СЛУЖБА БЕЗПЕКИ УКРАЇНИ
Департамент спецiальних телекомунiкацiйних систем та захисту iнформацiї

НАКАЗ

вiд 13 сiчня 2005 року	N 3

Про затвердження Правил посиленої сертифiкацiї

Зареєстровано в Мiнiстерствi юстицiї України 27 сiчня 2005 р. за N 104/10384

Iз змiнами i доповненнями, внесеними
наказом Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї
Служби безпеки України
вiд 10 травня 2006 року N 50

     На виконання пункту 2 постанови Кабiнету Мiнiстрiв України вiд 13 липня 2004 року N 903 "Про затвердження Порядку акредитацiї центру сертифiкацiї ключiв" наказую:

     1. Затвердити Правила посиленої сертифiкацiї (додаються).

     2. Заступнику начальника Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України Гулаку Г. М. забезпечити в установленому порядку подання цього наказу на державну реєстрацiю до Мiнiстерства юстицiї України.

     3. Контроль за виконанням цього наказу покласти на першого заступника начальника Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України.

Начальник Департаменту

К. Бойко

 

	ЗАТВЕРДЖЕНО Наказ Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України 13.01.2005 N 3 (у редакцiї наказу Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України вiд 10.05.2006 N 50)
	Зареєстровано в Мiнiстерствi юстицiї України 27 сiчня 2005 р. за N 104/10384

 

ПРАВИЛА
посиленої сертифiкацiї

1. Загальнi положення

     1.1. Правила посиленої сертифiкацiї (далi - Правила) розробленi на виконання постанови Кабiнету Мiнiстрiв України вiд 13 липня 2004 року N 903 "Про затвердження Порядку акредитацiї центру сертифiкацiї ключiв" та визначають органiзацiйнi, технiчнi i технологiчнi вимоги до акредитованих центрiв сертифiкацiї ключiв (далi - акредитованi центри) пiд час обслуговування ними посилених сертифiкатiв вiдкритих ключiв (далi - сертифiкат) та забезпечення їх використання.

     1.2. У цих Правилах органiзацiйнi, технiчнi i технологiчнi умови дiяльностi акредитованих центрiв пiд час обслуговування ними сертифiкатiв мають назву полiтика сертифiкацiї.

     1.3. Сертифiкати, сформованi вiдповiдно до вимог полiтики сертифiкацiї, використовуються для пiдтримки електронного цифрового пiдпису, який задовольняє вимогам щодо пiдпису, застосованого до даних в електроннiй формi, у такий же спосiб, як власноручнi пiдписи задовольняють вимогам стосовно документа на паперi.

     1.4. Дiя цих Правил поширюється на акредитованi центри. Особливостi застосування цих Правил у сферi банкiвської дiяльностi визначає Нацiональний банк України за погодженням з контролюючим органом.

     1.5. Використанi у цих Правилах термiни мають такi значення:

     автоматизована система акредитованого центру - органiзацiйно-технiчна система акредитованого центру, що забезпечує обслуговування сертифiкатiв та об'єднує програмно-технiчний комплекс, фiзичне середовище, обслуговуючий персонал, а також iнформацiю, що обробляється в акредитованому центрi;

     вiдокремлений пункт реєстрацiї - представництво (фiлiя, пiдроздiл) акредитованого центру, яке здiйснює реєстрацiю пiдписувачiв;

     захищений носiй - носiй (smart card, touch-memory тощо), що призначений для зберiгання особистого ключа та має вбудованi апаратно-програмнi засоби, що забезпечують захист записаних на нього даних вiд несанкцiонованого доступу;

     розпiзнавальне iм'я - сукупнiсть реквiзитiв пiдписувача, що забезпечують можливiсть однозначного визначення належностi сертифiката цьому пiдписувачу серед iнших сертифiкатiв, сформованих у акредитованому центрi;

     заявник - фiзична або юридична особа, яка звертається до акредитованого центру з метою формування сертифiката (сертифiкатiв);

     реєстрацiя - встановлення пiдписувача та перевiрка наданих даних, що включаються у сертифiкат;

     сертифiкацiя - формування сертифiката, заснованого на перевiрених при реєстрацiї даних, накладання на сертифiкат електронного цифрового пiдпису за допомогою особистого ключа акредитованого центру;

     розповсюдження - надання сертифiката пiдписувачу - власнику особистого ключа або, у разi його згоди, iншим користувачам, якщо для державних органiв iнше не передбачене правилами їх систем електронного документообiгу. Зазначеною послугою також забезпечується розповсюдження iнформацiї щодо умов та порядку обслуговування i використання сертифiката;

     управлiння статусом сертифiката - змiна статусу сертифiката на пiдставi вiдповiдних запитiв та за умовами, визначеними Законом України "Про електронний цифровий пiдпис";

     розповсюдження iнформацiї про статус сертифiката - надання вiльного доступу до iнформацiї про статус сертифiката. Зазначена послуга може бути забезпечена у реальному часi або заснована на iнформацiї про статус сертифiката, що оновлюється за визначеним перiодом часу або у разi необхiдностi;

     повторне формування сертифiката - формування нового сертифiката акредитованим центром для пiдписувача, який є власником чинного сертифiката, сформованого даним акредитованим центром.

