11 октября 2012
Организация криптографической защиты информации
Часть 1
Регулятор и базовые документы
Введение
В настоящее время вопросы криптографической защиты информации вышли из некоторого «полумрака» и стали достоянием широкой общественности. Тем не менее до сих пор возникают споры о том, когда обязательно использовать средства криптографии, кто определяет порядок их использования, как организовать криптографическую защиту и др. В настоящей статье будет сделана попытка обобщить требования к организации криптографической защиты информации, взяв за основу руководящие документы регулятора. Статья ориентирована в первую очередь лицам, перед которыми впервые встает задача организации защиты информации криптографическими методами.
Кто Главный?
В соответствии с Федеральным законом уполномоченным органом по обеспечению криптографическими методами безопасности информационно-телекоммуникационных систем, сетей связи специального назначения и иных сетей связи, обеспечивающих передачу шифрованной информации, на территории Российской Федерации и в её учреждениях за границей, является Федеральная служба безопасности России1.
Указанным законом в обязанность органам ФСБ России вменяется организация и обеспечение безопасности в сфере шифрованной связи в Российской Федерации2.
Помимо этого, органы ФСБ наделены правом осуществлять государственный контроль за организацией и функционированием криптографической безопасности информационно-телекоммуникационных систем, сетей связи, обеспечивающих передачу информации с использованием шифров3.
Также за органами ФСБ закреплена функция осуществлять «…регулирование в области разработки, производства, реализации, эксплуатации, ввоза в Российскую Федерацию и вывоза из Российской Федерации шифровальных (криптографических) средств и защищенных с использованием шифровальных средств систем и комплексов телекоммуникаций, а также в области предоставления на территории Российской Федерации услуг по шифрованию информации…»4.
Базовые документы
Одним из основополагающих документов, является так называемое «Положение ПКЗ-2005», рожденное во исполнение ФЗ «О Федеральной службе безопасности» и требований «Положения о Федеральной службе безопасности Российской Федерации».5 Один из вопросов, который освещается в этом документе – эксплуатация криптографических средств защиты, собственно чему и будет уделено внимание в нашей статье.
Следующим документом, которому следует уделять пристальное внимание, является «Инструкция об организации и обеспечении безопасности хранения, обработки и передачи по каналам связи с использованием средств криптографической защиты информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну»6.
Что защищаем?
В указанных документах говорится о защите информации с ограниченным доступом, не содержащей сведений, составляющих государственную тайну. При этом, в первом документе она по тексту называется как «информация конфиденциального характера», а во втором – «конфиденциальная информация».
Давайте посмотрим, а что по этому поводу говорит Законодатель. А он проводит классификацию информацию по двум признакам: по категории доступа и по порядку предоставления7. Как видно в рассматриваемых руководящих документах используется классификационный признак по категории доступа и они применимы к сведениям, представленным на рисунке. При этом из рассмотрения исключается единственный элемент – сведения, составляющие государственную тайну.
Другим важным моментом является то, что Законодатель однозначно требует «…соблюдение конфиденциальности информации, доступ к которой ограничен федеральными законами»8 (которые представлены на приведенном рисунке). К этому требованию мы еще вернемся по мере изложения материала.
Таким образом, во-первых, при обработке информации, обязательство по защите которой определяют Федеральные законы, должна обеспечиваться её конфиденциальность.
Во вторых, при обеспечении конфиденциальности такой информации криптографическими методами требуется руководствоваться документами регулятора в лице ФСБ России.
Продолжение следует
1 Федеральный закон от 03.04.1995 № 40-ФЗ «О Федеральной службе безопасности». Ст.11.2.
2 Федеральный закон от 03.04.1995 № 40-ФЗ «О Федеральной службе безопасности». Ст.12, п. И.1.
3 Федеральный закон от 03.04.1995 № 40-ФЗ «О Федеральной службе безопасности». Ст.13, п. Щ.
4 «Положение о Федеральной службе безопасности Российской Федерации», утвержденное Указом Президента РФ от 11.08.2003 № 960. Ст.9, п.25.
5 «Положение о разработке, производстве, реализации и эксплуатации шифровальных (криптографических) средств защиты информации (Положение ПКЗ-2005)», утвержденное Приказом ФСБ России от 09.02.2005 № 66.
6 Утверждена Приказом ФАПСИ при Президенте РФ от 13.06.2001 № 152.
7 Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Ст.5.
8 Федеральный закон от 27.07.2006 № 149-ФЗ «Об информации, информационных технологиях и о защите информации». Ст.9, п.2.
