كمية:
سعر: 35
تخفيض: ٪?
لدينا نظام الخصومات
خذ أكثر - ادفع أقل
عند الطلب من 50 جهاز كمبيوتر شخصى. - 5٪ خصم
عند الطلب من 100 جهاز كمبيوتر شخصى. - 10٪ خصم
عند الطلب من 300 قطعة. - 15٪ خصم
عند الطلب من 500 قطعة. - 20٪ خصم
عند الطلب من 1000 قطعة. - 25٪ خصم
مجموع:
بما في ذلك ضريبة القيمة المضافة 20٪
X
طلبت مرة أخرى مجلة رقيقة.
ربما تحتاج إلى مجلة بها المزيد من الصفحات والخصائص الأخرى.
يرجى استخدامآلة حاسبة
ستكون هذه المقالة ذات أهمية لكل من المتخصصين ذوي الخبرة الطويلة في أمن المعلومات ، والأشخاص الذين واجهوا حقيقة أو الذين تحملوا عبء المسؤولية عن تنفيذ أعمال الحماية.
التحقق في منظمة واحدة
مقدمة
البيانات الأولية: الغياب التام للأعمال المنفذة لحماية PD ، بما في ذلك استخدام CIPF. شبكة صغيرة لـ 40 محطة عمل. لا شيء خارق للطبيعة من حيث ISPD وتفاعل المعلومات الأخرى. كل شيء مثل أي شخص آخر. يوجد قسم محاسبة وقسم شؤون موظفين وإدارة والعديد من الإدارات وفقًا لملف تعريف المنظمة.
الفصل الأول. المستندات على PD
تلفت اللجنة الانتباه إلى وصف أنظمة المعلومات: على أساس ما يتم إنشاؤه ، وما تتم معالجته (فئات PD) ولأي غرض ، بنية الأنظمة والغرض من الأنظمة الفرعية.
ولكن الوثيقة الرئيسيةالتي عملوا عليها بجد هي قائمة IP (في PP211). لقد رأيت هذه الوثيقة التي ، بالإضافة إلى عنوان المنظمة وتوقيع الرئيس ، كان هناك سطرين فقط: ISPD "المحاسبة" ، ISPD "قسم شؤون الموظفين". لقد قمت بمراجعة هذه الوثيقة وجعلتها أكثر سهولة في الاستخدام. تم تفصيله لكل IP:
غاية(على سبيل المثال ، نظام فرعي مصمم لأتمتة الضرائب والمحاسبة وإعداد التقارير الإلزامية ، بالإضافة إلى كشوف المرتبات وحساب الضرائب وإنشاء التقارير والشهادات في الهيئات الحكوميةوالصناديق الاجتماعية) ؛
تطبيق(فمثلا - يتم تنفيذ النظام الفرعي كملفات تطبيقات مكتبية قياسيةمايكروسوفت أوفيس و سير العمل وأنظمة التشغيل الآلي للمكاتب EDMS "Delo-Web") ؛
إخراج الإدخال(فمثلا - تذهب المعلومات إلىالنظام الفرعي عن طريق إدخال البيانات من قبل المشغلينوكذلك في شكل رسائل بريد إلكتروني);
علاج او معاملة(فمثلا - يوفر وضع المعالجة الإجراءات التالية معالبيانات: الجمع والتنظيم والتوضيح ...) ؛
تخزين(على سبيل المثال - يتم تخزين البيانات على محطة عمل المشغل) ؛
التفاعل(على سبيل المثال - يتم إرسال المعلومات الصادرة في شكل تقارير إلى ... باستخدام الإلكترونية توقيع إلكترونيومكتبة برمجيات لأمن المعلومات "CryptoPro" في في شكل إلكترونيمن خلال قنوات على الإنترنت من خلال "VLIS".).
يشار أيضًا إلى الخصائص الرئيسية لعنوان IP (وضع معالجة PD ( متعددة اللاعبين) ، تمايز حقوق الوصول ( مع التحديد) ، مقياس IP ، فئة الأمان ...) بشكل عام ، كما أظهر الشيك ، أحب السادة من FSB حقًا ، ونتيجة لذلك ، اتضح أنه الأكثر "ازدحامًا".
كما تم النظر بالتفصيل في المستندات مثل نماذج تهديد الدخيل ، وتعليمات المستخدم المسؤول والمستندات التي تعكس تعريف مستوى أمان PD ، (وجميع الأحجام الناتجة من PD ، وأنواع التهديدات ، وفئات PD - يجب أن ينعكس كل شيء في مستندات).
الفصل الثاني. استيفاء متطلبات CIPF
الوثائق الرئيسية في هذا المجال هي 152 FAPSI و 378 FSB. نحتفل هذا العام بموعد مستدير - 15 عامًا على حل FAPSI.
كما تم التحقق من وجود السجلات. شخصيًا ، جعلتني مجلة المجلات المحاسبية أبتسم (ذروة البيروقراطية).
وفقًا للفقرة 30 من FAPSI ، من الضروري الاحتفاظ بنسخة من CIPF والوثائق الأساسية.
الوثائق الرئيسية: قانون تحديد المستوى حماية التشفيرالمعلومات التي يتم فيها تحديد فئة CIPF المستخدمة. مجلة المحاسبة على سبيل المثال من CIPF و الوثائق الفنية. دفتر سجل الوثائق الرئيسية.
