Какие действия запрещены при работе с ключевым носителем

Приказ Казначейства России от 14.09.2018 N 261 «Об утверждении Регламента удостоверяющего центра Федерального казначейства и признании утратившими силу некоторых приказов Федерального казначейства»

Этот документ в некоммерческой версии КонсультантПлюс доступен по расписанию:

• по рабочим дням с 20-00 до 24-00 (время московское)
• в выходные и праздничные дни в любое время

Вы можете заказать документ на e-mail

Тексты документов всегда доступны в коммерческой версии КонсультантПлюс.

Какая электронная подпись самая надёжная и как обеспечить безопасность её использования

Если соблюдать все требования к безопасному использованию электронной подписи, её подделка и несанкционированное применение невозможны. При этом изначально гарантировать самый высокий уровень доверия способна только квалифицированная электронная подпись (КЭП). Но её выбор не отменяет соблюдение правил информационной безопасности, которые касаются не только средств электронной подписи, но и оборудования, а также программного обеспечения — всего того, что связано с хранением и применением средств ЭП.

Почему квалифицированная ЭП самая надёжная

В самом делении электронной подписи на три вида — простую, неквалифицированную и квалифицированную — заложена градация по уровням надёжности и защищённости ЭП. Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определённым лицом.

К простой электронной подписи (ПЭП) закон предъявляет минимальные требования. Простая электронная подпись подтверждает авторство документа, но не гарантирует его неизменность после подписания, то есть не защищает документ от внесения изменений.

В различных информационных системах при прохождении авторизации ПЭП формируется при помощи связки «логин-пароль». Если для авторизации подключена двухфакторная аутентификация, то к связке «логин-пароль» добавляется код, отправленный пользователю в СМС-сообщении.

ПЭП применяется в финансовых организациях во взаимодействии «банк-клиент», например, в системах дистанционного банковского обслуживания или в мобильных приложениях, а также при авторизации в различных интернет-ресурсах. Например, на портале Госуслуги или в личном кабинете налогоплательщика в сервисе ФНС России.

При этом согласно законодательству, подписывать ПЭП документы, которые содержат сведения, составляющие государственную тайну, запрещено.

Неквалифицированная и квалифицированная ЭП относятся к усиленной ЭП, что подчёркивает их уровень защищённости и предъявление к ним жёстких требований:

1. Получение путём криптографического преобразования информации с использованием уникальной последовательности символов (ключа электронной подписи).
2. Создание с помощью средств электронной подписи — криптографических (шифровальных) средств, которые используются для создания, проверки ЭП, создания ключа ЭП и ключа проверки ЭП — уникальной последовательности символов, которая однозначно связана с ключом ЭП и служит для проверки подлинности ЭП.
3. Возможность определения лица, которое подписало конкретный электронный документ, а также факта внесения изменений в документ после его подписания.

Несмотря на предъявление к НЭП и КЭП примерно одинаковых требований, КЭП имеет более высокий уровень доверия, потому что:

• обязательна выдача квалифицированного сертификата, в котором указан, среди прочего, ключ проверки электронной подписи;
• средства электронной подписи, которые используются для создания и проверки КЭП, должны иметь подтверждение соответствия нормативным требованиям (быть сертифицированными).

В настоящее время сертификаты КЭП выпускают только государственные и коммерческие аккредитованные удостоверяющие центры, соответствующие определённому уровню законодательных требований. Юридические лица и ИП в зависимости от вида деятельности могут оформить квалифицированный сертификат в Удостоверяющем центре ФНС, Федерального казначейства или Банка России, а также у доверенных лиц этих УЦ. Физические лица могут оформить квалифицированный сертификат только в удостоверяющем центре, у которого есть аккредитация Правительственной комиссии, уполномоченной на принятие решения об аккредитации УЦ.

НЭП может быть сгенерирована в информационной системе, в которой и будет использоваться, при этом выпуск сертификата необязателен. Кроме этого, сертификат НЭП может выпустить любой удостоверяющий центр, независимо от наличия аккредитации Правительственной комиссией. Для использования НЭП между участниками электронного взаимодействия должно быть заключено соглашение о признании электронных документов, подписанных неквалифицированной электронной подписью. НЭП часто применяется для внутреннего электронного документооборота, подписания внутренних приказов, документов между контрагентами.

Квалифицированная электронная подпись — самый регламентированный вид ЭП. Для получения сертификата заявитель должен быть идентифицирован в удостоверяющем центре. При обращении в удостоверяющий центр он предоставляет для подтверждения личности документы и/или сведения из них. Удостоверяющий центр обязан проверить достоверность предъявленных сведений для внесения их в квалифицированный сертификат. Сведения о выдаче квалифицированного сертификата удостоверяющий центр обязан передать в Единую систему идентификации и аутентификации (ЕСИА). Информация о выдаче сертификата ЭП отображается в личном кабинете владельца сертификата на Госуслугах.

Несмотря на высокий уровень безопасности КЭП, её использование в некоторых государственных системах требует дополнительных программных средств — установки и применения специального расширения — дополнительного средства электронной подписи, работающего совместно с криптопровайдером и плагином (расширением) для браузеров. Такую комбинацию, в частности, обязывает использовать Росреестр для работы на своём официальном портале.

Получите сертификат

Пройдите идентификацию по действующему квалифицированному сертификату и получите сертификат электронной подписи удалённо.

Какие требования нужно соблюдать для безопасного использования электронной подписи

Все требования носят рекомендательный характер, но их соблюдение практически на 100% исключит угрозы информационной безопасности при использовании квалифицированной электронной подписи.

Требования можно разделить на три группы:

1. Ограничение доступа посторонних лиц в помещение и к оборудованию (рабочему месту) с установленными средствами электронной подписи.
2. Защита информации от несанкционированного доступа.
3. Защита носителя (токена), на который записана информация о квалифицированном сертификате, его владельце и ключах электронной подписи.

