Электронная подпись - зачем так сложно - Форум по вопросам информационной безопасности

to Достало
Откройте все-таки 152 Инструкцию, там четко расписаны правила и зоны ответственности...
Технически, как заведете у себя, так и будет: есть возможность установить персональный сейф каждому - ставьте, нет возможности - ставьте один с разными полками/секциями, опечатанными персональными тубусами и проч. Нет и такой возможности, но есть человек в штате, кому не вломм - пусть он хранит все оные носители у себя и выдает юзерам каждый раз под расписку...
*в сторону* вместо сейфа, де факто, сойдет и опечатанный шкаф - главное, чтобы не из бумаги, ага...

"главное, чтобы не из бумаги, ага..."

В одной ведомственной федеральной инструкции (не знаю, действует ли до сих пор) про хранилища для конфиденциалки (опечатываемые шкафы) техническое требование было одно - отсутствие прозрачных окошек, то есть если есть, оклеить изнутри самоклейкой или бумагой.
Логически верно: если нет требований к стойкости к взлому, то как мера от "нарушителя, использующего только штатные уязвимости" этого достаточно.
Вроде бы в самой Розовой инструкции требований к ящикам нет.
Кстати, напоминаю (вроде не устарело) http://www.itsec.pro/2014/12/blog-post.html

Господа, спасибо.

Люди добрые, помогите, пожалуйста, советом по вопросу организации защиты криптосредств.
У нас в организации используется электронная подпись, при том далеко не только в бухгалтерии.
У нас ЭП пользуются 80% коллектива (смэв-запросы), т.е. человек 40. Охватывает 99% помещений.
Вопросы:
1) Так нужно ли опечатывать каждое хранилище ЭП или нет?
2) Если опечатывать хранилище, нужно ли при этом опечатывать помещение, где находится это хранилище?
3) Допустимо ли. чтобы владельцы ЭП - сотрудники организации. сдавали свои ЭП начальнику своего отдела и тогда хранилище на отдел будет одно?

4) Если допустимо сдавать подписи начальнику отдела, то как документально это оформить?
Т.е. вот есть в организации ответственный пользователь криптосредств - это тот, кто организует работу с криптосредствами, в том числе проводит установку, настройку, выдаёт подписи и т.п.
А кем тогда будут начальники отдела, которым подписи сдают?

1. Нужно.
2. Не нужно.
3. Допустимо.
4. Инструкцией в произвольной форме. С обязательной распиской всех заинтересованных, ага.
Нач. отделов будут руководителями подразделений, в которых есть пользователи СКЗИ. Т.е. промежуточным звеном между конечными юзерами и админом безопасности или ОКЗ. С несением полной ответственности за деятельность своих подчиненных (в части СКЗИ, разумеется)...
Остались вопросы? См. прошлую страницу данной темы, а еще лучше - 152-Инструкцию ФАПСИ...

oko
Спасибо.
По поводу п.4.
Инструкция какого рода? В чём будет её специфика?
Есть
Порядок работы с скзи
Порядок размещения спец оборудования, охраны и организации режима в выделенных помещениях
Порядок восстановления связи в случае компрометации...

В этом случае нужно ещё одну инструкцию?

to Топор
Можете, например, в "Порядок работы с СКЗИ" внести пункты, определяющие ответственность руководителя подразделения за деятельность своих сотрудников в части, касающейся СКЗИ. И пункт, что именно руководитель подразделения обязан хранить ключевые носители и проч. в своем опечатанном сейфе и выдавать их под роспись сотрудникам в случае необходимости. Отчитываются руководители при этом перед АБИ или ОКЗ (смотря, что у вас реализовано). Более детально, конечно, но общий смысл именно такой. Далее все руководители и их сотрудники подписывают данную бумагу - profit