بالنسبة لتخزين الوثائق الرئيسية وتوزيعات CIPF ، كل شيء مثير للاهتمام هنا. لدينا الكثير من التوقيعات الإلكترونية في منظمتنا. يعد تنظيم صندوق حديدي شخصي لكل مستخدم أمرًا واقعيًا ولكنه مكلف. ونعم ، كان الوقت ينفد. ومع ذلك ، فقد تأكدنا من عدم وجود وصول غير متحكم به إلى CIPF. لكل مستخدم ، تم شراء أنابيب بلاستيكية للمفاتيح (50 روبل) وأختام معدنية (400 روبل). ينعكس إصدار الأختام للمستخدم في مجلة الأختام. تم توجيه كل مستخدم إلى أنه في نهاية يوم العمل ، يجب عليه وضع الرمز الإلكتروني في الأنبوب وإغلاقه وإغلاقه في درج مكتبه. تم الاحتفاظ بالنسخة الأولى من مفاتيح الطاولات في مظاريف في خزنة على رأس المنظمة ، أما النسخة الثانية فقد أخذها المستخدم معه. بالإضافة إلى ذلك ، تم شراء أكواب الختم وتم تطوير قوائم الأشخاص الذين لديهم حرية الوصول إلى المباني مع CIPF (وقبل ذلك ، قائمة الأشخاص الذين يحق لهم معالجة PD ، قائمة الأشخاص المقبولين في المباني حيث تتم معالجة PD (بند 8a 8b P No. 378) ، وقائمة مستخدمي CIPF). في نهاية يوم العمل ، تم إغلاق المبنى من قبل أحد مستخدمي CIPF.
تم تجهيز جميع محطات العمل المؤتمتة المزودة بـ CIPF والبرامج والأجهزة CIPF بأدوات تحكم لفتحها وفقًا للفقرة 31 من FAPSI. هذا هو المكان الذي تصبح فيه الخبرة من وظيفة سابقة في متناول اليد. يجب أن تكون كتل النظام مختومة. ولكن ماذا؟ ما الختم؟ أين يمكنني الحصول عليه؟ كيف تأخذ في الاعتبار؟ استكمل كما يلي:كلمة تم تطوير ختم أزرق باسم المنظمة والتاريخ والمكان تحت توقيع الشخص المسؤول الذي قام بتثبيت Crypto-pro على محطة العمل. اشتريت ورقة من ورق A4 ذاتية اللصق ، وطُبعت على طابعة نفث الحبر الملونة (لا تطبع بالليزر ، فهذه فكرة سيئة). وفقًا للنتائج ، تم إغلاق كتل النظام مع Crypto-pro المثبت في مكانين بحيث لا يكون هناك فتح غير متحكم فيه. قام المستخدم بفحص هذه الملصقات بصريًا كل يوم ، وقد ورد ذلك في اللوائح الخاصة باستخدام CIPF في المنظمة ، تعليمات المستخدم لمسؤول CIPF.
جميع شركات النقل الرئيسية المستخدمة CIPF لديها مستندات تؤكد الامتثال للتدابير التي تستبعد الوصول غير المنضبط إليها أثناء التسليم. من الضروري تقديم شهادات القبول والتحويل ، وخطابات الغلاف والتوكيلات (المزيد عنها أدناه) ، وشهادات التكليف.
في مؤسستنا ، تم تطوير أمر تم بموجبه تعيين شخص مسؤول عن CIPF ، والذي تلقى Crypto-pro و e-tokens ، ثم أصدرها للمستخدمين وفقًا لمجلة المحاسبة على سبيل المثال لـ CIPF والتشغيلية و الوثائق الفنية لهم ، الوثائق الرئيسية.
لا أعرف كيف هو الحال في مؤسستك ، ولكن في منظمتنا ، يمتلك المدير حوالي 5 توقيعات رقمية للعمل في أنظمة مختلفة. لكن! لا يوقع على أي شيء شخصيًا. بالنسبة له يتم ذلك في غرفة الاستقبال والمحاسب وقسم شؤون الموظفين .. كيف تكون؟
يتم إصدار توكيل رسمي يُصرح فيه للموظف باستخدام EDS للعمل في كذا وكذا من أجل كذا وكذا الأغراض. لا تنس تحديد شروط التوكيل.
تم تحديد إجراءات الإجراءات في حالة التسوية (صفحة 5.0 FAPSI) ، وإجراء تدمير CIPF (صفحة 4.14 FAPSI). كل هذا تم وصفه في "اللوائح الخاصة باستخدام الحماية المشفرة للمعلومات والمعلومات الأساسية لها".
بالإضافة إلى ذلك ، يتم استخدام CIPF وفقًا للنماذج الخاصة بهم (تم ملء جدول تخصيص CIPF للمستخدم).
الفصل الثالث. متطلبات المباني
كما كتبت بالفعل ، فإن مقر CIPF مغلق معنا (البند 59 من FAPSI) في نهاية يوم العمل. لديهم أيضا أقفال قوية و إنذار حريق(بند 6 أ ، ص رقم 378).
