Добр ый день 22.12.2013 1 Кутузов Станислав Владиленович заместитель начальника отдела УЗИ ОАЦ т. 309 24 54 skv@oac.gov.by Вопросы: 1. Нормативн ая правовая. - презентация

1 Добр ый день Кутузов Станислав Владиленович заместитель начальника отдела УЗИ ОАЦ т Вопросы: 1. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации в области криптографической защиты информации 2. Порядок криптографической защиты информации 3. Государственная система управления открытыми ключами

2 1. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации 2 Указы Президента Республики Беларусь УКАЗ от 01 сентября 2010 г. 450 «О лицензировании отдельных видов деятельности» УКАЗ от 8 ноября 2011 г. 515 «О некоторых вопросах развития информационного общества в Республике Беларусь» УКАЗ от 16 апреля 2013 г. 196 «О некоторых мерах по совершенствованию защиты информации» Законы Республики Беларусь Об информации, информатизации и защите информации от г. 455-З Об электронном документе и электронной цифровой подписи от г. 113-З О внесении изменений и дополнений в закон Республики Беларусь "Об электронном документе и электронной цифровой подписи« от г. N 27-З Кодексы Республики Беларусь Гражданский кодекс от г. 218-З Кутузов Станислав Владиленович т

3 3 (продолжение) Приказы Оперативно-аналитического центра при Президенте Республики Беларусь от 16 октября 2012 г. 79 «О некоторых вопросах функционирования Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь» от 1 августа 2013 г. 53 «Об утверждении Положения о корневом удостоверяющем центре Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь» от 30 августа 2013 г. 62 «О некоторых вопросах технической и криптографической защиты информации» ОАЦ - аккредитован в качестве органа по сертификации средств защиты информации и продукции по требованиям безопасности информации (аттестат аккредитации BY/ ) Кутузов Станислав Владиленович т Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение)

4 ГЛАВА 4 ПОРЯДОК КРИПТОГРАФИЧЕСКОЙ ЗАЩИТЫ ИНФОРМАЦИИ 17. Решение об организации криптографической защиты информации принимается : собственником ( владельцем ) информационных систем, предназначенных для обработки информации, распространение и ( или ) предоставление которой ограничено, не отнесенной к государственным секретам, - при реализации комплекса мероприятий по созданию системы защиты информации ; собственником ( владельцем ) государственных информационных систем - при использовании в этих системах электронных документов ; владельцем критически важных объектов информатизации - при реализации комплекса мероприятий по созданию системы безопасности этих объектов. 18. Криптографическая защита информации осуществляется путем применения средств криптографической защиты информации, а также комплекса организационных мер. 19. Средства криптографической защиты информации, используемые в системах защиты информации информационных систем, предназначенных для обработки информации, распространение и ( или ) предоставление которой ограничено, не отнесенной к государственным секретам, и на критически важных объектах информатизации, подлежат сертификации в Национальной системе подтверждения соответствия Республики Беларусь на соответствие требованиям технических нормативных правовых актов или государственной экспертизе. Перечень технических нормативных правовых актов, а также требования к средствам криптографической защиты информации до введения в действие необходимых технических нормативных правовых актов определяются ОАЦ. 20. При осуществлении криптографической защиты служебной информации ограниченного распространения могут применяться только программно - аппаратные или технические средства криптографической защиты информации. Дополнительные организационные и технические меры по криптографической защите указанной информации определяются ОАЦ. 21. Работы по криптографической защите информации в организации проводятся подразделением технической защиты информации или иными подразделениями ( должностными лицами ), выполняющими функции по криптографической защите информации. 22. В случае невозможности выполнения работ по криптографической защите информации силами подразделения технической защиты информации или иными подразделениями ( должностными лицами ), выполняющими функции по криптографической защите информации, руководителем организации могут привлекаться организации, имеющие специальные разрешения ( лицензии ) на деятельность по технической и ( или ) криптографической защите информации в части соответствующих составляющих данный вид деятельности работ и услуг. 1. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации ( продолжение ) УКАЗ ПРЕЗИДЕНТА РЕСПУБЛИКИ БЕЛАРУСЬ 16 апреля 2013 г. 196 «О некоторых мерах по совершенствованию защиты информации» Положение о технической и криптографической защите информации в Республике Беларусь Кутузов Станислав Владиленович т