     Iншi термiни застосовуються у значеннях, наведених у Законi України "Про електронний цифровий пiдпис", Порядку акредитацiї центру сертифiкацiї ключiв, затвердженому постановою Кабiнету Мiнiстрiв України вiд 13 липня 2004 року N 903, iнших нормативно-правових актах з питань криптографiчного та технiчного захисту iнформацiї.

     1.6. Заявник та пiдписувач

     1.6.1. У разi, якщо в основних даних (реквiзитах) пiдписувача сформованого за зверненням заявника сертифiката зазначаються реквiзити заявника, заявник та пiдписувач є одним суб'єктом.

     1.6.2. В iншому випадку, якщо заявник - уповноважений представник юридичної особи звертається до акредитованого центру з метою формування сертифiкатiв для iнших представникiв цiєї юридичної особи, заявник та пiдписувач є рiзними суб'єктами.

     1.6.3. Заявник, який укладає договiр iз акредитованим центром на надання послуг електронного цифрового пiдпису (далi - ЕЦП), несе перед ним вiдповiдальнiсть, передбачену договором, за використання особистих ключiв, якi вiдповiдають сертифiкатам, сформованим акредитованим центром за зверненням заявника.

     Пiдписувач здiйснює використання особистого ключа вiдповiдно до умов договору.

     1.7. Iдентифiкатор полiтики сертифiкацiї

     Iдентифiкатором для полiтики сертифiкацiї, що визначена у цих Правилах, є iso(1) member-body(2) Ukraine(804) root(2) security(1) cryptography(1) pik(1) pik-cp(2) правила посиленої сертифiкацiї(2).

     Центр сертифiкацiї ключiв, що успiшно пройшов процедуру акредитацiї, у процесi якої пiдтверджено вiдповiднiсть дiяльностi центру вимогам, зазначеним у цих Правилах, повинен включати зазначений iдентифiкатор у всi посиленi сертифiкати, що ним формуються для пiдписувачiв.

2. Обов'язки акредитованого центру

     2.1. Акредитований центр повинен зобов'язати заявника виконувати такi основнi вимоги:

     а) надавати повну та дiйсну iнформацiю пiд час реєстрацiї, необхiдну для формування сертифiката;

     б) використовувати особистий ключ виключно для ЕЦП, а також додержуватися iнших вимог щодо його використання, визначених акредитованим центром;

     в) зберiгати особистий ключ у таємницi, не допускати використання особистого ключа iншими особами;

     г) використовувати надiйнi засоби ЕЦП для генерацiї особистих та вiдкритих ключiв, формування та перевiрки ЕЦП;

     ї) негайно iнформувати акредитований центр про подiї, що трапилися до закiнчення строку чинностi сертифiката, а саме:

     втрату або компрометацiю особистого ключа;

     втрату контролю щодо особистого ключа через компрометацiю паролю, коду доступу до нього тощо;

     виявлену неточнiсть або змiну даних, зазначених у сертифiкатi;

     д) не використовувати особистий ключ у разi його компрометацiї.

     2.2. У разi, якщо заявник та пiдписувач є рiзними суб'єктами, заявник повинен зобов'язати пiдписувача виконувати вимоги, визначенi у пунктi 2.1 цих Правил.

     2.3. Акредитований центр зобов'язаний надати користувачам, якi використовують сертифiкати, iнформацiю про необхiднiсть:

     здiйснення перевiрки чинностi сертифiката з використанням iнформацiї про статус сертифiката;

     врахування усiх визначених у сертифiкатi вимог щодо його використання.

3. Вимоги до дiяльностi акредитованого центру пiд час обслуговування сертифiкатiв

     3.1. Акредитований центр повинен мати Регламент роботи, що визначає порядок та процедури обслуговування сертифiкатiв пiдписувачiв вiдповiдно до вимог, визначених у цих Правилах.

     3.2. У Регламентi роботи повинно бути визначено:

     а) загальнi положення (iдентифiкацiйнi данi акредитованого центру - повне найменування, код за ЄДРПОУ, мiсцезнаходження, номери телефонiв, електронна адреса електронного iнформацiйного ресурсу);

     б) перелiк суб'єктiв, задiяних в обслуговуваннi i використаннi сертифiкатiв та їх функцiї;

     в) сфера використання сертифiката:

     перелiк сфер, у яких дозволяється використання сертифiкатiв, сформованих акредитованим центром;

     обмеження щодо використання сертифiкатiв, сформованих акредитованим центром;

     г) порядок розповсюдження (публiкацiї) iнформацiї акредитованим центром:

     перелiк iнформацiї, що публiкується акредитованим центром на електронному iнформацiйному ресурсi;

     час i порядок публiкацiї сертифiкатiв та спискiв вiдкликаних сертифiкатiв;

     ї) порядок iдентифiкацiї та автентифiкацiї:

     механiзми пiдтвердження володiння пiдписувачем особистим ключем, вiдповiдний якому вiдкритий ключ надається для сертифiкацiї;

     умови встановлення юридичної особи (представника юридичної особи) або фiзичної особи - пiдписувачiв (iнформацiя, що надається заявником пiд час реєстрацiї, види документiв, на пiдставi яких встановлюється пiдписувач, необхiднiсть особистої присутностi пiдписувача в акредитованому центрi тощо);

