4 марта, четверг 18:35
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

ПРИКАЗ ФАПСИ от 13 июня 2001 г. N 152

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • ПРИКАЗ ФАПСИ от 13 июня 2001 г. N 152

    Подскажите пож-та,
    Требуется ли вести журнал учета СКЗИ в точности с этим приказом или может быть например произвольная форма этого журнала?
    Удачи!

  • #2
    Сообщение от BARD Посмотреть сообщение
    Подскажите пож-та,
    Требуется ли вести журнал учета СКЗИ в точности с этим приказом или может быть например произвольная форма этого журнала?
    в точности не нужно, главное чтобы учет был, для проверки и получения лицензии этого будет достаточно.

    Комментарий


    • #3
      Сообщение от xell Посмотреть сообщение
      в точности не нужно, главное чтобы учет был, для проверки и получения лицензии этого будет достаточно.
      не был бы столь категоричным, ибо раз на раз не приходится
      к нам приходили такие товарищи которые требовали чуть ли не буквального соблюдения документа

      Комментарий


      • #4
        Сообщение от security_user Посмотреть сообщение
        не был бы столь категоричным, ибо раз на раз не приходится
        к нам приходили такие товарищи которые требовали чуть ли не буквального соблюдения документа
        security_user,

        Вы переделывали или у вас был журнал в точности по приказу?
        Удачи!

        Комментарий


        • #5
          Сообщение от BARD Посмотреть сообщение
          security_user,

          Вы переделывали или у вас был журнал в точности по приказу?
          мы приводили в соответствие)

          Комментарий


          • #6
            Сообщение от BARD Посмотреть сообщение
            security_user,

            Вы переделывали или у вас был журнал в точности по приказу?

            на самом деле взять журнал из инструкции - вааще не проблема. у нас такой, если его вести, то реально все видно, удобно и у проверяющих вопросов не возникает лишних.

            Комментарий


            • #7
              Сообщение от xell Посмотреть сообщение
              на самом деле взять журнал из инструкции - вааще не проблема. у нас такой, если его вести, то реально все видно, удобно и у проверяющих вопросов не возникает лишних.
              xell,

              А вы паспорта делали?
              Удачи!

              Комментарий


              • #8
                Сообщение от BARD Посмотреть сообщение
                xell,

                А вы паспорта делали?
                неа не делали. а надо? и нафига?

                Комментарий


                • #9
                  Сообщение от xell Посмотреть сообщение
                  неа не делали. а надо? и нафига?
                  xell,

                  Ды в акте готовности написано, что АРМ должен быть паспортизирован...
                  Удачи!

                  Комментарий


                  • #10
                    Сообщение от BARD Посмотреть сообщение
                    xell,

                    Ды в акте готовности написано, что АРМ должен быть паспортизирован...
                    семен семеныч! ну дык нарисуй им паспорт:

                    АРМ КБР:
                    - ОС-XP SP3,
                    Прикладное ПО - ..., ..., ...,
                    Средства защиты:
                    - Антивирусное ПО - ..., ...,
                    - Межсетевой экран - ...,
                    - СЗИ Соболь,
                    Учетные записи:
                    Администратор безопасности - ФИО,
                    Оператор - ФИО.

                    вот те и паспорт, можешь туды серийный номер пописать, можешь добавить лицензии на ПО.

                    вот те и паспорт.

                    Комментарий


                    • #11
                      Сообщение от xell Посмотреть сообщение
                      семен семеныч! ну дык нарисуй им паспорт:

                      АРМ КБР:
                      - ОС-XP SP3,
                      Прикладное ПО - ..., ..., ...,
                      Средства защиты:
                      - Антивирусное ПО - ..., ...,
                      - Межсетевой экран - ...,
                      - СЗИ Соболь,
                      Учетные записи:
                      Администратор безопасности - ФИО,
                      Оператор - ФИО.

                      вот те и паспорт, можешь туды серийный номер пописать, можешь добавить лицензии на ПО.

                      вот те и паспорт.
                      xell,
                      А есть какая то формализованная или рекомендованная форма паспорта???
                      Удачи!

                      Комментарий


                      • #12
                        BARD,

                        я про такую не слышал. мне куражится нужно быть прощще. на 100% все требования не исполнишь.

                        Комментарий


                        • #13
                          Сообщение от BARD Посмотреть сообщение
                          xell,
                          А есть какая то формализованная или рекомендованная форма паспорта???
                          А вы учли все последствия ввода такого паспорта? Ведь ввести мало, надо ещё и сопровождать, контролировать и отчитываться о проделанной работе. Кто это и когда будет делать?

                          Комментарий


                          • #14
                            Сообщение от Berckut Посмотреть сообщение
                            А вы учли все последствия ввода такого паспорта? Ведь ввести мало, надо ещё и сопровождать, контролировать и отчитываться о проделанной работе. Кто это и когда будет делать?

