АДМІНІСТРАЦІЯ ДЕРЖАВНОЇ СЛУЖБИ СПЕЦІАЛЬНОГО ЗВ'ЯЗКУ
ТА ЗАХИСТУ ІНФОРМАЦІЇ УКРАЇНИ
НАКАЗ
20.07.2007 N 141
Зареєстровано
в Міністерстві юстиції України
30 липня 2007 р. за N 862/14129
Про затвердження Положення про порядок розроблення,
виробництва та експлуатації засобів криптографічного
захисту інформації
(Із змінами, внесеними згідно з
Наказами Адміністрації
Державної служби спеціального
зв'язку та захисту інформації
N 254 від 04.12.2009
N 90 від 02.03.2012
N 767 від 14.12.2015)
На виконання Положення про порядок здійснення криптографічного захисту інформації в Україні, затвердженого Указом Президента України від 22 травня 1998 року N 505, відповідно до Законів України "Про Державну службу спеціального зв'язку та захисту інформації України", "Про інформацію", "Про електронний цифровий підпис", "Про стандарти, технічні регламенти та процедури оцінки відповідності", з метою встановлення порядку розроблення, виробництва та експлуатації засобів криптографічного захисту інформації та засобів електронного цифрового підпису НАКАЗУЮ:
(Преамбула із змінами, внесеними згідно з Наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації N 90 від 02.03.2012)
1. Затвердити Положення про порядок розроблення, виробництва та експлуатації засобів криптографічного захисту інформації (додається).
(Пункт 1 із змінами, внесеними згідно з Наказом Адміністрації Державної служби спеціального зв'язку та захисту інформації N 254 від 04.12.2009)
2. Визнати таким, що втратив чинність, наказ Департаменту спеціальних телекомунікаційних систем та захисту інформації Служби безпеки України від 30.11.99 N 53 "Про затвердження Положення про порядок розроблення, виготовлення та експлуатації засобів криптографічного захисту конфіденційної інформації", зареєстрований у Міністерстві юстиції України 15.12.99 за N 868/4161.
3. Начальнику Департаменту стратегії розвитку спеціальних інформаційно-телекомунікаційних систем Адміністрації Державної служби спеціального зв'язку та захисту інформації України забезпечити подання в установленому порядку наказу на державну реєстрацію до Міністерства юстиції України.
4. Контроль за виконанням наказу покласти на першого заступника Голови Державної служби спеціального зв'язку та захисту інформації України.
Т.в.о. Голови Служби О.І. Сиров
Затверджено
Наказ Адміністрації Державної служби спеціального
зв'язку та захисту інформації України
20.07.2007 N 141
(у редакції наказу Адміністрації Державної служби
спеціального зв’язку та захисту інформації України
14.12.2015 N 767)
Зареєстровано
в Міністерстві юстиції України
30 липня 2007 р. за N 862/14129
Положення
про порядок розроблення, виробництва та
експлуатації засобів криптографічного
захисту інформації
I. Загальні положення
1. Це Положення визначає вимоги до порядку розроблення, виробництва та експлуатації засобів криптографічного захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом.
Особливості розроблення, виготовлення, уведення в експлуатацію та експлуатації засобів криптографічного захисту інформації (далі - КЗІ), що становить державну таємницю, та службової інформації визначаються відповідно до чинного законодавства.
Розроблення засобів КЗІ, що фінансується за рахунок коштів Державного бюджету України, погоджується з Адміністрацією Державної служби спеціального зв’язку та захисту інформації України (далі - Адміністрація Держспецзв’язку).
Національний банк України може розробляти засоби КЗІ, призначені виключно для забезпечення власних потреб та потреб банківської системи України, без погодження з Адміністрацією Держспецзв’язку.
2. Вимоги цього Положення обов'язкові для виконання державними органами, підприємствами, установами і організаціями незалежно від форм власності (далі - організації), діяльність яких пов'язана з розробленням, виробництвом, сертифікаційними випробуваннями (експертними роботами) та експлуатацією засобів КЗІ, надійних засобів електронного цифрового підпису та засобів, спеціально призначених для розроблення, дослідження, виробництва та випробування засобів КЗІ.
3. Порядок розроблення, виробництва, випробувань та експлуатації засобів КЗІ, які розробляються та виробляються організаціями виключно для потреб Національного банку України та банківської системи України, а також особливості експлуатації таких засобів КЗІ небанківськими установами в інформаційних завданнях Національного банку України визначаються Національним банком України з урахуванням вимог цього Положення.
Порядок розроблення, виробництва, випробувань та експлуатації засобів КЗІ, які розробляються, виробляються, випробовуються безпосередньо Національним банком України, використовуються ним виключно для власних потреб і потреб банківської системи України та небанківськими установами в інформаційних завданнях Національного банку України, визначається Національним банком України.