     механiзми автентифiкацiї для пiдписувачiв, якi мають чинний сертифiкат, сформований в акредитованому центрi;

     механiзми автентифiкацiї пiд час звернення до акредитованого центру щодо вiдкликання (блокування i скасування) та поновлення сертифiката;

     д) умови, процедури та механiзми, пов'язанi iз формуванням, блокуванням, скасуванням та використанням сертифiката:

     процес подання запиту на сертифiкацiю (перелiк суб'єктiв, уповноважених здiйснювати запит на сертифiкацiю, порядок подачi та оброблення запиту на сертифiкацiю, строки оброблення запиту на сертифiкат тощо);

     надання сформованого сертифiката пiдписувачу та визнання сертифiката його власником;

     публiкацiя сформованого сертифiката акредитованим центром;

     використання сертифiката та особистого ключа (вiдповiдальнiсть пiдписувача - власника сертифiката пiд час використання особистого ключа та сертифiката, вiдповiдальнiсть користувачiв пiд час використання сертифiката);

     процедура подачi запиту на сертифiкацiю для пiдписувачiв, якi мають чинний сертифiкат ключа, сформований акредитованим центром;

     скасування (блокування, поновлення) сертифiката (обставини скасування (блокування, поновлення) сертифiката; перелiк суб'єктiв, уповноважених здiйснювати запит на скасування (блокування та поновлення) сертифiката; процедура подання запиту на скасування (блокування, поновлення) сертифiката; час оброблення запиту на скасування (блокування, поновлення) сертифiката; частота формування списку вiдкликаних сертифiкатiв та строки його дiї; можливiсть та умови надання iнформацiї про статус сертифiката у режимi реального часу);

     закiнчення строку чинностi сертифiката пiдписувача;

     е) управлiння та операцiйний контроль:

     фiзичне середовище (опис спецiального примiщення, механiзми контролю доступу до нього);

     процедурний контроль (перелiк посад безпосередньо задiяних в обслуговуваннi сертифiкатiв, їх функцiї та вiдповiдальнiсть з урахуванням режиму роботи акредитованого центру);

     ведення журналiв аудиту автоматизованої системи акредитованого центру (типи подiй, що фiксуються у журналi аудиту, частота перегляду, строки зберiгання журналiв аудиту, захист та резервне копiювання журналiв аудиту, перелiк посад, що можуть здiйснювати перегляд журналiв аудиту);

     ведення архiвiв (типи документiв та даних, що пiдлягають архiвуванню, строки зберiгання архiвiв, механiзми та порядок зберiгання i захисту архiвiв);

     є) управлiння ключами:

     генерацiя ключiв (процес, порядок та умови генерацiї ключiв акредитованого центру та пiдписувачiв);

     процедури надання особистого ключа пiсля генерацiї акредитованим центром його власнику;

     механiзм надання вiдкритого ключа акредитованому центру для сертифiкацiї;

     ж) забезпечення захисту особистого ключа:

     порядок захисту та доступу до особистого ключа акредитованого центру;

     резервне копiювання особистого ключа акредитованого центру, порядок та умови збереження, доступу та використання резервної копiї.

     3.3. Регламент роботи розробляється до початку проведення процедури акредитацiї центру сертифiкацiї ключiв та затверджується керiвником центру пiсля його погодження з контролюючим органом.

     Пiсля затвердження Регламенту роботи один його примiрник надсилається до контролюючого органу.

     3.4. У разi внесення змiн до Регламенту роботи у ньому окремо зазначаються положення (роздiли, пункти), до яких внесено змiни, текст змiн, а також дата їх внесення.

     Погодження та затвердження змiн до Регламенту роботи здiйснюються у порядку, встановленому для погодження та затвердження Регламенту роботи.

     3.5. Акредитований центр через електронний iнформацiйний ресурс або в iнший спосiб забезпечує ознайомлення користувачiв з положеннями Регламенту роботи або з iншим документами, що пiдтверджують вiдповiднiсть його дiяльностi полiтицi сертифiкацiї, що визначена у цих Правилах. Акредитований центр визначає обсяг положень Регламенту роботи або iнших документiв, з якими необхiдно ознайомлювати користувачiв.

4. Управлiння ключами в акредитованому центрi

     4.1. Генерацiя ключiв акредитованого центру

     4.1.1. Генерацiя особистого ключа акредитованого центру повинна здiйснюватись у спецiальному примiщеннi за участю або пiд контролем не менш двох визначених осiб iз обслуговуючого персоналу. Вимоги до спецiальних примiщень акредитованого центру наведенi у додатку до цих Правил.

     4.1.2. Генерацiя ключiв акредитованого центру здiйснюється за допомогою надiйних засобiв ЕЦП.

     4.1.3. Всi подiї, пов'язанi iз генерацiєю, використанням та знищенням особистого ключа акредитованого центру, повиннi протоколюватися.

     4.2. Зберiгання, резервування та вiдновлення ключа акредитованого центру

     4.2.1. Особистий ключ акредитованого центру повинен розмiщуватися:

     на захищеному носiї у складi програмно-апаратного або апаратного засобу криптографiчного захисту iнформацiї (далi - КЗI), яким здiйснювалася генерацiя ключiв згiдно з пунктом 4.1.2 цих Правил;

     на незйомному носiї (пристрої) зi складу програмно-технiчного комплексу або зйомному носiї (пристрої). Порядок зберiгання та доступу до особистого ключа у такому випадку погоджується з Департаментом спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України.