بالإضافة إلى جميع قوائم الأشخاص المقبولين في المبنى (البند 6 في P No. 378) التي كتبت عنها أعلاه ، هناك أيضًا اللوائح الخاصة بالوصول إلى المباني التي تحتوي على مكونات CIPF التي تحدد قواعد الوصول إلى المباني أثناء العمل و خارج ساعات العمل ، وكذلك في حالات الطوارئ. (بند 6 أ ، ص رقم 378). وفقًا لنفس اللوائح ، تم تنظيم الأمن (للتحقق ، كان من الضروري إظهار اتفاق مع شركة أمنية) (ص 54.63 FAPSI).
الفصل الرابع. العاملين
تم تزويد اللجنة بوثائق تؤكد أن المستخدمين المسؤولين لـ CIPF لديهم المستوى اللازم من التأهيل لضمان حماية البيانات الشخصية باستخدام CIPF (الفقرة 13 من FAPSI). أكمل مسؤول IS والشخص المسؤول عن CIPF الدورات التدريبية المتقدمة (المستندات المقدمة للجنة) (البند 17 من FAPSI). كما تم توفير المستندات التي تؤكد الإلمام الكتابي للمستخدمين المسؤولين لـ CIPF بالتعليمات الخاصة بمستخدم CIPF ، واللوائح الخاصة بالوصول إلى أماكن العمل مع CIPF ، واللوائح الخاصة بإجراءات استخدام CIPF.
تم التحقق أيضًا من وجود واجبات وظيفية معتمدة لموظفي OKZI (البند 18 من FAPSI). تم تكريمهم جميعًا في ترتيب CIPF. قدم وضع حماية المعلومات باستخدام CIPF ، عين الأشخاص المسؤولين(تعليمات لمدير CIPF - وثيقة منفصلة) وعمولة لتحديد فئة CIPF. الى جانب ذلك ، في وصف الوظيفةتم إجراء تغييرات أيضًا.
فيما يتعلق بتنفيذ البند 21 من FAPSI ، إمكانية قبول الموظفين عمل مستقلمع CIPF ينعكس في "أداة تكليف CIPF" ، والتي تم إنشاؤها في نسختين ، احتفظ المستخدم بإحداهما ، والثانية من قبل الشخص المسؤول عن CIPF.
تم تنفيذ إحاطة مفصلة مع جميع المستخدمين ، وأجرت اللجنة محادثة مع كل منهم. لقد سألوا عن النقاط الرئيسية لمعرفة تعليمات المستخدم ، ولماذا يتم استخدام EDS ، وفي البرامج التي يعملون فيها ، وأين يتم نقلهم ، وكيف يتم تخزين EDS وكيف يتم إغلاقها. وأيضًا ، من قام بتثبيت crypto-pro على محطة العمل.
طلب من المحاسب الاتفاق مع البنك واستفسر عن عملية تحويل بيانات الاستحقاق إلى البنك أجور. يستحق برنامج VLSI اهتمامًا خاصًا.
بخصوص البرامج المستخدمة. بمساعدة برنامج خاص ، تم تجميع قائمة بالبرامج المسموح باستخدامها لكل محطة عمل. كان لكل محطة عمل رقم جرد خاص بها.
الفصل الخامس. الترتيبات التنظيمية
بالنسبة للجزء الأكبر في منظمتنا إدارة المستندات الإلكترونيةوجميع الملفات تطارد عبر الشبكة. ولكن في قسم المحاسبة يوجد محرك أقراص فلاش واحد لتحميل التقارير عليه. يتم الاحتفاظ بمحاسبة المثيل على حدة لوسائط الآلة للبيانات الشخصية في "Journal of Machine Media Accounting". تم إصدار محرك أقراص فلاش مقابل توقيع للموظف لأداء واجباته الرسمية. في نهاية يوم العمل ، يحتفظ به مع الرمز الإلكتروني. تحتوي تعليمات المستخدم / المسؤول على النقاط ذات الصلة بحساب محرك الأقراص المحمول هذا وتخزينه ونقله وإتلافه.
بالإضافة إلى ذلك ، تم أخذ جميع محركات الأقراص الثابتة في الاعتبار في السجل المقابل. كيف يتم ذلك؟ لا ، لا ، لم أفكك كل محطة عمل وألصق رقمًا عليها ، أو أنظر إلى الرقم الموجود عليها. باستخدام نفس AIDA 64 ، يمكنك رؤية رقم القرص الفريد.
من بين الملاحظات الأخرى ، وبرز هذا. القضية المعنية توصيات منهجيةبتاريخ 1 مارس 2015 رقم 149/7/2 / 6-432. انتبه إلى هذا المستند ، فهو موجود فيه الوصول المفتوحعلى موقع FSB. وفقًا لذلك ، من الضروري تطوير وثيقة تحدد القدرات العامة لمصادر الهجوم ، ونتيجة لذلك ، قائمة التدابير التنظيمية والتقنية ، والتي يتيح تنفيذها تحييد التهديدات لأمن الأفراد. بيانات.
خاتمة
تعليمات
بشأن إجراءات محاسبة وإصدار ونقل وسائل الحماية المشفرة
معلومة، التوقيع الإلكترونيوالتشغيلية والتقنية
الوثائق والمستندات الرئيسية
1. المحاسبة عن أدوات حماية المعلومات المشفرة (CIPF) ، والوثائق التشغيلية والتقنية لـ CIPF ، والمستندات الرئيسية و ES منظمة وفقًا لمتطلبات "تعليمات تنظيم وضمان أمن التخزين والمعالجة والإرسال عبر قنوات الاتصال باستخدام أدوات حماية المعلومات المشفرة ذات الوصول المحدود الذي لا يحتوي على معلومات سر الدولة"، تمت الموافقة عليه بأمر وكالة فيدراليةالاتصالات والمعلومات الحكومية (FAPSI) تحت رئاسة الرئيس الاتحاد الروسيبتاريخ 01.01.2001 برقم 152 (المشار إليه فيما بعد بالتعليمات رقم 152) ، قواعد استخدام CIPF ، المعتمدة من قبل مطور CIPF.
