На главную
Об утверждении требований по обеспечению безопасности информационных и телекоммуникационных систем аккредитованных удостоверяющих центров. а также требований к используемым аккредитованными удостоверяющими центрами средствам технической защиты информации
Приказ
№ 265 от 03.12.2021
САЗ 21-51
- 1. Утвердить:
- 2. Направить настоящий Приказ на государственную регистрацию и официальное опубликование в Министерство юстиции Приднестровской Молдавской Республики.
- 3. Контроль за исполнением настоящего Приказа оставляю за собой.
- 4. Настоящий Приказ вступает в силу со дня, следующего за днём его официального опубликования.
- 1. Настоящие Требования разработаны в соответствии с Законом Приднестровской Молдавской Республики от 3 июля 2017 года № 205-З-VI «Об электронном документе и электронной подписи» (САЗ 17-28), с целью защиты информации, хранящейся, обрабатываемой и передаваемой в информационных и телекоммуникационных системах, от уничтожения, изменения, блокирования, копирования, предоставления, распространения, неправомерного или случайного доступа к ней, а также от иных неправомерных действий.
- 2. В настоящих Требованиях используются следующие основные понятия:
- 3. В настоящих Требованиях используются следующие сокращения:
- 4. Безопасность данных в ИС обеспечивает УЦ или лица (физические лица, осуществляющими предпринимательскую деятельность без образования юридического лица, и юридические лица, независимо от форм собственности и организационно-правовой формы), имеющие лицензию на осуществлении деятельности по оказанию услуг по технической защите конфиденциальной информации в соответствии с законодательством Приднестровской Молдавской Республики.
- 5. УЦ должен обеспечивать защиту информации, содержащейся в реестре сертификатов, от неправомерного доступа, уничтожения, модификации, блокирования, иных неправомерных действий в соответствии с требованиями законодательства Приднестровской Молдавской Республики.
- 6. В случае если при выполнении своей основной деятельности УЦ осуществляет виды деятельности, подлежащие лицензированию в соответствии с требованиями законодательства Приднестровской Молдавской Республики, наличие соответствующих лицензий обязательно.
- 7. Для обеспечения безопасности ИС необходимо выполнение следующих требований:
- 8. Для выполнения требования, указанного в подпункте а) пункта 7настоящих Требований, необходимо обеспечение режима, препятствующего возможности неконтролируемого проникновения или пребывания в помещениях, где размещены используемые средства ЭП, средства УЦ, СЗИ ИС, хранятся СКЗИ и (или) носители ключевой, аутентифицирующей и парольной информации СКЗИ, предназначенных для использования в УЦ (далее – Помещения), лиц, не имеющих права доступа в Помещения, которое достигается путем:
- 9. Для выполнения требования, указанного в подпункте б) пункта 7 настоящих Требований, необходимо:
- 10. Для выполнения требования, указанного в подпункте в) пункта 7настоящихТребований, необходимо:
- 11. Для выполнения требования, указанного в подпункте г) пункта 7настоящих Требований, необходимо применение СКЗИ и СЗИ, предназначенных для защиты информации ограниченного распространения или сведений соответствующей степени секретности, позволяющих обеспечивать безопасность информации УЦ при реализации целенаправленных действий с использованием аппаратных и (или) программных средств с целью нарушения безопасности защищаемой информации или создания условий для этого (далее – атака), которое достигается путем:
- 12. Для выполнения требования, указанного в подпункте е) пункта 7 настоящих Требований, необходимо обеспечить:
- 13. Сотрудники УЦ обязаны:
- 14. Сотрудникам УЦ запрещается:
- 15. Для ИС устанавливается четыре класса защищенности – 1Д, 1Г, 1В, 1Б. Каждый класс характеризуется определенной минимальной совокупностью требований по защите.
- 16. Требования к ИС класса защищенности 1Д:
- 17. Требования к ИС класса защищенности 1Г:
- 18. В ИС необходимо реализовать следующие меры:
- 19. При невозможности технической реализации отдельных выбранных мер по обеспечению безопасности ИС, а также с учетом экономической целесообразности на этапах адаптации и (или) уточнения набора мер могут разрабатываться иные (компенсирующие) меры, направленные на нейтрализацию актуальных угроз безопасности информации, хранящейся, обрабатываемой и передаваемой в ИС.
- 20. Технические меры защиты ИС реализуются посредством применения СЗИ, в том числе программных (программно-аппаратных) средств, в которых они реализованы, имеющих необходимые функции безопасности (требования к СЗИ приведены в Приложении № 3 к настоящему Приказу).
- 21. В ходе резервного копирования должна быть исключена возможность копирования криптографических ключей.
- 22. В ИС должен быть реализован контроль целостности технических средств УЦ. Контроль целостности обеспечивается опечатыванием корпусов устройств, препятствующим их несанкционированному вскрытию.
- 23. Каждый сотрудник УЦ должен быть ознакомлен под подпись с эксплуатационной и технической документацией на средства УЦ и средства ЭП, а также с нормативными документами, созданными на их основе.
- 24. Каждый сотрудник УЦ, принимающий участие в хранении, обработке, передаче информации и обеспечении доступа к ней, должен быть ознакомлен под подпись о гражданско-правовой ответственности за распространение данной информации, в случае если ее распространение ограниченно или запрещено законодательными актами Приднестровской Молдавской Республики.