     4.2.2. У разi здiйснення резервування особистого ключа акредитованого центру особистий ключ повинен бути перенесений на зовнiшнiй носiй (пристрiй) у захищеному виглядi, що забезпечує його цiлiснiсть та конфiденцiйнiсть.

     4.2.3. Резервування, зберiгання та вiдновлення особистого ключа повинно здiйснюватися у спецiальному примiщеннi. Резервування та вiдновлення здiйснюється за участю або пiд контролем не менше двох визначених осiб iз числа обслуговуючого персоналу.

     4.2.4. Умови забезпечення захисту резервної копiї особистого ключа акредитованого центру пiд час його зберiгання повиннi бути не нижче, нiж умови забезпечення захисту особистого ключа, що знаходиться у використаннi.

     4.2.5. У разi, якщо ключ зберiгається у призначеному для цього програмно-апаратному або апаратному засобi КЗI, технологiя зберiгання повинна забезпечити неможливiсть доступу до нього iз зовнi у вiдношеннi до такого засобу.

     4.3. Використання особистого ключа акредитованого центру

     4.3.1. Особистий ключ акредитованого центру може використовуватися тiльки для формування сертифiкатiв (накладання ЕЦП на сертифiкат) та iнформацiї про статус сертифiката.

     4.3.2. Особистий ключ акредитованого центру може використовуватися тiльки у засобах КЗI, якi повиннi бути розташованi у спецiальному примiщеннi.

     4.4. Строк чинностi особистого ключа акредитованого центру

     4.4.1. Особистий ключ акредитованого центру може бути чинним не бiльше нiж п'ять рокiв.

     4.4.2. Пiсля закiнчення термiну дiї особистого ключа акредитованого центру особистий ключ та всi його резервнi копiї знищуються способом, що не дозволяє їх вiдновлення.

     4.5. Надання допомоги iз генерацiї ключiв пiдписувачам

     4.5.1. У разi генерацiї ключiв пiдписувачам акредитований центр повинен вжити заходи конфiденцiйностi пiд час генерацiї.

     4.5.2. У разi передачi акредитованим центром особистого ключа пiдписувачу через заявника повинна бути забезпечена конфiденцiйнiсть та цiлiснiсть ключа.

     4.5.3. Зберiгання особистих ключiв пiдписувачiв та ознайомлення з ними в акредитованому центрi забороняються.

     4.5.4. Генерацiя ключiв акредитованим центром пiдписувачам повинна здiйснюватися за допомогою надiйних засобiв ЕЦП.

5. Обслуговування сертифiкатiв

     5.1. Обслуговування акредитованим центром сертифiкатiв передбачає:

     реєстрацiю;

     сертифiкацiю;

     розповсюдження;

     управлiння статусом сертифiката;

     розповсюдження iнформацiї про статус сертифiката.

     Додатково акредитований центр може надавати засоби ЕЦП.

     5.2. Реєстрацiя пiдписувача

     5.2.1. Встановлення юридичної особи здiйснюється за її установчими документами (положення, статут юридичної особи тощо) або копiями таких документiв, якi нотарiально посвiдченi вiдповiдно до законодавства. Крiм цього, акредитований центр встановлює представника юридичної особи та його повноваження.

     5.2.2. Встановлення фiзичної особи здiйснюється за паспортом або iншими документами вiдповiдно до законодавства.

     У разi, якщо пiд час реєстрацiї встановлюється пiдписувач - фiзична особа як представник юридичної особи, заявник повинен додатково надати до акредитованого центру вiдомостi щодо належностi пiдписувача до цiєї юридичної особи.

     5.2.3. Заявник повинен надати свою адресу, телефон або iншу iнформацiю, що дозволяє зв'язатися з ним.

     5.2.4. Реєстрацiя пiдписувачiв може здiйснюватися через вiдокремленi пункти реєстрацiї, якi виконують свої функцiї згiдно з Регламентом роботи.

     5.2.5. У разi, якщо особистий та вiдкритий ключi були згенерованi не акредитованим центром, пiд час реєстрацiї повинно бути забезпечено перевiрку щодо володiння пiдписувачем особистим ключем, який вiдповiдає вiдкритому ключу, наданому для формування сертифiката. Перевiрка виконується без розкриття особистого ключа пiдписувача.

     5.2.6. Перед укладенням договору iз заявником щодо надання послуг ЕЦП, акредитований центр повинен ознайомити заявника iз умовами обслуговування сертифiкатiв, якi визначено у пунктi 5.5 цих Правил. Акредитований центр може надати таку iнформацiю через електронний iнформацiйний ресурс або в iнший спосiб.

     5.2.7. Договiр акредитованого центру та заявника про надання послуг ЕЦП повинен включати:

     обов'язки сторiн, у тому числi щодо обов'язковостi використання надiйних засобiв ЕЦП;

     умови надання доступу користувачам до сертифiката пiдписувача (умови публiкацiї сертифiката).

     5.2.8. Договiр акредитованого центру та заявника про надання послуг ЕЦП може бути у формi електронного документа.