2. يجب أن يتم تسليم CIPF إلى المنظمة عن طريق الاتصال بالبريد السريع (اتصال خاص) ، أو مباشرة من قبل موظف في المنظمة نفسها ، بنفس الطريقة ، يجب نقل CIPF إلى المستخدم النهائي ، وفقًا للبند 32 من التعليمات رقم 000.
3. يجب أن يتوافق إجراء تغليف CIPF مع متطلبات الفقرة 33 ، البند 34 من التعليمات رقم 000.
4. يتم إضفاء الطابع الرسمي على نقل CIPF من خلال شهادات القبول ، أو يتم تأكيده من خلال مستندات الشحن المصاحبة.
5. عندما يتم نقل CIPF عن طريق ساعي معتمد ، يوقع الساعي في شهادات قبول وتحويل CIPF ، يتم إدخال تاريخ ورقم الفعل في السجلات ذات الصلة.
6. يجب الاحتفاظ بالمحاسبة الفورية لـ CIPF الواردة من مطوري ومصنعي وموردي CIPF في مجلة المحاسبة المثيلة لـ CIPF والوثائق التشغيلية والتقنية الخاصة بهم ، والمستندات الرئيسية (للمالك معلومات سرية) (البند 26 من ملحق التعليمات رقم 000). يتم الحفاظ على المحاسبة من قبل المستخدم المسؤول لأدوات التشفير.
7. مثال على إدخال في دفتر اليومية المحاسبة الفردية CIPF ، والوثائق التشغيلية والتقنية لهم ، وترد الوثائق الرئيسية (لمالك المعلومات السرية) في الجدول 1.
الجدول 1.
رقم ص / ص | علامة الاستلام | علامة الإصدار | علامة التوصيل (التثبيت) CIPF | ملاحظة حول سحب حماية المعلومات المشفرة من الأجهزة ، وإتلاف الوثائق الرئيسية | ملحوظة |
||||||||||
| من الذي تلقى | تاريخ ورقم خطاب الغلاف | الاسم الكامل لمستخدم CIPF | الاسم الكامل لموظفي سلطة حماية التشفير ، مستخدم CIPF الذي أجرى الاتصال (التثبيت) | تاريخ التوصيل (التثبيت) وتوقيعات الأشخاص الذين أجروا التوصيل (التثبيت) | عدد الأجهزة التي تم تركيب أو توصيل CIPF بها | تاريخ الانسحاب (تدمير) | الاسم الكامل لموظفي سلطة حماية التشفير ، مستخدم CIPF ، الذي قام بالسحب (التدمير) | ملحوظة |
|||||||
تاكوغراف ميركوري TA-001 | 19С3А00113906524 | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 | ||||||||||||
جهاز USB C-Terra "Post" | 8544391000321DFA | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 | محطة Kraftway الطرفية | |||||||||||
بطاقة تاكوغراف "الماسية" | RUX1234567891234 | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 | شهادة قبول وتحويل مؤرخة 01/01/2001 |
8. يجب إصدار جميع نسخ CIPF ، والوثائق التشغيلية والتقنية الخاصة بهم ، والمستندات الرئيسية المنقولة إلى أطراف ثالثة وفقًا لقانون القبول ويتم إدراجها في المجلة المناسبة للمحاسبة على سبيل المثال لـ CIPF ، والوثائق التشغيلية والتقنية بالنسبة لهم ، المستندات الأساسية (لسلطة حماية التشفير) (ص 26 ، ملحق التعليمات رقم 152). يتم الحفاظ على المحاسبة من قبل المستخدم المسؤول لأدوات التشفير.
9- يرد في الجدول 2 مثال على إدخال قيد لحساب CIPF عند التحويل إلى منظمة طرف ثالث.
الجدول 2.
رقم ص / ص | اسم CIPF ، الوثائق التشغيلية والتقنية لهم ، الوثائق الرئيسية | الأرقام التسلسلية لـ CIPF والوثائق التشغيلية والتقنية لها ، وأرقام سلسلة من الوثائق الرئيسية | نسخ الأرقام (أرقام التشفير) من الوثائق الرئيسية | علامة الاستلام | عودة المذكرة | تاريخ الدخول حيز التنفيذ | تاريخ الخروج | علامة على إتلاف CIPF ، الوثائق الرئيسية | ملحوظة |
|||||||
| من الذي استلم أو الاسم الكامل لموظف OKZ الذي أعد الوثائق الأساسية | تاريخ ورقم خطاب الغلاف أو تاريخ تقديم المستندات الرئيسية والإيصال قيد الإنتاج | إلى من أرسل | التاريخ والرقم الوثيقة المصاحبة | تاريخ ورقم التأكيد أو الاستلام | تاريخ ورقم الوثيقة المصاحبة | التاريخ ورقم التأكيد | تاريخ التدمير | رقم الفعل أو استلام التدمير | ملحوظة |
|||||||
تاكوغراف ميركوري TA-001 | 19С3А00113906524 | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 | شهادة اصدار / اعادة اجهزه / برامج / بطاقات 000000027 بتاريخ 01.01.2001 10:04:59 | شهادة اصدار / اعادة اجهزه / برامج / بطاقات 000000027 بتاريخ 01.01.2001 10:04:59 | |||||||||||
Stirch KKM | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 | ||||||||||||||
تاكوغراف ميركوري TA-002 | 15С3А0078906111 | LLC "Infocenter" | رقم 000 بتاريخ 15/4/15 |
10. يفتح المستخدم المسؤول لأدوات التشفير ويحافظ لكل مستخدم CIPF (كل منظمة يتم نقل CIPF إليها) حسابًا شخصيًا يسجل فيه CIPF المعين لهم ، والوثائق التشغيلية والتقنية الخاصة بهم ، والمستندات الرئيسية. مُستَحسَن اكتب النموذجيتم تقديم الحساب الشخصي لمستخدم CIPF في ملحق هذه التعليمات.