Защита информации от несанкционированного доступа предусматривает:

1. Использование сложных паролей (сочетание букв, цифр, символов, верхнего и нижнего регистров), периодическая смена паролей, которые предназначены для входа в операционную систему.
2. Обязательная установка программных средств защиты и безопасности, регулярное их обновление.
3. Использование одной легальной, стандартной, неизменённой версии операционной системы.
4. Исключение возможности загрузки операционной системы, отличной от штатной, а также возможности дистанционного управления рабочим устройством.
5. Выбор максимальных параметров в настройках уровня безопасности.
6. Отключение неиспользуемых сервисов, протоколов и других ресурсов рабочего устройства.
7. Максимальное ограничение доступа к отладочной, кэшируемой информации, журналам системы, системному реестру, файлам и каталогу, файлам подкачки, временным файлам.
8. Удаление после завершения рабочего сеанса с электронной подписью временных файлов и созданных или изменённых ими файлов подкачки.
9. Включение на рабочем устройстве регистрации событий информационной безопасности.

При подключении рабочего устройства к общедоступным сетям нужно исключить возможность открытия и исполнения файлов и скриптов без их проверки на содержание скрытно внедрённых программ либо фрагментов программ (вирусов и программных закладок).

• копировать содержимое ключевых носителей (токенов), разглашать его, передавать информацию и носитель третьим лицам, допускать отображение информации на экране рабочего устройства в присутствии третьих лиц;
• вносить любого рода изменения в программное обеспечение на носителе, предназначенное для работы с электронной подписью, удалять его или отдельные файлы, а также использовать носитель для записи другой информации;
• использовать сертификат ЭП, если он недействителен (аннулирован, просрочен);
• использовать КЭП (подписывать ею электронные документы) при наличии оснований полагать, что третьи лица получили доступ к ключам ЭП или ключевому носителю.

В целях защиты носителя (токена) от несанкционированного доступа третьих лиц необходимо обеспечить его надёжное хранение, при первом использовании сгенерировать новый пароль (ПИН-код), а не использовать предустановленный, и регулярно его менять.

В случае утраты носителя, при наличии подозрений, что кто-то несанкционированно получил доступ к ключам ЭП, и других событиях, компрометирующих применение КЭП, необходимо незамедлительно уведомить удостоверяющий центр, который выдал сертификат. Далее следует запустить процедуру аннулирования сертификата и получения нового квалифицированного сертификата.

Чтобы получить электронную подпись, оставьте заявку. Наши специалисты помогут вам оформить электронную подпись для физических и юридических лиц — удалённо, быстро и по выгодной цене.

Правила по обеспечению информационной безопасности на рабочем месте

Настоящие правила предназначены для обязательного ознакомления выделенному в организации сотруднику, отвечающему за информационную безопасность при использовании средств криптографической защиты информации и работе в защищенной телекоммуникационной системе.

2. Основные понятия

Система − автоматизированная информационная система передачи и приема информации в электронном виде по телекоммуникационным каналам связи в виде юридически значимых электронных документов с использованием средств электронной подписи.
Автоматизированное рабочее место (АРМ) – ПЭВМ, с помощью которой пользователь осуществляет подключение для работы в Системе.

Cредство криптографической защиты информации (СКЗИ) − средство вычислительной техники, осуществляющее криптографическое преобразование информации для обеспечения ее безопасности.

Электронная подпись (ЭП) − информация в электронной форме, которая присоединена к другой информации в электронной форме (подписываемой информации) или иным образом связана с такой информацией и которая используется для определения лица, подписывающего информацию. В Системе для подписания электронных документов электронной подписью используется технология электронно-цифровой подписи (ЭЦП) в инфраструктуре открытых ключей.

Ключ ЭП — уникальная последовательность символов, предназначенная для создания электронной подписи. Ключ ЭП хранится пользователем системы в тайне. В инфраструктуре открытых ключей соответствует закрытому ключу ЭЦП.

Ключ проверки ЭП — уникальная последовательность символов, однозначно связанная с ключом электронной подписи и предназначенная для проверки подлинности электронной подписи. Ключ проверки ЭП известен всем пользователям системы и позволяет определить автора подписи и достоверность электронного документа, но не позволяет вычислить ключ электронной подписи. Ключ проверки ЭП считается принадлежащим пользователю, если он был ему выдан установленным порядком. В инфраструктуре открытых ключей соответствует открытому ключу ЭЦП.

Сертификат ключа проверки ЭП — электронный документ или документ на бумажном носителе, выданные удостоверяющим центром либо доверенным лицом удостоверяющего центра и подтверждающие принадлежность ключа проверки электронной подписи владельцу сертификата ключа проверки электронной подписи.

Удостоверяющий центр — юридическое лицо или индивидуальный предприниматель, осуществляющие функции по созданию и выдаче сертификатов ключей проверки электронных подписей, а также иные функции, предусмотренные законодательством.

Владелец сертификата ключа проверки ЭП — лицо, которому в установленном порядке выдан сертификат ключа проверки электронной подписи.
Средства ЭП − шифровальные (криптографические) средства, используемые для реализации хотя бы одной из следующих функций — создание электронной подписи, проверка электронной подписи, создание ключа электронной подписи и ключа проверки электронной подписи.

Сертификат соответствия − документ, выданный по правилам системы сертификации для подтверждения соответствия сертифицированной продукции установленным требованиям.

Подтверждение подлинности электронной подписи в электронном документе − положительный результат проверки соответствующим средством ЭП принадлежности электронной подписи в электронном документе владельцу сертификата ключа проверки подписи и отсутствия искажений в подписанном данной электронной подписью электронном документе.

Компрометация ключа − утрата доверия к тому, что используемые ключи обеспечивают безопасность информации. К событиям, связанным с компрометацией ключей, относятся, включая, но не ограничиваясь, следующие:

• Потеря ключевых носителей.
• Потеря ключевых носителей с их последующим обнаружением.
• Увольнение сотрудников, имевших доступ к ключевой информации.
• Нарушение правил хранения и уничтожения (после окончания срока действия) закрытого ключа.
• Возникновение подозрений на утечку информации или ее искажение в системе конфиденциальной связи.
• Нарушение печати на сейфе с ключевыми носителями.
• Случаи, когда нельзя достоверно установить, что произошло с ключевыми носителями (в том числе случаи, когда ключевой носитель вышел из строя и доказательно не опровергнута возможность того, что, данный факт произошел в результате несанкционированных действий злоумышленника).

