V.5. Дополнительные требования использования криптографических средств

Средства криптографической защиты информации (СКЗИ) могут применяться для обеспечения конфиденциальности защищаемой информации, подтверждения подлинности передаваемых сообщений (придания юридической значимости электронным документам) или контроля целостности ИР.

Необходимость применения СКЗИ при защите ИР ФНС России определяется руководством ФНС России, как обладателем ИР.

Применяемые для защиты информации в ФНС России СКЗИ должны удовлетворять требованиям технических регламентов, оценка выполнения которых осуществляется в порядке, определяемом законодательством Российской Федерации. Применяемые СКЗИ должны поставляться разработчиками с полным комплектом эксплуатационной документации, включая описание ключевой системы, правил работы с ней, а также обоснование необходимого организационно-штатного обеспечения, а также иметь строгий регламент использования ключей, предполагающий контроль со стороны администратора ИБ за действиями пользователей ИС ФНС России на всех этапах работы с ключевой информацией (получение ключевого носителя, ввод ключей, использование ключей и сдача ключевого носителя).

СКЗИ, применяемые в ЦА ФНС России, налоговых органов и подведомственных организаций ФНС России, должны быть сертифицированы ФСБ России на соответствие требованиям безопасности информации.

Встраивание СКЗИ в прикладные системы необходимо осуществлять исключительно в соответствии с Техническим заданием, согласованным с ФСБ России, в том числе проводить оценку влияния среды функционирования СКЗИ на выполнение предъявленных к СКЗИ требований.

Использование несертифицированных СКЗИ и программного обеспечения со встроенным СКЗИ, не имеющего заключения об оценке влияния среды функционирования СКЗИ на выполнение предъявленных к СКЗИ требований в ИС ФНС России, запрещено.

Применяемые в ФНС России СКЗИ должны обеспечивать:

- встраивание в действующую в ЦА ФНС России, налоговых органах и подведомственных организациях ФНС России технологическую схему обработки электронных сообщений;

- взаимодействие с прикладным программным обеспечением ИС ФНС России на уровне обработки запросов на криптографические преобразования и выдачи результатов;

- реализацию процедур сброса ключей в случаях отсутствия штатной активности пользователей в соответствии с регламентом использования ключей или при переходе ИС ФНС России в нештатный режим работы.

При применении СКЗИ в ИС ФНС России должны поддерживаться непрерывность процессов протоколирования работы СКЗИ и обеспечение целостности программного обеспечения для всех элементов ИС, имеющих в своем составе СКЗИ.

Все криптографические ключи должны быть защищены от несанкционированной модификации, кражи, разрушения и раскрытия. Используемое для генерации, сохранения и архивирования ключей оборудование (средства) должно быть физически защищено. Для уменьшения вероятности компрометации ключевого материала, необходимо, чтобы ключи имели определенные даты активации и деактивации, чтобы их могли использовать только ограниченный период времени.

Расширение применения электронной подписи для обеспечения целостности и подлинности сведений, обрабатываемых в ИР ФНС России, является одним из главных направлений развития СОБИ в ФНС России. При реализации электронной подписи необходимо предусматривать пользователей как потенциальных нарушителей.