11. يرد مثال على الاحتفاظ بحساب شخصي لمستخدم CIPF في الجدول 3.
الجدول 3
اسم CIPF ، الوثائق التشغيلية والتقنية لهم ، الوثائق الرئيسية | نسخ الأرقام (أرقام التشفير) من الوثائق الرئيسية | المنفذ المسؤول | ملحوظة |
|||||
تاكوغراف ميركوري TA-001 | 19С3А00113906524 | رقم 000 بتاريخ 15/4/15 | شهادة اصدار / اعادة اجهزه / برامج / بطاقات 000000027 بتاريخ 01.01.2001 10:04:59 | |||||
Stirch KKM | رقم 000 بتاريخ 15/4/15 | |||||||
تاكوغراف ميركوري TA-002 | 15С3А0078906111 | رقم 000 بتاريخ 15/4/15 |
12. جميع الوثائق التشغيلية والتقنية المستلمة والمستخدمة والمخزنة والمنقولة لـ CIPF والمستندات الرئيسية تخضع لنسخ المحاسبة. تعتبر وحدة محاسبة نسخ المستندات الرئيسية بمثابة ناقل مفتاح قابل لإعادة الاستخدام ، ومفكرة مفتاح. إذا تم استخدام نفس وسيط المفتاح بشكل متكرر لتسجيل مفاتيح التشفير ، فيجب تسجيله بشكل منفصل في كل مرة.
يمكن أن تكون وحدات المحاسبة على سبيل المثال:
eToken (أجهزة الكمبيوتر) - مفتاح الناقل ؛
JKarta (أجهزة الكمبيوتر) - مفتاح الناقل ؛
تاكوغراف (أجهزة الكمبيوتر) - الأجهزة التي تم تركيب أو توصيل CIPF بها ؛
Block NKM (أجهزة الكمبيوتر) - أجهزة CIPF ؛
نموذج CIPF (نسخة) - الوثائق التشغيلية أو الفنية.
13. يعرض الجدول 4 مثالاً على إدخال إدخال في المجلة الفنية (الأجهزة).
الجدول 4
№ | التاريخ | اكتب رقم تسجيل CIPF | سجل الصيانة | مفاتيح التشفير المستخدمة | علامة إتلاف (حذف) | ملحوظة | ||||
نوع الوثيقة الرئيسية | الرقم التسلسلي ونسخة المستند الأساسي | رقم حامل التشفير | تاريخ التدمير | مسؤول عن التدمير | ||||||
جهاز USB C-Terra "Post" رقم التسجيل 2 | تغيير PIN | جهاز USB | 8544391000321 مثيل DFA 1 | |||||||
14. ينبغي تنظيم المحاسبة الخاصة بأدوات CIPF ، والأدوات البيئية والاجتماعية ، والوثائق التشغيلية والتقنية ، والوثائق والمعلومات الرئيسية وسائط ورقيةأو في شكل إلكتروني باستخدام نظام معلومات آلي ، والذي يجب تحديده بأمر من رئيس المنظمة ، انظر الشكل. واحد.
15. نقل CIPF والوثائق التشغيلية والتقنية إليهم ، لا يُسمح بالوثائق الأساسية إلا بموجب قانون القبول والتحويل وإدخال إدخال في المجلات ذات الصلة بنسخ المحاسبة.
16. يوصى بأن يقوم المستخدم المسؤول عن أدوات التشفير في المنظمة بتعيين شخص مسؤول عن ضمان أمن البيانات الشخصية في نظام معلوماتبيانات شخصية.
17. إجراء عمليات مباشرة لمحاسبة CIPF ، والتوثيق التشغيلي والفني لهم ، والوثائق الرئيسية ، وفقًا لـ المسؤوليات الوظيفيةوالتعليمات إلى مسؤول أمن المعلومات أو شخص لديه مسؤوليات وظيفية ذات صلة.