5 5 ЗАКОН РЕСПУБЛИКИ БЕЛАРУСЬ 20 мая 2013 г. N 27-З «О внесении изменений и дополнений в Закон Республики Беларусь "Об электронном документе и электронной цифровой подписи» 6. В статье 27: после части второй дополнить статью частью следующего содержания : " Распространение открытых ключей государственных органов и других государственных организаций осуществляется через Государственную систему управления открытыми ключами."; 8. Статью 29 изложить в следующей редакции : " Статья 29. Государственная система управления открытыми ключами Государственная система управления открытыми ключами предназначена для обеспечения возможности получения всеми заинтересованными организациями и физическими лицами информации об открытых ключах и их владельцах в Республике Беларусь и представляет собой систему взаимосвязанных и аккредитованных в ней поставщиков услуг. Основными функциями Государственной системы управления открытыми ключами являются : регистрация владельцев личных ключей ; издание, распространение и хранение сертификатов открытых ключей и списков отозванных сертификатов открытых ключей ; создание и сопровождение баз данных действующих и отозванных сертификатов открытых ключей ; внесение сертификатов открытых ключей в базу данных действующих сертификатов открытых ключей ; обеспечение доступности баз данных действующих и отозванных сертификатов открытых ключей ; отзыв сертификатов открытых ключей ; достоверное подтверждение принадлежности открытого ключа определенным организации или физическому лицу ; хранение карточек открытых ключей. Сертификаты открытых ключей, изданные в Государственной системе управления открытыми ключами, обязательны к применению при обращении электронных документов во всех государственных информационных системах, а также в иных информационных системах, содержащих информацию, распространение и ( или ) предоставление которой ограничено. Порядок функционирования Государственной системы управления открытыми ключами определяется Положением о Государственной системе управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь, утверждаемым Оперативно - аналитическим центром при Президенте Республики Беларусь. Аккредитацию поставщиков услуг в Государственной системе управления открытыми ключами и контроль за соблюдением условий аккредитации осуществляет Оперативно - аналитический центр при Президенте Республики Беларусь. Условия аккредитации поставщиков услуг в Государственной системе управления открытыми ключами, порядок проведения аккредитации и осуществления контроля за соблюдением ее условий устанавливаются Оперативно - аналитическим центром при Президенте Республики Беларусь. Оперативно - аналитический центр при Президенте Республики Беларусь обеспечивает взаимодействие Государственной системы управления открытыми ключами с поставщиками услуг иностранных государств." 1. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение) Кутузов Станислав Владиленович т

6 6 ПРИКАЗ ОПЕРАТИВНО-АНАЛИТИЧЕСКОГО ЦЕНТРА ПРИ ПРЕЗИДЕНТЕ РЕСПУБЛИКИ БЕЛАРУСЬ 16 октября 2012 г. 79 О некоторых вопросах функционирования Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь Концепцию развития Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь; Положение о Государственной системе управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь; Положение о Межведомственном консультативном совете по развитию Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь. Кутузов Станислав Владиленович т Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение) ПРИКАЗ ОПЕРАТИВНО-АНАЛИТИЧЕСКОГО ЦЕНТРА ПРИ ПРЕЗИДЕНТЕ РЕСПУБЛИКИ БЕЛАРУСЬ 1 августа 2013 г. 53 Об утверждении Положения о корневом удостоверяющем центре Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь Положение о о корневом удостоверяющем центре Государственной системы управления открытыми ключами проверки электронной цифровой подписи Республики Беларусь

7 7 ПРИКАЗ ОПЕРАТИВНО- АНАЛИТИЧЕСКОГО ЦЕНТРА ПРИ ПРЕЗИДЕНТЕ РЕСПУБЛИКИ БЕЛАРУСЬ 30 августа 2013 г. 62 О некоторых вопросах технической и криптографической защиты информации Положение о порядке технической защиты информации в информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам; Положение о порядке криптографической защиты информации в государственных информационных системах, информационных системах, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам, и на критически важных объектах информатизации; Положение о порядке аттестации систем защиты информации информационных систем, предназначенных для обработки информации, распространение и (или) предоставление которой ограничено, не отнесенной к государственным секретам. 1. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение) Кутузов Станислав Владиленович т

