установленного порядка работ с криптосредствами или нарушения функционирования криптосредств.

2.4. Участвовать в анализе ситуаций, касающихся нарушения условий хранения носителей защищаемой информации, использования криптосредств, которые могут привести к нарушению конфиденциальности защищаемой информации.

2.5. Контролировать исполнение пользователями криптосредств требований Инструкции пользователя криптосредств Совета Верхнеуслонского муниципального района, а также требований действующего законодательства Российской Федерации в сфере (области) обработки и обеспечения безопасности защищаемой информации.

2.6. Принимать все необходимые меры для обеспечения безопасности защищаемой информации, в случае получения от пользователей информации о фактах утраты, компрометации ключевой информации, в частности, обеспечить выполнение следующих мероприятий:

- в каждом случае, по факту (или предполагаемой) компрометации ключевых документов, проводится служебное расследование; результатом расследования является квалификация или не квалификация данного события как компрометация;

- о факте компрометации ключевой информации пользователями криптосредств совместно с ответственным за эксплуатацию средств криптографической защиты информации производится информирование всех заинтересованных участников информационного обмена;

- выведенные из действия скомпрометированные ключевые документы после проведения расследования уничтожаются, о чем делается соответствующая запись в Журнале;

- для своевременного восстановления связи пользователю криптосредств выдается новый НКИ; для этого создаётся резервный запас НКИ, использование которых осуществляется в случаях крайней необходимости по решению ответственного за эксплуатацию средств криптографической зашиты информации.

2.7. Подготавливать копии НКИ, которые подлежат основному учету и хранятся в сейфе ответственного за эксплуатацию средств криптографической защиты информации. Данные копии применяются с разрешения руководителя Совета Верхнеуслонского муниципального района, если по результатам расследования не было установлено факта компрометации.

2.8. Хранить резервные НКИ отдельно от рабочих (актуальных) НКИ, с целью обеспечения невозможности их одновременной компрометации.

2.9. Своевременно информировать ответственного за организацию обработки персональных данных при их обработке в Совете Верхнеуслонского муниципального района о фактах утраты или недостачи криптосредств, ключевых документов к ним, ключей от помещений, хранилищ, личных печатей и о других фактах, которые могут привести к разглашению защищаемой информации.

3. ПРАВА ОТВЕТСТВЕННОГО ЗА ЭКСПЛУАТАЦИЮ СРЕДСТВ КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ

Ответственный за эксплуатацию средств криптографической защиты информации имеет право:

3.1. Знакомиться с локальными актами Совета Верхнеуслонского муниципального района, регламентирующими процессы обработки защищаемой информации.

3.2. Требовать от пользователей ИС соблюдения требований действующего законодательства Российской Федерации в сфере (области) обработки и обеспечения безопасности защищаемой информации.

3.3. Требовать прекращения работы в ИС, как в целом, так и отдельных пользователей криптосредств, в случае выявления нарушений требований по работе с криптосредствами, предназначенными для обеспечения безопасности защищаемой информации, или в связи с нарушением функционирования криптосредств.

Приложение №2

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Перечень сотрудников, допущенных к работе с криптосредствами, предназначенными для обеспечения безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну, в информационных системах (пользователи криптосредств) Совета Верхнеуслонского муниципального района

Приложение №3

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Инструкция пользователя криптосредств

1. ОБЩИЕ ПОЛОЖЕНИЯ

1.1. Настоящая Инструкция пользователя криптосредств Совета Верхнеуслонского муниципального района (далее - Инструкция) определяет права и обязанности пользователей криптосредств, порядок обращения с криптосредствами, а также определяет порядок восстановления связи в случае компрометации действующих ключей к криптосредствам.

1.2. Пользователем криптосредств является сотрудник Совета Верхнеуслонского муниципального района, включенный в перечень сотрудников, допущенных к работе с криптосредствами, предназначенными для обеспечения безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну; в информационных системах, утвержденный локальным актом Совета Верхнеуслонского муниципального района.

1.3. Непосредственно к работе с криптосредствами, предназначенными для обеспечения безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну; в информационных системах, пользователи допускаются только после соответствующего обучения. Обучение пользователей правилам работы с криптосредствами осуществляют сотрудники соответствующего органа криптографической защиты. Заключение о допуске или не допуске к работе с криптосредствами должно быть отмечено в Журнале обучения пользователей правилам работы с криптосредствами.

1.4. Пользователь криптосредств должен знать нормы действующего законодательства Российской Федерации в сфере (области) обработки и обеспечения безопасности защищаемой информации, не содержащей сведения, составляющие государственную тайну (далее - защищаемая информация), а также в области защиты информации при ее передаче по открытым каналам связи с использованием средств криптографической защиты.

1.5. В своей деятельности, связанной с обработкой защищаемой информации с использованием криптосредств, пользователь криптосредств руководствуется настоящей Инструкцией.

1.6. Пользователи криптосредств несут персональную ответственность за обеспечение конфиденциальности ключевой информации и защиту криптосредств от несанкционированного использования.

