Проблемы хранения ЭП (безопасность в целом) - Форум по вопросам информационной безопасности

Подскажите.

Как себя подстраховать.
Я просто сисадмин к инф.безопастности отношение не имею. Хотя понятие есть.
Обслуживаю пару бюджетных организаций.

В одной встала проблема с безопасностью. Сейчас идет суд. Интересная история вообщем компроментация ЭП руководителя и как следствие кража денег.

Собственно можно было бы заняться проблемами ИБ, если бы давали на это денег. (У руководства понимания нет).

Руководство говорит почему я не рассказал что подписи никому нельзя давать (работали 4 года уже с ЭП причем они подписывали соглашения с УЦ федерального казначейства и приказами себя назначали когда я ещё не работал. Аж смешно.)

Вопрос банальный я не могу наставить их на путь истинный (отчасти проблема из-за финансирования этого вопроса). Но хочу себя подстраховать. Как ?

В должностных инструкциях у меня по поводу ИБ ничего нет. Только техническая составляющая. Никаким приказом на должность администратора ИБ я не назначен.

hristoff | 57730

"приказами себя назначали когда я ещё не работал"

"В должностных инструкциях у меня по поводу ИБ ничего нет. Только техническая составляющая. Никаким приказом на должность администратора ИБ я не назначен."

Вот вы и ответили на свой вопрос. Вы ни за что не отвечаете и в ваши обязанности это не входит.
Если же хотите можете разработать инструкцию о порядке использования, хранения электронной подписи со ссылкой на 69-ФЗ. Ввести в действие приказом по организации и ознакомить исполнителей по роспись. И напомнить, электронная подпись приравнивается к собственно ручной подписи.

При получении ЭП, её владелец подписывает пакет документов, в том числе инструкции и выписки о порядке хранения и пользования..ЭП именная и ежегодно обновляется, на смену человека на подписывающей должности не сослаться. Вряд ли УЦ это упустил, тем более стабильно работающий.
То, что суд у УЦ эти бумаги не запросил, - не Ваш вопрос, но, пока Вам официально не поручено отвечать за их хранение и пр., Вы не имеете право официально вмешиваться в действия владельца ЭП.
Если поручат, проще спросить типовые формы у УЦ (лучше того, у которого получаете ЭП). Есть еще много вопросов с учётом ЭП как СКЗИ, но это пока не Ваша забота.

Спасибо. Озадачусь конечно вопросом все это регламентировать.

А ещё хотел спросить. Перерыл типовую документацию УЦ. Везде написано что ЭП необходимо хранить в защищенном месте ну типа опечатанном сейфе. Что администратор ИБ должен перед использованием выдавать сотруднику ЭП с занесением соответствующей записи в журнал.

Возможно ли изменить данные пункты. При моем образе обслуживания, необходимо чтобы пользователи несли персональную ответственность за хранение ЭП. Сейчас у пользователей есть свои Токены которые они забирают с собой ежедневно.


А ещё есть у меня такая беда. У одной организации есть подведомственные учреждения. И данная организация по соглашению (со своими подведомственными) осуществляет работу с сайтом госзакупок. Подписи сделаны непосредственно на руководителей подведомственных организаций дабы в подписываемых документах была ФИО руководителя(так требуют).
Имеет ли право руководитель подведомственной организации передать свою ЭП другому человеку ответственному по соглашению выполнять эти действия.
Думаю конечно нет. УЦ явно запрещает по своему регламенту и приказам.
А как быть ? С одной стороны надо, а с другой нельзя ?

По второму вопросу всё однозначно: перепоручить использование ЭП владелец не может. Передать главбуху, секретарше, заместителю технически способен (и регулярно делается), но полностью на свой страх и риск. В случае любых нарушений и злоупотреблений владелец ответит.