8 8 Технические нормативные правовые акты Республики Беларусь 1.Технический регламент Республики Беларусь «Информационные технологии. Средства защиты информации. Информационная безопасность» (ТР 2013/027/BY) (утвержден постановлением Совета Министров Республики Беларусь от ) 1.СТБ «Информационная технология. Защита информации. Функция хэширования» 2.СТБ «Информационная технология. Защита информации. Процедуры выработки и проверки электронной цифровой подписи» 3.ГОСТ «Система обработки информации. Защита криптографическая. Алгоритм криптографического преобразования» 4.СТБ «Информационные технологии и безопасность. Синтаксис запроса на получение сертификата» 5.СТБ «Информационные технологии. Синтаксис обмена персональной информацией» 6.СТБ «Информационные технологии и безопасность. Форматы сертификатов и списков отозванных сертификатов инфраструктуры открытых ключей» 7.СТБ «Информационные технологии. Синтаксис криптографической информации для токенов» 8.СТБ «Информационные технологии. Интерфейс обмена информацией с аппаратно- программным носителем криптографической информации (токеном)» 9.СТБ «Информационные технологии. Криптография на основе алгоритма RSA» 2. Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение) Кутузов Станислав Владиленович т

9 9 Технические нормативные правовые акты Республики Беларусь (продолжение) 11.СТБ «Информационные технологии и безопасность. Синтаксис криптографических сообщений» 12.СТБ «Информационные технологии и безопасность. Онлайновый протокол проверки статуса сертификата (OCSP)» 13.СТБ «Информационные технологии и безопасность. Требования безопасности к программным средствам криптографической защиты информации» 13.СТБ «Информационные технологии. Защита информации. Криптографические алгоритмы шифрования и контроля целостности» 14.СТБ «Информационные технологии и безопасность. Алгоритмы электронной цифровой подписи и транспорта ключа на основе эллиптических кривых» 15.СТБ «Информационные технологии и безопасность. Криптографические алгоритмы генерации псевдослучайных чисел» 16.СТБ «Информационные технологии и безопасность. Требования к политике применения сертификатов удостоверяющих центров» 17.СТБ «Информационные технологии и безопасность. Формат карточки открытого ключа» 18.СТБ «Информационные технологии и безопасность. Алгоритмы разделения секрета» 19.СТБ П «Информационные технологии. Методы и средства безопасности. Профиль защиты технических и программно-аппаратных средств криптографической защиты информации» Кутузов Станислав Владиленович т Нормативн ая правовая база Республики Беларусь в области криптографической защиты информации (продолжение)

10 криптографическая защита информации - деятельность, направленная на обеспечение конфиденциальности, контроля целостности и подлинности информации с использованием средств криптографической защиты информации средства криптографической защиты информации - технические, программные, программно - аппаратные средства защиты информации, реализующие один или несколько криптографических алгоритмов ( шифрование, выработка и проверка электронной цифровой подписи, хэширование, имитозащита ) и криптографические протоколы, а также функции управления криптографическими ключами, механизмы идентификации и аутентификации, контроля доступа и проверки работоспособности, предназначенные для безопасного управления вызовами криптографических алгоритмов и их входными и выходными данными Порядок криптографической защиты информации Кутузов Станислав Владиленович т

11 2. Порядок криптографической защиты информации ( Продолжение ) Решение об организации криптографической защиты информации принимается : собственником ( владельцем ) информационных систем, предназначенных для обработки информации, распространение и ( или ) предоставление которой ограничено, не отнесенной к государственным секретам, - при реализации комплекса мероприятий по созданию системы защиты информации ; собственником ( владельцем ) государственных информационных систем - при использовании в этих системах электронных документов ; владельцем критически важных объектов информатизации - при реализации комплекса мероприятий по созданию системы безопасности этих объектов Кутузов Станислав Владиленович т

12 2. Порядок криптографической защиты информации ( Продолжение ) 12 Системы защиты информации информационных систем, системы безопасности КВОИ и системы электронных документов ГИС должны включать в себя СКЗИ, реализующие криптографические операции в зависимости от задач безопасности, управление криптографическими ключами данных СКЗИ, а также комплекс средств обеспечения безопасности СКЗИ Кутузов Станислав Владиленович т

13 СКЗИ должны выполнять криптографические операции ( шифрование, выработка и проверка электронной цифровой подписи, хэширование, имитозащита ) в соответствии с заданными криптографическими алгоритмами и длинами криптографических ключей, которые удовлетворяют ТНПА и документам согласно приложению к настоящему Положению, а при их отсутствии, быть рекомендованы ОАЦ. 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

