3. Порядок управления ключами кодов аутентификации и шифрования
3. Порядок управления ключами кодов аутентификации
и шифрования 
3.1. Общие положения
3.1.1 Защита информации при обмене данными между Центральным каталогом кредитных историй и бюро кредитных историй осуществляется с применением СКЗИ "Верба-OW" (версия 6.1.2 или выше). Данное средство используется для формирования/проверки кодов аутентификации и зашифрования/расшифрования передаваемых данных.
3.1.2 Для организации защищенного информационного взаимодействия между Банком России и БКИ в ДИТ Банка России создается центр управления ключевой системой (ЦУКС).
Для осуществления функций по управлению ключевой системой ЦУКС имеет собственные комплекты ключевых документов. В функции ЦУКС входит:
- решение общих вопросов управления ключевой системой;
- регистрация открытых ключей БКИ;
- изготовление и регистрация ключей, используемых для формирования/проверки КА, а также шифрования/расшифрования ЭПС, отправляемых из Центрального каталога кредитных историй в БКИ (далее - "ключи пользователя ДИТ");
- распределение справочников открытых ключей для участников обмена ЭПС.
3.1.3 БКИ самостоятельно изготавливает ключевую информацию и записывает ее на носители ключевой информации (далее НКИ) с использованием закупленного программного обеспечения. Перечень поддерживаемых типов НКИ определен в эксплуатационной документации на СКЗИ "Верба-OW" (версия 6.1.2 или выше).
3.1.4 Для каждого БКИ изготавливаются два типа комплектов ключевых документов:
- администраторский (действующий и резервный), данный комплект должен использоваться только для взаимодействия администратора информационной безопасности БКИ с администратором ЦУКС. Использование данного типа комплекта для других целей запрещается;
- пользовательский (действующий и резервный), данный комплект должен использоваться только для передачи информации в АС ЦККИ.
Для передачи информации в АС ЦККИ используется один пользовательский комплект ключевых документов.
3.1.5 При формировании комплектов ключевых документов должен использоваться ГОСТ Р 34.10-2001 (алгоритм, основанный на эллиптических кривых) и Windows кодировка текстовых полей реквизитов.
3.1.6 Периодичность плановой смены ключевых документов - не реже одного раза в 15 месяцев. Конкретная дата смены ключевых документов устанавливается ЦУКС.
3.1.7 Сертификатом ЦУКС является регистрационная карточка (бумажный бланк) заверенный в соответствии с п.п. 3.2.5 и 3.2.12 настоящего документа.
3.2. Начальная регистрация ключевых документов бюро кредитных историй
3.2.1 Центральный каталог кредитных историй направляет копию поступившего от БКИ письма, а также копии всех прилагаемых к нему материалов в ДИТ Банка России.
3.2.2 ЦУКС по получении письма из Центрального каталога кредитных историй с соответствующей резолюцией Директора ДИТ Банка России, официальным письмом за подписью Директора ДИТ Банка России сообщает в БКИ дату прибытия в ЦУКС для проведения регистрации. Для ускорения процесса регистрации, допускается согласование даты прибытия АИБ БКИ в ДИТ Банка России производить по телефону.
3.2.3 АИБ БКИ осуществляет генерацию пользовательских ключевых носителей с использованием соответствующего программного обеспечения:
- эталон действующего ключа КА и шифрования;
- копия действующего ключа КА и шифрования;
- эталон резервного ключа КА и шифрования;
- копия резервного ключа КА и шифрования.
Сформированные НКИ должны быть учтены как носители информации ограниченного доступа.
3.2.4 АИБ БКИ изготавливает собственный комплект ключевой информации (действующая и резервная) для обеспечения функций по поддержке управления ключевой системой и записывает его на НКИ. Сформированные НКИ должны быть учтены как носители информации ограниченного доступа.
3.2.5 Открытые ключи шифрования (административные действующий и резервный ключи, пользовательские действующий и резервный ключи) копируются на специально выделенный для этого транспортный гибкий магнитный диск (ГМД). <1>.
--------------------------------
<1> По согласованию с администратором ЦУКС допускается использование иных машинных носителей информации.
Регистрационные карточки, содержащие открытый ключ шифрования (форма карточки приведена в Приложении 10), должны быть распечатаны в двух экземплярах. Регистрационные карточки изготавливаются с использованием штатных средств АРМ АБ СКЗИ "Верба-OW" (версия 1 или выше).
