№7 от 31.01.2018 "Об утверждении Положения об учете, хранении и использовании носителей электронной подписи в Администрации муниципального образования «Николаевский район» Ульяновской области"

РОССИЙСКАЯ ФЕДЕРАЦИЯ

УЛЬЯНОВСКАЯ ОБЛАСТЬ

АДМИНИСТРАЦИЯ

МУНИЦИПАЛЬНОГО ОБРАЗОВАНИЯ

«НИКОЛАЕВСКИЙ РАЙОН»

Р А С П О Р Я Ж Е Н И Е

 31 января 2018 года                                                                        №   7-р     .

Экз.№ _______

р.п. Николаевка

Об утверждении Положения об учете, хранении
и использовании носителей электронной подписи
в Администрации муниципального образования
«Николаевский район» Ульяновской области

В соответствии с постановлением Правительства Российской Федерации от 1 ноября 2012 года № 1119 «Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных» и приказом Федеральной службы по техническому и экспортному контролю от 18 февраля 2013 года № 21 «Об утверждении состава и содержания организационных и технических мер по обеспечению безопасности персональных данных при их обработке в информационных системах персональных данных»:

1. Утвердить прилагаемое Положение об учете, хранении и использовании носителей электронной подписи в Администрации муниципального образования «Николаевский район» Ульяновской области.

2. Настоящее распоряжение вступает в силу на следующий день после дня его официального опубликования.

Исполняющий обязанности

Главы Администрации
муниципального образования
«Николаевский район»

Ульяновской области                                                                              С.А.Кузин
ПРИЛОЖЕНИЕ
к распоряжению  Администрации
МО «Николаевский район»
Ульяновской области
от 31 января 2018 года  № 7-р

Положение

об учете, хранении и использовании носителей электронной подписи Администрации муниципального образования «Николаевский район» Ульяновской области.

1. Общие положения

1. Положение об учете, хранении и использовании носителей электронной подписи в Администрации муниципального образования «Николаевский район» Ульяновской области (далее соответственно - Положение, Администрация района) устанавливает организационные мероприятия по работе с носителями электронных подписей (далее - НЭП), порядок изготовления, регистрации, предоставления доступа, учета, хранения и использования работниками Администрация района НЭП, контроля использования НЭП, порядок действий при компрометации НЭП, а также правила обеспечения режима безопасности при работе с НЭП.

2. Положение разработано в соответствии с нормативными правовыми актами Российской Федерации и Ульяновской области в области защиты информации, в том числе Федеральным законом от 06 апреля 2013 года №63-ФЗ «Об электронной подписи».

3. Требования, установленные настоящим Положением, являются обязательными для всех работников Администрации района.

4. Работник, прежде чем приступить к работе с НЭП, обязан ознакомиться с настоящим положением лично, под роспись.

II. Основные термины, сокращения и определения

5. Носитель электронной подписи - дискета, флэш-память, рутокен и или прочие электронные носители, на которых хранятся ключи электронной подписи, предназначенные для защиты электронных взаимодействий.

6. Секретный (закрытый) ключ подписи - ключ, предназначенный для формирования электронной подписи электронных документов.

7. Открытый (публичный) ключ подписи - ключ, автоматически формируется при изготовлении секретного ключа подписи и однозначно зависящий от него. Открытый ключ предназначен для проверки корректности электронной подписи электронного документа. Открытый ключ считается принадлежащим участнику электронных взаимодействий, если он был сертифицирован (зарегистрирован) в установленном порядке.

8. Ключ шифрования - ключ, предназначенный для закрытия электронного документа при электронных взаимодействиях.

9. Шифрование - специализированный метод защиты информации от ознакомления с ней третьих лиц, основанный на кодировании информации по алгоритму ГОСТ 28147-89 с использованием соответствующих ключей.

10. Компрометация - утрата, хищение, несанкционированное копирование или подозрение на копирование НЭП или любые другие ситуации, при которых достоверно неизвестно, что произошло с НЭП. К компрометации также относится увольнение работников, имевших доступ к электронной подписи.

11. Сертификация ключа - процедура заверения (подписания) открытой части регистрируемого ключа электронной подписью.

12. Заявка на регистрацию ключа - служебное сообщение, содержащее новый открытый ключ, подписанное электронной подписью.

13. Ответственный за реализацию мероприятий по технической защите информации ограниченного доступа - назначенное постановлением  Администрации района ответственное лицо за организацию обработки и обеспечение безопасности информации ограниченного распространения, имеющее высшее образование или прошедшее курс дополнительного профессионального образования в области защиты информации в объеме не менее 72 часов и получившее удостоверение государственного образца о краткосрочном повышении квалификации.

14. Информационная безопасность (далее - ИБ) - комплекс правовых, организационных и технических мер, обеспечивающих конфиденциальность, целостность и доступность информации.

