ПРИКАЗ ФАПСИ от 13 июня 2001 г. N 152

[BARD]

Подскажите пож-та,
Требуется ли вести журнал учета СКЗИ в точности с этим приказом или может быть например произвольная форма этого журнала?

[xell]

Подскажите пож-та,
Требуется ли вести журнал учета СКЗИ в точности с этим приказом или может быть например произвольная форма этого журнала?

в точности не нужно, главное чтобы учет был, для проверки и получения лицензии этого будет достаточно.

[security_user]

в точности не нужно, главное чтобы учет был, для проверки и получения лицензии этого будет достаточно.

не был бы столь категоричным, ибо раз на раз не приходится
к нам приходили такие товарищи которые требовали чуть ли не буквального соблюдения документа

[BARD]

не был бы столь категоричным, ибо раз на раз не приходится
к нам приходили такие товарищи которые требовали чуть ли не буквального соблюдения документа

security_user,

Вы переделывали или у вас был журнал в точности по приказу?

[security_user]

security_user,

Вы переделывали или у вас был журнал в точности по приказу?

мы приводили в соответствие)

[xell]

security_user,

Вы переделывали или у вас был журнал в точности по приказу?

на самом деле взять журнал из инструкции - вааще не проблема. у нас такой, если его вести, то реально все видно, удобно и у проверяющих вопросов не возникает лишних.

[BARD]

на самом деле взять журнал из инструкции - вааще не проблема. у нас такой, если его вести, то реально все видно, удобно и у проверяющих вопросов не возникает лишних.

xell,

А вы паспорта делали?

[xell]

xell,

А вы паспорта делали?

неа не делали. а надо? и нафига?

[BARD]

неа не делали. а надо? и нафига?

xell,

Ды в акте готовности написано, что АРМ должен быть паспортизирован...

[xell]

xell,

Ды в акте готовности написано, что АРМ должен быть паспортизирован...

семен семеныч! ну дык нарисуй им паспорт:

АРМ КБР:
- ОС-XP SP3,
Прикладное ПО - ..., ..., ...,
Средства защиты:
- Антивирусное ПО - ..., ...,
- Межсетевой экран - ...,
- СЗИ Соболь,
Учетные записи:
Администратор безопасности - ФИО,
Оператор - ФИО.

вот те и паспорт, можешь туды серийный номер пописать, можешь добавить лицензии на ПО.

вот те и паспорт.

[BARD]

семен семеныч! ну дык нарисуй им паспорт:

АРМ КБР:
- ОС-XP SP3,
Прикладное ПО - ..., ..., ...,
Средства защиты:
- Антивирусное ПО - ..., ...,
- Межсетевой экран - ...,
- СЗИ Соболь,
Учетные записи:
Администратор безопасности - ФИО,
Оператор - ФИО.

вот те и паспорт, можешь туды серийный номер пописать, можешь добавить лицензии на ПО.

вот те и паспорт.

xell,
А есть какая то формализованная или рекомендованная форма паспорта???

[xell]

BARD,

я про такую не слышал. мне куражится нужно быть прощще. на 100% все требования не исполнишь.

[Berckut]

xell,
А есть какая то формализованная или рекомендованная форма паспорта???

А вы учли все последствия ввода такого паспорта? Ведь ввести мало, надо ещё и сопровождать, контролировать и отчитываться о проделанной работе. Кто это и когда будет делать?

[xell]

А вы учли все последствия ввода такого паспорта? Ведь ввести мало, надо ещё и сопровождать, контролировать и отчитываться о проделанной работе. Кто это и когда будет делать?

Конечно учел - расстрел, как минимум!
нет, ну если вам не нравиться такой сложный паспорт и так сложно изменить (в случае замены ПО или еще чего-нить) данные в этой страничке - можно сфотографировать этот АРМ, 3х4 и отнести в паспортный стол по месту прописки, но это только после того как ему 16 исполнится. ))

А делать это будет тот в чьи обязанности входит, сопсна, как и любую другую работу если она поставлена.

[surfer]

Berckut,
Как помню, у нас в ЦБ такие паспорта велись. (Кстати, форма паспортов иногда отличалась). Ответственный за ведение паспортов - администратор СКЗИ (так как только он может вносить изменения в состав ПО). Паспорта переделывались по мере установки обновлений/изменения состава ПО. Была разработана небольшая инструкция для Амд. по ведению паспортов с примерной формой паспорта. Даже программеры нарисовали софтинку для создания сего документа. Если надо - могу "поскрести по сусекам"

[surfer]

xell,

Конечно учел - расстрел, как минимум!

Опять многоуважаемый из Бобруйска отжигает!!!
Но в остальном - он прав.

[w3d]

Была разработана небольшая инструкция для Амд. по ведению паспортов с примерной формой паспорта. Даже программеры нарисовали софтинку для создания сего документа. Если надо - могу "поскрести по сусекам"

Было бы весьма интересно.

[surfer]

w3d, Нашёл старый формулярчик. Софтинку быстро не нашёл. Но это можно взять за образец.

[xell]

на мой взгляд, главное, фанатизма не нужно - соответствовать всему и все исполнять, практически не реально и уж точно избыточно. нужно в каком-то для себя удобном виде соответствовать, а уж в случае, проверки сильно проще будет подправить "на их взгляд не правильный" паспорт или акт, чем поднимать процесс с 0.

тут не действу устав ВС ))):
"идет проверка части, проверяют прапора. проверяющий докапывается к лопате, пишет 3 замечания - ржавая, не крашена, тупая. прапор, смотрит на проверяющего, берет лопату и выкидывает за забор. говорит: пеши 1 замечание - нет лопаты" ))

[BARD]

Дык я не понял - делать паспорт или нет?