______________________
طلب
للتعليمات الخاصة بإجراءات المحاسبة عن إصدار ونقل وسائل الحماية المشفرة
المعلومات والتوقيع الإلكتروني والوثائق التشغيلية والتقنية والوثائق الرئيسية
حساب مستخدم CRYPTOS الشخصي
_____________________________________________________________________________________________
(اسم المنظمة أو الاسم الكامل ومنصب الموظف)
ص \ n | اسم CIPF ، الوثائق التشغيلية والتقنية لهم ، الوثائق الرئيسية | أرقام تسجيل CIPF ، والوثائق التشغيلية والتقنية لهم ، وأرقام سلسلة من الوثائق الرئيسية | نسخ الأرقام (أرقام التشفير) من الوثائق الرئيسية | رقم وتاريخ الوثيقة المصاحبة عند الاستلام | رقم وتاريخ الوثيقة المصاحبة عند التحويل | المنفذ المسؤول | ملحوظة |
|
___________________________
قائمة المراجع
وسائل حماية المعلومات المشفرة (CIPF)يتم استخدامها اليوم في جميع الشركات تقريبًا ، سواء عند تبادل البيانات مع الأطراف المقابلة ، أو عند الاتصال وإرسال أوامر الدفع إلى أحد البنوك ، باستخدام برنامج بنك العميل.
لكن لا يعلم الجميع أنه وفقًا للقانون ، يجب مراعاة مفاتيح التشفير.
في هذه المقالة ، سأتحدث عن المحاسبة لحماية معلومات التشفير وتقديم روابط إلى الإجراءات القانونية للاتحاد الروسي.
القوانين الرئيسية التي تحكم CIPF هي:
أمر صادر عن دائرة الأمن الفيدرالية للاتحاد الروسي بتاريخ 9 فبراير 2005 N 66 "بشأن الموافقة على اللائحة المتعلقة بتطوير وإنتاج وبيع وتشغيل أدوات أمن معلومات التشفير (التشفير) (اللائحة PKZ-2005)"
أمر FAPSI المؤرخ 13 يونيو 2001 رقم 152 "بشأن الموافقة على التعليمات الخاصة بتنظيم وضمان أمن التخزين والمعالجة والنقل عبر قنوات الاتصال باستخدام الحماية المشفرة للمعلومات ذات الوصول المحدود التي لا تحتوي على معلومات تشكل سر دولة" والملحق لأمر FAPSI RF المؤرخ 13 يونيو 2001 N 152
إذا نظرت إلى طلب FSB رقم 66 في الملحق في الفقرة 48 ، يمكنك رؤية المحتوى التالي:
48. CIPF ونماذجها الأولية تخضع لنسخ المحاسبة باستخدام المؤشرات أو الأسماء الشرطية و أرقام التسجيل. يتم تحديد قائمة الفهارس (الأسماء التقليدية) وأرقام التسجيل لحساب نسخ CIPF ونماذجها الأولية من قبل FSB في روسيا.
يتم تعيين تنظيم المحاسبة لكل حالة على حدة للنماذج الأولية لـ CIPF إلى مطور CIPF.
يتم تعيين تنظيم محاسبة النسخ لأدوات حماية معلومات التشفير المصنعة إلى الشركة المصنعة لأدوات حماية معلومات التشفير.
يتم تعيين تنظيم المحاسبة لكل مثيل لـ CIPF المستخدم إلى عميل CIPF.
هذا يعني أنه حتى إذا قررت شركة بسيطة لا تنشئ أدوات حماية معلومات التشفير وتبيعها شراء العديد من مفاتيح eToken USB ، فلا يزال يتعين حسابها وتعيينها للمستخدم النهائي ، أي الموظف. وعلى حد بعيد الأسس القانونيةيمكن لـ FSB التحقق من المحاسبة عن طريق الوصول إلى مكتب أي شركة.
يجب الاحتفاظ بهذه المحاسبة لوسائل الحماية المشفرة للمعلومات في مجلة خاصة ، بل والأفضل من ذلك بالإضافة إلى ذلك وفي شكل إلكتروني ، حيث يجب أخذ المعلومات التالية في الاعتبار:
1. ما صدر
2. على ما أصدروه
3. من تلقى
4. الذي مر
5. علامة الدمار
من الضروري مراعاة المفاتيح الإلكترونية نفسها ، وحاملات المفاتيح ، البرمجياتالتي تقوم بإجراء تحويلات تشفير للمعلومات ، وتراخيص الحق في استخدام CIPF.
وبالتالي ، يجب تقسيم CIPF للمحاسبة إلى:
مفتاح الناقل- ناقل مادي لهيكل معين ، يهدف إلى وضع المعلومات الأساسية عليه (معلومات أساسية أولية). يتم التمييز بين وسيط مفتاح واحد (طاولة ، شريط مثقوب ، بطاقة مثقوبة ، إلخ) ووسيط مفتاح قابل لإعادة الاستخدام (شريط مغناطيسي ، قرص مرن ، قرص مضغوط ، مفتاح بيانات ، بطاقة ذكية ، ذاكرة تعمل باللمس ، إلخ).
الوثيقة الرئيسية- ناقل مادي لهيكل معين يحتوي على معلومات أساسية (معلومات أساسية أولية) ، وإذا لزم الأمر ، التحكم والخدمة والمعلومات التكنولوجية ؛ (في الواقع ، هذا وسيط به مفتاح سري مسجل)
توزيع CIPF- البرنامج نفسه CryptoPro CSPهنا يجب مراعاة رقم التوزيع الموجود في النموذج الموجود على CIPF)
رخصة CIPF- ليست أداة تشفير في حد ذاتها ، ولكن يجب أيضًا أخذها في الاعتبار في السجل ، حيث كانت هناك حوادث تم فيها تغريم الشركات بسبب ذلك ، وسمعت أيضًا قضايا جنائية يتم رفعها.