4. У цьому Положенні використовуються такі терміни:
вимоги до засобів КЗІ - вимоги до принципів побудови засобів КЗІ та технічної реалізації криптографічних алгоритмів у засобах КЗІ, вимоги до криптографічних якостей, а також вимоги і норми щодо захисту засобів КЗІ від витоку інформативних сигналів каналами побічних електромагнітних випромінювань та наведень (далі - ПЕМВН);
засіб КЗІ - програмний, апаратно-програмний та апаратний засіб, призначений для криптографічного захисту інформації;
ключовий документ - матеріальний носій із зафіксованими відповідним чином ключовими даними;
ключові дані (ключ) - конкретний стан деяких параметрів криптографічного алгоритму, які забезпечують вибір одного криптографічного перетворення із сукупності усіх можливих для цього криптографічного алгоритму;
ключовий документ - матеріальний носій із зафіксованими відповідним чином ключовими даними;
компрометація - будь-який випадок (втрата, розголошення, крадіжка, несанкціоноване копіювання тощо) з ключовими документами (ключовими даними) та засобами КЗІ, який призвів (може призвести) до розголошення (витоку) інформації про них, а також інформації, яка обробляється та передається;
криптографічне перетворення інформації - перетворення інформації з використанням ключових даних з метою приховування (відновлення) змісту інформації, підтвердження її справжності, цілісності, авторства, дати створення тощо;
порушник - умовне позначення суб’єкта, який може навмисно чи ненавмисно здійснити несанкціоновані дії щодо інформації в системі;
постачальник ключових документів - організація або підрозділ, які визначаються Адміністрацією Держспецзв`язку для здійснення постачання ключових документів до засобів КЗІ;
режим безпеки - система норм, організаційних та організаційно-технічних заходів, яка створена в державних органах, в організаціях під час розроблення, дослідження, виробництва та експлуатації засобів КЗІ з метою обмеження доступу до інформації;
сертифікаційні випробування - випробування засобів КЗІ, що проводяться з метою встановлення відповідності їх характеристик та властивостей вимогам нормативних документів у сфері КЗІ;
технічний засіб оброблення інформації - технічний засіб, призначений для приймання, накопичення, зберігання, перетворення, відображення та передавання інформації;
управління ключовими даними - дії, пов'язані з генерацією, розподіленням, доставлянням, уведенням у дію, зміненням, зберіганням, обліком та знищенням ключових даних, а також носіїв ключових даних;
шифрування - перетворення відкритого тексту в шифротекст (зашифрування) та відновлення відкритого тексту із шифротексту (розшифрування) при відомих ключових даних.
Інші терміни, використані в цьому Положенні, відповідають термінам, визначеним у нормативно-правових актах у сфері криптографічного захисту інформації та у сфері електронного цифрового підпису.
5. Залежно від способу реалізації розрізняють такі типи засобів КЗІ:
апаратні засоби, алгоритм функціонування (у тому числі криптографічні функції) яких реалізовано в оптичних, механічних, електронних або інших спеціалізованих пристроях та не може бути змінено без зміни цих пристроїв;
апаратно-програмні засоби, алгоритм функціонування (або окремі функції, у тому числі криптографічні) яких реалізовано у їх спеціально для цього використаних апаратних компонентах (програмованих логічних інтегральних схемах, контролерах) і заміна алгоритму функціонування (або окремих функцій, у тому числі криптографічних) яких можлива виробником цих засобів без зміни апаратних компонентів;
програмні засоби, алгоритм функціонування (у тому числі криптографічні функції) яких реалізовано програмним забезпеченням, що працює під управлінням операційної системи обчислювальних або комунікаційних пристроїв загального призначення і може бути змінено розробником цього програмного забезпечення, при цьому для роботи засобу непотрібні додаткові спеціально застосовані апаратні компоненти.
Зміна алгоритму функціонування (у тому числі криптографічних перетворень) є розробкою нового засобу КЗІ або модернізацією існуючого та повинна здійснюватися відповідно до порядку розробки засобів КЗІ, визначеного розділом II цього Положення. Користувач засобів КЗІ не повинен мати можливості зміни алгоритму функціонування (у тому числі криптографічних функцій) засобу КЗІ.
Залежно від виконання встановлюються такі види засобів КЗІ:
вид А - засоби, які на конструктивному, алгоритмічному та програмному рівнях є єдиними виробами, що функціонують (експлуатуються) відокремлено від будь-яких інших технічних засобів;
вид Б - засоби, які на конструктивному, алгоритмічному та програмному рівнях є єдиними виробами та призначені для використання у складі комплексів оброблення та передавання інформації.
Засоби виду Б поділяються на:
підвид Б1 - вироби, які встановлюються в розрив телекомунікаційного каналу та/або розділяють потоки захищеної інформації та інформації, що підлягає захисту, а також вироби, що забезпечують відокремлення оброблення захищеної інформації та інформації, що підлягає захисту, в обчислювальній системі;
підвид Б2 - апаратні, апаратно-програмні або програмні вироби, які підключаються до інших засобів та виконують функції криптографічних перетворень у взаємодії з ними або під їх управлінням;
вид В - криптографічні модулі, які не використовуються (не експлуатуються) окремо, а застосовуються як складові частини при побудові засобів КЗІ видів А та Б.