3. Риски использования электронной подписи

При использовании электронной подписи существуют определенные риски, основными из которых являются следующие:

1. Риски, связанные с аутентификацией (подтверждением подлинности) пользователя. Лицо, на которого указывает подпись под документом, может заявить о том, что подпись сфальсифицирована и не принадлежит данному лицу.
2. Риски, связанные с отрекаемостью (отказом от содержимого документа). Лицо, на которое указывает подпись под документом, может заявить о том, что документ был изменен и не соответствует документу, подписанному данным лицом.
3. Риски, связанные с юридической значимостью электронной подписи. В случае судебного разбирательства одна из сторон может заявить о том, что документ с электронной подписью не может порождать юридически значимых последствий или считаться достаточным доказательством в суде.
4. Риски, связанные с несоответствием условий использования электронной подписи установленному порядку. В случае использования электронной подписи в порядке, не соответствующем требованиям законодательства или соглашений между участниками электронного взаимодействия, юридическая сила подписанных в данном случае документов может быть поставлена под сомнение.
5. Риски, связанные с несанкционированным доступом (использованием электронной подписи без ведома владельца). В случае компрометации ключа ЭП или несанкционированного доступа к средствам ЭП может быть получен документ, порождающий юридически значимые последствия и исходящий от имени пользователя, ключ которого был скомпрометирован.

Для снижения данных рисков или их избежания помимо определения порядка использования электронной подписи при электронном взаимодействии предусмотрен комплекс правовых и организационно-технических мер обеспечения информационной безопасности.

4. Общие принципы организации информационной безопасности в Системе

Криптографическая подсистема Системы опирается на отечественное законодательство в области электронной подписи, инфраструктуры открытых ключей и защиты информации, в том числе, на действующие ГОСТ и руководящие документы ФСБ и ФСТЭК, а также на международный стандарт X.509, определяющий принципы и протоколы, используемые при построении систем с открытыми ключами.

Инфраструктура открытых ключей − это система, в которой каждый пользователь имеет пару ключей − закрытый (секретный) и открытый. При этом по закрытому ключу можно построить соответствующий ему открытый ключ, а обратное преобразование неосуществимо или требует огромных временных затрат. Каждый пользователь Системы генерирует себе ключевую пару, и, сохраняя свой закрытый ключ в строгой тайне, делает открытый ключ общедоступным. С точки зрения инфраструктуры открытых ключей, шифрование представляет собой преобразование сообщения, осуществляемое с помощью открытого ключа получателя информации. Только получатель, зная свой собственный закрытый ключ, сможет провести обратное преобразование и прочитать сообщения, а больше никто сделать этого не сможет, в том числе − и сам отправитель шифрограммы. Электронная подпись в инфраструктуре открытых ключей − это преобразование сообщения с помощью закрытого ключа отправителя. Любой желающий может для проверки подписи провести обратное преобразование, применив общедоступный открытый ключ (ключ проверки ЭП) автора документа, но никто не сможет имитировать такой документ, не зная закрытого ключа (ключа ЭП) автора.

Обязательным участником любой инфраструктуры открытых ключей является Удостоверяющий центр, выполняющий функции центра доверия всей системы документооборота. При этом Удостоверяющий центр обеспечивает выполнение следующих основных функций:

• выпускает сертификаты ключей проверки электронных подписей и выдает их пользователям;
• выдает пользователям средства электронной подписи;
• создает по обращениям заявителей ключи электронных подписей и ключи проверки электронных подписей;
• получает и обрабатывает сообщения о компрометации ключей; аннулирует выданные этим удостоверяющим центром сертификаты ключей проверки электронных подписей, доверие к которым утрачено;
• ведет реестр выданных и аннулированных этим удостоверяющим центром сертификатов ключей проверки электронных подписей (далее — реестр сертификатов), в том числе включающий в себя информацию, содержащуюся в выданных этим удостоверяющим центром сертификатах ключей проверки электронных подписей, и информацию о датах прекращения действия или аннулирования сертификатов ключей проверки электронных подписей и об основаниях таких прекращения или аннулирования и обеспечивает доступ лиц к информации, содержащейся в реестре сертификатов;
• проверяет уникальность ключей проверки электронных подписей в реестре сертификатов;
• осуществляет по обращениям участников электронного взаимодействия проверку электронных подписей;
• определяет порядок разбора конфликтных ситуаций и доказательства авторства электронного документа.

Свою деятельность Удостоверяющий центр осуществляет в строгом соответствии с законодательством, собственным регламентом и соглашениями между участниками электронного взаимодействия. Благодаря соблюдению необходимых требований исключаются риски, связанные с юридической значимостью документов, подписанных электронной подписью, и снижаются риски несоответствия условий использования электронной подписи установленному порядку.

Сертификат ключа проверки ЭП заверяется электронной подписью Удостоверяющего центра и подтверждает факт владения того или иного участника документооборота тем или иным ключом проверки ЭП и соответствующим ему ключом ЭП. Благодаря сертификатам, пользователи Системы могут опознавать друг друга, а, кроме того, проверять принадлежность электронной подписи конкретному пользователю и целостность (неизменность) содержания подписанного электронного документа. Таким образом исключаются риски, связанные с подтверждением подлинности пользователя и отказом от содержимого документа.