По первому вопросу: сверьте инструкции с открытым Приказом ФАПСИ от 13.06.2001 N 152 "Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты ... связи и информации" Он до сих пор считается основным методическим документом. И проверьте, на чём у вас ЭП: для сертифицированного защищенного носителя (обычно токена) и обычного (дискеты) ограничения разные. По защищенному носителю правила можно посмотреть прямо с сайта производителя

Дополнение:
внести в свою инструкцию изменения, соответствующие НМД, вы можете, но обязательно согласовать (хотя бы официально известить) УЦ, т.к. иначе вы самовольно нарушаете его инструкции, за соблюдение которых расписались. Возможны проблемы, теоретически вплоть до отзыва сертификата (прекращения действия ЭП).
Кстати, в Интернете очень много регламентов, инструкций и руководств от УЦ (УЦ обычно выкладывают их на свой сайт). Посмотрите там формулировки

hristoff | 57737

"А ещё хотел спросить. Перерыл типовую документацию УЦ. Везде написано что ЭП необходимо хранить в защищенном месте ну типа опечатанном сейфе. Что администратор ИБ должен перед использованием выдавать сотруднику ЭП с занесением соответствующей записи в журнал.

Возможно ли изменить данные пункты. При моем образе обслуживания, необходимо чтобы пользователи несли персональную ответственность за хранение ЭП. Сейчас у пользователей есть свои Токены которые они забирают с собой ежедневно."

Вообще закрытый ключ ЭП должен хранится в личном сейфе на рабочем месте сотрудника, а не у администратора ИБ. Так что не надо изобретать велосипед.

"Имеет ли право руководитель подведомственной организации передать свою ЭП другому человеку ответственному по соглашению выполнять эти действия.
Думаю конечно нет. УЦ явно запрещает по своему регламенту и приказам.
А как быть ? С одной стороны надо, а с другой нельзя ?"

Обычно делают еще ЭП для заместителя генерального директора, главного бухгалтера и т.п. лиц имеющих право подписи документов. В принципе возможен вариант использования доверенности на право пользования ЭП, но тут не совсем уверен на сколько будет это законно.

Практик | 57739
"внести в свою инструкцию изменения, соответствующие НМД, вы можете, но обязательно согласовать (хотя бы официально известить) УЦ, т.к. иначе вы самовольно нарушаете его инструкции, за соблюдение которых расписались. Возможны проблемы, теоретически вплоть до отзыва сертификата (прекращения действия ЭП)"

Согласовывать необязательно, да и незнаю как на Вас посмотрят в УЦ, когда Вы отправите на согласование инструкцию. На сколько я помню УЦ вообще не отвечает за то, что происходит на стороне клиента. Его задача проверить предоставленные документы, сгенерировать сертификат, подписать бумаги на эти сертификаты, при известии о компроментации закрытого ключа отзывать сертификат, в общем приближении как то так.

2 Евгений

УЦ за пользователя почти не отвечает, а вот владелец перед УЦ отвечает, за что и подписался. В частности, Пользователь подписывает Руководство по ИБ, например
http://www.roskazna.ru/udostoveryayushchiy-centr/normativnye-dokumenty/doc/%D0%A0%D0%B5%D0%B3%D0%BB%D0%B0%D0%BC%D0%B5%D0%BD%D1%82_%D0%A3%D0%A6_%D0%A4%D0%9A.PDF
Если инструкция на стороне пользователя ПРОТИВОРЕЧИТ подписанным документам с УЦ, это нарушение, как минимум снимающее с УЦ ответственность в спорных случаях. Очевидно, что нормативам ФСБ/ФАПСИ инструкция соответствовать должна всегда.
Об изменениях к типовой инструкции УЦ проще "известить", типа "в случае вашего несогласия пишите", т.к. скорее всего на письмо ответа не будет.

Ну, за данный регламент врятли обычный пользователь росписывается, это больше регламент для самого УЦ. Мы немного забываем что ЭП, это собственноручная подпись, и УЦ это третье лицо реализующее сервис по работе с ЭП и дающее рекомендации по безопасности. Хотите чтоб все было нормально, придерживайтесь наших рекомендаций, не хотите, тогда мы ни за что не отвечаем.

Евгений не фантазируйте!
По ссылке точно прописано, кто за что расписывается. Да и требования ФСБ отличаются от Вашей версии