- 25. Ролевое разграничение должно быть организовано в соответствии с требованиями к средствам УЦ, установленными соответствующим приказом МГБ ПМР, настоящими Требованиями, а также с технической и эксплуатационной документацией на средства УЦ.
- 26. Организационные мероприятия в рамках обеспечения безопасности ИС, обрабатывающих, хранящих или передающих информацию, содержащую сведения, составляющие государственную тайну, должны отвечать государственным требованиям по обеспечению режима секретности проводимых работ.
- 27. При выявлении дополнительных угроз безопасности ИС, для которых не определены меры обеспечения их безопасности, должны разрабатываться компенсирующие меры в соответствии с пунктом 18настоящих Требований и требованиями законодательства Приднестровской Молдавской Республики.
- 28. Порядок создания, использования, хранения и уничтожения ключевой информации определяется в соответствии с требованиями эксплуатационной документации на средства ЭП и иные СКЗИ, используемые УЦ.
- 1. Настоящие Требования разработаны в соответствии с Законом Приднестровской Молдавской Республики от 3 июля 2017 года № 205-З-VI «Об электронном документе и электронной подписи» (САЗ 17-28).
- 2. В настоящих Требованиях используются следующие основные понятия:
- 3. В настоящих Требованиях используются следующие сокращения:
- 4. Совместно со средствами УЦ должны применяться следующие СЗИ:
- 5. При подключении средств УЦ к каналам связи, совместно со средствами УЦ необходимо использовать межсетевые экраны, предназначенные для защиты информации ограниченного распространения или сведений соответствующей степени секретности. Средства межсетевого экранирования должны обеспечивать контроль и фильтрацию информационных потоков по протоколу передачи гипертекста.
- 6. При необходимости взаимодействия средств УЦ и ЭП между собой с использованием сетей общего пользования, доступ к которым не ограничен определенным кругом лиц, их подключение к этим сетям допускается только в качестве транспортного канала, защищенного с помощью СКЗИ, предназначенных для защиты информации ограниченного распространения или сведений соответствующей степени секретности.
- 7. В классе СКЗИ средств, реализующих механизмы формирования штампа времени, должно быть обеспечено защищенное хранение криптографических ключей в неэкспортируемом виде.
- 8. Эксплуатационной документацией на средства ЭП и средства УЦ могут быть установлены дополнительные требования к СЗИ и СКЗИ.
- 9. К классу КС1 относятся СКЗИ, для которых изготовителем предусмотрена возможность нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа следующих:
- 10. К классу КС2 относятся СКЗИ, для которых изготовителем предусмотрена возможность нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пункте 9 настоящих Требований и не менее одной из следующих дополнительных возможностей:
- 11. СКЗИ класса КС3 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пунктах 9 и 10 настоящих Требований и не менее одной из следующих дополнительных возможностей:
- 12. СКЗИ класса КВ1 и КВ2 применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пунктах 9 – 11 настоящих Требований и не менее одной из следующих дополнительных возможностей:
- 13. СКЗИ класса КА применяются для нейтрализации атак, при создании способов, подготовке и проведении которых используются возможности из числа перечисленных в пунктах 9 – 12 настоящих Требований и не менее одной из следующих дополнительных возможностей:
- 14. В процессе формирования совокупности предположений о возможностях, которые могут использоваться при создании способов, подготовке и проведении атак, дополнительные возможности, не входящие в число перечисленных в пунктах 9 – 13 настоящих Требований, не влияют на порядок определения требуемого класса СКЗИ.
- 15. Встраивание СКЗИ класса КС1 и КС2 осуществляется без контроля со стороны МГБ ПМР (если этот контроль не предусмотрен техническим заданием на разработку (модернизацию) ИС).
- 16. В ходе контроля со стороны МГБ ПМР встраивания СКЗИ могут решаться, в частности, задачи проверки требований документации на СКЗИ, относящихся к встраиванию СКЗИ, в том числе:
- 17. Методика и программа контроля встраивания СКЗИ разрабатываются и (или) обосновываются специализированной организацией, проводящей тематические исследования СКЗИ, и согласовываются с МГБ ПМР.
Реквизиты документа
Полное наименование
Об утверждении требований по обеспечению безопасности информационных и телекоммуникационных систем аккредитованных удостоверяющих центров. а также требований к используемым аккредитованными удостоверяющими центрами средствам технической защиты информации
Издатель
Министерство государственной безопасности
Вид акта
Приказ
№ документа
№ 265
Редакция
Первоначальный документ
Дата документа
03.12.2021
Источник оф. опубликования
САЗ 21-51
Скачать
Доступно по тарифу
К карточке документа
Карточка документа
Об утверждении требований по обеспечению безопасности информационных и телекоммуникационных систем аккредитованных удостоверяющих центров. а также требований к используемым аккредитованными удостоверяющими центрами средствам технической защиты информации
Тип:
Приказ
Номер:
№ 265
Статус:
Опубликован
Редакция:
Первоначальный документ
Организация:
Министерство государственной безопасности
Дата:
03.12.2021