14 Для каждой криптографической операции, реализованной в СКЗИ, в задании по безопасности должны быть определены требования по управлению криптографическими ключами, включающие требования по их генерации, распределению, хранению, доступу к ним и их уничтожению. Средства управления криптографическими ключами должны реализовывать алгоритмы генерации криптографических ключей, методы распределения, доступа, хранения и уничтожения криптографических ключей в соответствии с ТНПА и документами согласно приложению или, при их отсутствии, быть рекомендованы ОАЦ. На всех этапах жизненного цикла криптографических ключей должна быть обеспечена их защита от несанкционированного доступа. Порядок управления криптографическими ключами СКЗИ определяется в задании по безопасности на информационную систему, в документах по системе безопасности КВОИ и системе электронных документов ГИС. 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

15 Комплекс средств обеспечения безопасности СКЗИ должен обеспечивать решение следующих задач : защита СКЗИ от несанкционированного воздействия или несанкционированного использования ; предотвращение несанкционированного раскрытия критических объектов СКЗИ ; предотвращение несанкционированной модификации СКЗИ, включая несанкционированное изменение, замену, добавление и уничтожение криптографических ключей, а также других критических объектов ; выявление ошибок в работе и нарушения целостности СКЗИ и предотвращение компрометации в результате этих ошибок критических объектов. Требования к средствам обеспечения безопасности СКЗИ должны основываться на технических нормативных правовых актах и документах согласно приложению, а при их отсутствии должны быть рекомендованы ОАЦ 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

16 Организационные меры, которые необходимо соблюдать при эксплуатации СКЗИ, должны включать в себя меры по обеспечению особого режима допуска на территорию ( в помещения ), на которой может быть осуществлен доступ к СКЗИ и криптографическим ключам ( носителям ), а также меры по разграничению доступа к ним по кругу лиц. Данные организационные меры должны быть отражены в политике информационной безопасности 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

17 СКЗИ, используемые в информационных системах, системах безопасности КВОИ и системах электронных документов ГИС, подлежат сертификации в Национальной системе подтверждения соответствия Республики Беларусь на соответствие требованиям технических нормативных правовых актов согласно приложению или государственной экспертизе на соответствие требованиям безопасности информации, содержащимся в документах согласно приложению. Программные СКЗИ и программное обеспечение аппаратных СКЗИ должны соответствовать требованиям, установленным СТБ Информационные технологии и безопасность. Требования безопасности к программным средствам криптографической защиты информации, а программно - аппаратные и технические СКЗИ – требованиям, установленным СТБ П Информационные технологии. Методы и средства безопасности. Профиль защиты технических и программно - аппаратных средств криптографической защиты информации. Для совместимости СКЗИ данные обмена между ними должны иметь одни и те же форматы. Различия могут иметь место : при управлении криптографическими ключами СКЗИ одного класса, если не предполагается использование ключей одного СКЗИ на другом СКЗИ ; во внутренних служебных механизмах безопасности СКЗИ. При этом механизмы управления криптографическими ключами и служебные механизмы должны соответствовать требованиям технических нормативных правовых актов и документов согласно таблице 1 приложения. 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

18 При принятии собственником ( владельцем ) информационной системы решения о применении СКЗИ для защиты служебной информации ограниченного распространения, определенной в соответствии с законодательством, должно обеспечиваться выполнение следующих организационных и технических мер : криптографическая защита служебной информации ограниченного распространения должна осуществляться на отдельно выделенном средстве вычислительной техники, не подключенном к информационным сетям, в том числе к глобальной компьютерной сети Интернет. В случае, когда такое подключение требуется для обеспечения технологических процессов функционирования информационных систем, оно должно осуществляться с применением средств защиты информации, имеющих сертификат соответствия, выданный в Национальной системе подтверждения соответствия Республики Беларусь, обеспечивающих исключение возможности несанкционированного доступа к служебной информации ограниченного распространения и к самой информационной системе ; использование в средствах криптографической защиты служебной информации ограниченного распространения криптографических алгоритмов, их долговременных параметров ( в том числе длин ключей ), рекомендованных ОАЦ ; применение в средствах криптографической защиты служебной информации ограниченного распространения технологических ( конструктивных ) решений, исключающих появление личных ( долговременных секретных ) криптографических ключей в открытом виде вне криптографической границы указанных средств ; управление криптографическими ключами средств криптографической защиты служебной информации ограниченного распространения должно быть организовано так, чтобы при компрометации ключей одного из пользователей не снижалась безопасность сети иных пользователей ; исключение физического доступа неуполномоченных лиц к средству вычислительной техники и средствам криптографической защиты служебной информации ограниченного распространения ; использование лицензионного антивирусного программного обеспечения и его периодическое обновление ; использование программно - аппаратных или технических СКЗИ, удовлетворяющих требованиям технических нормативных правовых актов или документов согласно приложению, для обеспечения защищенного канала передачи служебной информации ограниченного распространения между несколькими контролируемыми зонами информационной системы 2. Порядок криптографической защиты информации ( Продолжение ) Кутузов Станислав Владиленович т