Преобразования сообщений с использованием ключей достаточно сложны и производятся с помощью специальных средств электронной подписи. В Системе для этих целей используется СКЗИ, имеющее сертификат соответствия установленным требованиям как средство электронной подписи. Данное СКЗИ − это программное обеспечение, которое решает основные задачи защиты информации, а именно:

• обеспечение конфиденциальности информации − шифрование для защиты от несанкционированного доступа всех электронных документов, которые обращаются в Системе;
• подтверждение авторства документа — применение ЭП, которая ставится на все возникающие в Системе электронные документы; впоследствии она позволяет решать на законодательно закрепленной основе любые споры в отношении авторства документа;
• обеспечение неотрекаемости − применение ЭП и обязательное сохранение передаваемых документов на сервере Системы у отправителя и получателя; подписанный документ обладает юридической силой с момента подписания: ни его содержание, ни сам факт существования документа не могут быть оспорены никем, включая автора документа;
• обеспечение целостности документа − применение ЭП, которая содержит в себе хэш-значение (усложненный аналог контрольной суммы) подписываемого документа; при попытке изменить хотя бы один символ в документе или в его подписи после того, как документ был подписан, будет нарушена ЭП, что будет немедленно диагностировано;
• аутентификация участников взаимодействия в Системе − каждый раз при начале сеанса работы сервер Системы и пользователь предъявляют друг другу свои сертификаты и, таким образом, избегают опасности вступить в информационный обмен с анонимным лицом или с лицом, выдающим себя за другого.

Уровень защищенности Системы в целом равняется уровню защищенности в ее самом слабом месте. Поэтому, учитывая то, что система обеспечивает высокий уровень информационной безопасности на пути следования электронных документов между участниками документооборота, для снижения или избежания рисков необходимо так же тщательно соблюдать меры безопасности непосредственно на рабочих местах пользователей.

В следующем разделе содержатся требования и рекомендации по основным мерам информационной безопасности на рабочем месте пользователя.

5. Требования и рекомендации по обеспечению информационной безопасности на рабочем месте пользователя

Рабочее место пользователя Системы использует СКЗИ для обеспечения целостности, конфиденциальности и подтверждения авторства информации, передаваемой в рамках Системы. Порядок обеспечения информационной безопасности при работе в Системе определяется руководителем организации, подключающейся к Системе, на основе рекомендаций по организационно-техническим мерам защиты, изложенным в данном разделе, эксплуатационной документации на СКЗИ, а также действующего российского законодательства в области защиты информации.

5.1 Персонал

Должен быть определен и утвержден список лиц, имеющих доступ к ключевой информации.

К работе на АРМ с установленным СКЗИ допускаются только определенные для эксплуатации лица, прошедшие соответствующую подготовку и ознакомленные с пользовательской документацией на СКЗИ, а также другими нормативными документами по использованию электронной подписи.

К установке общесистемного и специального программного обеспечения, а также СКЗИ, допускаются доверенные лица, прошедшие соответствующую подготовку и изучившие документацию на соответствующее ПО и на СКЗИ.

Рекомендуется назначение в организации, эксплуатирующей СКЗИ, администратора безопасности, на которого возлагаются задачи организации работ по использованию СКЗИ, выработки соответствующих инструкций для пользователей, а также контролю за соблюдением требований по безопасности.

Должностные инструкции пользователей АРМ и администратора безопасности должны учитывать требования настоящих Правил.

В случае увольнения или перевода в другое подразделение (на другую должность), изменения функциональных обязанностей сотрудника, имевшего доступ к ключевым носителям (ЭП и шифрования), должна быть проведена смена ключей, к которым он имел доступ.

5.2 Размещение технических средств АРМ с установленным СКЗИ

Должно быть исключено бесконтрольное проникновение и пребывание в помещениях, в которых размещаются технические средства АРМ, посторонних лиц, по роду своей деятельности не являющихся персоналом, допущенным к работе в указанных помещениях. В случае необходимости присутствия таких лиц в указанных помещениях должен быть обеспечен контроль за их действиями.

Рекомендуется использовать АРМ с СКЗИ в однопользовательском режиме. В отдельных случаях, при необходимости использования АРМ несколькими лицами, эти лица должны обладать равными правами доступа к информации.

Не допускается оставлять без контроля АРМ при включенном питании и загруженном программном обеспечении СКЗИ после ввода ключевой информации. При уходе пользователя с рабочего места должно использоваться автоматическое включение экранной заставки, защищенной паролем. В отдельных случаях при невозможности использования парольной защиты, допускается загрузка ОС без запроса пароля, при этом должны быть реализованы дополнительные организационно-режимные меры, исключающие несанкционированный доступ к АРМ.

Рекомендуется предусмотреть меры, исключающие возможность несанкционированного изменения аппаратной части АРМ, например, опечатывание системного блока АРМ администратором. Также возможно в этих целях применение специальных средств защиты информации — аппаратных модулей доверенной загрузки.

Рекомендуется принять меры по исключению вхождения лиц, не ответственных за администрирование АРМ, в режим конфигурирования BIOS (например, с использованием парольной защиты).

Рекомендуется определить в BIOS установки, исключающие возможность загрузки операционной системы, отличной от установленной на жестком диске: отключается возможность загрузки с гибкого диска, привода CD-ROM, исключаются прочие нестандартные виды загрузки ОС, включая сетевую загрузку.

Средствами BIOS должна быть исключена возможность работы на ПЭВМ, если во время его начальной загрузки не проходят встроенные тесты.

5.3 Установка программного обеспечения на АРМ

На технических средствах АРМ с установленным СКЗИ необходимо использовать только лицензионное программное обеспечение фирм-изготовителей, полученное из доверенных источников.

На АРМ должна быть установлена только одна операционная система. При этом не допускается использовать нестандартные, измененные или отладочные версии операционной системы.

Не допускается установка на АРМ средств разработки и отладки программного обеспечения. Если средства отладки приложений необходимы для технологических потребностей пользователя, то их использование должно быть санкционировано администратором безопасности. В любом случае запрещается использовать эти средства для просмотра и редактирования кода и памяти приложений, использующих СКЗИ. Необходимо исключить попадание в систему средств, позволяющих осуществлять несанкционированный доступ к системным ресурсам, а также программ, позволяющих, пользуясь ошибками ОС, получать привилегии администратора.