15. Информационная инфраструктура (далее - ИИ) - информационные ресурсы, технологии и системы, базы данных, серверное, компьютерное, сетевое и периферийное оборудование, программное обеспечение, программные и аппаратно-программные средства защиты информации, информационно-телекоммуникационная сеть, находящиеся в ведении Администрации района, используемые для выполнения работниками Администрации района служебных обязанностей, доступа к ресурсам сети Интернет, а также информационного взаимодействия с органами государственной власти Ульяновской области.

16. Информационные технологии (далее - ИТ) - совокупность методов и процессов, обеспечивающих хранение, обработку, преобразование и передачу информации Администрации района с использованием средств компьютерной техники и телекоммуникационного оборудования.

17. Сеть Интернет - глобальная информационно-телекоммуникационная сеть, обеспечивающая удаленный доступ к ресурсам различного содержания и направленности.

18. Пользователь - работник Администрации района, использующий ресурсы информационной инфраструктуры Администрации района при исполнении своих служебных обязанностей.

19. Автоматизированное рабочее место (далее - АРМ) - в составе персонального компьютера, периферийного оборудования и прикладного программного обеспечения, предназначенное для исполнения пользователем служебных обязанностей.

III. Организация работы с носителями ключевой информации

20. Пользователь НЭП, которому в соответствии с его должностными функциями предоставлено право постановки на электронных документах электронной подписи, несет персональную ответственность за сохранность и правильное использование вверенной ему ключевой информации и содержание документов, на которых стоит его электронная подпись. Список лиц, имеющих доступ к НЭП, составляется ответственным за реализацию мероприятий по технической защите информации ограниченного доступа и фиксируется в распоряжении Администрации района.

21. В целях обеспечения идентификации отправителей и получателей информации, защиты ее от несанкционированного доступа Глава Администрации района назначает ответственных работников за осуществление электронного взаимодействия и наделяет их правом установки электронной подписи отправляемых документов.

22. Ответственный за реализацию мероприятий по технической защите информации ограниченного доступа устанавливает соответствующие средства криптозащиты информации на АРМ работников Администрации района для обеспечения электронного взаимодействия.

21. За счёт средств Администрации района проводится обучение ответственных работников структурных подразделений, участвующих в электронных взаимодействиях, работе со средствами обеспечения электронного документооборота и средствами криптозащиты информации.

22. Ответственный за реализацию мероприятий по технической защите информации ограниченного доступа осуществляет выборочный контроль соблюдения ответственными работниками Администрации района правил обеспечения режима безопасности НЭП.

IV. Порядок изготовления, регистрации, предоставления доступа, учета, хранения и использования носителей электронных подписей

23. Генерация и запись на НЭП уникальной ключевой информации, необходимой для формирования электронной подписи, осуществляется ответственным за реализацию мероприятий по технической защите информации ограниченного доступа с помощью программного обеспечения, выполняющего функции, регламентированные технологическим процессом формирования ключей электронной подписи.

24. Работник Администрации района, для которого изготавливалась электронная подпись, оформляет необходимую документацию для изготовления электронной подписи.

25. Электронная подпись изготавливается и записывается на НЭП в одном из аккредитованных Министерством связи и массовых коммуникаций Российской Федерации удостоверяющих центрах.

26. Работник Администрации района, для которого изготавливалась электронная подпись, по доверенности получает электронную подпись в аккредитованном удостоверяющем центре.

27. Для обеспечения возможности восстановления электронной подписи работника Администрации района, в случае выхода НЭП из строя, ответственный за реализацию мероприятий по технической защите информации ограниченного доступа создает резервную копию электронной подписи.

28. Носители электронной подписи должны иметь соответствующие опознавательные ярлыки с регистрационными номерами. Ответственный за реализацию мероприятий по технической защите информации ограниченного доступа вносит запись в журнал «Учет мобильных устройств и съемных носителей информации» (Приложение 1) и выдает НЭП работнику, для которого изготавливается электронная подпись. Вносимая запись отражает регистрационный номер НЭП, дату изготовления, подпись ответственного работника Администрации района, для которого изготавливалась электронная подпись, подпись ответственного за реализацию мероприятий по технической защите информации ограниченного доступа, вид НЭП (оригинал, резервная копия), область применения электронной подписи.

29. НЭП ответственного работника Администрации района может быть использована другим работником Администрации района после регистрации факта временной передачи НЭП в журнале "Учет мобильных устройств и съемных носителей".

30. Резервная копия НЭП должна храниться в опечатываемом индивидуальном пенале в металлическом сейфе ответственного за реализацию мероприятий по технической защите информации ограниченного доступа. Пеналы извлекаются из сейфа только для восстановления рабочей копии электронной подписи. Наличие резервных копий НЭП в пеналах проверяется ответственным за реализацию мероприятий по технической защите информации ограниченного доступа при каждом вскрытии и опечатывании сейфа. Если печать на пенале нарушена, то НЭП считается скомпрометированной.

