Ответственный пользователь криптосредств - Форум по вопросам информационной безопасности

Организация (ЦОД) - оператор информационной системы (ИС) установила у других юридических лиц - участников ИС свое оборудование - шлюзы ViPNet 100C. Администрирование сети ViPNet осуществляет ЦОД, где находится центральный узел и центр администрирования.
Нужно ли в каждой организации-участнике назначать ответственного пользователя криптосредств или достаточно одного в ЦОД?

Ответственного пользователя обычно нужно, если кто-то получит пароли и права доступа в VPN . Если это не транзитное оборудование для третьей организации.
Плюс порядок ответственности за сохранность и доступ (это орг.вопрос - можно хоть на начальника охраны возложить ответственное хранение под роспись).

to Практик
+1

to Serg
Читайте. Инструкцию-152. ФАПСИ...
Или к грамотным лицензиатам обратитесь - пояснят, какие меры и зоны ответственности в вашей ситуации должны быть реализованы...
Потому как там еще и вопрос легальности "инсталляции СКЗИ одним юр.лицом на площадке другого юр.лица" куда более интересен. Обычно решается другим путем: владелец ИС прописывает тех.условия подключения к ней для других юр.лиц. Например, закупку и установку АПШ СКЗИ самостоятельно (ключи и проч. выдает уже ОКЗ владельца ИС). В таком ракурсе Ответственные должны быть и в конторе-владельце и в конторе-абоненте. ОКЗ, пожалуй, только 1. И, как правило, это вообще третье юр.лицо - лицензиат ФСБ - которое осуществляет интеграцию СКЗИ на всех закрепленных объектах + выполняет поддержку...
Рискну утверждать, что иные варианты (владелец сам установил требования, но и сам же проводит установку/настройку/поддержку СКЗИ на чужих площадках ради защищенности своей ИС) уже требуют лицензирования владельца ИС (или формального нарушения законодательства, ага)...

2 oko

Это типовая задача для ГИС (да и МИС, и прочих ведомственных сетевых задач - медики, полиция ... ). И решается всегда в той или иной степени анально: ИС и ЦОД (чаще вместе с лицензией на сеть ВИПнет) у одной организации - лицензиата. а "сотки" с рабочими местами, ЭП и прочее - в куче организаций,которые не хотят ни за что отвечать. И специалистов у них нет.
Третье юрлицо-установщик тоже может быть, при достаточном объёме и географической распределённости). То есть, по уму, заказчик этой ИС должен сразу разработать несколько типовых положений и инструкций для клиентов, и административно заставить их ввести приказами местных начальников.

to Практик
Сколько ни работал с ГИС/МИС, всегда к тому и сводил:
- СКЗИ (читай, ключевку, изменения и проч.) пусть обслуживает лицензиат ФСБ;
- первичный монтаж пусть производит он же или другой лицензиат;
- ответственность за эксплуатацию оконечника лежит на оконечнике;
- ответственность за безопасность ГИС/МИС в целом лежит на владельце + операторе + тех, кто осуществляет защиту (либо тот же лицензиат на договорной основе, либо подразделение владельца);
- правила и особенности подключения / эксплуатации / реагирования / etc явно прописываются для каждого оконечника (порой, в договоре, если не гос.лицо).
Просто из сообщения тов. Serg не ясно, кто этот Оператор ИС? Владелец ИС с лицензией? Сторонняя контора-лицезиат? Какая-то контора-разработчик-техподдержка функциональной части ИС, которую владелец уполномочил?
И с участниками тоже нюанс: если юр.лицо, но подразделение (филиал, подвед) - один вариант; если стороннее юр.лицо - другой вариант...
Потому и возникает ряд вопросов: кто назначен ОКЗ в такой ситуации? И кто вообще отвечает за защиту ИС на бумаге, а кто по факту?
Что подводит к главному: нужно разбираться детальнее - форум в таком вопросе вряд ли поможет (скорее запутает)...

to oko

Организация - оператор (ЦОД) лицензии не имеет. Поставку, монтаж и настройку выполняла организация-лицензиат.
Администрирование и сопровождение защищенной сети ViPNet будет выполнять также сторонняя организация-лицензиат (сейчас вопрос в стадии торгов).
Участники ИС это сторонние самостоятельные юридические лица различных ведомственных принадлежностей (от местных до федеральных) и не имеющие какого-либо подчинения ЦОД, участвующие в ИС на основе соглашений и регламента работы.
Весь вопрос встал в стадии разработки различных положений и инструкций по ИБ. Кто, где и за что отвечает.

to Serg
В таком ракурсе проблемы обязуйте оконечников по-максимуму. И Ответственные пользователи СКЗИ, и непосредственный администратор безопасности информации, и проч...
А лучше пусть владелец ИС надавит на лицензиата-администратора ViPNet, чтобы последний все оные инструкции (хотя бы в части СКЗИ) подготовил под текущую ситуацию...
И в соглашении (договоре) с оконечником предусмотрите, что подключаться к ИС он способен только при выполнении всех предъявленных требований безопасности, включая их последующие изменения владельцем (оператором) ИС в одностороннем порядке...

2 Serg

"в сторону": посмотрите, как организована (бумажно) система банк-клиент (казначейство-клиент) в бухгалтерии, полный аналог вашей задачи.
Но они отвечают деньгами, поэтому "деревянных заглушек" меньше