Рекомендуется ограничить возможности пользователя запуском только тех приложений, которые разрешены администратором безопасности.

Рекомендуется установить и использовать на АРМ антивирусное программное обеспечение.

Необходимо регулярно отслеживать и устанавливать обновления безопасности для программного обеспечения АРМ (Service Packs, Hot fix и т п.), обновлять антивирусные базы.

5.4 Настройка операционной системы АРМ

Администратор безопасности должен сконфигурировать операционную систему, в среде которой планируется использовать СКЗИ, и осуществлять периодический контроль сделанных настроек в соответствии со следующими требованиями:

• Правом установки и настройки ОС и СКЗИ должен обладать только администратор безопасности.
• Всем пользователям и группам, зарегистрированным в ОС, необходимо назначить минимально возможные для нормальной работы права.
• У группы Everyone должны быть удалены все привилегии.
• Рекомендуется исключить использование режима автоматического входа пользователя в операционную систему при ее загрузке.
• Рекомендуется переименовать стандартную учетную запись Administrator.
• Должна быть отключена учетная запись для гостевого входа Guest.
• Исключить возможность удаленного управления, администрирования и модификации ОС и ее настроек, системного реестра, для всех, включая группу Administrators.
• Все неиспользуемые ресурсы системы необходимо отключить (протоколы, сервисы и т п.).
• Должно быть исключено или ограничено с учетом выбранной в организации политики безопасности использование пользователями сервиса Scheduler (планировщик задач). При использовании данного сервиса состав запускаемого программного обеспечения на АРМ согласовывается с администратором безопасности.
• Рекомендуется организовать затирание временных файлов и файлов подкачки, формируемых или модифицируемых в процессе работы СКЗИ. Если это невыполнимо, то ОС должна использоваться в однопользовательском режиме и на жесткий диск должны распространяться требования, предъявляемые к ключевым носителям.
• Должны быть установлены ограничения на доступ пользователей к системному реестру в соответствии с принятой в организации политикой безопасности, что реализуется при помощи ACL или установкой прав доступа при наличие NTFS.
• На все директории, содержащие системные файлы Windows и программы из комплекта СКЗИ, должны быть установлены права доступа, запрещающие запись всем пользователям, кроме Администратора (Administrator), Создателя/Владельца (Creator/Owner) и Системы (System).
• Должна быть исключена возможность создания аварийного дампа оперативной памяти, так как он может содержать криптографически опасную информацию.
• Рекомендуется обеспечить ведение журналов аудита в ОС, при этом она должна быть настроена на завершение работы при переполнении журналов.
• Рекомендуется произвести настройку параметров системного реестра в соответствии с эксплуатационной документацией на СКЗИ.

Рекомендуется разработать и применить политику назначения и смены паролей (для входа в ОС, BIOS, при шифровании на пароле и т д.), использовать фильтры паролей в соответствии со следующими правилами:

• длина пароля должна быть не менее 6 символов;
• в числе символов пароля обязательно должны присутствовать буквы в верхнем и нижнем регистрах, цифры и специальные символы (, #, $, &, *, % и т.п.);
• пароль не должен включать в себя легко вычисляемые сочетания символов (имена, фамилии и т д.), а также общепринятые сокращения (USER, ADMIN, ALEX и т д.);
• при смене пароля новое значение должно отличаться от предыдущего не менее чем в 4-x позициях;
• личный пароль пользователь не имеет права сообщать никому;
• не допускается хранить записанные пароли в легкодоступных местах;
• периодичность смены пароля определяется принятой политикой безопасности, но не должна превышать 6 месяцев;
• указанная политика обязательна для всех учетных записей, зарегистрированных в ОС.

5.5 Установка и настройка СКЗИ

Установка и настройка СКЗИ на АРМ должна выполняться в присутствии администратора, ответственного за работоспособность АРМ.

Установка СКЗИ на АРМ должна производиться только с дистрибутива, полученного по доверенному каналу.

Установка СКЗИ и первичная инициализация ключевой информации осуществляется в соответствии с эксплуатационной документацией на СКЗИ.

При установке ПО СКЗИ на АРМ должен быть обеспечен контроль целостности и достоверность дистрибутива СКЗИ.

Рекомендуется перед установкой произвести проверку ОС на отсутствие вредоносных программ с помощью антивирусных средств.

По завершении инициализации осуществляются настройка и контроль работоспособности ПО.

Запрещается вносить какие-либо изменения, не предусмотренные эксплуатационной документацией, в программное обеспечение СКЗИ.

5.6 Подключение АРМ к сетям общего пользования

При использовании СКЗИ на АРМ, подключенных к сетям общего пользования, должны быть предприняты дополнительные меры, исключающие возможность несанкционированного доступа к системным ресурсам используемых операционных систем, к программному обеспечению, в окружении которого функционируют СКЗИ, и к компонентам СКЗИ со стороны указанных сетей. В качестве такой меры рекомендуется установка и использование на АРМ средств межсетевого экранирования. Должен быть закрыт доступ ко всем неиспользуемым сетевым портам.

В случае подключения АРМ с установленным СКЗИ к общедоступным сетям передачи данных необходимо ограничить возможность открытия и исполнения файлов и скриптовых объектов (JavaScript, VBScript, ActiveX и т д.), полученных из сетей общего пользования, без проведения соответствующих проверок на предмет содержания в них программных закладок и вредоносных программ.

5.7 Обращение с ключевыми носителями

В организации должен быть определен и утвержден порядок учета, хранения и использования носителей ключевой информации с ключами ЭП и шифрования, который должен исключать возможность несанкционированного доступа к ним.

Для хранения ключевых носителей в помещениях должны устанавливаться надежные металлические хранилища (сейфы), оборудованные надежными запирающими устройствами.