Залежно від призначення встановлюються такі категорії засобів КЗІ:
засоби шифрування інформації (далі - засоби категорії "Ш");
засоби, призначені для виготовлення ключових даних або ключових документів (незалежно від виду носія ключової інформації) та управління ключовими даними, що використовуються в засобах КЗІ (далі - засоби категорії "К");
засоби захисту від нав'язування неправдивої інформації або захисту від несанкціонованої модифікації, що реалізовують алгоритми криптографічного перетворення інформації (далі - криптоалгоритми), у тому числі засоби імітозахисту та електронного цифрового підпису (далі - засоби категорії "П");
засоби захисту інформації від несанкціонованого доступу (у тому числі засоби розмежування доступу до ресурсів електронно-обчислювальної техніки), у яких реалізовані криптоалгоритми (далі - засоби категорії "Р");
засоби (засоби, об’єднані в комплекси), спеціально призначені для розроблення, дослідження, виробництва та випробувань засобів КЗІ, у тому числі програмування та/або запису в їх апаратні компоненти (програмовані логічні інтегральні схеми, контролери), перевірки та контролю правильності реалізації в засобах КЗІ криптографічних функцій (далі - засоби категорії "З").
6. У процесі розроблення, виробництва та експлуатації засобів КЗІ беруть участь і взаємодіють між собою:
замовники;
розробники;
виробники;
організації, що експлуатують засоби КЗІ;
організації, що проводять сертифікаційні випробування (експертні роботи);
постачальники ключових документів;
Адміністрація Держспецзв'язку.
7. Замовниками виступають органи державної влади та місцевого самоврядування, а також суб'єкти господарювання, які здійснюють фінансування робіт з розроблення засобів КЗІ, або ті, що уклали з виробниками договір про виготовлення та/або постачання, а також виконання інших робіт щодо цих засобів.
8. Роботи щодо засобів КЗІ виконують організації, які мають ліцензію на право провадження господарської діяльності з надання послуг у галузі криптографічного захисту інформації (крім послуг електронного цифрового підпису) та технічного захисту інформації, за переліком, що визначається Кабінетом Міністрів України.
9. Суб'єкти, які здійснюють розроблення, виробництво та експлуатацію засобів КЗІ, визначають режим доступу до інформації про ці засоби, установлюють і підтримують відповідний режим безпеки з урахуванням вимог замовника та відповідно до нормативно-правових актів у сфері КЗІ.
10. Розробники та виробники реалізовують вимоги до засобів КЗІ шляхом вибору і розробки необхідних алгоритмічних, програмних, схемно-технічних, конструкторських та технологічних рішень, які забезпечують виконання встановлених вимог.
11. Поширення інформації з питань КЗІ, яка надається Адміністрацією Держспецзв'язку суб'єктам господарювання, здійснюється за погодженням з Адміністрацією Держспецзв'язку.
Адміністрація Держспецзв'язку забезпечує конфіденційність інформації та дотримання авторських прав щодо наданих їй матеріалів.
II. Розроблення засобів КЗІ
1. Розроблення засобів КЗІ здійснюється відповідно до вимог нормативно-правових актів і національних стандартів у сфері КЗІ, а також нормативних документів з питань розроблення та поставлення продукції на виробництво.
2. Розроблення засобів КЗІ здійснюється шляхом виконання відповідних науково-дослідних робіт (далі - НДР) з розроблення нових принципів побудови і функціонування засобів КЗІ та дослідно-конструкторських робіт (далі - ДКР) зі створення нових або модернізації існуючих зразків засобів КЗІ.
Залежно від організаційної форми робіт з розроблення засобів КЗІ розробники засобів КЗІ в цьому Положенні йменуються як виконавці НДР (ДКР).
3. НДР з розроблення нових принципів побудови і функціонування засобів КЗІ та ДКР з розроблення або модернізації існуючого зразка засобу КЗІ виконуються згідно з технічними завданнями (далі - ТЗ), які погоджуються виконавцем НДР (ДКР).
4. Погоджене виконавцем ТЗ на НДР та ДКР надсилається до Адміністрації Держспецзв'язку, яка протягом одного місяця його погоджує або надає умотивовану відмову. Після затвердження ТЗ замовником один його примірник надсилається до Адміністрації Держспецзв'язку.
5. За результатами НДР готується ТЗ на ДКР з розроблення нового або модернізації існуючого зразка засобу КЗІ з підготовкою (за необхідності) техніко-економічного обґрунтування ДКР.
6. За наявності необхідного досвіду з проведення відповідних робіт допускається розроблення ТЗ на ДКР без попереднього виконання НДР.
7. ТЗ на ДКР розробляється спільно замовником і виконавцем або виконавцем на підставі вихідних даних замовника, у яких указуються перелік можливих загроз криптографічній системі (перехоплення повідомлень, крадіжка ключових документів та іншої критичної інформації тощо), прогнозовані характеристики технічних можливостей потенційного порушника та можливі заходи протидії (фізико-хімічні методи знищення критичної інформації тощо). Особлива увага при цьому приділяється забезпеченню безпеки системи управління ключовими даними (ключами).
До виконання сертифікаційних випробувань (експертних робіт) щодо конкретного засобу КЗІ не залучаються організації, які розробляли (брали участь у розробленні) ТЗ на його розроблення.