                            Конечно учел - расстрел, как минимум!
                            нет, ну если вам не нравиться такой сложный паспорт и так сложно изменить (в случае замены ПО или еще чего-нить) данные в этой страничке - можно сфотографировать этот АРМ, 3х4 и отнести в паспортный стол по месту прописки, но это только после того как ему 16 исполнится. ))

                            А делать это будет тот в чьи обязанности входит, сопсна, как и любую другую работу если она поставлена.

                            Комментарий


                            • #15
                              Berckut,
                              Как помню, у нас в ЦБ такие паспорта велись. (Кстати, форма паспортов иногда отличалась). Ответственный за ведение паспортов - администратор СКЗИ (так как только он может вносить изменения в состав ПО). Паспорта переделывались по мере установки обновлений/изменения состава ПО. Была разработана небольшая инструкция для Амд. по ведению паспортов с примерной формой паспорта. Даже программеры нарисовали софтинку для создания сего документа. Если надо - могу "поскрести по сусекам"

                              Комментарий


                              • #16
                                xell,
                                Конечно учел - расстрел, как минимум!
                                Опять многоуважаемый из Бобруйска отжигает!!!
                                Но в остальном - он прав.

                                Комментарий


                                • #17
                                  Сообщение от surfer Посмотреть сообщение
                                  Была разработана небольшая инструкция для Амд. по ведению паспортов с примерной формой паспорта. Даже программеры нарисовали софтинку для создания сего документа. Если надо - могу "поскрести по сусекам"
                                  Было бы весьма интересно.

                                  Комментарий


                                  • #18
                                    w3d, Нашёл старый формулярчик. Софтинку быстро не нашёл. Но это можно взять за образец.

                                    Комментарий


                                    • #19
                                      на мой взгляд, главное, фанатизма не нужно - соответствовать всему и все исполнять, практически не реально и уж точно избыточно. нужно в каком-то для себя удобном виде соответствовать, а уж в случае, проверки сильно проще будет подправить "на их взгляд не правильный" паспорт или акт, чем поднимать процесс с 0.

                                      тут не действу устав ВС ))):
                                      "идет проверка части, проверяют прапора. проверяющий докапывается к лопате, пишет 3 замечания - ржавая, не крашена, тупая. прапор, смотрит на проверяющего, берет лопату и выкидывает за забор. говорит: пеши 1 замечание - нет лопаты" ))

                                      Комментарий


                                      • #20
                                        Дык я не понял - делать паспорт или нет?
                                        Удачи!

                                        Комментарий


                                        • #21
                                          BARD, Да. На каждую тачку со СКЗИ.

                                          Комментарий


                                          • #22
                                            Сообщение от surfer Посмотреть сообщение
                                            w3d, Нашёл старый формулярчик. Софтинку быстро не нашёл. Но это можно взять за образец.
                                            Премного благодарен

                                            Но пока не появится у меня второй человек, я один ещё и этот процесс не вытяну

                                            Комментарий


                                            • #23
                                              Взято из 26 пункта 152-й инструкции:
                                              Единицей поэкземплярного учета ключевых документов считается ключевой носитель многократного использования, ключевой блокнот. Если один и тот же ключевой носитель многократно используют для записи криптоключей, то его каждый раз следует регистрировать отдельно.
                                              Правильно ли я понимаю, что если на дискету записать 10 ключей, то на стикере должно быть нарисовано 10 регистрационных номеров? А если это какой-нить токен (места маловато будет)? А если ключ стёр номер зачёркивать?
                                              Чё-то я запутался

                                              Комментарий


                                              • #24
                                                Berckut, здесь речь о том, что носитель криптоключа должен быть зарегистрирован в Журнале поэкземплярного учета... каждый раз, по каждому криптоключу, должны в Журнал вписать один и тот же носитель (в смысле его обозначение).
                                                Например, если в одном токене три ключа, то в Журнале поэкземплярного учета пишем ТРИ записи (по каждому ключу) где в колонке про носитель, каждый раз пишем один и тот же серийный номер токена.
                                                Как то так...
                                                А стикеры это уже ваше личное дело, что на них писать...
                                                Да пребудет с тобой Сила!

                                                Комментарий


                                                • #25
                                                  Сообщение от Turkish Посмотреть сообщение
                                                  Berckut, здесь речь о том, что носитель криптоключа должен быть зарегистрирован в Журнале поэкземплярного учета... каждый раз, по каждому криптоключу, должны в Журнал вписать один и тот же носитель (в смысле его обозначение).
                                                  Например, если в одном токене три ключа, то в Журнале поэкземплярного учета пишем ТРИ записи (по каждому ключу) где в колонке про носитель, каждый раз пишем один и тот же серийный номер токена.
                                                  Как то так...
                                                  А стикеры это уже ваше личное дело, что на них писать...
                                                  Благодарю.
                                                  Значит я правильно сделал, что регистрацию носителей выделил в отдельный журнал. Существует ещё очень много зла под названием дискеты А серийных номеров у них "нет".

