19 ноября, понедельник 12:45
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Лицензии на криптографию и ДБО BSS

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Лицензии на криптографию и ДБО BSS

    Господа, работающие с ДБО BSS, подскажите - что конкретно аттестовали и по какому классу? Информация - у кого - тоже приветствуется.
    Чем больше связей, тем меньше степеней свободы.

  • #2
    Атестовывали арм генерации ключей. в ППШ. клас не помню - надо искать.
    да, я в Питере
    Я словно лист на ветру, посмотри как я лечу...

    Комментарий


    • #3
      Вот есть вопрос насчёт этого АРМ. Его реально отсадить из сети на автономную рабочую станцию? А если нет, то от сети чем отделяли?
      /kiv

      Комментарий


      • #4
        Чернушка,

        дело не в конкретном ПО Банк-клиента. у меня в атестате написата - "атт соответствия требованиям объекта информатизации - автоматизированной системы на базе ПЭВМ ООО Рога и копыта"...по сути аттетестовал АРМ на обработку конфидециалки (требования ПП 957). класс 2Б - вродя как ентого достаточно.

        в бсс - есть другой косяк - сама система кривож..по построена. если интересно, могу в личку написать, как аттестовать малой кровью.

        Комментарий


        • #5
          Сообщение от xell Посмотреть сообщение
          Чернушка,

          дело не в конкретном ПО Банк-клиента. у меня в атестате написата - "атт соответствия требованиям объекта информатизации - автоматизированной системы на базе ПЭВМ ООО Рога и копыта"...по сути аттетестовал АРМ на обработку конфидециалки (требования ПП 957). класс 2Б - вродя как ентого достаточно.

          в бсс - есть другой косяк - сама система кривож..по построена. если интересно, могу в личку написать, как аттестовать малой кровью.
          Дело именно в конкретном банкклиенте. Аттестуем мы тут все рабочее место администратора только ради того, что на нём оказываются услуги в области шифрования. А конкретно, изготовление ключей шифрования и изготовление сертификатов ключей подписи. Аттестуем, разумеется АС. На конфиденциалку, конечно. 2Б предпочтительнее, но на крайний случай сойдёт и 3Б.

          Если конкретный банкклиент допускает работу АРМ автономно (т.е. без базы данных, операционного дня и нескольких сотен машин клиентов, которые к нему присоединены сетями связи) - то аттестование делается легко и непринуждённо одними оргмерами. В этом одна часть вопроса.

          Если не допускает, значит, надо отделять от остальной сети сертифицированным файрволлом, вопрос только каким. В этом вторая часть вопроса. Вот.
          /kiv

          Комментарий


          • #6
            Илюха,

            я имел ввиду то, что в любом банк-клиенте (бсс енто или вааще какой-нить цфт и проч.) необходимо аттестовать арм генерации ключевой информации (как называетсо - эт не суть) ибо ПП 957.

            Комментарий


            • #7
              xell, я прекрасно понимаю, что
              в любом банк-клиенте (бсс енто или вааще какой-нить цфт и проч.) необходимо аттестовать арм генерации ключевой информации (как называетсо - эт не суть) ибо ПП 957
              . Поэтому вопрос был задан именно в разделе практической реализации - меня интересует как этот самый арм аттестовать в БСС.
              Проблема проста и уже описана Илюхой выше - разработчиком предусмотрен такой АРМ в составе банковской части, но он - сетевой. Можно заняться мазохизмом - поставить КриптоПро на отдельную машину, все генерить там, потом на дискетке таскать на сеть и заносить в криптопрофили. Но не хочется. Хочется как есть сейчас, но так как есть - не понятно как аттестовать.

              Господа, неужели никто не аттестовал?
              Mc`Sim, поделитесь, как Ваш АРМ обустроен?
              Чем больше связей, тем меньше степеней свободы.

              Комментарий


              • #8
                Ну вот ) Получила я очередные лицензии ) Центр сертификации вынесла на отдельную не сетвую машину...
                Чем больше связей, тем меньше степеней свободы.

