Хранение СКЗИ: требования ФАПСИ-152 и организация помещений

Хранение сертифицированных СКЗИ регулирует Инструкция ФАПСИ №152 от 13.06.2001 — ключевой документ по организации работы со средствами криптографической защиты. Инструкция устанавливает, что СКЗИ хранятся в выделенных помещениях или опечатанных сейфах, доступ к которым имеет строго ограниченный круг лиц, утверждённый приказом руководителя. Документ имеет гриф «Для служебного пользования», поэтому конкретные номера пунктов не цитируются в открытых источниках — применяются через внутренние нормативные акты организации.

Дополняют требования Положение ПКЗ-2005 (утверждено Приказом ФСБ №66 от 09.02.2005) — определяет порядок разработки, производства, реализации и эксплуатации СКЗИ, — и Приказ ФСБ №378 для операторов персональных данных. Для ИСПДн 1–4 уровней защищённости Приказ №378 закрепляет обязанность обеспечивать условия хранения СКЗИ, исключающие несанкционированный доступ к ключевой информации.

На уровне организации разрабатывается Положение о порядке хранения СКЗИ — локальный документ, конкретизирующий нормативные требования под инфраструктуру компании: перечень помещений, классы сейфов, список допущенных лиц, порядок опечатывания, журналы, действия при нештатных ситуациях. Положение утверждается руководителем и доводится до ответственных под подпись. См. также правила работы с СКЗИ по ФАПСИ-152.

Физическая защита. Помещение, в котором хранятся СКЗИ, должно иметь капитальные стены и перегородки, исключающие несанкционированное проникновение. Входная дверь — металлическая или усиленная, с замками не ниже класса B. Окна — с решётками или противоударной плёнкой, особенно для помещений на первом и последнем этажах. Помещение оснащается пожарной и охранной сигнализацией с выводом на пост охраны или пульт вневедомственной охраны.

СКУД и контроль доступа. Для СКЗИ классов КС2 и выше обязательна система контроля и управления доступом: пропускные карты с привязкой к ФИО сотрудника, журнал входа-выхода, автоматическая фиксация времени. Обезличенные карты доступа запрещены. Посетители допускаются только в сопровождении ответственного лица, с обязательной отметкой в журнале входа-выхода и указанием цели визита.

Видеонаблюдение и охрана. Для СКЗИ класса КС3 дополнительно устанавливается видеонаблюдение зоны хранилища с архивом записей не менее 30 суток. Камеры размещаются так, чтобы в поле обзора попадали сейф и подходы к нему. Резервный источник питания для СКУД и видеонаблюдения позволяет сохранить контроль при отключении электроэнергии. В нерабочее время обеспечивается охрана помещения силами пост охраны или охранной сигнализации.

Сейфы и шкафы для хранения. Сейф подбирается по классу устойчивости, соответствующему классу защиты хранящихся СКЗИ — ориентир даёт ГОСТ Р 50862 «Сейфы, сейфовые комнаты и хранилища ценностей». Сейф прикрепляется к полу или стене анкерами (или имеет массу, исключающую вынос), опечатывается пломбой с уникальным номером. Ключи от сейфа хранятся у ответственного лица в отдельном металлическом ящике. Дубликаты ключей опечатываются и хранятся у руководителя или в другом помещении — на случай утраты основных.

Список допущенных лиц. К помещению, где хранятся СКЗИ, допускаются только сотрудники, включённые в список, утверждённый приказом руководителя. Список пересматривается при кадровых изменениях и при изменении состава комиссии по СКЗИ. Каждый сотрудник знакомится со списком под подпись и с требованиями Положения о хранении СКЗИ. Расширение списка оформляется приказом, сокращение — дополнительно с изъятием пропусков и карт доступа.

Журнал входа-выхода. Доступ в помещение фиксируется в журнале: дата, время входа, ФИО, цель посещения, время выхода, подпись. Для помещений со СКУД данные дублируются электронной системой. Посетители (не из списка допущенных) — только в сопровождении ответственного, с отдельной отметкой и указанием сопровождающего. Журнал ведётся непрерывно, хранится не менее срока, установленного внутренним регламентом.

Процедуры в нерабочее время. По окончании рабочего дня ответственный проверяет закрытие сейфов, опечатывание (при необходимости), запирает помещение и передаёт ключи охране с распиской. При утренней приёмке проводится внешний осмотр пломб и замков — если обнаружены следы вскрытия, немедленно составляется акт и начинается служебная проверка без вскрытия сейфа до прибытия комиссии.

Когда требуется опечатывание. Опечатывание применяется к сейфам, шкафам и помещениям хранения СКЗИ, а также к самим средствам — при передаче на хранение, консервации или при выявлении признаков несанкционированного доступа. Опечатывание выполняется пломбой с уникальным номером или мастичной печатью комиссии по СКЗИ. Номера пломб учитываются в отдельном журнале пломб, что позволяет отследить использование каждой пломбы и исключить повторное применение.

Процедура и документирование. Факт опечатывания оформляется актом, в котором указывают: дату и место, состав комиссии (ФИО, должности), серийные номера СКЗИ или описание объекта, номер пломбы, подписи членов комиссии. Акт хранится в архиве комиссии по СКЗИ. При распечатывании составляется отдельный акт — с указанием причины (плановая проверка, передача, уничтожение) и состояния пломбы на момент вскрытия (целая / повреждена).

Акт опечатывания в КиберОснова. Скан акта прикрепляется к карточке СКЗИ или хранилища — документ хранится в системе с полной историей операций. При проверке ФСБ ответственный показывает акты опечатывания за любой период одним кликом, не поднимая бумажный архив. Такая прозрачность существенно сокращает время подготовки к проверке.

Ключевые документы (сертификаты, закрытые ключи, эксплуатационная документация к СКЗИ) хранятся в сейфе рядом с самими средствами или в отдельном опечатанном отсеке. Для СКЗИ классов КС3 и выше рекомендуется раздельное хранение — разные сейфы или разные помещения, чтобы при компрометации одного элемента не был утрачен весь комплект. Сроки хранения ключевых документов определяются сроком действия ключей и требованиями эксплуатационной документации.

Ключевые носители (Рутокен, eToken, JaCarta) учитываются в журнале ключевых документов с серийным номером, ФИО пользователя и сроком действия сертификата. Носители, выданные пользователям для эксплуатации, возвращаются в хранилище при увольнении, отпуске или при выявлении признаков компрометации. В КиберОснова карточка носителя связана с карточкой пользователя — при увольнении система подскажет, какие носители нужно принять обратно.

Уничтожение — связь с учётом. При окончании срока действия или при выводе из эксплуатации СКЗИ и ключевые документы подлежат уничтожению по акту комиссии. Акт уничтожения фиксируется в журнале с номером, датой, составом комиссии, способом уничтожения. Смотрите подробности в статье «Акты уничтожения и передачи СКЗИ» — образцы актов и порядок оформления. Для смены ответственных — загляните на страницу Комиссии по СКЗИ. Общее понятие криптосредств — в разделе что такое СКЗИ.