                                                  Комментарий


                                                  • #26
                                                    Добрый день!

                                                    Вопрос гуру 152-го приказа.
                                                    Нас проверяло ФСБ (продление лицензии по ДБО Ibank2). Сделали замечание, что не ведем журнала ключей СКЗИ , распространяемых среди клиентов по 152 приказу . А как этот журнал вести, если генерация ключей осуществляется на стороне клиента и мы непосредственно ключи не передаем? Т.б. что учет осуществляется через распечатки сертификатов ключей клиентов. Может просто формально при передаче нам сертификата пусть клиент расписывается, проставляет дату в журнале за то, что такой-то (серийный номер ключа клиента) типа передан клиенту? А по окончании действия ключа - вносить данные, что ключ блокирован (т.к. система Ibank2 не позволяет уничтожать ключи)?

                                                    Комментарий


                                                    • #27
                                                      Вообще 152 приказ был написан очень давно и в нем явно проскальзывают требования для обработки гостайны, излишние при обработке конфиденциальной информации. Журнал учета ключей не исключение.
                                                      Учет ключевых документов по полям Наименование - Номер серии - Номер экземпляра подходит для подразделений по защите ГТ, но не удобен для банков с сотнями или тысячами клиентов. Да и сами понятия "ключевой документ" и "ключевая информация" явно диссонируют с реалиями ДБО.
                                                      Для получения (продления) лицензий необходимо соблюдать лишь формальное требование приказа. Учет должен быть, следовательно, его нужно организовать.
                                                      Можно выдавать сертификаты открытых ключей (распечатанные клиентами же) клиентам под роспись по журналу учета ключей. Думаю, что сотрудников ФСБ устроит.

                                                      Комментарий


                                                      • #28
                                                        Сообщение от СОВИТ Посмотреть сообщение
                                                        Можно выдавать сертификаты открытых ключей (распечатанные клиентами же) клиентам под роспись по журналу учета ключей. Думаю, что сотрудников ФСБ устроит.
                                                        Не всегда это возможно.
                                                        Первый сертификат будет выдан под роспись. А вот при последующих обновлениях акты (в электронном виде) подписываются ЭЦП. И тут получается тупик.

                                                        Комментарий


                                                        • #29
                                                          Сообщение от Berckut Посмотреть сообщение
                                                          Не всегда это возможно.
                                                          Для системы ibank возможно. Там, насколько я знаю, нет технологических ключей и новые сертификаты все-равно приходится нести в банк для активации новой пары ключей.
                                                          Сообщение от Berckut Посмотреть сообщение
                                                          Первый сертификат будет выдан под роспись. А вот при последующих обновлениях акты (в электронном виде) подписываются ЭЦП. И тут получается тупик.
                                                          А вот для описанного Вами случая придется что-то придумывать с распечатыванием электронных форм журналов или настаивать при проверке ФСБ, что в соответствии с технологическим процессом функционирования системы ДБО ключи клиентам не выдаются.
                                                          Описание технологического процесса в этом случае придется приложить. Для убедительности

                                                          Комментарий


                                                          • #30
                                                            Сообщение от СОВИТ Посмотреть сообщение
                                                            Для системы ibank возможно. Там, насколько я знаю, нет технологических ключей и новые сертификаты все-равно приходится нести в банк для активации новой пары ключей.


                                                            А вот для описанного Вами случая придется что-то придумывать с распечатыванием электронных форм журналов или настаивать при проверке ФСБ, что в соответствии с технологическим процессом функционирования системы ДБО ключи клиентам не выдаются.
                                                            Описание технологического процесса в этом случае придется приложить. Для убедительности
                                                            Вы не обязаны вести учет этих ключей, если их генерят клиенты на своей стороне. Вот учод СКЗИ - это да, за это можно зацепится, но СКЗИ вы выдаете только 1 раз при выдаче, т.е. наверняка из ДБО можно выгрузить какую-нить табличку с названием Клиента, датой и прочей шнягой - просите ИТ распечатать такую табличку и показываете проверяющим - сё готово!

                                                            кривость законодательства никто менять не хочет, поэтому пусть проверяющие клиентов напрягают по поводу того, что они без лицензий на тех обслуживание СКЗИ его юзают )) и пусть с них требуют журналы учета КД - с вас только учет самих СКЗИ!

                                                            Комментарий

                                                            Обработка...
                                                            X