                Комментарий


                • #9
                  Сообщение от Чернушка Посмотреть сообщение
                  Ну вот ) Получила я очередные лицензии ) Центр сертификации вынесла на отдельную не сетвую машину...
                  Тоже аттестую БСС, возник вопрос по какому классу аттестовывать по 2Б? Аккорд или секретнет ставить или необязательно?

                  Подсистема обеспечения целостности
                  Должна быть обеспечена целостность программных средств СЗИ НСД, обрабатываемой информации, а также неизменность программной среды. При этом: - целостность СЗИ НСД проверяется при загрузке системы по наличию имен (идентификаторов) компонент СЗИ; - целостность программной среды обеспечивается отсут-ствием в АС средств разработки и отладки программ во время обработки и (или) хранения защищаемой информации.

                  что за идентификаторы такие, которые позволяют определить целостность???

                  Комментарий


                  • #10
                    Да там и не к чему большая если честно. На А4 итак все прекрасно поместилось. Вайс Сити не бог весть какой большой. Вот в СА понятно почему карта гораздо больше...

                    Сообщение от модератора Smarter

                    Комментарий


                    • #11
                      Вопрос не совсем в тему, но все же - получаю заветные лицензии ФСБ (в основном ради банк-клиента), но возник вопрос - нужно ли туда вписывать работу с пластиковыми картами? Местные комитетчики утверждают, что мол, пластики не лицензируються. Складывается впечатление, что они просто не совсем понимают, о чем речь. Или я не совсем понимаю) Расскажите, о гуру)

                      Комментарий


                      • #12
                        Сообщение от spirtuoso Посмотреть сообщение
                        Местные комитетчики утверждают, что мол, пластики не лицензируються. Складывается впечатление, что они просто не совсем понимают, о чем речь. Или я не совсем понимаю)
                        Читаем:
                        Настоящее Положение не распространяется на деятельность по распространению:
                        ...
                        в) персональных кредитных карточек со встроенной микроЭВМ, криптографические возможности которых не могут быть изменены пользователями;
                        ...
                        е) специально разработанных и применяемых только для банковских и финансовых операций шифровальных (криптографических) средств в составе терминалов единичной продажи (банкоматов), криптографические возможности которых не могут быть изменены пользователями;
                        Отдельных положений для банкоматов, кардридеров и чиповых карт нет. Так что не лицензируется

                        Комментарий


                        • #13
                          Сообщение от malotavr Посмотреть сообщение
                          Читаем:


                          Отдельных положений для банкоматов, кардридеров и чиповых карт нет. Так что не лицензируется
                          насчет банкоматов понятно. Мы чиповые карты не выпускаем (Только Виза и мастер, я так понимаю что в них только магнитная полоса без всяких процессоров).
                          Пластики говорят о необходимости лицензировании HSM.

                          Комментарий


                          • #14
                            Сообщение от spirtuoso Посмотреть сообщение
                            насчет банкоматов понятно. Мы чиповые карты не выпускаем (Только Виза и мастер, я так понимаю что в них только магнитная полоса без всяких процессоров).
                            Пластики говорят о необходимости лицензировании HSM.
                            HSM лицензировать вы не должны - это не об этом. А вот поставщик этих HSM, если они буржуйские, должен их специальным образом ввозить в рассеянию и иметь лицензию на распространение, тех. обслуж и т.д. - но это не особо вас касается, больше поставщика.
                            Так же поставщик у Вас должен минимум лицензию на тех. обслуживание запросить.

                            Комментарий


                            • #15
                              Интересно, а можно без аттестации обойтись?
                              Удачи!

                              Комментарий


                              • #16
                                Сообщение от xell Посмотреть сообщение
                                HSM лицензировать вы не должны - это не об этом.
                                Ещё как должны.

                                Комментарий


                                • #17
                                  Сообщение от Spanky Посмотреть сообщение
                                  Ещё как должны.
                                  на основании чего и как?

                                  Комментарий


                                  • #18
                                    Сообщение от BARD Посмотреть сообщение
                                    Интересно, а можно без аттестации обойтись?
                                    это требование пп 957, могуг лицензию дать/продлить, но в рекомендациях напишут про необходимость. есть вариант, что тупо не вспомнят про него.