• Снимать несанкционированные администратором безопасности копии с ключевых носителей.
• Знакомить с содержанием ключевых носителей или передавать ключевые носители лицам, к ним не допущенным, а также выводить ключевую информацию на дисплей (монитор) АРМ или принтер.
• Устанавливать ключевой носитель в считывающее устройство ПЭВМ АРМ в режимах, не предусмотренных функционированием системы, а также устанавливать носитель в другие ПЭВМ.
• Записывать на ключевой носитель постороннюю информацию.

5.8 Обращение с ключевой информацией

Владелец сертификата ключа проверки ЭП обязан:

• Хранить в тайне ключ ЭП (закрытый ключ).
• Не использовать для электронной подписи и шифрования ключи, если ему известно, что эти ключи используются или использовались ранее.
• Немедленно требовать приостановления действия сертификата ключа проверки ЭП при наличии оснований полагать, что тайна ключа ЭП (закрытого ключа) нарушена (произошла компрометация ключа).
• Обновлять сертификат ключа проверки ЭП в соответствии с установленным регламентом.

5.9 Учет и контроль

Действия, связанные с эксплуатацией СКЗИ, должны фиксироваться в «Журнале пользователя сети», который ведет лицо, ответственное за обеспечение информационной безопасности на АРМ. В журнал кроме этого записываются факты компрометации ключевых документов, нештатные ситуации, происходящие в системе и связанные с использованием СКЗИ, проведение регламентных работ, данные о полученных у администратора безопасности организации ключевых носителях, нештатных ситуациях, произошедших на АРМ, с установленным ПО СКЗИ.

В журнале может отражаться следующая информация:

• дата, время;
• запись о компрометации ключа;
• запись об изготовлении личного ключевого носителя пользователя, идентификатор носителя;
• запись об изготовлении копий личного ключевого носителя пользователя, идентификатор носителя;
• запись об изготовлении резервного ключевого носителя пользователя, идентификатор носителя;
• запись о получении сертификата ключа проверки ЭП, полный номер ключевого носителя, соответствующий сертификату;
• записи, отражающие выдачу на руки пользователям (ответственным исполнителям) и сдачу ими на хранение личных ключевых носителей, включая резервные ключевые носители;
• события, происходившие на АРМ пользователя с установленным ПО СКЗИ, с указанием причин и предпринятых действий.

Пользователь (либо администратор безопасности) должен периодически (не реже одного раза в два месяца) проводить контроль целостности и легальности установленных копий ПО на всех АРМ со встроенной СКЗИ с помощью программ контроля целостности, просматривать сообщения о событиях в журнале EventViewer операционной системы, а также проводить периодическое тестирование технических и программных средств защиты.

В случае обнаружения «посторонних» (не зарегистрированных) программ, нарушения целостности программного обеспечения либо выявления факта повреждения печатей на системных блоках работа на АРМ должна быть прекращена. По данному факту должно быть проведено служебное расследование комиссией, назначенной руководителем организации, где произошло нарушение, и организованы работы по анализу и ликвидации негативных последствий данного нарушения.

Рекомендуется организовать на АРМ систему аудита в соответствии с политикой безопасности, принятой в организации, с регулярным анализом результатов аудита.

6. Заключение

Настоящие правила составлены на основе:

• Федерального закона от 06.04.2011 № 63-ФЗ «Об электронной подписи»;
• Федерального закона от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации»;
• приказа ФАПСИ от 13.06.2001 № 152 «Об утверждении Инструкции об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну»;
• приказа ФСБ от 09.02.2005 № 66 «Об утверждении Положения о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)».
• эксплуатационной документации на СКЗИ, которое используется в Системе.

Правила безопасности ключей электронной подписи: защита от мошенничества

Процедура получения квалифицированного сертификата максимально ужесточена законодательством. Таким образом государство защищает пользователей от злоумышленников. Если владельцы сертификата ЭП не соблюдают правила цифровой безопасности, мошенники могут украсть ключи электронной подписи и использовать в своих целях.

В статье подробно расскажем о том, как обезопасить себя от мошенников при работе с ключами электронной подписи.

Из чего состоит электронная подпись

Чтобы знать, как мошенники могут использовать электронную подпись, важно понимать, из чего она состоит.

Электронная подпись – это уникальная последовательность символов, которая прикрепляется к электронному документу или сохраняется отдельно от него. Создается с помощью криптографических преобразований. Неразрывно связана с цифровым документом при подписании.

Электронная подпись позволяет определить подписанта электронного документа и неизменность документа после подписания.

Для создания и проверки квалифицированной электронной подписи используются открытый и закрытый ключ, а также сертификат ключа проверки ЭП. Эти файлы находятся в контейнере. Контейнер с ключами хранится на защищенном носителе – токене, сменном носителе, жестком диске компьютера или в реестре ОС.

В случае хранения контейнера ключей на токене для защиты используется пароль токена. В случае хранения ключей на иных носителях пин-код задаётся самому контейнеру ключей или вовсе может не задаваться.

Важно! Квалифицированная электронная подпись, выданная в ФНС, является неэкспортируемой и хранится только на токене.

Саму электронную подпись, то есть отметку на документе, украсть или подделать невозможно. Для мошеннических действий необходимо похитить ключи ЭП и пароль от контейнера или токена. Таким образом, злоумышленники смогут подписать любой электронный документ. Чтобы этого не произошло, необходимо обеспечивать безопасность ключей ЭП.

Кто должен обеспечивать безопасность ключей электронной подписи

Самая распространенная причина мошенничества с ЭП – это передача ключей третьим лицам. При этом ответственность за совершенные действия будет нести держатель подписи.

Именно владелец должен обеспечивать конфиденциальность личных ключей электронной подписи. Эта обязанность предусмотрена законом, а именно п. 1 ч. 1 ст. 10 63-ФЗ.

Важно отметить, что законодательством запрещено использование чужих ключей ЭП без согласия владельца. А в присутствии и под контролем владельца это сделать можно. Например, директор передает токен с ключами ЭП бухгалтеру, и она при нем подписывает налоговую отчетность.