8. Залежно від вірогідних умов експлуатації засобів КЗІ та відповідно до цінності інформації, що захищається, визначаються чотири рівні можливостей порушника:
нульовий рівень - ненавмисне порушення конфіденційності, цілісності та підтвердження авторства інформації;
перший рівень - порушник має обмежені кошти та самостійно створює засоби, розробляє методи атак на засоби КЗІ, а також інформаційно-телекомунікаційні системи із застосуванням поширених програмних засобів та електронно-обчислювальної техніки;
другий рівень - порушник корпоративного типу має змогу створення спеціальних технічних засобів, вартість яких співвідноситься з можливими фінансовими збитками, що виникатимуть від порушення конфіденційності, цілісності та підтвердження авторства інформації, зокрема при втраті, спотворенні та знищенні інформації, що захищається. У цьому разі для розподілу обчислень при проведенні атак можуть застосовуватися локальні обчислювальні мережі;
третій рівень - порушник має науково-технічний ресурс, який прирівнюється до науково-технічного ресурсу спеціальної служби економічно розвинутої держави.
9. З урахуванням установленого рівня можливостей порушника обирається необхідний клас засобів КЗІ:
клас А1 - відповідає вимогам забезпечення стійкості криптоперетворення в умовах, коли можливості порушника обмежені лише сучасним станом науки і техніки (захист від порушника третього рівня);
клас Б1 - відповідає вимогам забезпечення стійкості криптоперетворення в умовах недокументованих можливостей у прикладному програмному забезпеченні (захист від порушника другого рівня);
клас Б2 - відповідає вимогам забезпечення стійкості криптоперетворення в умовах здійснення порушником навмисного зовнішнього впливу (захист від порушника другого рівня);
клас В1 - відповідає вимогам забезпечення стійкості криптоперетворення в умовах несанкціонованих дій з боку легального користувача системи (захист від порушника першого рівня);
клас В2 - відповідає вимогам забезпечення стійкості криптоперетворення в умовах помилкових дій обслуговувального персоналу та відмов технічних засобів (захист від порушника першого та нульового рівнів);
клас В3 - відповідає вимогам забезпечення стійкості криптоперетворення за рахунок стійкості криптоалгоритму та правильної його реалізації в засобі КЗІ (захист від порушника нульового рівня).
Класи засобів КЗІ наведено в порядку зменшення вимог таким чином, що рівень, наведений вище, передбачає виконання вимог усіх наведених нижче класів.
10. До ТЗ на ДКР з розроблення нового типу або модернізації існуючого зразка засобу КЗІ вносяться:
відомості про замовника та виконавця ДКР;
відомості про категорію, тип, вид і клас засобу та відомості про його застосування (у тому числі типова схема організації зв'язку із зазначенням способу застосування засобу КЗІ, максимальна кількість абонентів у мережі, вид інформації, що підлягає обробці, швидкість обробки, необхідний рівень захисту інформації, тип виконання і конструктивні особливості реалізації виробу);
вимоги до криптоалгоритму та його реалізації (у тому числі вимоги щодо завадостійкості і криптостійкості алгоритму, вимоги до імітозахисту повідомлень, порядок моделювання і верифікації моделей, порядок реалізації і тестування програмного забезпечення засобу);
вимоги до ключової системи та її організації;
вимоги до носіїв ключової інформації;
вимоги до управління ключовими даними (у тому числі їх генерації);
вимоги до показників надійності засобів КЗІ (обов'язково для засобів категорій "Ш" і "К");
вимоги до електромагнітної сумісності та завадозахищеності (обов'язково для засобів категорії "К");
відомості про типи технічних засобів оброблення інформації, які передбачаються для спільної роботи із засобами КЗІ, у тому числі вимоги до інтерфейсів;
вимоги до каналів зв'язку із зазначенням допустимих відхилень параметрів каналу, за яких повинно забезпечуватися стійке функціонування засобу;
вимоги до протоколу входження у зв'язок;
перелік нормативно-правових актів, нормативних та інших документів, які містять вимоги та положення щодо розроблення або модернізації існуючого зразка засобу КЗІ;
вимоги до дослідної ділянки для випробувань засобів КЗІ;
вимоги щодо сертифікаційних випробувань (експертних робіт);
відомості про розроблення нових або застосування існуючих засобів (комплексів), призначених для розроблення, дослідження, виробництва та випробувань засобів КЗІ;
відомості та вимоги щодо захисту засобів КЗІ від витоку інформації каналами ПЕМВН;
інші відомості з урахуванням типу, виду, класу, категорії та способу застосування засобу КЗІ.
У ТЗ на розроблення засобів КЗІ видів А та Б може (за необхідності) зазначатися порядок застосування криптографічних модулів та/або криптографічних функцій, що виконуються такими модулями.
Вимоги безпеки для криптографічних модулів, а також щодо перевіряння криптографічних модулів визначаються національними стандартами.
Вимоги цього пункту щодо змісту ТЗ на засоби КЗІ, які передбачаються для використання в банківській системі України, уточнюються Національним банком України.
ТЗ на НДР та ДКР з розроблення засобів КЗІ, призначених для захисту інформації, що циркулює виключно в банківській системі України, перед поданням на погодження до Адміністрації Держспецзв'язку погоджується з Національним банком України.