Карточки с открытым ключом шифрования пользователя БКИ подписываются пользователем БКИ и АИБ БКИ (4 штуки). Подписи заверяются печатью организации и подписью руководителя БКИ.
Карточки с открытым ключом АИБ БКИ (4 штуки) подписываются АИБ БКИ. Подпись заверяется печатью организации и подписью руководителя БКИ.
3.2.6 Открытые ключи КА (действующий и резервный) обоих типов копируются на специально выделенный для этого транспортный ГМД.
Регистрационные карточки (форма которых приведена в Приложении 10), содержащие открытый ключ КА, должны быть распечатаны в двух экземплярах. Регистрационные карточки изготавливаются с использованием штатных средств АРМ АБ СКЗИ "Верба-OW" (версия 1 или выше).
Карточки с открытым ключом КА пользователя БКИ подписываются пользователем БКИ и АИБ БКИ (4 штуки). Подписи заверяются печатью организации и подписью руководителя БКИ.
Карточки с открытым ключом КА АИБ БКИ (4 штуки) подписываются АИБ БКИ. Подпись заверяется печатью БКИ и подписью руководителя БКИ.
3.2.7 При заполнении регистрационных карточек по п.п. 3.2.5 и 3.2.6 дата начала действия ключа КА/шифрования устанавливается равной дате изготовления ключа, дата окончания действия ключа КА/шифрования - на пятнадцать месяцев позднее. Т.е. срок действия ключей на три месяца больше чем периодичность плановой смены ключей. Диапазон действия ключа вводится в верхней строке поля, определяющего состав лиц, подписывающих регистрационную карточку.
3.2.8 Транспортный ГМД и регистрационные карточки, изготовленные в соответствии с п. 3.2.4, 3.2.5, и 3.2.6 настоящего документа с официальным сопроводительным письмом доставляются АИБ БКИ в ЦУКС. Отсканированный образ официального сопроводительного письма предварительно должен быть направлен по электронной почте администратору ЦУКС.
3.2.9 Для оформления пропуска на территорию Банка России, АИБ БКИ должен предварительно поставить в известность администратора ЦУКС о своем прибытии и иметь при себе общегражданский российский паспорт.
3.2.10 Администратор ЦУКС проверяет соответствие открытых ключей регистрационным карточкам и в случае положительного результата проверки добавляет их в полные справочники открытых ключей КА и шифрования, содержащие ключи участников обмена ЭПС и формирует справочники открытых ключей для БКИ.
В случае обнаружения несоответствия открытых ключей и регистрационных карточек, ключевые документы возвращаются АИБ БКИ для повторного формирования.
Справочники открытых ключей КА и шифрования для БКИ содержат следующие ключи:
- действующий и резервный ключ пользователя ДИТ;
- действующий и резервный ключ администратора ЦУКС;
- действующий и резервный ключ пользователя БКИ;
- действующий и резервный ключ АИБ БКИ.
3.2.11 Сформированные справочники открытых ключей КА и шифрования БКИ переносятся на транспортный ГМД БКИ.
3.2.12 Регистрационные карточки подписываются администратором ЦУКС и руководителем ЦУКС или его заместителем. Подписи заверяются печатью подразделения ДИТ Банка России, в составе которого функционирует ЦУКС.
3.2.13 Один экземпляр регистрационных карточек остается в ЦУКС, второй передается АИБ БКИ.
3.3. Плановая замена ключевых документов
3.3.1 Администратор ЦУКС заблаговременно письменно уведомляет администраторов информационной безопасности БКИ о дате и времени замены комплектов ключевых документов.
3.3.2 АИБ БКИ, при получении уведомления администратора ЦУКС о замене ключевых документов, изготавливает ключевые документы в соответствии с п.п. 3.2.3 - 3.2.4 настоящего документа.