Как мошенники могут украсть электронную подпись

Главную опасность представляет недостаточная осторожность владельцев сертификата ключа проверки электронной подписи.

Токен

Токен – это устройство в виде флешки или смарт-карты. Пользователь может потерять его из-за своей невнимательности. Также токен могут украсть намеренно. В итоге носитель попадет в руки посторонних и может быть использован в мошеннических схемах.

Каждый завод-изготовитель устанавливает одинаковые пароли на свои токены. Если такой пароль не поменять после покупки носителя и записи на него ключевой информации, недоброжелателям легко скопировать и использовать ключи ЭП.

Компьютер

Также контейнеры ключей электронной подписи копируются прямо с рабочего места пользователя, в случае их установки в ПК. Часто их сохраняют в реестре Windows или в папке жёсткого диска.

Незащищенные носители

Ключи ЭП, хранящиеся на незащищенных носителях, таких как флэш-диск, можно также скопировать. Мошеннику останется подобрать пароль от контейнера ключей электронной подписи, после чего он сможет заверять электронные документы без ведома владельца.

Популярные виды мошенничества с электронной подписью

Ниже рассмотрим, как еще злоумышленники получают ключи электронной подписи обманным путем и где могут их использовать.

Сфера трудовых отношений

Владельцам квалифицированной электронной подписи не следует передавать токен с ключами посторонним, а также партнерам, подчиненным, коллегам по работе и даже друзьям. Данное правило относится не только к руководителям, но и к сотрудникам. Подписать электронные документы можно любому человеку, достаточно знать пароль доступа от токена или контейнера ключей ЭП.

Так, бывший работник может стать злоумышленником, если, например, директор не отзовет вовремя машиночитаемую доверенность (МЧД).

МЧД – это документ, который дает сотруднику право подписывать документы от лица руководителя.

Тогда уполномоченный работник может перевести себе деньги, купить товар или сдать несуществующую отчетность от лица организации или ИП, а затем скрыться. В этом случае убытки будет покрывать руководитель юридического лица или индивидуальный предприниматель.

Подробнее ознакомиться с понятием МЧД рекомендуем в нашей статье.

Директор тоже может воспользоваться чужим ключом ЭП в преступных целях. Происходит это, если работник недостаточно разбирается в юридических тонкостях, касающихся электронной подписи.

На уполномоченного сотрудника оформляется сертификат ключа проверки электронной подписи физического лица. В нем содержится информация только о владельце подписи, без указания данных о работодателе. Когда сотрудник увольняется, директор может настаивать на том, чтобы носитель с ключами ЭП остался на рабочем месте. Он может аргументировать это тем, что сертификат оплатила компания или что он сделан конкретно для фирмы, и пользоваться вне работы ключами ЭП нельзя.

Важно запомнить, что это не так, работодатель обманывает своего бывшего подчиненного. Действия руководителя в этом случае незаконны, и владелец ЭП вправе обратиться в суд.

Пользоваться ключом электронной подписи от чужого имени запрещено. Использовать электронную подпись физического лица можно в личных целях и на другой работе до конца срока действия сертификата.

Также на работника оформляется электронная подпись юридического лица, где в сертификате ЭП он указан в качестве второго владельца. При увольнении сотрудника работодатель обязан аннулировать данный сертификат, чтобы электронной подписью нельзя было пользоваться в дальнейшем.

Важно! Электронные подписи работников юрлица запрещено использовать с 1 сентября 2023 года. После этой даты доверенным лицам понадобится машиночитаемая доверенность. Работать с ЭП по старой схеме разрешено до 31 августа 2023 года в рамках переходного периода.

Запомните, в трудовом договоре не может быть прописано условий, при которых ключ электронной подписи сотрудника остается у работодателя. Наличие таких правил является прямым нарушением законодательства.

Сфера недвижимости

Чтобы заключить договор о недвижимости, мошенникам нужно похитить ключи электронной подписи у владельца квартиры или получить новый сертификат ЭП. При этом сделка будет считаться законной, а гражданин не будет знать, что она оформлена на его имя.

Если с первым вариантом все достаточно просто: токен могут украсть на рабочем месте, если оставить его без присмотра, не извлечь из ПК и т. п. То со вторым все гораздо сложнее. Чтобы получить новую подпись в удостоверяющем центре, мошенник должен подделать документы и быть очень похожим на человека, на которого оформляется ЭП. Это очень рискованно и практически невозможно.

Но что делать, если у мошенников оказались ключи ЭП с сертификатом, оформленным на чужое имя, и с его помощью пытаются провернуть сделку с недвижимостью. Такие случаи предусмотрены законодательством.

2 августа 2019 года вступил в силу закон № 286-ФЗ. Его целью является уменьшение количества краж квартир с помощью незаконного применения электронных подписей. Согласно документу, владельцам недвижимости необходимо сначала дать разрешение на использование электронной подписи при сделке с недвижимостью. Уведомление требуется отправить в Росреестр.

Если гражданин этого не сделал, то даже имея действующий сертификат электронной подписи, никто договор подписать без его ведома не сможет.

Сфера государственной регистрации юридических лиц

Бизнес регистрируют дистанционно на сайте налоговой. Для этого используются сканы документов, подписанные квалифицированной электронной подписью. Этим тоже пользуются мошенники, оформляя ИП или юридическое лицо на любого гражданина, с использованием его ЭП. Как похищают ключи электронной подписи, мы описали выше: можно украсть носитель или перевыпустить сертификат ЭП в удостоверяющем центре.

Если владелец подписи узнал, что на его имя зарегистрировано юрлицо, нужно незамедлительно отправить возражение по форме № Р38001.

Также мошенники пользуются доверчивостью своих знакомых и близких. Они оформляют бизнес на гражданина, предлагая ему за это денежное вознаграждение. Например, о подобном случае стало известно недавно. Житель Воронежа был назначен директором двух фиктивных организаций в Липецке. Теперь в отношении него возбуждено уголовное дело, и он ожидает суда.