Вимоги до форматів даних та протоколів засобів КЗІ, призначених для застосування в системах електронного документообігу з використанням посилених сертифікатів відкритих ключів електронного цифрового підпису, визначаються Міністерством юстиції України та Адміністрацією Держспецзв’язку.
11. Вимоги до засобів КЗІ та вимоги до ключових даних (документів) можуть бути викладені в частковому (спеціальному) ТЗ, порядок оформлення, погодження та затвердження якого відповідає порядку, установленому для основного ТЗ, та виконуються одночасно з оформленням, погодженням та затвердженням основного ТЗ.
12. У засобах КЗІ використовуються криптоалгоритми та криптопротоколи, які є національними стандартами, або ті, на які за результатами експертних досліджень Адміністрацією Держспецзв’язку видано позитивний експертний висновок. Інші криптоалгоритми та криптопротоколи для використання виключно в банківській системі України погоджуються Адміністрацією Держспецзв’язку за відповідним зверненням та обґрунтуванням Національного банку України.
Методики генерації ключових даних та управління ключами погоджуються з Адміністрацією Держспецзв'язку.
У цих методиках повинні наводитися методи та способи управління ключовими даними і порядок їх використання відповідно до обраного криптографічного алгоритму, види та кількість ключів, періодичність їх зміни, протоколи розподілу ключів, а також повний опис криптографічних функцій, що застосовані для генерації ключових даних та управління ключами, якщо вони відрізняються від тих криптоалгоритмів та криптопротоколів, що зазначені в абзаці першому цього пункту. Можливість погодження цих методик визначається за результатами державної експертизи у сфері КЗІ.
13. Засоби КЗІ розробляються з урахуванням можливих загроз у вірогідних умовах їх експлуатації.
14. У засобах КЗІ повинні бути реалізовані методи захисту, що відповідають установленим вимогам, залежно від виду, типу, категорії, класу засобу КЗІ.
Зокрема, в засобах КЗІ видів А та Б категорій "Ш" та "П" повинні бути реалізовані:
для класу В3 - механізми контролю цілісності криптографічних перетворень та захисту ключових даних (для програмних засобів КЗІ - контролю цілісності програмного забезпечення), надійного тестування засобу на правильність функціонування та блокування його роботи в разі виявлення порушень;
для класу В2 - механізми захисту від порушення конфіденційності інформації внаслідок помилкових дій оператора або в разі відхилень у роботі складових елементів засобу КЗІ;
для класу В1 - механізми розмежування доступу до функцій засобу КЗІ, криптографічної схеми та ключових даних; довірений канал для отримання інформації, що підлягає захисту; механізми знищення ключових даних після закінчення строку їх дії; механізми захисту ключових даних на їх носіях від несанкціонованого зчитування;
для класу Б2 - механізми захисту засобу КЗІ від здійснення порушником навмисного зовнішнього впливу; механізми захисту від порушення конфіденційності та цілісності ключових даних на ключових документах;
для класу Б1 - механізми захисту критичної інформації (ключових даних, відкритої інформації) від недокументованих можливостей прикладного програмного забезпечення;
для класу А1 - механізми гарантованого знищення ключових даних після закінчення терміну їх дії в разі несанкціонованого доступу до криптографічної схеми (або за командою оператора); механізми захисту ключових даних на їх носіях від несанкціонованого зчитування.
Вимоги до засобів КЗІ наведено в порядку збільшення вимог таким чином, що клас, наведений нижче, передбачає виконання вимог усіх наведених вище класів засобів КЗІ.
Вимоги для засобів КЗІ категорії "К" визначаються з урахуванням їх призначення, умов розташування та експлуатації.
Вимоги для засобів КЗІ категорії "Р" визначаються з урахуванням вимог нормативних документів системи технічного захисту інформації.
За потреби можуть визначатися спеціальні вимоги щодо захисту засобів КЗІ будь-якого класу від витоку інформації каналами ПЕМВН.
Для криптографічного захисту інформації засоби КЗІ підвиду Б2 класів А1, Б1, Б2, В1 застосовуються як складова частина комплексу засобів захисту. Програмне забезпечення, під управлінням якого засоби КЗІ підвиду Б2 виконують свої функції, є невід'ємною частиною цих засобів.
Якщо для забезпечення контролю справжності, цілісності, авторства інформації використовуються криптографічні перетворення, що здійснюються апаратними або апаратно-програмними засобами підвиду Б2 та/або виду В категорій "П" та "Р", обов'язковим є забезпечення автентифікації цих засобів.
У разі використання при побудові засобів КЗІ видів А і Б, підвидів Б1 та Б2 засобів КЗІ виду В правильність використання криптографічних функцій засобів КЗІ виду В повинна підтверджуватись експертним висновком за результатами державної експертизи у сфері КЗІ.
