CC BY
72
242
В.В. Майшев
V. V. Mayshev
The organization and technical aspects of the using the means of cryptographic protection in information-communication systems
In an article are considered questions of organizational management of the organ of cryptographic protection at building protected information-telecommunication systems with applying a cryptographic means, as well as composition of normative-methodical documents.
Майшев Вадим Владимирович Удмуртский государственный университет 426034, Россия, г. Ижевск, ул. Университетская, 1 (корп. 4)
ПРАВОВЕДЕНИЕ
2005. № 6 (2)
- получение от всех абонентов тестовых сообщений, тестовый режим обмена «каждый с каждым»;
- решение возникающих проблем с ключевой информацией;
- объявление штатного режима использования средств защиты.
5. Эксплуатационные мероприятия:
- консультирование административного и операторского состава;
- изменение количества абонентов системы (генерация новых ключевых документов);
- обновление сертификатов открытых ключей всех абонентов системы;
- решение вопросов по обеспечению надежности ключевых носителей (выход из строя, генерация новых);
- внесение изменений в регламенты использования средств защиты и конфиденциальный документооборот.
Основные нормативно-методические документы, которые должен разработать орган криптографической защиты (в соответствии с требованиями, установленными ФАПСИ) при построении защищенной информационно-телекоммуникационной системы:
- Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты сведений, составляющих служебную тайну;
- Порядок обмена конфиденциальной информацией в системе телекоммуникаций;
- Инструкция оператора абонентского пункта обмена конфиденциальной информацией;
- Проект распорядительного документа о назначении административного персонала;
- Проект распорядительного документа о назначении пользователей абонентских пунктов обмена конфиденциальной информацией.
Кроме того, необходимы документы, регламентирующие следующие процедуры:
- разработку схемы организации криптографической защиты конфиденциальной информации;
- оповещение пользователей СКЗИ о предполагаемой компрометации криптоключей и их замене;
- сертификацию открытых ключей (с учетом построения федеральной инфраструктуры открытых ключей).
Поступила в редакцию 17.12.04
240
В.В. Майшев
- сбор и анализ сведений о планируемой схеме обмена конфиденциальной информацией;
- планирование мероприятий;
- развертывание средств защиты;
- подготовка тестовых ключевых документов и их распределение;
- тестирование программного обеспечения и оборудования для обмена с использованием тестовой ключевой документации;
- разработка на основании установленных требований руководящих документов (например, это могут быть: Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты сведений, составляющих служебную тайну; Порядок обмена конфиденциальной информацией в системе телекоммуникаций; Инструкция оператора абонентского пункта обмена конфиденциальной информацией).
3. Мероприятия основного этапа:
- обучение и назначение соответствующими орагнизационно-распорядительными документами по согласованию с подразделением безопасности ответственных должностных лиц (администраторы телекоммуникационных узлов, ответственные за учет ключевых носителей);
- сбор и анализ сведений о состоянии телекоммуникационных узлов и готовности к внедрению системы электронной почты (количество абонентов, конкретные пользователи, режимное обеспечение, потребности и т.д.). Решение материально-технических вопросов по режимному обеспечению функционирования автоматизированных рабочих мест (перевод помещений в разряд режимных, их инженерная укрепленность, круглосуточная охрана, режим доступа, обеспеченность пользователей металлическими шкафами и личными металлическими печатями). Режимное обеспечение - основа функционирования системы;
- уточнение планов внедрения системы;
- обучение и назначение соответствующими орагнизационно-распорядительными документами по согласованию с подразделением безопасности ответственных операторов;
- формирование и утверждение перечней абонентов и соответствующее планирование ключевых носителей;
- генерация ключевых документов для всех абонентов, формирование адресных книг, баз сертификатов открытых ключей;
- подготовка пакетов с ключевыми носителями для направления пользователям;
- получение подтверждений о получении ключевых носителей.
Существуют определенные трудности при выполнении данных мероприятий материально-технического характера в части режимного оснащения помещений.