3.3.3 После изготовления ключевых документов АИБ БКИ последовательно проводит следующие операции:
- устанавливает КА и шифрует открытые ключи шифрования (действующий и резервный) на администратора ЦУКС с использованием действующих ключей АИБ БКИ, после чего помещает их на специально выделенный для этого транспортный ГМД;
- устанавливает КА и шифрует открытые ключи КА (действующий и резервный) на администратора ЦУКС с использованием действующих ключей АИБ БКИ, после чего помещает их на специально выделенный для этого транспортный ГМД;
- осуществляет формирование и оформление регистрационных карточек открытых ключей шифрования и КА в соответствии с п.п. 3.2.5 - 3.2.7 настоящего документа. Дата начала действия ключей КА/шифрования устанавливается равной дате, указанной администратором ЦУКС. Дата окончания действия ключа КА/шифрования - на пятнадцать месяцев позднее даты начала действия ключа;
- отправляет с сопроводительным письмом в адрес ЦУКС фельдъегерской почтой (или иной почтой, гарантирующей доставку и целостность корреспонденции) транспортный ГМД и регистрационные карточки.
3.3.4 Администратор ЦУКС при получении транспортного ГМД и регистрационных карточек из БКИ производит следующие действия:
- расшифровывает, проверяет и удаляет КА открытых ключей размещенных на транспортном ГМД с использованием действующих ключей ЦУКС;
- в случае положительного результата расшифрования и проверки КА, формирует справочники открытых ключей БКИ в соответствии п. 3.2.10 настоящего документа (в случае отрицательного результата расшифрования и проверки КА, транспортный ГМД и регистрационные карточки возвращаются в БКИ);
- устанавливает КА и шифрует справочники открытых ключей с использованием действующих ключей администратора ЦУКС, после чего помещает их на соответствующий транспортный ГМД БКИ;
- выполняет операции по п. 3.2.12 настоящего документа;
- отправляет с сопроводительным письмом в адрес БКИ фельдъегерской почтой (или иной почтой, гарантирующей доставку и целостность корреспонденции) транспортный ГМД и вторые комплекты регистрационных карточек.
3.3.5 АИБ БКИ при получении транспортного ГМД из ЦУКС проводит следующие действия:
- расшифровывает, проверяет и удаляет КА справочников открытых ключей, размещенных на транспортном ГМД с использованием действующих ключей АИБ БКИ;
- в случае положительного результата расшифрования и проверки КА, переносит справочники открытых ключей на АРМ АБ СКЗИ "Верба-OW" (версия 1 или выше) и проводит в установленное ЦУКС время замену ключевых документов в БКИ. Замена производится в соответствии с порядком, описанным в эксплуатационной документации на СКЗИ "Верба-OW" (версия 6.1.2 или выше). При отрицательном результате расшифрования и проверки КА АИБ БКИ в рабочем порядке связывается с администратором ЦУКС и проводит работы по устранению возникшей ситуации.
3.3.6 По взаимному соглашению администратора ЦУКС и АИБ БКИ доставка новых ключевых документов в ЦУКС может быть произведена АИБ БКИ лично. В этом случае регистрация ключевых документов производится в порядке, определенном п.п. 3.2.8 - 3.2.13 настоящего документа.
3.3.7 В течение 3-х рабочих дней после даты замены ключевых документов выведенные из обращения секретные ключи КА, шифрования и справочники открытых ключей шифрования подлежат уничтожению с составлением акта. Акт подписывается пользователем БКИ и АИБ БКИ, после чего заверяется печатью организации и подписью руководителя БКИ. Справочник открытых ключей КА БКИ подлежит хранению на протяжении срока хранения ЭПС, защищенных с использованием содержащихся в справочнике ключей.
3.4. Действия АИБ БКИ при компрометации ключевых документов СКЗИ "Верба-OW" пользователей
3.4.1 АИБ БКИ пользователя, допустившего компрометацию ключевых документов действующего комплекта, по телефону информирует о факте компрометации администратора ЦУКС. Начиная с этого момента, ЭПС, защищенные с использование скомпрометированных ключевых документов, в обработку АС ЦККИ не принимаются. АИБ БКИ направляет в ЦУКС письмо (по факсу с досылкой) за подписью руководителя БКИ, в котором сообщается о факте компрометации, начале служебного расследования данного факта и необходимости перехода на резервный комплект ключевых документов.
3.4.2 АИБ БКИ сохраняет справочник открытых ключей КА, формирует новые справочники открытых ключей для БКИ (исключает скомпрометированные ключи и изменяет статус резервных ключей с "резервный" на "действующий"). Откорректированные справочники переносит на НКИ пользователя (резервные) и администратора (действующие и резервные).