     5.2.9. Акредитований центр повинен взяти на облiк укладенi договори iз заявниками, а також документи (посвiдченi в установленому порядку копiї документiв), що використовуються пiд час реєстрацiї.

     5.2.10. Акредитований центр повинен забезпечити захист персональних даних пiдписувача вiдповiдно до законодавства.

     5.3. Повторне формування сертифiката

     5.3.1. При повторному формуваннi сертифiката акредитований центр повинен здiйснити перевiрку стосовно того, що iнформацiя, яка надавалася ранiше заявником пiд час реєстрацiї, дiйсна.

     5.3.2. При виникненнi необхiдностi змiни даних, зазначених у сертифiкатi, акредитований центр може здiйснити переформування сертифiката пiдписувачу iз використанням попередньо засвiдченого вiдкритого ключа пiдписувача у разi, якщо вiдповiдний йому особистий ключ не був скомпрометований. При цьому не повиннi бути порушенi вимоги пункту 5.2 цих Правил, а час чинностi особистого ключа та вiдповiдного йому вiдкритого ключа не може перевищувати двох рокiв.

     5.4. Формування сертифiката

     5.4.1. Формування сертифiката пiдписувачу здiйснюється акредитованим центром на пiдставi даних, отриманих вiд заявника пiд час реєстрацiї.

     5.4.2. Формат сертифiката, що вiдповiдає вимогам Закону України "Про електронний цифровий пiдпис", визначається вiдповiдними технiчними специфiкацiями форматiв представлення базових об'єктiв нацiональної системи ЕЦП.

     5.4.3. У разi, якщо центр сертифiкацiї ключiв акредитується засвiдчувальним центром та надає послуги ЕЦП в межах iнформацiйної системи з обмеженим колом користувачiв, що визначене власником iнформацiйної системи або вiдповiдними угодами користувачiв цiєї системи, такий акредитований центр може використовувати формат сертифiката, визначений засвiдчувальним центром.

     5.4.4. Акредитований центр повинен забезпечити унiкальнiсть розпiзнавального iменi пiдписувача та реєстрацiйного номера сертифiката в межах акредитованого центру.

     5.4.5. Для фiзичної особи обов'язковими реквiзитами розпiзнавального iменi є прiзвище, iм'я та по батьковi, а для юридичної особи - повна назва юридичної особи вiдповiдно до статуту (положення) та iдентифiкацiйний код за ЄДРПОУ.

     5.4.6. Додатковi данi пiдписувача (належнiсть до певної органiзацiї, посада тощо) вносяться у сертифiкат за бажанням заявника або вiдповiдно до вимог нормативно-правових актiв, що встановлюють особливостi застосування ЕЦП у вiдповiднiй сферi.

     5.4.7. В акредитованому центрi повинно бути передбачено можливiсть резервування усiх сформованих ним сертифiкатiв.

     5.4.8. Всi подiї, пов'язанi iз формуванням, переформуванням, блокуванням, поновленням та скасуванням сертифiкатiв, виданих акредитованим центром, повиннi протоколюватися в акредитованому центрi iз забезпеченням захисту протоколiв вiд несанкцiонованого доступу.

     5.5. Розповсюдження умов обслуговування та використання сертифiката

     5.5.1. Акредитований центр повинен надати вiльний доступ користувачам до iнформацiї щодо умов, пов'язаних з використанням сертифiката, зокрема:

     положень полiтики сертифiкацiї, визначеної у цих Правилах;

     обмежень при використаннi сертифiката;

     зобов'язань та пiдстав вiдповiдальностi пiдписувачiв стосовно використання сертифiката, у тому числi щодо використання надiйних засобiв ЕЦП;

     iнформацiї щодо порядку перевiрки чинностi сертифiката, у тому числi умов перевiрки статусу сертифiката;

     строкiв зберiгання акредитованим центром даних про пiдписувачiв, що були отриманi ним пiд час реєстрацiї;

     порядку розв'язання спорiв;

     законодавства в сферi ЕЦП;

     пiдстав вiдповiдальностi акредитованого центру.

     5.5.2. Зазначена iнформацiя може надаватися через електронний iнформацiйний ресурс або в iнший спосiб, що дає можливiсть з нею ознайомиться.

     5.6. Розповсюдження сертифiкатiв

     5.6.1. Пiсля формування сертифiкат повинен бути доступний заявнику та/або пiдписувачу, для якого цей сертифiкат був сформований.

     5.6.2. Доступ до сформованого сертифiката для користувачiв надається у разi згоди на це заявника, якщо для державних органiв iнше не передбачене правилами їх систем електронного документообiгу.

     5.6.3. Данi, що визначенi у пунктi 5.5.1 та пунктi 5.6.2 цих Правил, повиннi бути вiльно доступнi для користувачiв цiлодобово.

     5.7. Блокування та скасування сертифiкатiв

     5.7.1. Акредитований центр повинен визначити у Регламентi роботи умови та процедури вiдкликання сертифiката, зокрема:

     хто може звернутися до акредитованого центру щодо блокування або скасування сертифiката;

     порядок звернення до акредитованого центру щодо блокування або скасування сертифiката;

     умови пiдтвердження звернення щодо скасування або блокування сертифiката;

     причини, за якими сертифiкат може бути заблокований;

     механiзми (методи), що використовуються акредитованим центром для розповсюдження iнформацiї про статус сертифiката;

     максимальний час мiж отриманням звернення щодо скасування або блокування сертифiката та змiною його статусу, iнформацiя про який доступна користувачам.