4. Мероприятия заключительного этапа:
- указание на начало опытной эксплуатации системы;
ПРАВОВЕДЕНИЕ
2005. № 6 (2)
- на право осуществлять деятельность по техническому обслуживанию шифровальных средств, предназначенных для криптографической защиты информации, не содержащей сведений, составляющих государственную тайну, при ее обработке, хранении и передаче по каналам связи, в системе электронного документооборота;
- на право осуществлять деятельность по распространению шифровальных средств;
- на право осуществлять предоставление услуг в области шифрования информации, не содержащей сведений, составляющих государственную тайну, в системе электронного документооборота.
В течение этого этапа производится оценка имеющихся потребностей, исследование рынка предлагаемых средств защиты и определение максимально эффективного СКЗИ, получение (приобретение) сертифицированных ФАПСИ (ФСБ) аппаратно-программных СКЗИ, систем генерации и управления ключевой документацией.
Требованиями и условиями при лицензировании отдельных видов деятельности, связанных с шифровальными (криптографическими) средствами, являются:
- наличие системы поэкземплярного учета шифровальных (криптографических) средств и документации к ним;
- установление порядка доступа лиц к конфиденциальной информации, связанной с осуществлением лицензируемой деятельности, и обеспечение контролируемого допуска персонала лицензиата к работам, связанным с такой информацией;
- обеспечение безопасности хранения, обработки и передачи по каналам связи конфиденциальной информации, связанной с осуществлением лицензируемой деятельности;
- применение средств обработки информации, аттестованных в соответствии с требованиями по защите информации;
- наличие охраны и (или) специального оборудования, а также распорядка работ, исключающих неконтролируемый доступ к шифровальным (криптографическим) средствам;
- хранение шифровальных (криптографических) средств, их отдельных узлов и блоков, дистрибутивов программных и программно-аппаратных шифровальных (криптографических) средств, инсталляционных дискет, нормативной, эксплуатационной и ключевой документации к ним в хранилищах (металлических шкафах, сейфах), оборудованных внутренними замками;
- обеспечение условий, исключающих возможность неконтролируемого доступа к шифровальным (криптографическим) средствам при их транспортировке, их физического повреждения и внешнего воздействия на носители ключевой информации;
- наличие квалифицированного персонала.
2. Мероприятия подготовительного этапа:
238
ВЕСТНИК УДМУРТСКОГО УНИВЕРСИТЕТА
УДК 681.3.06 В.В. Майшев
ОРГАНИЗАЦИОННО-ТЕХНИЧЕСКИЕ АСПЕКТЫ ПРИМЕНЕНИЯ СРЕДСТВ КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ
В ИНФОРМАЦИОННО-ТЕЛЕКОММУНИКАЦИОННЫХ СИСТЕМАХ
Рассмотрены вопросы организации деятельности органа криптографической защиты при построении защищенной информационно-телекоммуникационной системы с использованием СКЗИ, а также состав нормативно-методических документов.
Ключевые слова: информационно-телекоммуникационные системы (ИТС), средства криптографической защиты информации (СКЗИ), орган криптографической защиты.
Основу обеспечения информационной безопасности в информационно-телекоммуникационных системах (ИТС) составляют криптографические методы и средства защиты информации. Наиболее надежную защиту можно обеспечить только с помощью комплексного подхода. С учетом конфиденциальности передаваемых сведений, территориального размещения взаимодействующих организаций и их структурных подразделений, специфичности, жесткого регламентирования и контроля со стороны органов государственной безопасности применяемых средств криптографической защиты информации (СКЗИ) все действия должны проводиться в плановом комплексном порядке, включающем в себя правовое, организационное, инженерно-техническое и программно-аппаратное обеспечение.
В силу специфичности применяемых средств криптографической защиты информации при построении системы требуется определенное время на подбор, подготовку, обучение и назначение пользователей, на обеспечение режимных требований к помещениям пользователей.
Рассмотрим вопросы организации деятельности органа криптографической защиты - основного элемента структуры управления системой криптографической защиты информации.
Типовые мероприятия органа криптографической защиты, начиная от стадии лицензирования и до стадии штатной эксплуатации системы, можно подразделить на 5 основных этапов: предварительный, подготовительный, основной, заключительный и этап эксплуатации.
1. Мероприятия предварительного этапа:
началом для планирования и организации всех мероприятий по внедрению средств криптографической защиты информации является получение необходимых лицензий ФАПСИ (ФСБ):
