Я вляется ли сертификат проверки ЭП и (или) ключ ЭП ключевыми документами - Форум по вопросам информационной безопасности

Приветствую!
Интересуют ответы на вопросы:
1. Относится ли к ключевым документам сертификат ключа проверки ЭП?
2. Относится ли к ключевым документам ключ ЭП?
И в каких НПА об этом прямо говориться (если косвенно, то логическую цепочку НПА).
Буду благодарен за ответы.

P.S.Сертификат ключа проверки ЭП выпускается средствами УЦ, при этом "подвести" УЦ под 28 пункт («Изготовление и распределение ключевых документов и (или) исходной ключевой информации для выработки ключевых документов с использованием аппаратных, программных и программно-аппаратных средств, систем и комплексов изготовления и распределения ключевых документов для шифровальных ») Перечня выполняемых работ и оказываемых услуг, составляющих лицензируемую деятельность, в отношении шифровальных (криптографических) средств и обязать иметь лицензию ФСБ по 99-ФЗ можно только связав "сертификат" = " ключевой документ". Интересует правовое обоснование.
Второй вариант "подводки" УЦ под 28 пункт: ключ электронной подписи выпускается УЦ средствами электронной подписи, как связать "ключ ЭП" = " ключевой документ"?

Алексей, согласно Приказу ФАПСИ №152, ключевой документ - физический носитель определенной структуры, содержащий ключевую информацию (исходную ключевую информацию), а при необходимости - контрольную, служебную и технологическую информацию.
Т.о., сертификат ключа проверки ЭП на бланке или флешке - ключевой документ (физический носитель, содержащий ключ проверки ЭП). Ключ ЭП на бланке или на флешке - тоже ключевой документ.

Де-факто я, за!
Но во де-юре...

"... Ключ ЭП на бланке или на флешке - тоже ключевой документ"

Ключ ЭП выпускается средствами ЭП, которые являются СКЗИ (п. 2 приказа ФСБ РФ от 27 декабря 2011 г. N 796), но при этом ничего не сказано о том, что сам ключ ЭП является ключевым документом (т.е. не ясно, попадают ли работы по его выпуску под п. 28 Перечня выполняемых работ...).
Более того, в п.п.4 п.1 статьи 13 № 63-ФЗ УЦ вменяется выдача средств ЭП (СКЗИ), обеспечивающих возможность создания ключа электронной подписи (т.е. по вашему ключевого документа), заявителю, а как же он (заявитель) их (ключи) будет генерировать, если эта деятельность сугубо лицензионная? Это косвенно указывает на то, что ключи ЭП не ключевая информация.
Далее довод убойный (ключ ЭП НЕ является ключевым документом) - ПП РФ № 313 Положение.. п.1 п.п. "в" и "д" разделяют отнесенные к СКЗИ понятия "средства электронной подписи" и "средства изготовления ключевых документов - аппаратные, программные, программно-аппаратные шифровальные (криптографические) средства, обеспечивающие возможность изготовления ключевых документов для шифровальных (криптографических) средств, не входящие в состав этих шифровальных (криптографических) средств".
Так как в приказе ФСБ РФ от 27 декабря 2011 г. N 796 ясно сказано, что ключ ЭП выпускается на средствах электронной подписи, то он не будет являться ключевым документом по той причине, что для их выпуска требуеюся средства изготовления ключевых документов (из ПП РФ № 313). Занавес...

Теперь про сертификат ключа проверки.
Он выпускается, как говорится в 63-ФЗ, средствами УЦ.
Требования к средствам УЦ изложены в том же приказе ФСБ РФ от 27 декабря 2011 г. N 796, но в нем ничего не говорится о том, что эти средства УЦ дают на "выходе", ключевые документы или нет.
Приказом ФСБ РФ от 27 декабря 2011 г. N 795 определены требования к форме квалифицированного сертификата ключа проверки электронной подписи, но опять же, ничего не говорится о том, что является ли сертификат ключевым документом или нет.
В каком-то НПА о структуре ключевого документа говориться, чтобы его сравнить с требованиями к структуре сертификата, по приказу ФСБ РФ от 27 декабря 2011 г. N 795? Тогда, при тождественности требований к структуре, можно и отнести сертификат к ключевым, а пока нет правовых оснований.

Алексей, ключевое слово - "физический носитель". Сам по себе ключ ЭП - это сферический конь в вакууме.

Самое верное решение - напишите обращение через http://www.fsb.ru/fsb/webreception.htm

Придется :(

"...Сам по себе ключ ЭП - это сферический конь в вакууме"

Версия интересная :), но мало что объясняющая, в данном вопросе.
Добавлю "доказательств" версию о том, что ключ ЭП не является ключевым документом (со стороны лицензирования по ПП РФ № 313):

63-ФЗ
Статья 13. Удостоверяющий центр
1. Удостоверяющий центр:
...
4) выдает по обращению заявителя средства электронной подписи ...обеспечивающие возможность создания ключа электронной подписи ... и заявителем.

То есть выдается заведомо не лицензиату ФСБ по п.28 Перечня. Ну и 152-ФАПСИ любимого добавлю:

12. ...
Изготовлять ключевые документы из исходной ключевой информации могут ... или непосредственно обладатели конфиденциальной информации, применяя штатные СКЗИ, если такая возможность предусмотрена эксплуатационной и технической документацией к СКЗИ.