     5.7.2. Особа, яка звертається до акредитованого центру щодо скасування сертифiката, повинна бути встановлена, а також перевiрено законнiсть такого звернення. Вимоги щодо пiдтвердження запиту на скасування сертифiката встановлюються акредитованим центром.

     5.7.3. Пiдписувач, сертифiкат якого був заблокований або скасований, повинен бути проiнформований про змiну статусу сертифiката.

     5.7.4. Скасований сертифiкат не може бути в подальшому поновлений.

     5.7.5. У разi, якщо для розповсюдження iнформацiї про статус сертифiката акредитованим центром використовується механiзм списку вiдкликаних сертифiкатiв, повинно бути забезпечено такi умови:

     кожний список вiдкликаних сертифiкатiв повинен мiстити час видання наступного списку, якщо iнше не передбачено Регламентом роботи;

     новий список вiдкликаних сертифiкатiв може бути опублiкований до визначеного часу видання наступного списку;

     список вiдкликаних сертифiкатiв повинен бути пiдписаний за допомогою особистого ключа акредитованого центру.

     5.7.6. Формат списку вiдкликаних сертифiкатiв визначається вiдповiдними технiчними специфiкацiями форматiв представлення базових об'єктiв нацiональної системи ЕЦП.

     5.7.7. Управлiння статусом сертифiката та розповсюдження iнформацiї про статус сертифiката повиннi бути вiльнодоступнi цiлодобово.

     5.7.8. Звернення щодо скасування сертифiкатiв фiксуються та зберiгаються в акредитованому центрi.

     5.7.9. Акредитований центр повинен забезпечити цiлiснiсть та автентичнiсть iнформацiї щодо статусу сертифiкатiв.

     5.8. Час, що використовується в процесi обслуговування сертифiкатiв для надання послуг, повинен бути синхронiзований з Всесвiтнiм координованим часом з точнiстю до однiєї секунди.

6. Забезпечення безпеки iнформацiйних ресурсiв в акредитованому центрi

     6.1. Загальнi вимоги

     6.1.1. Безпека iнформацiйних ресурсiв в акредитованому центрi досягається шляхом впровадження органiзацiйних, iнженерно-технiчних заходiв, засобiв i методiв технiчного та криптографiчного захисту iнформацiї комплексної системи захисту iнформацiї (далi - КСЗI), спрямованих на забезпечення захисту iнформацiї пiд час обслуговування сертифiкатiв ключiв.

     6.1.2. КСЗI автоматизованої системи акредитованого центру повинна мати атестат вiдповiдностi нормативним документам iз захисту iнформацiї. Засоби КЗI акредитованого центру повиннi мати позитивний експертний висновок за результатами державної експертизи у сферi КЗI. Захищений носiй також повинен мати сертифiкат вiдповiдностi або позитивний експертний висновок на вiдповiднiсть вимогам технiчного захисту iнформацiї.

     6.2. Вимоги до обслуговуючого персоналу

     6.2.1. Обслуговуючий персонал акредитованого центру повинен мати вiдповiднi знання, досвiд та навички, необхiднi для забезпечення надання послуг ЕЦП.

     6.2.2. Функцiї та вiдповiдальнiсть обслуговуючого персоналу, дiяльнiсть якого безпосередньо пов'язана iз безпекою функцiонування акредитованого центру вiдповiдно до полiтики безпеки акредитованого центру, повиннi бути передбаченi їх посадовими обов'язками (посадовими iнструкцiями).

     6.2.3. В акредитованому центрi повиннi бути визначенi такi посади обслуговуючого персоналу, дiяльнiсть яких безпосередньо пов'язана iз безпечним функцiонуванням акредитованого центру:

     адмiнiстратор реєстрацiї, що вiдповiдає за встановлення фiзичних та юридичних осiб пiд час формування, блокування, поновлення та скасування сертифiката;

     адмiнiстратор сертифiкацiї, що вiдповiдає за формування сертифiкатiв, спискiв вiдкликаних сертифiкатiв, збереження та використання особистого ключа акредитованого центру;

     адмiнiстратор безпеки, що вiдповiдає за належне функцiонування КСЗI та входить до складу служби захисту iнформацiї акредитованого центру;

     системний адмiнiстратор, що вiдповiдає за функцiонування програмно-технiчного комплексу.

     Забороняється сумiщення посади адмiнiстратора безпеки з iншими посадами.

     6.3. Забезпечення безпеки фiзичного середовища

     6.3.1. Фiзичний доступ до обладнання програмно-технiчного комплексу, що забезпечує сертифiкацiю, управлiння статусом сертифiката, генерацiю ключiв акредитованого центру, повинен бути обмежений та надаватися тiльки визначеному колу осiб iз числа обслуговуючого персоналу.

     6.3.2. В акредитованому центрi повинно бути вжито запобiжних заходiв щодо недопущення крадiжки, втрати та ушкодження обладнання, крадiжки та знищення (руйнування) iнформацiї або iнших дiй, що можуть привести до виведення акредитованого центру iз штатного режиму роботи.