31. За хранение рабочей копии НЭП отвечает работник Администрации района, для которого изготавливалась электронная подпись. Рабочие копии НЭП хранятся индивидуально, в опечатываемом пенале в металлическом сейфе. Пеналы извлекаются ответственными работниками Администрации района за электронное взаимодействие из сейфа только на время электронного взаимодействия. Если печать на пенале нарушена, то НЭП считается скомпрометированной.

32. В случае поломки рабочей копии НЭП работник Администрации района обязан передать ее ответственному за реализацию мероприятий по технической защите информации ограниченного доступа для последующего уничтожения в установленным порядке и выдачи новой рабочей копии НЭП. Действия по замене НЭП фиксируются в журнале "Учет мобильных устройств и съемных носителей".

33. Пользователю НЭП запрещается:

1) оставлять НЭП без личного присмотра;

2) передавать НЭП другим лицам (кроме способа, описанного в пункте 32);

3) делать неучтенные копии электронной подписи;

4) использовать НЭП в качестве носителя электронных документов и файлов, не имеющих отношения к техническому процессу подписания электронных документов электронной подписью;

5) вносить изменения в файлы, находящиеся на НЭП;

6) использовать НЭП на заведомо неисправном АРМ;

7) подписывать своей электронной подписью любые электронные сообщения и документы, кроме тех видов документов, которые регламентированы технологическим процессом;

8) распространять информацию, что он является пользователем НЭП.

V. Порядок действий при компрометации НЭП

34. К событиям, связанным с компрометацией ключевой информации, должны быть отнесены следующие события:

1) утрата НЭП;

2) утрата НЭП с последующим обнаружением;

3) увольнение работников Администрации района, имевших доступ к НЭП;

4) возникновение подозрений на утечку информации или ее искажения в системе связи;

5) нерасшифровывание входящих или исходящих сообщений;

6) нарушение печати на сейфе или пенале с НЭП.

35. При компрометации электронной подписи участника электронного взаимодействия предусмотрены следующие мероприятия:

1) прекращение передачи информации с использованием скомпрометированной электронной подписи;

2) сообщение о факте компрометации ответственному за реализацию мероприятий по технической защите информации ограниченного доступа;

3) на основании сообщения участника электронного взаимодействия ответственный за реализацию мероприятий по технической защите информации ограниченного доступа исключает из средств криптографической защиты информации скомпрометированную электронную подпись;

4) участник обмена электронного взаимодействия подготавливает документы на отзыв скомпрометированной электронной подписи из аккредитованного удостоверяющего центра.

VI. Обеспечение информационной безопасности при работе с НЭП

36. Порядок допуска в помещения, в которых ведется обработка НЭП, определяется внутренней инструкцией.

37. Для хранения носителей электронных подписей, нормативной и эксплуатационной документации, инсталляционных файлов помещения должны быть обеспечены сейфами.

38. Размещение и установка средств криптографической защиты информации осуществляется в соответствии с требованиями документации на средства криптографической защиты.

39. Порядок обеспечения безопасности хранения НЭП:

1) электронные подписи и лицензии на средства криптографической защиты информации берутся ответственным за реализацию мероприятий по технической защите информации ограниченного доступа на поэкземплярный учет в журнале «Учет мобильных устройств и съемных носителей»;

2) хранение электронных подписей, инсталляционных файлов и лицензий средств криптографической защиты информации допускается в одном хранилище с другими документами при условиях, исключающих их непреднамеренное уничтожение, или иное, непредусмотренное правилами пользования средствами криптозащиты информации, применение;

3) наряду с этим предусмотрена возможность безопасного совместного хранения рабочих и резервных копий электронных подписей;

4) действующие электронные подписи, записанные на носитель, должны храниться в пенале в опечатываемом сейфе ответственного лица за электронное взаимодействие. Возможность копирования и несанкционированного использования электронной подписи посторонним лицом должна быть исключена.

40. К работе со средствами криптографической защиты и носителям ключевой информации допускаются только работники Администрации района, знающие правила их эксплуатации, владеющие практическими навыками работы на АРМ, изучившие правила пользования и эксплуатационную документацию по средствам криптографической защиты, имеющие представления о возможных угрозах информации при ее обработке, передаче, хранении, методах и средствах защиты информации.

41. Уничтожение ключевой информации на НЭП должно производиться путем полного переформатирования носителя в количестве 7 раз.

42. Уничтожение НЭП, пришедшего в негодность, должно производиться путем расплавления на огне (сожжения) или измельчения микросхемы, извлеченной из корпуса.

ПРИЛОЖЕНИЕ №1

к положению

Журнал
«Учет мобильных устройств и съемных носителей информации»