بالمناسبة ، يجادل الكثيرون حول ما هو الفرق بين مستند رئيسي وحامل مفتاح. يرى شخص ما أن المستند الأساسي هو في حد ذاته حاوية رئيسية أو معلومات أساسية ، وهذا منطقي من حيث المبدأ ، لكن الوصف الذي قدمته أعلاه مأخوذ من ملحق أمر FAPSI الصادر في 13 يونيو 2001 رقم 152 ، حيث يُذكر بوضوح أن هذا وسيط مادي.
لذلك ، من وجهة نظري الشخصية ، يجب أن يُفهم هذا على أنه ليس مجرد معلومات أساسية في شكل إلكتروني ، بل وسيط مادي به معلومات أساسية مسجلة عليه. من حيث المبدأ ، ليس من الصعب أخذ ذلك في الاعتبار ، لأنه من الممكن الإشارة في المجلة إلى رقم الناقل ومعرف المفتاح السري في فقرة واحدة.
ارتبط ب قرار FAPSI RF مؤرخ في 13 يونيو 2001 رقم 152، يمكنك العثور على أمثلة من المجلات النموذجية للمحاسبة عن حماية المعلومات المشفرة. http://base.garant.ru/183628/#block_1000
إن رأيي وليس فقط رأيي في المحاسبة هو الأفضل للاحتفاظ بالعديد من المجلات:
مجلة محاسبة مثيل على حدة لمجموعات توزيع CIPF.
مجلة تسجيل المثيل تلو الآخر لتراخيص حق استخدام CIPF.
مجلة نسخ المحاسبة من الوثائق الرئيسية CIPF.
مجلة المحاسبة على سبيل المثال من الناقلات الرئيسية للأجهزة من CIPF.
في مجلة المحاسبة لكل حالة على حدة لمجموعات توزيع أدوات حماية المعلومات المشفرة، يتم حساب CIPF من خلال عدد مجموعات التوزيع المسجلة في نموذج المنتج.
في سجل نسخ تلو الآخر لتراخيص حق استخدام أدوات حماية المعلومات المشفرة ، يتم حساب أدوات حماية المعلومات المشفرة من خلال الأرقام التسلسلية للتراخيص.
في مجلة المحاسبة لكل حالة على حدة للوثائق الرئيسية لوسائل حماية المعلومات المشفرة، يتم حساب CIPF من خلال أرقام الرموز (ويتم طباعتها على كل رمز) أو بأرقام الأقراص المرنة / محرك أقراص فلاش (الأرقام التسلسلية لوحدات التخزين التي يمكن رؤيتها باستخدام الأمر DIR) ، أو اسم حاوية التشفير أو الرقم التسلسلي لـ المفتاح مكتوب أيضًا في هذا السجل.
في مجلة المحاسبة لكل حالة على حدة لحوامل الأجهزة الرئيسية لحماية المعلومات المشفرة ، يتم حساب أدوات حماية المعلومات المشفرة من خلال أرقام الرموز (ويتم طباعتها على كل رمز مميز). يُنصح باستخدام هذا السجل فقط للرموز المميزة المخزنة التي وصلت إلى المستودع ، ولكن لم يتم إصدارها لأي شخص ولا تحتوي على معلومات أساسية ، أو تم نقلها ، ولكن بدون معلومات أساسية.
من أجل تبسيط المحاسبة ، عند تلقي عدد كبير من CIPF ، يجب عليك طلب معلومات محاسبية في شكل إلكتروني ، من المورد أو سلطة التشفير ، حتى لا تعيد طباعة هذه المعلومات الأرقام التسلسليةيدويا.
يمكن العثور على أمثلة لسجلات محاسبة CIPF في نهاية الملحق بترتيب FAPSI RF المؤرخ 13 يونيو 2001 N 152.
إستعمال شهادات رقميةوشركات النقل الرئيسية ممارسة إلزامية للعديد من الشركات. يتم استخدامها للأغراض الداخلية - حماية البريد الإلكتروني ، وإدارة المستندات الداخلية ، ومصادقة المستخدم ، وللتواصل مع مؤسسات الطرف الثالث عند العمل في طوابق التداول ، في RBS ولإنشاء توقيع رقمي إلكتروني مؤهل (EDS). الشهادات مفاتيح إلكترونيةيمكن إصدارها في كل من مراكز الشهادات الخاصة بالشركة وفي المنظمات المعتمدة التابعة لجهات خارجية. تصبح إدارة مجموعة متباينة من شركات النقل الرئيسية مهمة معقدة ، تم تصميم الأنظمة المتخصصة لحلها. يقدم Certificate Manager حلاً مركزيًا وفعالًا لهذه المهمة.
وصف المهمة
في نظرة عامةيمكن صياغة مهام إدارة الوسائط والشهادات التالية:
- التحكم في استخدام الشهادات والوسائط الرئيسية من قبل موظفي الشركة
- المحاسبة لشهادات الطرف الثالث الصادرة عن جهات خارجية للعمل في RBS ، ومنصات التداول ، و EGAIS ، وما إلى ذلك.
- الاحتفاظ بسجل إلكتروني لـ CIPF
المحلول
لحل كل هذه المهام ، ينفذ مدير الشهادات في الواقع الوظائف المناسبة.