     6.3.3. Обладнання програмно-технiчного комплексу, що забезпечує формування сертифiката, управлiння статусом сертифiката, генерацiю ключiв акредитованого центру, повинно розмiщуватися у спецiальному примiщеннi акредитованого центру, що забезпечує фiзичний захист вiд несанкцiонованого доступу до зазначених систем та даних, що ними обробляються.

     6.4. Управлiння доступом до iнформацiйних ресурсiв акредитованого центру

     6.4.1. В акредитованому центрi повинен бути передбачений захист внутрiшньої обчислювальної мережi вiд втручання з боку зовнiшньої мережi (глобальних мереж), що є доступною для користувачiв.

     6.4.2. Данi про пiдписувача, що надаються пiд час реєстрацiї, повиннi бути захищенi у разi їх передавання зовнiшнiми комп'ютерними мережами.

     6.4.3. В акредитованому центрi повинно бути реалiзовано адмiнiстрування з метою розмежування доступу обслуговуючого персоналу до ресурсiв системи та надання функцiй тiльки згiдно з авторизацiєю обслуговуючого персоналу (можливостi виконувати тiльки тi функцiї, що доступнi та асоцiйованi з їх ролями).

     6.4.4. Обслуговуючий персонал повинен бути успiшно iдентифiкований та автентифiкований перед початком виконання процедур, пов'язаних iз формуванням сертифiката або змiною його статусу.

     6.4.5. Всi дiї обслуговуючого персоналу, пов'язанi iз генерацiєю ключiв формуванням сертифiката або змiною його статусу, повиннi протоколюватися iз забезпеченням захисту протоколiв вiд несанкцiонованого доступу.

     6.4.6. Резервнi копiї сертифiкатiв та журналiв аудиту програмно-технiчного комплексу повиннi зберiгатися в окремому примiщеннi iз забезпеченням їх захисту вiд несанкцiонованого доступу.

     6.4.7. Програмно-технiчний комплекс повинен забезпечувати реєстрацiю дiй обслуговуючого персоналу. Журнали аудиту системи повиннi мати захист вiд несанкцiонованого доступу, модифiкацiї або знищення (руйнування).

     6.4.8. Програмно-технiчний комплекс повинен забезпечити реєстрацiю таких подiй:

     спроби створення, знищення, встановлення пароля, змiни прав доступу, системних привiлеїв тощо у програмно-технiчному комплексi;

     замiни ключiв;

     формування, переформування, блокування, скасування та поновлення посилених сертифiкатiв ключiв, а також формування спискiв скасованих сертифiкатiв;

     спроби несанкцiонованого доступу до програмно-технiчного комплексу;

     надання доступу до програмно-технiчного комплексу персоналу акредитованого центру;

     збої у роботi програмно-технiчного комплексу.

     Усi записи в журналах аудиту в електроннiй або паперовiй формi повиннi мiстити дату та час подiї, а також iдентифiкувати суб'єкта, що iнiцiював цю подiю.

Начальник Головного управлiння

В.Козак

 

Додаток до пункту 4.1.1 Правил посиленої сертифiкацiї

ВИМОГИ
до спецiальних примiщень акредитованого центру

     1. У цьому додатку наведенi вимоги до спецiального примiщення (примiщень) акредитованого центру, якi передбачають проведення заходiв щодо пасивного захисту iнформацiї вiд її витоку каналами побiчних електромагнiтних випромiнювань та наведень (далi - ПЕМВН), а також вiд порушення її цiлiсностi внаслiдок деструктивного впливу зовнiшнiх електромагнiтних полiв.

     Вимоги цього додатка повиннi бути врахованi при проведеннi робiт зi створення КСЗI акредитованого центру.

     2. Спецiальне примiщення призначено для розташування засобiв та обладнання програмно-технiчного комплексу (далi - технiчнi засоби), за допомогою яких здiйснюється генерацiя особистих ключiв акредитованого центру та використання особистого ключа акредитованого центру, а також iншої iнформацiї, необхiднiсть технiчного захисту якої визначена у технiчному завданнi на створення КСЗI акредитованого центру.

     3. Шафи (сховища тощо), що призначенi для зберiгання технiчних засобiв та виготовленi в екранованому виконаннi i вiдповiдають вимогам цього додатка, дозволяється розмiщувати не в спецiальних примiщеннях акредитованого центру iз забезпеченням захисту вiд несанкцiонованого доступу до них.

     4. Технiчний захист iнформацiї, у тому числi захист вiд впливу зовнiшнiх електромагнiтних полiв, у спецiальному примiщеннi здiйснюється шляхом створення умов щодо забезпечення електромагнiтного екранування технiчних засобiв та обладнання, а також шаф вiдповiдно до таких варiантiв:

     суцiльне екранування усiєї внутрiшньої поверхнi спецiального примiщення;

     розмiщення технiчних засобiв та шаф в окремiй екранованiй кабiнi (декiлькох кабiнах);

     розмiщення у неекранованому спецiальному примiщеннi лише екранованих шаф i технiчних засобiв в екранованому виконаннi;

     за погодженням з контролюючим органом розмiщення в неекранованому спецiальному примiщеннi технiчних засобiв та шаф за умови забезпечення захисту iнформацiї вiд витоку каналами ПЕВМН, а також порушення її цiлiсностi внаслiдок деструктивного впливу зовнiшнiх електромагнiтних полiв.