15. На етапі ескізно-технічного проектування здійснюються опрацювання та практична реалізація функцій захисту згідно з вимогами до засобів КЗІ. При цьому основна увага при проектуванні засобу КЗІ приділяється вузлам оброблення критичної інформації, у тому числі:
уведення та оброблення ключових даних;
оброблення вхідної та вихідної інформації;
шифрування інформації;
формування/перевіряння електронного цифрового підпису;
генераторів випадкових (псевдовипадкових) послідовностей, які використовуються для формування ключів, векторів ініціалізації тощо;
самотестування;
системи сигналізації при несанкціонованому доступі до засобу КЗІ, зміні параметрів навколишнього середовища, електроживлення тощо.
16. Розроблення засобів КЗІ здійснюється з використанням тільки ліцензійного програмного забезпечення або за погодженням із замовником комп'ютерних програм вільного використання, які повинні бути забезпечені документацією, що підтверджує правомірність їх використання згідно з ліцензією або належність до комп'ютерних програм вільного використання.
17. Розробник розробляє робочу конструкторську документацію на засіб КЗІ, до складу якої обов'язково входять проект технічних умов (для апаратних та апаратно-програмних засобів КЗІ, що виготовляються серійно), експлуатаційні документи, інструкція із забезпечення безпеки експлуатації засобу КЗІ та інструкція щодо порядку генерації ключових даних і поводження (облік, зберігання, знищення) з ключовими документами (обов’язково для засобів КЗІ видів А та Б, підвидів Б1 та Б2), а також інструкцію про порядок застосування виробу в складі засобу КЗІ виду А або Б, підвидів Б1 та Б2 (для засобів КЗІ виду В).
Технічні умови на програмні засоби КЗІ можуть не розроблятися.
18. Проект технічних умов (далі - ТУ) погоджується з Адміністрацією Держспецзв'язку.
За потреби розробником до ТУ вноситься перелік допустимих змін, які без погодження з Адміністрацією Держспецзв'язку можуть уноситися під час виробництва засобу КЗІ до його конструкції, схемотехнічних рішень, програмного забезпечення та переліку комплектувальних виробів тощо. У цьому разі до проекту ТУ, що подається на погодження, додається пояснювальна записка з обґрунтуванням можливості внесення відповідних змін без впливу на криптографічні та спеціальні якості засобів КЗІ.
У разі визначення в технічному завданні вимог щодо захисту засобу КЗІ від витоку інформації каналами ПЕМВН у ТУ наводяться посилання на методику контролю спеціальних показників в умовах серійного виробництва засобів КЗІ, яка має бути узгоджена з організацією, що здійснює сертифікаційні випробування (експертні роботи), та Адміністрацією Держспецзв'язку.
19. У конструкторській документації на засіб КЗІ обов'язково наводяться:
склад апаратних і програмних (мікропрограмних) компонентів засобу КЗІ та технічних засобів, які передбачаються до спільної роботи із засобами КЗІ, а також вимоги до інтерфейсів;
специфікація розроблення апаратного та загального програмного забезпечення, вузлів засобів КЗІ (документування розроблення рекомендується здійснювати з використанням мов програмування високого рівня для загального програмного забезпечення та вузлів, що програмуються, а також функціональних і принципових електричних схем для апаратної частини);
схеми апаратної та програмної компоненти засобу КЗІ, їх взаємозв'язок, у тому числі всі мікроконтролери, логічні інтегральні мікросхеми, буферні регістри введення/виведення даних тощо;
технічні характеристики (за необхідності - спеціальні характеристики) інтерфейсів сполучення засобів КЗІ, у тому числі фізичні та логічні порти, зовнішні пристрої введення/виведення інформації, засобів дистанційного керування, зовнішніх засобів механічного захисту (кришки, замки тощо);
криптографічні алгоритми, які реалізовано в засобі КЗІ;
алгоритми тестування та методи ручної перевірки засобу КЗІ, у тому числі індикація (відображення) припустимих і неприпустимих його станів.
20. В інструкції із забезпечення безпеки експлуатації засобів КЗІ вказуються:
права та обов'язки осіб, відповідальних за забезпечення безпеки експлуатації засобу КЗІ;
права та обов'язки користувачів засобів КЗІ;
порядок забезпечення безпеки засобу КЗІ під час його встановлення, експлуатації, виведення з експлуатації, ремонту, знищення, а також у разі порушення функціонування інформаційно-телекомунікаційної системи;
порядок обліку засобів КЗІ;
питання проведення тестування засобів КЗІ та їх резервування в системі;
дії персоналу в умовах надзвичайних ситуацій, стихійного лиха та підозри компрометації ключів;
порядок проведення контролю за станом забезпечення безпеки засобів КЗІ;
порядок допуску в приміщення, у яких установлені засоби КЗІ;
порядок знищення засобів КЗІ.
В інструкції щодо порядку генерації ключових даних і поводження (облік, зберігання, знищення) з ключовими документами вказуються:
опис ключової системи та ключових документів;
термін дії ключових даних, ключових документів;
порядок генерації ключових даних, їх запису на носії ключової інформації;
порядок обліку, зберігання носіїв ключової інформації та їх знищення;
особливості повторного використання носіїв ключової інформації;
особливості використання ключових даних за призначенням та їх знищення.
Необхідність розроблення, склад та зміст методик, зазначених у пункті 12 цього розділу, та інструкцій, зазначених у цьому пункті, для засобів КЗІ категорії "З" визначаються з урахуванням цілей та способу їх застосування і погоджуються з Адміністрацією Держспецзв’язку.