2. ОБЯЗАННОСТИ II ПРАВА ПОЛЬЗОВАТЕЛЯ КРИПТОСРЕДСТВ

2.1. Пользователь криптосредств обязан:

- соблюдать требования по обеспечению безопасности функционирования криптосредств;

- обеспечить конфиденциальность всей информации ограниченного распространения, доступной по роду выполняемых функциональных обязанностей;

- сдать ответственному за эксплуатацию средств криптографической защиты информации Совета Верхнеуслонского муниципального района (далее - Ответственный) носители ключевой информации (далее - НКИ) при увольнении или отстранении от исполнения обязанностей, связанных с использованием криптосредств;

- сдать Ответственному НКИ по окончании срока действия сертификата ключа, а также в случае компрометации ключа;

- немедленно уведомлять руководителя структурного подразделения или Ответственного о компрометации НКИ, о фактах утраты или недостачи криптосредств;

- в пределах своей компетенции предоставлять информацию комиссии, проводящей служебные расследования по фактам компрометации, а также выявлению причин нарушения требований безопасности функционирования криптосредств.

2.2. Пользователю криптосредств запрещается:

- осуществлять несанкционированное и без учётное копирование ключевых данных;

- хранить НКИ вне сейфов и помещений, гарантирующих их сохранность и конфиденциальность;

- передавать НКИ каким бы то ни было лицам, кроме Ответственного;

- во время работы оставлять НКИ без присмотра (например, на рабочем столе или в разъеме системного блока ПЭВМ);

- хранить на НКИ какую-либо информацию, кроме ключевой;

- использовать в помещениях, где применяются криптосредства, личные технические средства, позволяющие осуществлять копирование ключевой информации;

- использовать НКИ, выведенные из действия.

2.3. Пользователь имеет право:

- вносить предложения руководству Совета Верхнеуслонского муниципального района по вопросам использования криптосредств;

- повышать уровень квалификации по использованию криптосредств.

3. ПОРЯДОК ОБРАЩЕНИЯ С КРИПТОСРЕДСТВАМИ

3.1. Монтаж и установка криптосредства производится организацией, обладающей лицензией ФСБ на осуществление данного вида деятельности. Для собственных нужд юридического лица допускается самостоятельно проводить работы по обслуживанию шифровальных (криптографических) средств, предусмотренные технической и эксплуатационной документацией на эти средства.

3.2. Служебные помещения, в которых размещаются криптосредства, должны отвечать всем требованиям по оборудованию и охране, предъявляемым к помещениям, выделенным для работы с конфиденциальной информацией. Для хранения НКИ помещения обеспечиваются сейфами (металлическими шкафами), оборудуются охранной сигнализацией и по убытии сотрудников закрываются, опечатываются личными печатями ответственных лиц (либо закрываются кодовым замком) и сдаются под охрану.

3.3. Для хранения НКИ пользователь криптосредств должен быть обеспечен личным сейфом. В случае отсутствия индивидуального сейфа по окончании рабочего дня пользователь криптосредств обязан сдавать НКИ Ответственному под подпись в Журнале учета и выдачи носителей с ключевой информацией.

3.4. Дубликаты ключей от сейфов (а также значения кодов - при наличии кодовых замков) пользователей криптосредств должны храниться в сейфе руководителя структурного подразделения или Ответственного в упаковках, опечатанных личными печатями пользователей криптосредств. Несанкционированное изготовление дубликатов ключей запрещено. В случае утери ключа механизм (секрет) замка (либо сам сейф) должен быть заменён.

3.5. К эксплуатации криптосредств допускаются лица, прошедшие соответствующую подготовку и изучившие правила пользования данным криптосредством.

3.6. Все программное обеспечение ПЭВМ, предназначенное для установки криптосредств, должно иметь соответствующие лицензии. Установка средств разработки и отладки программ на рабочую станцию, использующую криптосредства, не допускается.

4. ВОССТАНОВЛЕНИЕ СВЯЗИ В СЛУЧАЕ КОМПРОМЕТАЦИИ ДЕЙСТВУЮЩИХ КЛЮЧЕЙ К КРИПТОСРЕДСТВАМ

4.1. Под компрометацией криптографического ключа понимается утрата доверия к тому, что данный ключ обеспечивает однозначную идентификацию владельца НКИ и конфиденциальность информации, обрабатываемой с его помощью. К событиям, связанным с компрометацией действующих криптографических ключей, относятся:

- утрата (хищение) НКИ, в том числе - с последующим их обнаружением;

- увольнение (переназначение) сотрудников, имевших доступ к НКИ;

- передача секретных ключей по линии связи в открытом виде;

- нарушение правил хранения НКИ;

- вскрытие фактов утечки передаваемой информации или её искажения (подмены, подделки);

- ошибки при совершении криптографических операций;

- несанкционированное или без учётное копирование ключевой информации;

- все случаи, когда нельзя достоверно установить, что произошло с НКИ (в том числе случаи, когда НКИ вышел из строя и доказательно не опровергнута вероятность того, что данный факт произошел в результате злоумышленных действий).