Несколько лет назад данный гражданин согласился за деньги зарегистрировать на свое имя фиктивные фирмы. Требовалось только подписать документы. На его имя была выпущена квалифицированная электронная подпись и открыто два юридических лица. К деятельности фирм мужчина никакого отношения не имел. За два ООО он получил 10 тыс. рублей – по 5 тыс. за каждое. Теперь ему грозит до пяти лет лишения свободы согласно ст. 173.1 УК.

Сфера кредитования

С помощью ключей электронной подписи злоумышленники могут брать микрозаймы на имя владельцев сертификата ЭП. Такие действия влекут за собой большие денежные потери и разбирательства для обманутого гражданина. У подобных займов установлен очень большой процент.

Сфера госзакупок

Мошенничество с ЭП в сфере закупок часто связано с конкурентной деятельностью. С помощью электронной подписи поставщики регистрируются на электронных площадках, подают заявки на участие, подписывают документацию и заключают договоры с заказчиками.

Ключи электронной подписи похищают для того, чтобы организация не могла участвовать в закупочных процедурах. Тем самым повышают свои шансы на победу и вредят конкурентам, лишая их дополнительного заработка. Заказчики тоже могут быть подвергнуты подобной опасности.

Как узнать, изготавливался ли на вас сертификат ключа проверки электронной подписи

Чтобы узнать, оформлен ли на вас сертификат ЭП, о котором вы не знаете, нужно зайти на «Госуслуги». Портал получает информацию о выданных сертификатах ключей проверки электронной подписи согласно ч. 5 ст. 18 № 63-ФЗ.

Для получения информации нужно:

• Нажать на ФИО аккаунта.

• Нажать «Профиль».

• Выбрать «Электронная подпись».

В разделе можно посмотреть всю необходимую информацию о зарегистрированных сертификатах ключей проверки электронной подписи. А именно, уникальный номер квалифицированного сертификата, дату начала и окончания его действия, наименование аккредитованного удостоверяющего центра, выдавшего сертификат ЭП.

Если раздел содержит сертификат, который вы не получали, то необходимо немедленно обратиться в УЦ с заявлением о прекращении действия сертификата ЭП.

Инструкция: что делать, если вашу электронную подпись украли

Если вы обнаружили, что ваши ключи электронной подписи украли, необходимо выполнить три шага:

1. Аннулировать сертификат в УЦ.
2. Написать заявление в налоговую службу.
3. Обратиться в полицию.

Аннулировать сертификат в УЦ

В удостоверяющем центре пишется заявление, где указывается причина обращения. Сделать это нужно незамедлительно. У гражданина есть шанс, что недоброжелатели не успеют совершить задуманное преступление.

Написать заявление в налоговую службу

В ФНС следует обратиться, если от имени владельца сертификата ЭП зарегистрировали фирму или отправили несуществующую отчетность. Посетить отделение налоговой службы лучше лично.

Обратиться в полицию

В полицию нужно предоставить копии документов, которые выдали в удостоверяющем центре. Сделки от имени владельца сертификата ЭП аннулируются в судебном порядке.

Как обеспечить безопасность ключей электронной подписи

Чтобы обезопасить себя от кражи ключей электронной подписи, необходимо придерживаться следующих правил:

1. Не оформлять сертификат ключа проверки ЭП на свое имя по просьбе третьих лиц, знакомых или родных. Если в последующем ключи этой подписи будут храниться не у владельца и использоваться третьими лицами, оформлять сертификат ЭП не нужно, какое бы денежное вознаграждение за это ни предлагали.
2. Не передавать ключи электронной подписи. Сотрудники не должны иметь доступ к закрытому ключу подписи, чтобы избежать их самостоятельных действий, которые могут привести к финансовым потерям компании.
3. Хранить ключи ЭП на защищенном носителе и соблюдать политику безопасности паролей. Сменить заводской пароль токена, запомнить новый или хранить его в надежном месте и никому не сообщать. Ограничить доступ третьих лиц к компьютеру и токену с ключами ЭП.
4. При увольнении сотрудника аннулировать сертификат ключа ЭП работника юрлица или отозвать МЧД, оформленную на его имя. В ином случае работник может украсть деньги организации или даже закрыть ее.
5. Не передавать сканы и реквизиты паспорта. Если эти данные попадут в руки злоумышленников, то они смогут оформить квалифицированный сертификат. Несмотря на то что вероятность оформления сертификата ЭП таким путём мала, не стоит недооценивать мошенников.
6. Защитить компьютер. Компьютер должен быть защищён паролем и антивирусом. Когда пользователь покидает рабочее место, компьютер нужно блокировать и не оставлять в нём токен или иной съёмный носитель ключей.
7. Проверять наличие выданных сертификатов ключей проверки ЭП на «Госуслугах». Там вы вовремя можете узнать, оформлена ли на вас новая электронная подпись. Также проверку можно осуществлять в личном кабинете налогоплательщика – nalog.ru. На сайте будет указана информация о продаже имущества или о поступлении отчётности, которую пользователь не отправлял. Также действия с ЭП видны во всех сервисах, где подпись применялась.

Хотите получить электронную подпись с МЧД в 1 клик?

Безопасная КЭП от надежного УЦ

Оставьте заявку

И мы свяжемся с вами

Можно ли подделать ключи электронной подписи

Копировать чужую электронную подпись противозаконно. Сегодня опасность представляет именно попадание уже существующего ключа электронной подписи не в те руки, поэтому мы советуем придерживаться правил безопасности, указанных в предыдущих разделах.

Создать фальшивый сертификат электронной подписи на чьё-либо имя с нуля нельзя. Однако, подпись легко копируется, если злоумышленник знает пароль от ключа ЭП.

Вывод: скопировать и использовать можно практически любую электронную подпись. Поэтому важно соблюдать основные правила информационной безопасности.

Реклама: ООО «АСТРАЛ-СОФТ», ИНН: 4027145240, erid: LjN8Jvc1h

• #электронная цифровая подпись
• #защита данных
• #Калуга Астрал
• #токен