21. У ході виконання ДКР розробником передбачається створення устаткування (допоміжного обладнання) для проведення сертифікаційних випробувань (експертних робіт) засобу КЗІ. Перелік допоміжного обладнання, засобів вимірювальної техніки та кількість дослідних зразків засобу КЗІ, необхідних для проведення таких робіт, визначаються розробником і погоджуються із замовником та випробувальною лабораторією (експертним закладом).
22. Технічні та експлуатаційні характеристики дослідних зразків засобу КЗІ, який розробляється, ефективність та достатність організаційно-технічних заходів щодо забезпечення безпеки інформації перевіряються під час випробувань засобів КЗІ на дослідній ділянці розробника.
За погодженням із замовником випробування дослідних зразків засобу КЗІ можуть здійснюватися у складі інформаційно-телекомунікаційної системи, експлуатацію якої здійснює замовник або послугами якої він користується.
У ході випробувань обробка та передавання інформації, зазначеної в пункті 2 розділу I цього Положення, забороняються.
23. Висновки із затвердженого замовником звіту за результатами випробувань дослідних зразків засобу КЗІ надсилаються до Адміністрації Держспецзв'язку.
24. За результатами випробувань дослідних зразків засобу КЗІ інструкція із забезпечення безпеки експлуатації засобу КЗІ та інструкція щодо порядку поводження з ключовими документами (за необхідності) доопрацьовуються розробником та після погодження замовником надсилаються до Адміністрації Держспецзв'язку під час проведення державної експертизи у сфері КЗІ.
Позитивний експертний висновок за результатами державної експертизи у сфері КЗІ щодо засобу КЗІ є погодженням Адміністрації Держспецзв'язку інструкції із забезпечення безпеки експлуатації засобу КЗІ та інструкції щодо порядку поводження з ключовими документами.
25. Якщо ключові документи до засобів КЗІ надаються постачальником ключових документів, то інструкція щодо порядку генерації ключових даних та поводження з ключовими документами надається разом з інструкцією із забезпечення безпеки експлуатації засобу КЗІ.
26. Інструкції із забезпечення безпеки експлуатації та щодо порядку генерації ключових даних та поводження з ключовими документами для засобів КЗІ виду В можуть не розроблятися.
Порядок роботи із засобами цього виду та вимоги щодо забезпечення безпеки інформації під час їх використання вказуються відповідно в окремих розділах зазначених інструкцій для засобів КЗІ видів А та Б.
27. Порядок забезпечення режиму безпеки під час розроблення засобів КЗІ визначається розробником в окремій інструкції, в якій наводяться вимоги щодо поводження із засобами КЗІ, обладнання приміщень, заходи із запобігання компрометації засобів КЗІ тощо.
III. Виробництво засобів КЗІ
1. Виробництво засобів КЗІ здійснюється тільки за наявності чинного сертифіката відповідності (позитивного експертного висновку) на засіб КЗІ та на засоби (комплекси), призначені для розроблення, дослідження, виробництва та випробувань засобів КЗІ (у разі його використання), ТУ та інструкції із забезпечення безпеки експлуатації засобів КЗІ.
2. Виробники засобів КЗІ повинні:
ужити заходів щодо своєчасної сертифікації або експертизи засобів КЗІ (у тому числі повторної - після закінчення строку дії раніше отриманого сертифіката відповідності або експертного висновку);
погодити зміни, які вносяться у вироби та документацію на них, із замовником та Адміністрацією Держспецзв'язку;
забезпечити виконання усіх вимог ТУ;
з усієї партії виробів, що виготовляється, вибрати контрольний еталонний зразок та зберігати його відповідно до встановлених вимог (за наявності таких вимог у ТУ);
забезпечити технічне обслуговування та гарантійний ремонт засобів КЗІ, а також випуск і постачання запасних частин для цих засобів відповідно до Закону України "Про захист прав споживачів".
3. Виробництво засобів КЗІ здійснюється з використанням програмного забезпечення, що відповідає вимогам пункту 16 розділу II цього Положення.
IV. Експлуатація засобів КЗІ
1. Для криптографічного захисту державних інформаційних ресурсів або інформації, вимога щодо захисту якої встановлена законом, використовуються засоби КЗІ, які мають сертифікат відповідності або позитивний експертний висновок за результатами державної експертизи у сфері КЗІ, а суб’єкти, що їх використовують, мають на це права.
Сертифікація засобів КЗІ та державна експертиза у сфері криптографічного захисту інформації проводяться в порядку, визначеному віповідними нормативно-правовими актами.
2. Підставою для початку експлуатації таких засобів КЗІ в організації (у тому числі її філіях або регіональних представництвах), яка здійснює експлуатацію засобів КЗІ, є відповідний акт організаційно-розпорядчого характеру цієї організації.
3. Кожний екземпляр засобів КЗІ береться на облік в організації з дати їх отримання.