4.2. При наступлении любого из перечисленных выше событий пользователь криптосредств или владелец НКИ должен немедленно прекратить связь с другими абонентами и сообщить о факте компрометации (или предполагаемом факте компрометации) Ответственному лично, по телефону, электронной почте или другим доступным способом. В любом случае пользователь криптосредств или владелец НКИ обязан убедиться, что его сообщение получено и прочтено.

4.3. При подтверждении факта компрометации действующих ключей пользователь криптосредств обязан обеспечить немедленное изъятие из обращения скомпрометированных криптографических ключей и сдачу Ответственному в течение 3 рабочих дней.

4.4. Для восстановления конфиденциальной связи после компрометации действующих ключей пользователь криптосредств получает у Ответственного новые ключи.

ЛИСТ ОЗНАКОМЛЕНИЯ

с Инструкцией пользователя криптосредств Совета Верхнеуслонского муниципального района

Приложение №4

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Перечень помещений, где размешены используемые криптосредства, хранятся криптосредства и аутентифицирующей и парольной информации криптосредств

Приложение №5

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Перечень лиц, имеющих доступ в помещения, где размешены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств

Приложение №6

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Порядок доступа в помещения, где размешены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации крипто средств

1. Настоящий Порядок регламентирует условия и порядок осуществления доступа в помещения Совета Верхнеуслонского муниципального района, где размещены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств (далее -Помещения) в целях организации режима, препятствующего возможности неконтролируемого проникновения или пребывания в Помещениях лиц, не имеющих прав доступа в Помещения.

2. Настоящий Порядок разработан в соответствии с требованиями постановления Правительства Российской Федерации от 1 ноября 2012 г. № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных», приказа Федеральной службы безопасности Российской Федерации от 10 июля 2014 г. № 378 «Об утверждении Состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных с использованием средств криптографической защиты информации, необходимых для выполнения установленных Правительством Российской Федерации требований к защите персональных данных для каждого из уровней защищенности», приказа Федерального агентства правительственной связи и информации при Президенте Российской Федерации от 13 нюня 2001 г. № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической зашиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну».

3. Для Помещений организуется режим, препятствующий возможности неконтролируемого проникновения или пребывания в Помещениях лиц, не имеющих прав доступа в Помещения.

4. Помещения, где размещены используемые криптосредства, хранятся криптосредства, должны быть оснащены входными дверьми с замками, должно обеспечиваться постоянное закрытие дверей таких Помещений на замок и их открытие только для санкционированного прохода. Данные Помещения должны опечатываться по окончании рабочего дня оборудоваться соответствующими техническими устройствами, сигнализирующими о несанкционированном вскрытии.

5. Доступ в Помещения в рабочее (служебное) время имеют сотрудники, включенные в Перечень лиц, имеющих доступ в Помещения, утвержденный локальным актом Совета Верхнеуслонского муниципального района.

6. В нерабочее (неслужебное) время пребывание в Помещениях вышеуказанных сотрудников разрешается на основании служебных записок (или иных видов разрешающих документов), подписанных руководителем Совета Верхнеуслонского муниципального района.

7. Нахождение в Помещениях посторонних лиц в рабочее (служебное) и нерабочее (неслужебное) время запрещается.

8. Уборка и техническое обслуживание Помещений допускаются только в присутствии сотрудников Совета Верхнеуслонского муниципального района, включенных в Перечень лиц, имеющих доступ в помещения, где размещены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств.

9. Руководитель и лица, его замещающие, могут находиться в Помещениях в любое время, в том числе в нерабочие и праздничные дни.

10. О попытках неконтролируемого проникновения посторонних лиц в Помещения необходимо незамедлительно сообщать руководителю структурного подразделения или руководителю Совета Верхнеуслонского муниципального района.

11. В случае возникновения нештатной ситуации необходимо незамедлительно сообщать руководителю структурного подразделения или руководителю Совета Верхнеуслонского муниципального района.

12. Сотрудники органов МЧС и аварийных служб, врачи «скорой помощи» допускаются в Помещения для ликвидации нештатной ситуации, иных чрезвычайных ситуаций или оказания медицинской помощи в сопровождении руководителя структурного подразделения или руководителя Совета Верхнеуслонского муниципального района.

Приложение №7

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Форма журнала поэкземплярного учета СКЗИ, эксплуатационной и технической документации к ним, ключевых документов

Приложение №8

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Лицевой счет пользователя средств криптографической защиты информации

___________________________

(Ф.И.О.)

___________________________

(Должность, подразделение)

Приложение №9

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Журнал учета выдачи носителей с ключевой информацией

Начат: «___» ___________ 20___ г.

Окончен: «___» ___________ 20___ г.

Приложение №10

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Журнал обучения пользователей правилам работы с криптосредствами

Приложение №11

к Распоряжению главы Верхнеуслонского муниципального района

от «____» _________2024 г. №___

Форма технического (аппаратного журнала)

ЛИСТ ОЗНАКОМЛЕНИЯ

с Порядком доступа в помещения, где размешены используемые криптосредства, хранятся криптосредства и (или) носители ключевой, аутентифицирующей и парольной информации криптосредств