[surfer]

BARD, Да. На каждую тачку со СКЗИ.

[Berckut]

w3d, Нашёл старый формулярчик. Софтинку быстро не нашёл. Но это можно взять за образец.

Премного благодарен

Но пока не появится у меня второй человек, я один ещё и этот процесс не вытяну

[Berckut]

Взято из 26 пункта 152-й инструкции:

Единицей поэкземплярного учета ключевых документов считается ключевой носитель многократного использования, ключевой блокнот. Если один и тот же ключевой носитель многократно используют для записи криптоключей, то его каждый раз следует регистрировать отдельно.

Правильно ли я понимаю, что если на дискету записать 10 ключей, то на стикере должно быть нарисовано 10 регистрационных номеров? А если это какой-нить токен (места маловато будет)? А если ключ стёр номер зачёркивать?
Чё-то я запутался

[Turkish]

Berckut, здесь речь о том, что носитель криптоключа должен быть зарегистрирован в Журнале поэкземплярного учета... каждый раз, по каждому криптоключу, должны в Журнал вписать один и тот же носитель (в смысле его обозначение).
Например, если в одном токене три ключа, то в Журнале поэкземплярного учета пишем ТРИ записи (по каждому ключу) где в колонке про носитель, каждый раз пишем один и тот же серийный номер токена.
Как то так...
А стикеры это уже ваше личное дело, что на них писать...

[Berckut]

Berckut, здесь речь о том, что носитель криптоключа должен быть зарегистрирован в Журнале поэкземплярного учета... каждый раз, по каждому криптоключу, должны в Журнал вписать один и тот же носитель (в смысле его обозначение).
Например, если в одном токене три ключа, то в Журнале поэкземплярного учета пишем ТРИ записи (по каждому ключу) где в колонке про носитель, каждый раз пишем один и тот же серийный номер токена.
Как то так...
А стикеры это уже ваше личное дело, что на них писать...

Благодарю.
Значит я правильно сделал, что регистрацию носителей выделил в отдельный журнал. Существует ещё очень много зла под названием дискеты А серийных номеров у них "нет".

[iv-dima]

Добрый день!

Вопрос гуру 152-го приказа.
Нас проверяло ФСБ (продление лицензии по ДБО Ibank2). Сделали замечание, что не ведем журнала ключей СКЗИ , распространяемых среди клиентов по 152 приказу . А как этот журнал вести, если генерация ключей осуществляется на стороне клиента и мы непосредственно ключи не передаем? Т.б. что учет осуществляется через распечатки сертификатов ключей клиентов. Может просто формально при передаче нам сертификата пусть клиент расписывается, проставляет дату в журнале за то, что такой-то (серийный номер ключа клиента) типа передан клиенту? А по окончании действия ключа - вносить данные, что ключ блокирован (т.к. система Ibank2 не позволяет уничтожать ключи)?

[СОВИТ]

Вообще 152 приказ был написан очень давно и в нем явно проскальзывают требования для обработки гостайны, излишние при обработке конфиденциальной информации. Журнал учета ключей не исключение.
Учет ключевых документов по полям Наименование - Номер серии - Номер экземпляра подходит для подразделений по защите ГТ, но не удобен для банков с сотнями или тысячами клиентов. Да и сами понятия "ключевой документ" и "ключевая информация" явно диссонируют с реалиями ДБО.
Для получения (продления) лицензий необходимо соблюдать лишь формальное требование приказа. Учет должен быть, следовательно, его нужно организовать.
Можно выдавать сертификаты открытых ключей (распечатанные клиентами же) клиентам под роспись по журналу учета ключей. Думаю, что сотрудников ФСБ устроит.

[Berckut]

Можно выдавать сертификаты открытых ключей (распечатанные клиентами же) клиентам под роспись по журналу учета ключей. Думаю, что сотрудников ФСБ устроит.

Не всегда это возможно.
Первый сертификат будет выдан под роспись. А вот при последующих обновлениях акты (в электронном виде) подписываются ЭЦП. И тут получается тупик.

[СОВИТ]

Не всегда это возможно.

Для системы ibank возможно. Там, насколько я знаю, нет технологических ключей и новые сертификаты все-равно приходится нести в банк для активации новой пары ключей.

Первый сертификат будет выдан под роспись. А вот при последующих обновлениях акты (в электронном виде) подписываются ЭЦП. И тут получается тупик.

А вот для описанного Вами случая придется что-то придумывать с распечатыванием электронных форм журналов или настаивать при проверке ФСБ, что в соответствии с технологическим процессом функционирования системы ДБО ключи клиентам не выдаются.
Описание технологического процесса в этом случае придется приложить. Для убедительности

[xell]

Для системы ibank возможно. Там, насколько я знаю, нет технологических ключей и новые сертификаты все-равно приходится нести в банк для активации новой пары ключей.


А вот для описанного Вами случая придется что-то придумывать с распечатыванием электронных форм журналов или настаивать при проверке ФСБ, что в соответствии с технологическим процессом функционирования системы ДБО ключи клиентам не выдаются.
Описание технологического процесса в этом случае придется приложить. Для убедительности

Вы не обязаны вести учет этих ключей, если их генерят клиенты на своей стороне. Вот учод СКЗИ - это да, за это можно зацепится, но СКЗИ вы выдаете только 1 раз при выдаче, т.е. наверняка из ДБО можно выгрузить какую-нить табличку с названием Клиента, датой и прочей шнягой - просите ИТ распечатать такую табличку и показываете проверяющим - сё готово!

кривость законодательства никто менять не хочет, поэтому пусть проверяющие клиентов напрягают по поводу того, что они без лицензий на тех обслуживание СКЗИ его юзают )) и пусть с них требуют журналы учета КД - с вас только учет самих СКЗИ!