Облік здійснюється у відповідному журналі обліку засобів КЗІ та носіїв ключової інформації до них. Облік програмних засобів КЗІ здійснюється за формулярами на кожну ПЕОМ, на якій встановлено (проінстальовано) такий засіб. Журнал обліку повинен містити такі відомості:
назва засобу КЗІ та його заводський номер;
тип носія ключової інформації та його обліковий номер;
акт організаційно-розпорядчого характеру щодо введення в експлуатацію засобів КЗІ;
дата взяття на облік засобів КЗІ та носіїв ключової інформації;
для програмних засобів КЗІ - інвентарні номери ПЕОМ, на яких встановлено (проінстальовано) програмні засоби КЗІ;
прізвище, ім’я та по батькові особи, відповідальної за облік засобів КЗІ та носіїв ключової інформації, підпис;
прізвище, ім’я та по батькові особи, що отримала засіб КЗІ та носії ключової інформації (дата, підпис);
відмітка про повернення засобу КЗІ та носіїв ключової інформації (дата, підпис відповідальної особи);
відмітка про знищення засобів КЗІ та носіїв ключової інформації (номер акта, дата, підпис відповідальної особи).
Одиницею обліку кожного екземпляра засобу КЗІ є:
для апаратних та апаратно-програмних засобів - конструктивно закінчений технічний засіб;
для програмних засобів - інсталяційна дискета, компакт-диск (CD, DVD) тощо;
ПЕОМ користувачів, на яких встановлено (проінстальовано) програмні засоби КЗІ.
Облік засобів КЗІ та носіїв ключової інформації до них в організації забезпечується відповідальними особами, визначеними відповідними актами організаційно-розпорядчого характеру цієї організації.
Збереження засобів КЗІ, носіїв ключової інформації забезпечується відповідальною особою, функціональними обов’язками якої це визначено.
Особливості обліку засобів КЗІ, зазначених в пункті 3 розділу I цього Положення, визначаються Національним банком України.
4. Передача засобів КЗІ здійснюється на підставі відповідних договорів, у яких вказується порядок встановлення засобів КЗІ у користувачів та обслуговування цих засобів, забезпечення ключовими документами (ключовими даними), а також ужиття заходів щодо забезпечення режиму безпеки тощо.
Порядок передачі засобів КЗІ, зазначених в пункті 3 розділу І цього Положення, та вимоги до відповідних договорів визначаються Національним банком України.
5. Експлуатація засобів КЗІ, облікованих відповідно до пункту 3 цього розділу, здійснюється відповідно до вимог експлуатаційної документації, інструкції із забезпечення безпеки експлуатації засобів КЗІ, а також інструкції щодо порядку генерації ключових даних та поводження з ключовими документами.
6. Унесення змін до інструкції щодо порядку генерації ключових даних та поводження з ключовими документами, які отримані від постачальника ключових документів, здійснюється за погодженням з Адміністрацією Держспецзв'язку.
7. Постачання ключових документів (ключових даних) до засобів КЗІ постачальником ключових документів організаціям, які експлуатують засоби КЗІ, здійснюється у порядку, встановленому Адміністрацією Держспецзв'язку.
8. Ключові документи, отримані від постачальника ключових документів, не можуть тиражуватися або використовуватися для інших засобів КЗІ, якщо це не передбачено договором про постачання ключових документів.
9. Користувачі засобів КЗІ повинні бути ознайомлені з інструкцією щодо порядку генерації ключових даних та поводження з ключовими документами в частині, що їх стосується, та дотримуватися вимог цієї інструкції.
У повному обсязі з інструкцією щодо порядку генерації ключових даних та поводження з ключовими документами повинно бути ознайомлено обмежене коло осіб, які мають безпосереднє відношення до проведення відповідних робіт.
10. Засоби КЗІ без уведених ключових даних мають гриф обмеження доступу, який відповідає грифу обмеження доступу до опису криптосхеми. Гриф обмеження доступу засобів КЗІ з уведеними ключовими даними визначається грифом обмеження доступу до ключових документів, але не нижче грифа обмеження доступу до опису криптосхеми.
11. Гриф обмеження доступу до ключових документів, що використовуються для криптографічного захисту інформації, повинен відповідати грифу обмеження доступу до інформації, що захищається.
12. Застосування засобів КЗІ під час міжнародного обміну інформацією здійснюється відповідно до законодавства та міжнародних угод (договорів) України.
V. Виведення з експлуатації та утилізація (знищення) засобів КЗІ
1. Засоби КЗІ, які стали не придатними до використання або характеристики яких не відповідають сучасним вимогам щодо криптографічного захисту інформації, виводяться з експлуатації відповідно до вимог інструкції із забезпечення безпеки експлуатації засобів КЗІ.
2. Утилізація (знищення) засобів КЗІ проводиться відповідно до вимог інструкції із забезпечення безпеки експлуатації засобів КЗІ.
3. Порядок утилізації (знищення) засобів КЗІ, зазначених в пункті 3 розділу I цього Положення, визначається Національним банком України.
(Положення в редакції Наказу Адміністрації Державної служби спеціального зв'язку та захисту інформації N 767 від 14.12.2015)
Начальник Департаменту стратегії розвитку спеціальних
інформаційно-телекомунікаційних систем
Адміністрації Держспецзв'язку О.А. Муригін