26 ноября, четверг 12:51
Bankir.Ru

Объявление

Свернуть
Пока нет объявлений.

Совместное хранение СКЗИ

Свернуть
X
  • Фильтр
  • Время
  • Показать
Очистить всё
новые сообщения

  • Совместное хранение СКЗИ

    Добрый день.

    Согласно Инструкции-152 и ПКЗ-2005, хранение ключевых документов должно осуществляться сотрудником в хранилище индивидуального пользования. Сотрудников в банке много количество используемых ключей постоянно растет. Сейфы в основном на отделы только. На данный момент в положении прописана возможность использования одного хранилища для хранения нескольких ключей, но при этом должны вестись два журнала (ответственного за хранилище и приема-выдачи кд), что при ежедневном/посменном использовании (например для систем денежных переводов) создает серьезное неудобство для сотрудников и негатив с их стороны в стороны данных правил. Поделитесь. пожалуйста, опытом удачного баланса между требованиями, безопасностью и удобством в данном случае?

  • #2
    Пеналы с пластелином и опечаткой, если все в одном сейфе хранят.

    Комментарий


    • #3
      Сообщение от Berckut Посмотреть сообщение
      Пеналы с пластелином и опечаткой, если все в одном сейфе хранят.
      да, я этот пункт забыл описать. В общие сейфы ключи сдаются в опечатанных пеналах. Я вот тоже хочу предложить изменить наше положение, чтобы для тех отделов где ежедневно используются ключи отменить требование вести журнал приема-выдачи кд. Т.е. есть ответственный за сейф и ключи в опечатанных тубусах просто сдаются каждый вечер в сейф. А на время отпуска/больничного сдаются в сейф ОИБ под роспись в журнале. Интересно обоснование такого процесса с точки зрения требований регуляторов. На данный момент я прихожу к выводу, что других вариантов кроме персональных сейфов нигде не описывается, а это трудновыполнимо на практике. Может есть специальные сейфы, разделенные на ячейки для хранения кд?

      Комментарий


      • #4
        Посмотрел в сторону шкафов кассиров и абонентских шкафов с ключом для каждой секции. Интересно, такие шкафы подойдут под определение индивидуального хранилища?

        Комментарий


        • #5
          так а чем опечатываемые пеналы не устраивают? мы с таким режимом хранения(общий сейф, индивидуальные пеналы, никакого журнала) прошли уже несколько проверок ЦБ и пару ФСБ-шных.
          Я словно лист на ветру, посмотри как я лечу...

          Комментарий


          • #6
            Сообщение от Mc`Sim Посмотреть сообщение
            так а чем опечатываемые пеналы не устраивают? мы с таким режимом хранения(общий сейф, индивидуальные пеналы, никакого журнала) прошли уже несколько проверок ЦБ и пару ФСБ-шных.
            Чтобы исключить перекладывания ответственности за использования ключа между пользователем ключа и ответственным за хранилище (например, я не забирал сегодня ключ из хранилища). Ухудшается ситуация тем, что на данный момент разрешено хранение паролей к ключам в тубусах вместе с ключами.

            Комментарий


            • #7
              Сообщение от Масловский Борис Посмотреть сообщение
              Чтобы исключить перекладывания ответственности за использования ключа между пользователем ключа и ответственным за хранилище (например, я не забирал сегодня ключ из хранилища).
              Сорвана печать - ключи скомпрометированы. Отзыв и замена на новые.
              Сообщение от Масловский Борис Посмотреть сообщение
              Ухудшается ситуация тем, что на данный момент разрешено хранение паролей к ключам в тубусах вместе с ключами.
              А вот за это уже надо наказывать.

              Комментарий


              • #8
                Сообщение от Масловский Борис Посмотреть сообщение
                Ухудшается ситуация тем, что на данный момент разрешено хранение паролей к ключам в тубусах вместе с ключами.
                да уж... сделайте пины на токены попроще - но не храните их.
                в остальном: есть пароль, нет пароля - все решает печать на тубусе. Вскрыта - компрометация/перевыпуск. Не вскрыта - все ок. У нас часть ключей до сих пор на дискетах, какой там пароль.
                Я словно лист на ветру, посмотри как я лечу...