А тут уже, как у Чуковского "Путаница" :)

В последнее время ПП-313 стало несколько избыточным: криптобиблиотеки сертифицировать вродь как больше ФСБ не планирует - становятся ненужными пункты, относящиеся к "защищенным с использованием...", думаю, с ключевыми документами история похожая...

> Статья 13. Удостоверяющий центр
> 1. Удостоверяющий центр:
> ...
> 4) выдает по обращению заявителя средства электронной подписи ...обеспечивающие возможность создания ключа электронной подписи ... и заявителем.
>
> То есть выдается заведомо не лицензиату ФСБ по п.28 Перечня.

Почему между заявителем и лицензиатом в данном месте поставили знак равенства? В законе никак не определяется статус заявителя.
Заявителями удостоверяющих центров являются физические и юридические лица, которые не имеют лицензии ФСБ РФ. Собственно для них сей рынок услуг и формировался не только в нашей стране, но и за рубежом.
Федеральный закон от 04.05.2011 N 99-ФЗ и постановление Правительства РФ от 16.04.2012 № 313 прямо говорят, что лицензия выдаётся за исключением случаев, когда деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя.
То о чём Вы спорите это всего лишь разница в терминологии, введенной документами с разницей в 10 лет. Думаю, что тут при "натягивании" одного определения на другое надо быть крайне аккуратным и больше делать на анализ содержательной части термина с учётом всего документа, в котором он применяется.
Знаю, что в некоторых регионах местные управления ФСБ по отношении Приказа ФАПСИ от 13.06.2001 № 152 говорят, что он носит рекомендательный характер.

"...Почему между заявителем и лицензиатом в данном месте поставили знак равенства? В законе никак не определяется статус заявителя..."

Я знак равенства поставил между "заявителем" и "НЕ лицензиатом" потому, что законодатель не будет издаваемым им правовым актом создавать условия, для нарушения другого распорядительного акта.
Но, тем не менее, на свой вопрос вы сами же и ответили:
"...Заявителями удостоверяющих центров являются физические и юридические лица, которые не имеют лицензии ФСБ РФ ..." А зачем вопрос тогда задали?

"...Федеральный закон от 04.05.2011 N 99-ФЗ и постановление Правительства РФ от 16.04.2012 № 313 прямо говорят, что лицензия выдаётся за исключением случаев, когда деятельность осуществляется для обеспечения собственных нужд юридического лица или индивидуального предпринимателя..."

Наверное, я вас сейчас огорчу: в 313 (точнее, в Перечне к Приложению к 313) "прямо говорится", что юридическое лицо или индивидуальный предприниматель, для обеспечения собственных нужд, из всего перечня работ подлежащих лицензированию, может проводить только техническое обслуживание (тут даже открывать этот НПА не требуется, в названии документа это написано).

"...20. Работы по обслуживанию шифровальных (криптографических) средств, предусмотренные технической и эксплуатационной документацией на эти средства (за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)..."

Обратите внимание, что в остальных пунктах Перечня пунктов, включаемых в лицензию ФСБ, не присутствует фраза: "(за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)".

Ну, и чисто повеселиться (как у Канта - опровергнув пять доказательств существования Христа он создал шестоее :) )...

"...Заявителями удостоверяющих центров являются физические и юридические лица, которые не имеют лицензии ФСБ РФ..."

Читаем 152-ФАПСИ :

12. ...
Изготовлять ключевые документы из исходной ключевой информации могут ... или непосредственно обладатели конфиденциальной информации, применяя штатные СКЗИ, если такая возможность предусмотрена эксплуатационной и технической документацией к СКЗИ.

Читаем Перечень к Приложению ПП РФ № 313:

п. 28 Изготовление и распределение ключевых документов и (или) исходной ключевой информации для выработки ключевых документов с использованием аппаратных, программных и программно-аппаратных средств, систем и комплексов изготовления и распределения ключевых документов для шифровальных».

Так (при теоретическом условии, что сертификат и ключ ЭП - ключевые документы) заявитель одновременно является и не является лицензиатом :) :) :)

> Я знак равенства поставил между "заявителем" и "НЕ лицензиатом" потому, что законодатель не будет издаваемым им правовым актом создавать условия, для нарушения другого распорядительного акта.

Может я не так сформулировал свой вопрос про знак равенства. Попробую по другому: почему под заявителем Вы всё время рассматриваете лицензиата ФСБ?

> Обратите внимание, что в остальных пунктах Перечня пунктов, включаемых в лицензию ФСБ, не присутствует фраза: "(за исключением случая, если указанные работы проводятся для обеспечения собственных нужд юридического лица или индивидуального предпринимателя)".

Да отсутствует. И это неоднократно обсуждалось на разных форумах. От регулятора объяснений по данному поводу мне не попадались. Логика "главенства" перечня положения перед Федеральным законом от 04.05.2011 N 99-ФЗ может привести к тому, что закон "говорит", что для собственных нужд лицензия не нужна, а перечень говорит чуть ли не об обратном.