                                    Комментарий


                                    • #19
                                      Сообщение от xell Посмотреть сообщение
                                      на основании чего и как?
                                      на основании ПП 957:

                                      ..представление лицензиатом в лицензирующий орган перечня шифровальных (криптографических) средств, в том числе иностранного производства, не имеющих сертификата Федеральной службы безопасности Российской Федерации или Федерального агентства правительственной связи и информации при Президенте Российской Федерации, технической документации, определяющей состав, характеристики и условия эксплуатации этих средств, и (или) образцов шифровальных (криптографических) средств.

                                      Комментарий


                                      • #20
                                        Сообщение от Spanky Посмотреть сообщение
                                        на основании ПП 957:

                                        ..представление лицензиатом в лицензирующий орган перечня шифровальных (криптографических) средств, в том числе иностранного производства, не имеющих сертификата Федеральной службы безопасности Российской Федерации или Федерального агентства правительственной связи и информации при Президенте Российской Федерации, технической документации, определяющей состав, характеристики и условия эксплуатации этих средств, и (или) образцов шифровальных (криптографических) средств.
                                        причем здесь лицензирование HSM? где в этой статье написано, что лицензиат должен лицензировать СКЗИ? Сообщить о них - да, согласен! (если вы уже лицензиат по пп957) если вы не лицензиат то сообщить это при получении лицензии на деятельность в области шифрования.

                                        просто пластики не понимают разницу между лицензированием СКЗИ (т.е. тех же HSM) и получением лицензий на деятельность в области шифрования, как раз по ПП 957 - это разные вещи. когда идет закупка HSM поставщик спрашивает наличие этих лицензий у покупателя, т.к. сам ввозит их честно в страну и продавать абы кому не имеет право.

                                        зачастую (как и со всем на нашей родине) сотрудники этих поставщиков сами не могут внятно выразиться и когда они начинают общаться с пластиками появляются непонятки. когда мы их закупали - ровна такая же ситуация и была, до тех пор пока пластики не догадались соединить их с нами - в течении 3 минут вопрос был решен.

                                        Комментарий


                                        • #21
                                          Коллеги, добрый день.
                                          При получении лицензию ФСБ по 313 Постановлению для работы с СДБО BSS кто какие виды деятельности указывал (из 28)? Я думаю подходят 12, 15, 20, 21, 25, 26, 28.

                                          Комментарий


                                          • #22
                                            тема обсуждалась тут

                                            Комментарий


                                            • #23
                                              Меня тут вчера вопросом озадачили...или даже не вопросом.
                                              А реально ли купить банку ДБО тот же bss не имея лицензии ФСБ, в смысле что банку при этом лицензия не нужна. Типа ключи генерят сами клиенты, а банк обслуживанием-распространением не занимается.

                                              Комментарий


                                              • #24
                                                Сообщение от Joystick Посмотреть сообщение
                                                Меня тут вчера вопросом озадачили...или даже не вопросом.
                                                А реально ли купить банку ДБО тот же bss не имея лицензии ФСБ, в смысле что банку при этом лицензия не нужна. Типа ключи генерят сами клиенты, а банк обслуживанием-распространением не занимается.
                                                Как не занимается? А клиенты криптографические средства от кого получает?
                                                А предоставлением услуг в области шифрования информации банк тоже не занимается?

                                                Комментарий


                                                • #25
                                                  Сообщение от EUG45 Посмотреть сообщение
                                                  Как не занимается? А клиенты криптографические средства от кого получает?
                                                  А предоставлением услуг в области шифрования информации банк тоже не занимается?
                                                  ни от кого не получают
                                                  там в браузере типа все.....
                                                  ключи сами генерируют им только конверты с логином-паролем выдает банк.

                                                  Комментарий

                                                  Пользователи, просматривающие эту тему

                                                  Свернуть

                                                  Присутствует 1. Участников: 0, гостей: 1.

                                                  Обработка...
                                                  X