19 2. ПЕРЕЧЕНЬ технических нормативных правовых актов и документов, в которых определены требования к криптографическим механизмам Условное обозначение Криптографические механизмы Наименование технических нормативных правовых актов и документов Криптографические операции Шшифрование Ш1 ГОСТ Системы обработки информации. Защита криптографическая. Алгоритм криптографического преобразования (раздел 3 или 4) СТБ П Информационные технологии и безопасность. Правила регистрации объектов информационных технологий (приложение Г) Ш2 СТБ Информационные технологии. Защита информации. Криптографические алгоритмы шифрования и контроля целостности (подраздел 6.4 или 6.5 раздела 6)

20 2. ПЕРЕЧЕНЬ технических нормативных правовых актов и документов, в которых определены требования к криптографическим механизмам Иимитозащита И1 ГОСТ (раздел 5) И2 СТБ (подпункт 6.6 пункта 6) ШИшифрование и имитозащита СТБ (подпункт 6.7 пункта 6) Ххэширование Х1 Х2 СТБ Информационная технология. Защита информации. Процедура хэширования СТБ (подпункт 6.9 пункта 6) Пэлектронная цифровая подпись П1 СТБ СТБ Информационная технология. Защита информации. Процедуры выработки и проверки электронной цифровой подписи (разделы 5, 6) СТБ П (приложения Б, В) П2 СТБ (подраздел 6.5 раздела 6) СТБ Информационные технологии и безопасность. Алгоритмы электронной цифровой подписи и транспорта ключа на основе эллиптических кривых (подпункт 7.1 пункта 7, приложение Б, таблица Б1, приложение Д)

21 К управление криптографическими ключами К1диверсификация ключа СТБ (пункт 7.2) К2обновление ключа СТБ (пункт 7.2) К3 защита ключа на другом ключе СТБ (пункт 6.8) К4парольная защита ключа К41 СТБ Информационные технологии. Синтаксис обмена персональной информацией (приложение В с учетом использования СТБ ) К42 СТБ (приложение Е) К5транспорт ключа К51 СТБ П (приложение В, протокол bdh-keytransport) К52 СТБ (подпункт 7.2 пункта 7, приложение Б, таблица Б1) К6разделение ключа СТБ Информационные технологии и безопасность. Алгоритмы разделения секрета (раздел 7, приложение А, таблица А1) К7 генерация личного и открытого ключей К71 СТБ (разделы 5, 6, 7) К72 СТБ (подпункт 6.2 пункта 6, приложение Б, таблица Б1) К8формирование общего ключа К81 Проект Руководящего документа Республики Беларусь Банковские технологии. Протоколы формирования общего ключа К82 СТБ Информационные технологии и безопасность. Протоколы аутентификации и выработки общего ключа на основе эллиптических кривых (приложение A), СТБ (таблица Б1 (параметры))

22 2. ТРЕБОВАНИЯ к средствам криптографической защиты информации Класс средств криптографической защиты информации Требования к криптографическим операциям Требования к управлению ключами Требования к форматам зашифрованных или подписанных данных (в случае совместимости средств криптографической защиты информации) Средства предварительного шифрования (Ш1, И1), или (Ш2, И2), или ШИ ((К51 или К52, С2, С3 или С4) или (К41 или К42), (Г1 или Г2)) или рекомендованные Оперативно-аналитическим центром при Президенте Республики Беларусь СТБ Информационные технологии и безопасность. Синтаксис криптографических сообщений (раздел 9 или 13) Примечания: 1. В таблице 2 указаны условные обозначения криптографических механизмов из таблицы 1 настоящего приложения. 2. Криптографические механизмы, указанные в таблице 2 в скобках, реализуются совместно. 3. При межведомственном информационном взаимодействии информационных систем для обеспечения совместимости средств криптографической защиты информации и в зависимости от задач безопасности используются следующие криптографические механизмы: (Ш2, И2) или ШИ, П2, К52 (или К82), К72, С1, С2, С3 или С4, СТБ

23 2. Средства криптографической защиты информации 23 Кутузов Станислав Владиленович т