التحكم في استخدام الشهادات والوسائط الرئيسية
لحل مشكلة التحكم في استخدام البطاقات الذكية والرموز والشهادات ، نفذت CM بالفعل وحدة متخصصة - وكيل عميل CM بالفعل. يتم تثبيت الوكيل على جهاز الكمبيوتر الخاص بالمستخدم ويسمح لك بإجراء عدد من العمليات عن بُعد:
- أرسل معلومات حول الوسائط الرئيسية المستخدمة إلى خادم CM بالفعل - حيث يتم تشغيل الكمبيوتر الشخصي هذه اللحظةالرموز المتصلة والمستخدم الذي يعمل على جهاز الكمبيوتر
- حظر جلسة Windows أو مفتاح الناقل في حالة انتهاك قواعد الاستخدام. على سبيل المثال ، يمكن ربط بطاقة CIPF الذكية (رمز مميز) بحساب مستخدم أو كمبيوتر شخصي ؛ إذا المستخدم الحاليأو لا يتطابق الكمبيوتر الشخصي مع الأجهزة المعينة ، يجوز للوكيل حظر البطاقة الذكية
- تغيير رقم التعريف الشخصي بناءً على طلب المسؤول
- قفل الوسائط بناءً على طلب المسؤول
- تحديث الشهادات على الوسائط
- حذف المعلومات من الناقل الرئيسي
وبالتالي ، يسمح الوكيل للمسؤولين بتدقيق استخدام البطاقات الذكية والرموز المميزة وإجراء العمليات عن بُعد باستخدام الوسائط الرئيسية على جهاز الكمبيوتر الخاص بالمستخدم. يمكن للوكيل أيضًا منع الاستخدام غير المصرح به للوسائط.
بالإضافة إلى الوكيل ، يمكن لـ CM بالفعل مراقبة حالة حساب المستخدم في Active Directory وتعليق شهادات المستخدمين الذين تم تعطيل حساباتهم. هذا يسمح لك بالتوقف عن استخدام الشهادات لفترة الإجازة أو فصل الموظف.
المحاسبة لشهادات الطرف الثالث
تتم قراءة المعلومات المتعلقة بالشهادات المسجلة بالفعل على الناقل في اللحظة التي يتم فيها تعيين الناقل للمستخدم ويتم عرضها في ملف التعريف الخاص به. عندما توشك هذه الشهادات على الانتهاء ، يقوم النظام بإخطار المستخدم و / أو المسؤول لتجديد الشهادة.
الاحتفاظ بمجلة إلكترونية لـ CIPF
للامتثال لمتطلبات المنظمين في المنظمة ، قد يكون من الضروري الاحتفاظ بسجل CIPF. في الواقع ، يسمح لك CM بالاحتفاظ بهذا السجل في شكل إلكتروني. عند إصدار الشهادات ، ستتم إضافة CIPF الجديدة تلقائيًا إلى المجلة. أيضًا ، يمكن للمسؤول إضافة CIPF يدويًا لأنواع مختلفة ، بما في ذلك الأنواع الخاصة به ، غير المدرجة في المجموعة القياسية. عرض السجل متاح في واجهة مشرف CM بالفعل ، ويمكن أيضًا تصدير السجل إلى وثيقة منفصلة، تنسيقه قابل للتخصيص حسب متطلبات المنظمة.
يوجد أدناه المخطط العام للحل.
يشتمل برنامج Certificate Manager على المكونات الرئيسية التالية:
خادم CM الحقيقي- المكون الرئيسي للبنية التحتية للـ CM بالفعل. إنه تطبيق ASP.Net يعمل على خادم خدمات معلومات الإنترنت (IIS). في الواقع ، يوفر CM Server إدارة مركزية لمستخدمي النظام ، ومستودع الخرائط ، وسجل معلومات التشفير ، وسياسات الأمان. أيضًا ، يوفر CM Server تلقي المعلومات من الوكلاء وإجراء عمليات فتح البطاقات الذكية وأحداث التسجيل.
سجل الأحداث- تخزين الحدث بالفعل CM. يسجل السجل جميع الأحداث المتعلقة بـ دورة الحياةالبطاقات الذكية وتغيير إعدادات النظام. يتوفر عرض السجل في واجهة وحدة تحكم المسؤول في الواقع CM ، حيث يمكن أيضًا إنشاء تقارير وفقًا لمعايير مختلفة.
مجلة SKZI - مجلة إلكترونيةمحاسبة وسائل الحماية المشفرة للمعلومات. تسمح لك المجلة بتلبية متطلبات المنظمين من حيث المحاسبة لحماية معلومات التشفير. عرض السجل متاح في واجهة وحدة تحكم مشرف CM بالفعل.
سجل الناقلين الرئيسيينيحتوي على معلومات عن جميع الأجهزة المسجلة في النظام. عرض السجل متاح في واجهة وحدة تحكم المشرف في الواقع CM.
في الواقع عامل CM- مكون العميل الذي ينفذ وظائف التحكم ومراقبة استخدام الوسائط الرئيسية. يوفر الوكيل أيضًا التنفيذ عن بُعد للعمليات باستخدام البطاقات الذكية والرموز المميزة: الحظر ، وتغيير PIN ، وتحديث شهادات مفتاح التوقيع الإلكتروني ، وما إلى ذلك.