3.4.3 АИБ БКИ извещает администратора ЦУКС (по телефону и по электронной почте) о готовности к переходу на работу с измененными ключевыми документами.
3.4.4 После получения от АИБ БКИ информации о готовности к переходу на работу с измененными ключевыми документами, администратор ЦУКС назначает дату и время перехода, о чем извещает АИБ БКИ (по телефону и по электронной почте).
3.4.5 В назначенное администратором ЦУКС время АИБ БКИ проводит работу по замене справочников открытых ключей на рабочих местах с установленным программным обеспечением криптографической обработки информации. С момента времени, установленного администратором ЦУКС, резервный комплект ключевых документов считается действующим и используется БКИ при передаче ЭПС в Центральный каталог кредитных историй. АИБ БКИ составляет акт о переходе с основного комплекта ключей на резервный, который подписывается пользователем БКИ и АИБ БКИ, после чего заверяется печатью БКИ и подписью руководителя БКИ.
В течение 3-х рабочих дней после даты замены ключевых документов выведенные из обращения (скомпрометированные) секретные ключи КА, шифрования и справочники открытых ключей шифрования подлежат уничтожению с составлением акта. Акт подписывается пользователем БКИ и АИБ БКИ, после чего заверяется печатью организации и подписью руководителя БКИ. Соответствующий справочник открытых ключей КА БКИ подлежит хранению на протяжении срока хранения ЭПС, защищенных с использованием содержащихся в справочнике ключей.
3.4.6 АИБ БКИ изготавливает следующий резервный комплект ключевых документов. Для этого выполняются действия, аналогичные п.п. 3.3.2 - 3.3.6 (с учетом необходимости изготовления только резервного комплекта ключевых документов для пользователя БКИ).
3.5. Порядок обращения с носителями ключевой информации
3.5.1 НКИ, на которые записываются ключевые документы, должны быть учтены как носители информации ограниченного доступа.
3.5.2 Должен быть утвержден список лиц, которые имеют доступ к секретным ключам КА и шифрования.
3.5.3 Для выполнения криптографических операций должен использоваться НКИ с копией действующих ключевых документов. Использование эталонного НКИ запрещается.
3.5.4 В случае физической неисправности НКИ с копией действующих ключей КА и шифрования, данный носитель подлежит уничтожению с составлением соответствующего акта. Акт подписывается пользователем БКИ и АИБ, после чего заверяется печатью организации и подписью руководителя БКИ. Изготовляется новая копия, соответствующая эталонному НКИ.
3.5.5 Неиспользуемые НКИ (эталон действующих ключевых документов, эталон и копия резервных ключевых документов) должны быть помещены в опечатанные владельцем контейнеры. Для хранения НКИ должны использоваться надежные металлические хранилища (сейфы). Хранение НКИ допускается в одном хранилище с другими документами.
3.5.6 С целью избежания одновременной компрометации секретных ключей, записанных на НКИ с действующими и на НКИ с резервными ключевыми документами, данные НКИ должны храниться в разных опечатанных контейнерах.
3.5.7 По окончании рабочего дня, а также вне времени составления и передачи-приема ЭПС опечатанный контейнер с НКИ, на котором записана копия действующих ключевых документов, должен помещаться в надежное металлическое хранилище (сейф).
3.5.8 Не допускается:
- снимать несанкционированные копии с носителей ключевой информации;
- знакомить с содержанием носителей ключевой информации или передавать носители ключевой информации лицам, к ним не допущенным;
- выводить секретные ключи КА или ключи шифрования на дисплей (монитор) ПЭВМ или принтер;
- устанавливать носитель секретных ключей КА или ключей шифрования в считывающее устройство (дисковод) ПЭВМ, на которой программные средства передачи-приема ЭПС функционируют в непредусмотренных (нештатных) режимах, а также на другие ПЭВМ;
- записывать на носители ключевой информации постороннюю информацию.
3.5.9 По окончанию срока действия или по указанию администратора ЦУКС информация с НКИ, содержащих ключевые документы, подлежит уничтожению с составлением соответствующего акта. Акт подписывается пользователем БКИ и АИБ, после чего заверяется печатью организации и подписью руководителя БКИ. Справочник открытых ключей КА подлежит хранению в течение срока хранения ЭПС.