                Комментарий


                • #9
                  Сообщение от Mc`Sim Посмотреть сообщение
                  да уж... сделайте пины на токены попроще - но не храните их.
                  в остальном: есть пароль, нет пароля - все решает печать на тубусе. Вскрыта - компрометация/перевыпуск. Не вскрыта - все ок. У нас часть ключей до сих пор на дискетах, какой там пароль.
                  Я с вами согласен, что хранение паролей в тубусах это неправильно. Постараюсь эту практику изменить в новой редакции положения.
                  Но все же получается, при общем хранении без журнала, вы признаете ничтожным риски от ситуации внутреннего злоумышленника (или ответственный за хранилище или оператор пытаются не признать совершение операции, со ссылкой на то, что в этот момент ключ был на другой стороне)?

                  Поясню примером: сотрудник говорит, что не проводил вчера операцию, так как тубус целый день был в сейфе. А ответственный за сейф говорит, что сотрудник забирал тубус и вечером вернул снова опечатанным.
                  Последний раз редактировалось Масловский Борис; 31.07.2015, 11:56.

                  Комментарий


                  • #10
                    Сообщение от Масловский Борис Посмотреть сообщение
                    Поясню примером: сотрудник говорит, что не проводил вчера операцию, так как тубус целый день был в сейфе. А ответственный за сейф говорит, что сотрудник забирал тубус и вечером вернул снова опечатанным.
                    если печать не сорвана, а операция проведена - ответственность целиком на сотруднике

                    Комментарий


                    • #11
                      Сообщение от giroskop Посмотреть сообщение
                      если печать не сорвана, а операция проведена - ответственность целиком на сотруднике
                      В этой ситуации да. не совсем корректный пример. Попробую описать возможные варианты саботажа:
                      1) сотрудник сдает тубус без ключей, а когда получает назад тубус, вскрывает его, помещает туда ключ и обвиняет во всем ответственного. (в случае журнала ответственный передает опечатанный тубус только после росписи получающего в журнале о том что печать цела)
                      2) ответственный вскрывает тубус, выполняет операцию, а потом оставляет вскрытый тубус на столе у владельца ключа и потом отрицает факт получения тубуса на хранение. (тоже самое с исчезновением тубуса)

                      Комментарий


                      • #12
                        Масловский Борис,
                        уберите пароль из тубуса - и Вы решите эту проблему.
                        применительно к п.1 - только владелец ключа ЭП знает пин и кроме него никто не может им воспользоваться.
                        применительно к п.2 - снова пин известен только владельцу ключа - "хранитель" сейфа не сможет им воспользоваться.
                        Я словно лист на ветру, посмотри как я лечу...

                        Комментарий


                        • #13
                          Сообщение от Mc`Sim Посмотреть сообщение
                          Масловский Борис,
                          уберите пароль из тубуса - и Вы решите эту проблему.
                          применительно к п.1 - только владелец ключа ЭП знает пин и кроме него никто не может им воспользоваться.
                          применительно к п.2 - снова пин известен только владельцу ключа - "хранитель" сейфа не сможет им воспользоваться.
                          Спасибо за ответ! Обдумаю.

                          Комментарий


                          • #14
                            1)Сотрудник сдает ключи в ПРОЗРАЧНОМ опечатанном тубусе (видно наличие ключей). Журнал приема-передачи необходим. Ведется АИБом.
                            2)Наличие журнала приема-передачи опечатанного ПРОЗРАЧНОГО тубуса решает проблему.
                            Парольные карты нужно хранить не в тубусах с ключами в сейфе у ответственного, а в опечатанных пакетах с личной подписью пользователя в сейфе у вышестоящего руководителя.
                            Таким образом исключено одновременно доступ к ключу и знание пароля (кроме как пользователю).
                            Есть еще вот такое решение (при наличии СКД и магнитных карт и хранении ключей на флешках/токенах). Очень удобно (не реклама продавца, просто пример)
                            http://www.is-k.ru/catalog/7460/227010/
                            Пользователь сам сдает ключи в тубусе, сам получает. В случае болезни - ячейка вскрывается картой руководителя, ключи (и пароль из сейфа) по акту передаются другому юзверю.
                            Журнал доступа - электронный. Можно сразу печатать на принтере онлайн.

                            Комментарий

                            Обработка...
                            X