Требования ФСБ к СКЗИ - Форум по вопросам информационной безопасности

Вся информация и по поводу электронного замка Соболь или любого другого и по поводу антивирусных средств и других средств защиты или условий, при которых должно функционировать СКЗИ, описана в эксплуатационной документации на СКЗИ, в формуляре и правилах пользования. Читайте внимательно. Если там написано, что антивирус должен быть сертифицирован в ФСБ, ставьте такой, благо и у касперского и у dr.web есть такие версии и поставляются они насколько мне известно на том же носителе, что и сертифицрованные во ФСТЭК. При выборе замка Соболь тоже будьте внимательны, там можно купить либо сертифицированную во ФСТЭК версию, либо в ФСБ. Для обеспечения работы СКЗИ вам, если мне не изменяет память, нужна будет сертифицированная в ФСБ версия.

2 DEN
Это должно быть указано (всегда прописывается) в формуляре СКЗИ. В таком исполнении (КС3) должен использоваться аппаратный (а не программный) генератор "случайных" чисел, который и имеется например у Соболя, Аккорда,...

Товарищи.
Проконсультируйте пожалуйста.

Имеется квалифицированная ЭП, ключ которой располагается на флешке (даже если на токене он будет)

Есть необходимость перенести этот ключ на другую флеху.
КриптоПро - позволяет это сделать без проблем.

НО! Вопрос в нормах права


Допускается ли, с точки зрения законодательства, переносить приватные ключи криптосредств с одних носителей на другие?

Спасибо.

Если это касается документооборота, то владелец закрытого ключа вправе делать с ним что угодно, главное чтобы это не привело к компрометации, владелец должен обеспечить конфиденциальность, он несет за него ответственность а не кто то. Другой вопрос если это ключ для какого то оборудования (для создания крипто канала) и он учтен в каком либо журнале, переписан серийник устройства и тд... ФЗ63 не запрещает дублировать ключи или делать резервные копии с учетом сохранения конфиденциальности.

И вдогонку вопрос:

Если флешкам присвоен определенный номер, под которым они числятся в Журналах (в том числе поэкземплярного учета)

Можно ли присвоить им другой номер (неудачно получилось - практика показала, что нужна другая система обозначения).

Вот и думаю, если провести такую процедуру:
Берем флешку. В журналах пишем, что под таким-то номером она сдана/уничтожена и т.п.
Короче
"Опись, протокол, сдал, принял, отпечатки пальцев!" (с)

Присвоить ей другой номер, внести его в журналы - все по процедуре.

Допустимо?

Илья
Пока писал второй вопрос - Вы уже ответили.
Спасибо.

Только речь идет не о дублировании, а о миграции, т.е. с одной флешке на другую (это к первому вопросу).

Ну во первых - миграция более безопасная, в плане компрометации, процедура, чем дублирование.
Во вторых, я считаю что допустимо, но должно быть подкреплено каким то документом внутреним, регламентирующим данную процедуру + документом фиксирующим процедуру (протокол или запись в журнале и тд)

Во вторых, я считаю что допустимо, но должно быть подкреплено каким то документом внутреним, регламентирующим данную процедуру + документом фиксирующим процедуру (протокол или запись в журнале и тд)
----
Что касается журнала - это понятно. Тут проблем нет.

А вот почему меняются номера - это сложнее. причина банальна.
Тут тема вообще не стандартная:
Некоторое время назад произошло реформирование той конторы (точнее отрасли в отдельно взятом регионе). В результате в конкретной организации появился бухгалтер и специалист по ИТ, скажем так.

До этого за тоже самое отвечали где-то там далеко.

Короче в частности с флешками - учетом флешек. как имущества был бардак.
Нужно было готовить подписи, а понять какой инвентарный к какой флешке было проблемно, поэтому я сам придумал маркеры, но они были заточены исключительно под ЭП.
А если по каким-то причинам флешка выбывает из этого статуса, то маркер становится избыточным.

Сейчас с инвентарными разобрались и теперь логичней и проще было использовать в качестве идентификатора - инвентарные номера.

Ну и и еще вопросик.

Поделитесь, пожалуйста опытом, как кто исполняет:
-----
Требования к усилению ЗНИ.1:
1) оператором обеспечивается маркировка машинных носителей информации (технических средств), дополнительно включающая:
а) информацию о возможности использования машинного носителя информации вне информационной системы;
-----

И чем чревато разрешение на использование?

Спасибо.

Приветствую!
Пример:
Мы передаем ПДн сотрудников в другую ИС сторонней организации (по договору, в рамках выполнения требований соответствующего ФЗ или на иных основаниях) на отчуждаемых машинных носителях - CD, Flash и т.п.
На каждый такой носитель мы наносим маркировку: ПДн + инв. номер (опционально).
В журнале учитываем МНИ по инв. номерам + указываем сотрудников, кому эти носители доступны.
Также в журнале ставим пометку "Разрешено к использованию в сторонних ИС" (указываем конкретные ИС и организации).
Достаточно ли это для буквального выполнения означенных требований? Да. Поскольку цифровые метки и проч. электронные идентификаторы, которыми автоматически или в ручном режиме маркирует МНИ любое СЗИ НСД - это другие пункты усиления.