     5. Для спецiальних примiщень рекомендується обирати примiщення, що вiдокремленi вiд зовнiшнiх стiн (зi сторони оточуючої мiської забудови) коридорами тощо. Розмiщення спецiального примiщення пiд (над) санiтарно-технiчними кiмнатами та гаражами не рекомендується.

     6. Вiкна спецiального примiщення повиннi бути:

     обладнанi надiйними металевими ґратами, якщо вони зовнiшнi та розташованi на першому чи останньому поверсi будiвлi, або до яких можливе проникнення стороннiх осiб з дахiв сусiднiх будiвель, iз розташованих поруч пожежних сходiв (труб водостокiв тощо), а також якщо вони є внутрiшнiми i мають вихiд до iнших примiщень акредитованого центру;

     захищенi вiд зовнiшнього спостереження за допомогою скла з матовою чи рельєфною поверхнею нерiвностями назовнi, непрозорих штор тощо.

     У разi суцiльного екранування внутрiшньої поверхнi спецiального примiщення вiкна та iншi архiтектурнi отвори будiвлi повиннi бути вiдсутнi або не повиннi порушувати суцiльнiсть екрануючого покриття.

     7. Спецiальне примiщення повинно бути обладнано системою контролю доступу та пожежною сигналiзацiєю. Дверi спецiального примiщення мають бути обладнанi кодовим замком або системою доступу.

     8. Величина ефективностi екранування спецiального примiщення (або залежно вiд iншого варiанта пасивного захисту) та екранованих шаф для зберiгання повинна складати не менше 20 дБ у дiапазонi частот 0,15-1000 МГц щодо захисту вiд впливiв зовнiшнiх електромагнiтних полiв.

     9. Необхiдна величина ефективностi екранування та дiапазон частот, у тому числi щодо рiвня захищеностi вiд витоку iнформацiї каналами ПЕМВН, повиннi визначатися на етапi проектування та облаштування спецiального примiщення залежно вiд достатностi рiвня захищеностi технiчних засобiв вiд витоку iнформацiї каналами ПЕМВН.

     10. Розроблення, виготовлення, монтаж i визначення ефективностi екранування спецiального примiщення повиннi проводитися вiдповiдно до вимог нормативних документiв з питань технiчного захисту iнформацiї, що стосуються екранованих примiщень.

     11. Спецiальне екрановане примiщення (окрема екранована кабiна (шафа), технiчнi засоби в екранованому виконаннi) повинно оснащуватися:

     протизавадними фiльтрами для захисту вводiв мереж електроживлення;

     протизавадними фiльтрами конструкцiї типу "позамежний хвильовiд" для захисту мiсць вводу систем опалення, вентиляцiї i кондицiонування повiтря;

     iншими вiдповiдними протизавадними фiльтрами у разi необхiдностi вводiв оптоволоконних мереж, сигнальних тощо.

     Протизаваднi фiльтри за своїми характеристиками повиннi забезпечувати ефективнiсть екранування у всьому дiапазонi частот екранування не нижче величин, визначених у пунктах 8 та 9 цього додатка.

     12. Екрануючi поверхнi спецiального примiщення (або залежно вiд iншого варiанта пасивного захисту) та екранованих шаф не повиннi мати гальванiчного зв'язку з металоконструкцiями будiвлi (коробами, екрануючими та захисними оболонками кабелiв тощо), що мають вихiд за межi контрольованої зони акредитованого центру.

     13. Для електроживлення технiчних засобiв, що розмiщуються у спецiальному примiщеннi, спiльно з протизавадними фiльтрами захисту кiл електроживлення повиннi бути встановленнi пристрої безперервного електроживлення.

     14. Система заземлення спецiального примiщення та її складовi елементи не повиннi утворювати замкнутих контурiв, розмiщуватися в межах контрольованої зони акредитованого центру чи у мiсцях iз максимально ускладненим доступом до них стороннiх осiб, а також не повиннi мати гальванiчного зв'язку з металоконструкцiями будiвлi, iншими системами заземлення, екрануючими та захисними оболонками кабелiв i з'єднувальних лiнiй, що мають вихiд за межi контрольованої зони.

     15. У разi необхiдностi об'єднання окремих технiчних засобiв, що розмiщенi у спецiальному примiщеннi, у локальну обчислювальну мережу, а також введення до спецiального примiщення кабелiв та лiнiй зв'язку, необхiдно здiйснювати з використанням технологiй волоконно-оптичних лiнiй зв'язку та дотриманням вимог пункту 11 цього додатка.

     16. У разi, якщо за результатами спецiальних дослiджень (атестацiї тощо) технiчних засобiв, розмiщених у спецiальному примiщеннi, виявилось недостатнiм впровадження визначених у цьому додатку заходiв для забезпечення захищеностi iнформацiї вiд витоку iнформацiї за рахунок ПЕМВН, повиннi бути впровадженi додатковi заходи з пасивного або активного захисту iнформацiї.

(Правила у редакцiї наказу Департаменту спецiальних телекомунiкацiйних систем та захисту iнформацiї Служби безпеки України вiд 10.05.2006 р. N 50)

 

Начальник Головного управлiння

В.Козак